Protected: Data protection – update ( 27 may – 9 July)

Flowcharts on data protection (link) The European Data Protection Supervisor published its Flowcharts and Checklists on Data Protection. This document address, among other things, the concept and definitions of data controller, processor, and joint controllership, as well as of the duties of the above subjects and the requirements of a data processing agreement. The impact of the General Data Protection Regulation on Artificial intelligence (link) This study addresses the relationship between the General Data Protection Regulation (GDPR) and artificial intelligence (AI). The study provides an analysis of how AI is regulated in the GDPR and examines the extent to which AI fits into the GDPR conceptual framework. It discusses the tensions and proximities between AI and data protection principles, such as, in particular, purpose limitation and data minimisation. It examines the legal bases for AI applications to personal data and considers duties of information concerning AI systems, especially those involving profiling and automated decision-making. It reviews data subjects' rights, such as the rights to access, erasure, portability and object. The study carries out a thorough analysis of automated decision making, considering the extent to which automated decisions are admissible, the safeguard measures to be adopted, and whether data subjects have a right to individual explanations. It then addresses the extent to which the GDPR provides for a preventive risk-based approach, focusing on data protection by design and by default. The possibility to use AI for statistical purposes, in a way that is consistent with the GDPR, is also considered. The study concludes by observing that AI can be deployed in a way that is consistent with the GDPR, but also that the GDPR does not provide sufficient guidance for controllers, and that its prescriptions need to be expanded and concretised. Data controller and processor: 6 best practices for respecting personal data (link) The processor and the controller are subject to a number of new obligations under the GDPR. The CNIL, which has carried out verifications with 15 online IT service and solution providers, recalls some good practices to adopt, such as (i) clarifying the role and status of the parties, (ii) establishing a contract between the parties, (iii) documenting the subcontracting activity, (iv) helping the controller to respond to data subjects’ requests. Collecting customer and visitor details for contact tracing (link) The Information Commissioner's Office published guidance for organizations and small businesses that are asked by the government to collect and retain customer and visitor information, for a limited period of time, for the purposes of the COVID-19 contact tracing scheme. 10 recomandari la doi ani de la implementare normelor GDPR (link) Regulamentul General privind Protecţia Datelor Regulamentul (GDPR) a împlinit doi ani de la aplicare. În acest context, avocații Filip & Company au realizat un set de 10 recomandări pentru firmele care vor să se conformeze și care totodată vor să protejeze datele clienților, care vizează următoarele: Conformitate continua; Pastrarea evidentei activitatilor de prelucrare; Respectarea drepturilor persoanelor vizate; Masuri tehnice si organizatorice; Transferul datelor; Privacy by design and by default; Stabiliti cu atentie temeiul legal al prelucrarii; Principiul reducerii la minim a datelor; Principiul limitarii legate de stocare; Responsabilul cu protectia datelor. GDPR reminder| Despre stocarea datelor cu caracter personal (I) (link) Prin intermediul seriei de articole GDPR Reminder venim în sprijinul operatorilor de date și reamintim cateva aspecte de interes care fac parte din activitatea de zi cu zi a acestora, dar care încă ridică semne de întrebare în practică și subliniem modalitățile prin care acestea pot fi clarificate prin raportare la reglementările interne deja existence. La împlinirea a 2 ani de la aplicarea Regulamentului general privind protecția datelor (UE) 2016/679 (“GDPR”), stocarea datelor cu caracter personal nu este o noutate, ci reprezintă o sintagmă des întâlnită, pe care atât operatorii de date, cât și persoanele vizate s-au obișnuit să o întâlnească în documentele care privesc prelucrarea datelor, fiind unul dintre elementele obligatorii care se regăsește în conținutul notelor de informare privind activitățile de prelucrare a datelor. Deși în acești 2 ani operatorii de date au înțeles și au întreprins demersuri pentru a se conforma cu cerințele GDPR, implementarea acestora a demonstrat aproape de fiecare dată faptul că de la teorie și până la aplicarea în practică trebuie parcurși o serie de pași esențiali fără de care nu poate fi asigurată conformarea cu GDPR. Acesta este și cazul aplicării principiului limitării legate de stocarea datelor cu caracter personal, caz în care, de cele mai multe ori, operatorii de date s-au confruntat cu dificultati in a indica o durată efectivă de stocare a datelor cu caracter personal prelucrate în scopurile