Am mai scris despre subiectul acesta, dar acum prezint perspectiva auditorului. Am „construit„ un instrument de lucru (să îi spunem „working program„) (acum în Excel, în curînd în SharePoint) care să mă ajute atunci cînd, în cadrul unei misiuni de audit, ajung și la subiectul „protecția datelor personale„. Abordarea folosită este din teorie (COBIT+BMIS+ISO27701+Ghiduri WP29):…
Fără a contesta importanța laturii juridice a GDPR am spus începînd cu 2017, ori de cîte ori am avut ocazia: după ce ne vom lămuri cu „litera și spiritul regulamentului„, aspectele tehnice sînt cele care vor da și mai multe bătăi de cap. Îmi susțin afirmația cu o realitate autohtonă: foarte puține din sistemele/aplicațiile/procesele existente…
Recitind comunicatele ANSPDCP cu privire la sancțiunile contravenționale (amenzi) de pînă acum, am constatat că doar într-un singur caz (Unicredit) se menționează încălcarea Art. 25. În restul situațiilor sancțiunile fac referire la încălcarea Art. 32. Eu privesc însă Art. 32 (măsurile tehnice și administrative) în legătură directă și indisolubilă cu Art. 25 (și bineînțeles cu…
Ceea ce trăim de la apariția GDPR pînă în prezent este firesc în opinia mea: ani de zile nu s-a făcut mare lucru și dintr-o dată vrem să fie rezolvate toate. Pe lîngă „butoanele„ pentru cookies, un subiect des discutat este și cel legat de consimțămînt (sau lipsa lui) în cazul marketingului direct. Care sînt…
Preambul Pînă astăzi, ANSPDCP a amendat (nu cred că amenzile sînt definitive) 4 organizații, după cum urmează: 130.000 euro pentru dezvăluirea în cazul a 337.042 de persoane a CNP și adresa personală (în site); 15.000 euro pentru divulgarea în mediul online a unei liste cu 46 persoane care serveau micul dejun la un hotel (…
De cînd au început „adaptările„ la GDPR am tot citit „informări„/„politici„. Cele mai multe mi se par „stufoase„ și lipsite de claritate pentru utilizatorul simplu. Am îndrăznit să „compilez„ o „informare„ așa cum mi se pare mie că ar trebui să fie. Este doar un exemplu în care am încercat să suprind cît mai multe…
„Pe data de 27.06.2019, Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul UNICREDIT BANK S.A. și a constatat că acesta a încălcat prevederile art. 25 alin. (1) din Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter…
Despre Art. 25 din GDPR am mai scris că este un fel de „cuiul lui Pepelea„. S-a întîmplat să finalizez, împreună cu partenerul meu de suferință Valy Greavu, o nouă implementare a machetei pe care am dezvoltat-o în SharePoint (Publicitate: pentru un grup financiar din top 10). În timp ce mă apropiam de finalizarea proiectului,…
Pe 14 iunie, în Monitorul Oficial se publica ORDIN Nr. 553/2019 din 5 iunie 2019 privind reglementarea procedurii de avizare a instrumentelor de plată electronică cu acces la distanţă. Pentru că proiectul a fost în consultare publică, pe 2 aprilie am trimis către MCSI punctul meu de vedere. Am constatat că s-a ținut cont de…
Atunci cînd o organizație se confruntă cu un eveniment care ajunge la cunoștința ANSPDCP, autoritatea solicită, printre altele, „informații privind adoptarea de măsuri tehnice și organizatorice„. Să nu uităm că managementul organizației trebuie să demonstreze „responsabilitate„. Cele ce le scriu în continuare reprezintă perspectiva mea, de auditor, și nu cea a unui „expert GDPR„….. 1.Referințe…
