\u00centr-o epoc\u0103 a aplic\u0103rii stricte a GDPR, loca\u021bia fizic\u0103 a prelucr\u0103rii datelor dumneavoastr\u0103 nu este un detaliu, ci un risc direct de conformitate. Descoperi\u021bi de ce externalizarea ieftin\u0103 (offshoring) c\u0103tre Asia poate deveni costisitoare din punct de vedere juridic.<\/p>\n
Multe companii cred c\u0103 sunt acoperite legal odat\u0103 ce au semnat un contract cu un partener BPO din India sau Filipine. Introduci c\u00e2teva clauze standard, toat\u0103 lumea semneaz\u0103 \u0219i gata, problema e rezolvat\u0103. Nu-i a\u0219a?<\/p>\n
Din p\u0103cate, realitatea este mult mai dur\u0103. De la hot\u0103r\u00e2rea judec\u0103toreasc\u0103 din celebrul caz \u201eSchrems II\u201d, fluxurile de date c\u0103tre a\u0219a-numitele \u201e\u021b\u0103ri ter\u021be\u201d sunt analizate la microscop. Faptul simplu este: cine externalizeaz\u0103 munca administrativ\u0103<\/a> r\u0103m\u00e2ne solidar r\u0103spunz\u0103tor pentru traseul pe care \u00eel parcurg datele. O bucat\u0103 de h\u00e2rtie nu v\u0103 protejeaz\u0103 \u00eempotriva legisla\u021biei altei \u021b\u0103ri.<\/p>\n Discut\u0103m adesea despre asta ca \u0219i cum ar fi magie: \u201eLe punem \u00een cloud\u201d. Termenul sun\u0103 pl\u0103cut, abstract \u0219i sigur. Evoc\u0103 o imagine a fi\u0219ierelor care plutesc undeva \u00een siguran\u021b\u0103 \u00een aer, separate de grani\u021bele na\u021bionale \u0219i de reguli.<\/p>\n Dar s\u0103 fim sinceri: acel nor nu exist\u0103 deloc. Datele au \u00eentotdeauna o adres\u0103 fizic\u0103. Datele clien\u021bilor \u0219i documentele financiare se afl\u0103 pur \u0219i simplu pe un hard disk. Acel disk se afl\u0103 \u00eentr-un rack de servere, iar acel rack se afl\u0103 \u00eentr-un centru de date mare care consum\u0103 energie \u0219i trebuie r\u0103cit.<\/p>\n \u0218i cel mai important: acea cl\u0103dire se afl\u0103 pe teritoriul unei anumite \u021b\u0103ri.<\/p>\n Aici apare dificultatea pentru mul\u021bi CFO \u0219i responsabili cu protec\u021bia datelor (DPO). Deoarece acel server se afl\u0103 pe teritoriu str\u0103in, se aplic\u0103 legile acelei \u021b\u0103ri (principiul teritorialit\u0103\u021bii). Acest lucru este adesea \u00een contradic\u021bie direct\u0103 cu ceea ce a\u021bi convenit contractual.<\/p>\n S\u0103 presupunem c\u0103 externaliza\u021bi munca c\u0103tre o parte din afara UE. Contractul dumneavoastr\u0103 prevede clar c\u0103 nimeni nu are voie s\u0103 acceseze datele neinvitat. Dar \u00een multe \u021b\u0103ri \u2013 g\u00e2ndi\u021bi-v\u0103 la p\u0103r\u021bi din Asia sau chiar SUA \u2013 autorit\u0103\u021bile locale \u0219i serviciile de informa\u021bii au competen\u021be extinse. Dac\u0103 acestea bat la u\u0219a partenerului dumneavoastr\u0103 pentru a inspecta datele, partenerul este adesea obligat s\u0103 coopereze. Legisla\u021bia local\u0103 \u00eenvinge aproape \u00eentotdeauna contractul dumneavoastr\u0103.<\/p>\n Chiar \u0219i \u201ecriptarea\u201d nu este o solu\u021bie miraculoas\u0103. Adesea, datele sunt prelucrate de personalul de la fa\u021ba locului, ceea ce \u00eenseamn\u0103 c\u0103 datele trebuie s\u0103 fie lizibile la un moment dat. Sau \u201echeia\u201d este gestionat\u0103 de furnizorul care poate fi obligat legal s\u0103 o predea.<\/p>\n Mai exist\u0103 un risc care este adesea trecut cu vederea: copiile invizibile. Mul\u021bi furnizori de cloud folosesc tehnici pentru a men\u021bine sistemele rapide \u0219i stabile. Ace\u0219tia copiaz\u0103 temporar datele pe alte servere atunci c\u00e2nd re\u021beaua este aglomerat\u0103. Acest lucru se nume\u0219te \u201emirroring\u201d sau load-balancing.