și temeiurile legale pe care aceștia le-au identificat. GDPR reminder| Despre stocarea datelor cu caracter personal (II) (link) Împlinirea a 2 ani de la aplicarea Regulamentului general privind protecția datelor (UE) 2016/679 ("GDPR") poate fi văzută ca un bun moment de verificare și reanalizare a mijloacelor pe care operatorii de date au ales să le utilizeze pentru a îndeplini cerințele privind asigurarea securității adecvate a datelor cu caracter personal prevăzute de GDPR. O astfel de verificare și reanalizare se impune cu atât mai mult cu cât evenimentele de ordin internațional privind asigurarea sănătății comunității au condus la desfășurarea activității din alte locuri decât locul de muncă într-un mod neașteptat care nu a oferit suficient timp operatorilor pentru a se organiza, caz în care riscurile și provocările privind asigurarea securității datelor au crescut. În acest context, primul pas spre asigurarea îndeplinirii principiului integrității și confidențialității este acela de a analiza riscul prin realizarea unei revizuiri a datelor și informațiilor deținute la acest moment și a modului în care acestea sunt utilizate pentru a evalua cât de valoroase, sensibile sau confidențiale sunt acestea, precum și daunele care pot fi cauzate dacă datele sunt compromise. În mod practic întocmirea unei analize de tip check-list ar fi una dintre modalitățile cele mai facil de gestionat și urmărit, motiv pentru care prezentăm câteva aspecte cu titlu de exemplu, astfel: Efectuarea unei analize a riscurilor pentru fiecare prelucrare în parte și utilizarea acesteia pentru a evalua nivelul adecvat de securitate existent sau care trebuie implementat, după caz; Revizuirea politicii privind securitate a informațiilor (sau a unui document intern echivalent) și luarea unor măsuri menite a asigura că aspectele prevăzute în politică sunt în acord cu situația de fapt și că pot fi implementate cu succes; Revizuirea din punct de vedere tehnic a drepturilor de acces și a posibilității de accesare a spațiilor de stocare a datelor; Implementarea și utilizarea criptării și/sau pseudonimizării, acolo unde este cazul; Efectuarea de testări periodice și recenzii ale măsurilor existente pentru a se asigura că acestea rămân eficiente și luarea unor măsuri pe baza rezultatelor acestor teste pentru situația în care acestea evidențiază aspectele de îmbunătățire; Instruirea și construirea unei culturi de conștientizare a securității în cadrul organizației operatorului, inclusiv prin transmiterea de e-mailuri de tip kind-reminder; Desemnarea unei persoane responsabile pentru securitatea informațiilor în cadrul organizației și asigurarea că această persoană are resursele și autoritatea corespunzătoare pentru a îndeplini această sarcina în mod eficient. GDPR reminder | Despre evidența activităților de prelucrare a datelor (III) (link) Cu siguranță unul dintre aspectele rămase în memoria operatorilor de date referitor la momentul aplicării Regulamentului general privind protecția datelor (UE) 2016/679 (“GDPR”) este evidența activităților de prelucrare a datelor cu caracter personal și eforturile depuse în vederea completării registrului privind evidența prelucrărilor desfășurate de către operator. Dat fiind că un astfel de document este menit a reflecta activitățile de prelucrare desfășurate sub responsabilitatea operatorului într-un mod cât mai precis, registrul privind evidența prelucrărilor rămâne un document dinamic, care se impune a fi supus actualizării și completării ori de câte ori situația de fapt inițială se modifică. Așadar, chiar dacă aspectul caracterului dinamic al registrului nu reprezintă o noutate, există totuși aspecte care s-au schimbat în acești doi ani, precum trecerea de la completarea evidenței prelucrărilor într-un document de cele mai multe ori de tip Excel la utilizarea unor aplicații dedicate acestui scop. Concluzia pozitivă pe care o putem avea la 2 ani de la GDPR este că operatorii s-au orientat către imaginea de ansamblu și au ales să migreze informațiile pe care le dețin cu privire la activitățile de prelucrare către instrumente menite a le ușura eforturile privind conformarea, dar care au în același timp și capacitatea de a ajuta cu tot ceea ce înseamnă protecția datelor cu caracter personal la nivelul unei companii.

Sunt manager. Ce ar trebui să știu despre ESG? Ce trebuie să facă companiile pentru a respecta reglementările ESG?

Protected: Data protection – update ( 27 may – 9 July)

Related articles

Au apărut modificări cu privire la concediul paternal

Noi modificări aduse Codului fiscal care influențează și relațiile de muncă

Angajarea străinilor în România ar putea fi fluidizată

Deschiderea unui poligon privat – care sunt pașii?

Minister Budai announces nine-month work permit waiver for Ukrainians who want to work in Romania

Romanian air space closed for all regular flights of operators registered in the Russian Federation

Continuous recruitment

Think ahead!

Think ahead! Practice at Filip & Company!

Legal Assistant

Webinars

Continuous recruitment

Think ahead! Practice at Filip & Company!

Webinars