Conformitatea nu se declară, se demonstrează: lecțiile ultimei sancțiuni ANSPDCP privind art. 32 din RGPD.
Thank you for reading this post, don't forget to subscribe!Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) oferă un reper relevant pentru modul în care trebuie înțeleasă obligația prevăzută de dispozițiile art. 32 din Regulamentul (UE) 2016/679 Al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cunoscut mai ales sub denumirea de ,,GDPR’’ sau ,,RGPD’’’.
Investigația, declanșată recent în urma notificării, de către operator, a unui atac cibernetic asupra infrastructurii acestuia, a relevat deficiențe privind confidențialitatea sistemelor, testarea periodică a măsurilor de securitate și monitorizarea accesului. Autoritatea a dispus, totodată, ca măsură corectivă, implementarea unor mecanisme de jurnalizare, cu păstrarea logurilor pentru cel puțin 30 de zile. Dispozițiile art. 32 impun menținerea unui nivel de protecție adecvat riscului, pe întreaga durată a prelucrării. În această logică, testarea periodică, monitorizarea accesului și remedierea vulnerabilităților reprezintă componente ale obligației de conformitate, nu doar bune practici de natură tehnică. Sancțiunea ANSPDCP trebuie, așadar, citită într-o logică mai largă de responsabilitate și probă a conformității. Operatorul trebuie să poată demonstra nu doar existența unor politici și controale, ci și faptul că acestea au fost evaluate, testate și adaptate în raport cu riscurile concrete. Inclusiv termenul de 30 de zile pentru păstrarea logurilor ar trebui tratat cu prudență. Acesta reprezintă o măsură corectivă dispusă în circumstanțele cauzei și nu poate fi transformat într-un standard general de stocare.
În esență, art. 32 din RGPD impune o guvernanță continuă a securității, în care evaluarea riscurilor, măsurile tehnice, monitorizarea, testarea și documentarea trebuie să formeze un ansamblu coerent și susceptibil de a demonstra, în orice moment, caracterul adecvat al nivelului de protecție adoptat de operator.
Sursă: site ANSPDCP https://www.dataprotection.ro/