<\/p>\n Se poate \u00eent\u00e2mpla a\u0219adar ca datele dumneavoastr\u0103 s\u0103 fie diminea\u021ba \u00eentr-un loc sigur, dar dup\u0103-amiaza s\u0103 fie oglindite temporar pe un server dintr-o \u021bar\u0103 cu un nivel de confiden\u021bialitate \u00eendoielnic. F\u0103r\u0103 s\u0103 v\u0103 da\u021bi seama sau s\u0103 v\u0103 fi dat acordul, \u00eenc\u0103lca\u021bi regulile privind suveranitatea datelor \u00een UE<\/strong>.<\/p>\n Pe scurt: at\u00e2ta timp c\u00e2t nu \u0219ti\u021bi cu siguran\u021b\u0103 unde sunt \u00eenfipte \u00een p\u0103m\u00e2nt picioarele serverelor, v\u0103 asuma\u021bi un risc invizibil, dar serios.<\/p>\n \u00cen trecut, lumea outsourcing-ului era pl\u0103cut de simpl\u0103. Vroia\u021bi s\u0103 externaliza\u021bi munca c\u0103tre o parte din India sau Filipine? Nicio problem\u0103. Desc\u0103rca\u021bi un contract standard de pe site-ul UE, a\u0219a-numitele Clauze Contractuale Standard<\/em> (CCS), l\u0103sa\u021bi ambele p\u0103r\u021bi s\u0103 semneze \u0219i \u00eel punea\u021bi \u00eentr-un sertar. Juridic era\u021bi \u201eacoperit\u201d.<\/p>\n Dar acele vremuri au apus. \u0218i nu oricum.<\/p>\n C\u0103derea \u201ePrivacy Shield\u201d \u0219i hot\u0103r\u00e2rea \u00een cazul Schrems II au schimbat complet regulile. Pentru multe companii, acest lucru se simte ca ni\u0219te nisipuri mi\u0219c\u0103toare juridice: cu c\u00e2t \u00eencerca\u021bi mai mult s\u0103 acoperi\u021bi totul cu h\u00e2rtii, cu at\u00e2t v\u0103 scufunda\u021bi mai ad\u00e2nc \u00een riscuri.<\/p>\n Haide\u021bi s\u0103 elimin\u0103m limbajul juridic complicat. Despre ce a fost vorba de fapt \u00een acest caz? Activistul austriac pentru confiden\u021bialitate Max Schrems a mers \u00een instan\u021b\u0103 deoarece datele sale de pe Facebook erau trimise \u00een Statele Unite. Punctul s\u0103u de vedere a fost simplu: \u00een SUA, serviciile de informa\u021bii (precum NSA) au drepturi extinse de a inspecta datele. Mult mai mult dec\u00e2t este permis \u00een Europa.<\/p>\n Cea mai \u00eenalt\u0103 instan\u021b\u0103 european\u0103 i-a dat dreptate. Verdictul a fost clar: Dac\u0103 guvernul unei \u021b\u0103ri poate s\u0103-\u0219i bage nasul \u00een datele dumneavoastr\u0103 oric\u00e2nd dore\u0219te, acele date nu sunt \u00een siguran\u021b\u0103 acolo.<\/strong><\/p>\n Acest lucru nu este valabil doar pentru SUA. Se aplic\u0103 oric\u0103rei \u021b\u0103ri din afara Spa\u021biului Economic European (SEE) care nu are o \u201edecizie de adecvare\u201d. \u0218i acestea sunt exact \u021b\u0103rile unde se afl\u0103 mul\u021bi parteneri ieftini de back-office: India, Filipine \u0219i multe alte \u021b\u0103ri asiatice. Legisla\u021bia local\u0103 de acolo ofer\u0103 adesea guvernelor libertatea de a solicita date, f\u0103r\u0103 ca dumneavoastr\u0103, \u00een calitate de client european, s\u0103 pute\u021bi face ceva \u00eempotriv\u0103.<\/p>\n \u00cenc\u0103 mai sunt mul\u021bi directori care g\u00e2ndesc: \u201eDar noi am semnat acele Clauze Contractuale Standard<\/em>, nu? Atunci riscul este al furnizorului, nu al nostru.\u201d<\/p>\n Gre\u0219it. Un contract este doar o \u00een\u021belegere \u00eentre dou\u0103 companii. Este h\u00e2rtie. Iar h\u00e2rtia nu c\u00e2\u0219tig\u0103 niciodat\u0103 \u00een fa\u021ba legii.<\/p>\n Imagina\u021bi-v\u0103: ave\u021bi un contract cu un centru de date din Mumbai. \u00cen acesta se promite solemn c\u0103 nimeni nu are voie s\u0103 v\u0103 vad\u0103 datele. Dar apoi guvernul indian bate la u\u0219\u0103 pe baza legilor locale de securitate. Furnizorul dumneavoastr\u0103 este pus \u00een fa\u021ba unei alegeri: s\u0103 \u00eencalce contractul sau s\u0103 \u00eencalce legea? Vor alege \u00eentotdeauna<\/em> legea local\u0103 pentru a nu-\u0219i pierde licen\u021ba.<\/p>\n Clauzele standard (CCS) sunt, deci, degradate la statutul de simpl\u0103 formalitate f\u0103r\u0103 valoare de la Schrems II \u00eencoace, cu excep\u021bia cazului \u00een care pute\u021bi dovedi incontestabil c\u0103 legile locale nu<\/em> \u00eencalc\u0103 confiden\u021bialitatea european\u0103. Iar acest lucru este aproape imposibil.<\/p>\n Deoarece acele contracte standard nu mai sunt impermeabile, autoritatea de reglementare a venit cu o nou\u0103 obliga\u021bie: Evaluarea Impactului Transferului de Date<\/em> (DTIA – Data Transfer Impact Assessment).<\/p>\n Vre\u021bi s\u0103 trimite\u021bi date cu caracter personal c\u0103tre o \u201e\u021bar\u0103 ter\u021b\u0103\u201d? Atunci trebuie s\u0103 face\u021bi o cercetare ampl\u0103 \u00een prealabil. Trebuie s\u0103 analiza\u021bi literalmente legisla\u021bia acelei \u021b\u0103ri \u0219i s\u0103 estima\u021bi dac\u0103 datele dumneavoastr\u0103 sunt \u00een pericol din cauza spionajului local sau a supravegherii guvernamentale.<\/p>\n Acesta nu este un simplu formular. Este o cercetare juridic\u0103 complex\u0103 la care avoca\u021bi scumpi lucreaz\u0103 zile \u00een \u0219ir. \u0218i rezultatul? Adesea este tot negativ. C\u0103ci cum garanta\u021bi 100% c\u0103 un serviciu de informa\u021bii str\u0103in nu<\/em> trage cu ochiul?<\/p>\n Pentru majoritatea IMM-urilor \u0219i departamentelor corporative, aceasta este o sarcin\u0103 imposibil\u0103. Face ca externalizarea ieftin\u0103 c\u0103tre Asia s\u0103 devin\u0103 brusc foarte scump\u0103 \u0219i riscant\u0103 la finalul zilei. V\u0103 alege\u021bi cu o durere de cap legat\u0103 de conformitate pe care nu o pute\u021bi rezolva cu niciun contract.<\/p>\n Dup\u0103 ce a\u021bi citit despre Schrems II \u0219i serviciile de spionaj americane, poate v-a sc\u0103zut entuziasmul. Trebuie atunci s\u0103 face\u021bi totul singur din nou<\/a>, la un tarif orar exorbitant? Din fericire, nu. Exist\u0103 o solu\u021bie care este blindat\u0103 juridic \u0219i totu\u0219i reduce costurile.<\/p>\n R\u0103spunsul este mai aproape de cas\u0103 dec\u00e2t crede\u021bi: r\u0103m\u00e2ne\u021bi pur \u0219i simplu \u00een Uniunea European\u0103.<\/p>\n Multe companii uit\u0103 c\u0103 \u021b\u0103ri precum Rom\u00e2nia sunt membre cu drepturi depline ale UE de ani de zile. Acesta pare un detaliu geografic, dar juridic face o diferen\u021b\u0103 ca de la cer la p\u0103m\u00e2nt. \u00cen cadrul Spa\u021biului Economic European (SEE) se aplic\u0103 principiul \u201eliberei circula\u021bii a datelor\u201d.<\/p>\n Pe scurt: trimiterea datelor de la Amsterdam la biroul nostru din Rom\u00e2nia este, din punct de vedere juridic, exact acela\u0219i lucru<\/strong> cu trimiterea datelor de la Amsterdam la Rotterdam.<\/p>\n Deoarece Rom\u00e2nia este legat\u0103 de exact acela\u0219i GDPR (AVG) ca \u0219i Olanda, nu se pune problema \u201etransferului c\u0103tre o \u021bar\u0103 ter\u021b\u0103\u201d. Nu trebuie deci s\u0103 v\u0103 face\u021bi griji cu privire la deciziile de adecvare sau porti\u021bele ascunse pentru serviciile secrete locale. Judec\u0103torul rom\u00e2n verific\u0103 respectarea acelora\u0219i legi europene privind confiden\u021bialitatea ca \u0219i judec\u0103torul din Haga.<\/p>\n Acest lucru v\u0103 scute\u0219te nu doar de griji, ci \u0219i direct de cheltuieli. V\u0103 aminti\u021bi acea complex\u0103 Evaluarea Impactului Transferului de Date<\/em> (DTIA) despre care am vorbit mai devreme? Acea analiz\u0103 de risc costisitoare care este obligatorie pentru India sau Filipine?<\/p>\n Dac\u0103 alege\u021bi un partener din interiorul UE, toat\u0103 acea h\u00e2r\u021bog\u0103raie poate merge la co\u0219ul de gunoi. Sunte\u021bi \u201eCompliant by Default\u201d (Conform \u00een mod implicit). Nu trebuie s\u0103 construi\u021bi structuri juridice complicate pentru a dovedi c\u0103 datele dumneavoastr\u0103 sunt \u00een siguran\u021b\u0103, deoarece legea spune deja din start c\u0103 sunt \u00een siguran\u021b\u0103.<\/p>\n Desigur, legisla\u021bia este una, dar practica este alta. La Datamondial lu\u0103m \u00een serios \u201elini\u0219tea juridic\u0103\u201d. De aceea nu ne baz\u0103m doar pe legea european\u0103, ci construim o siguran\u021b\u0103 suplimentar\u0103 peste aceasta.<\/p>\n Echipele noastre din Rom\u00e2nia nu lucreaz\u0103 dintr-o mansard\u0103 sau de la masa din buc\u0103t\u0103rie unde colegii de apartament pot citi datele. Ele lucreaz\u0103 din birouri securizate fizic care respect\u0103 cele mai stricte standarde ISO 27001. Asta \u00eenseamn\u0103:<\/p>\n C\u00e2nd sunte\u021bi sigur de aceste cadre juridice \u0219i de securitatea fizic\u0103, pute\u021bi \u00eencepe cu inima \u00eemp\u0103cat\u0103 cur\u0103\u021barea datelor pe baz\u0103 de proiect<\/a> cu o echip\u0103 sigur\u0103. Externaliza\u021bi munca, dar p\u0103stra\u021bi controlul ca \u0219i cum ar fi propriul departament.<\/p>\n Pe scurt: Nearshoring-ul c\u0103tre un stat membru UE elimin\u0103 riscurile juridice asociate cu Asia. V\u0103 ofer\u0103 spa\u021biul necesar pentru a v\u0103 concentra pe procesul dumneavoastr\u0103, \u00een loc de literele mici ale unui contract. Vre\u021bi s\u0103 \u0219ti\u021bi exact cum garant\u0103m lucrul conform GDPR? Acest aspect este integrat \u00een fiecare pas al procesului nostru.<\/p>\n Este interesant\u0103 teoria despre Schrems II \u0219i serviciile de spionaj americane. Dar cum r\u0103m\u00e2ne de fapt cu procesele dumneavoastr\u0103? Multe companii descoper\u0103 c\u0103 contractul lor \u201esigur\u201d este plin de lacune abia c\u00e2nd autoritatea de supraveghere le bate la u\u0219\u0103.<\/p>\n Pentru a preveni nop\u021bile nedormite, am adunat cele mai dureroase 5 \u00eentreb\u0103ri. Adresa\u021bi-le ast\u0103zi partenerului dumneavoastr\u0103 actual de outsourcing. R\u0103spunsurile lor \u2014 sau lipsa acestora \u2014 spun adesea suficient.<\/p>\n \u00cenc\u0103 ezita\u021bi? Mai jos vede\u021bi diferen\u021ba clar\u0103 dintre vechiul mod de externalizare \u0219i ruta sigur\u0103 UE.<\/p>\n Prelucrarea datelor trebuie s\u0103 ajute compania dumneavoastr\u0103 s\u0103 creasc\u0103, nu s\u0103 o pun\u0103 \u00een pericol. Sta\u021bi departe de nisipurile mi\u0219c\u0103toare juridice ale \u021b\u0103rilor ter\u021be. Alege\u021bi siguran\u021ba Uniunii Europene \u0219i certitudinea proceselor certificate ISO.<\/p>\n Vre\u021bi s\u0103 fi\u021bi sigur dac\u0103 structura dumneavoastr\u0103 este GDPR-proof, sau vre\u021bi direct s\u0103 scala\u021bi \u00een siguran\u021b\u0103 f\u0103r\u0103 riscuri<\/a>? Haide\u021bi s\u0103 analiz\u0103m, f\u0103r\u0103 obliga\u021bii, provoc\u0103rile dumneavoastr\u0103 legate de date.<\/p>\n \u00cen cele din urm\u0103, suveranitatea datelor nu este un subiect tehnic de IT. Este o alegere strategic\u0103 ce apar\u021bine biroului de conducere. C\u0103ci s\u0103 fim sinceri: acea economie la tariful orar \u00een Asia? Aceasta se evapor\u0103 instantaneu c\u00e2nd autoritatea de supraveghere v\u0103 bate la u\u0219\u0103 cu o amend\u0103 sau c\u00e2nd reputa\u021bia dumneavoastr\u0103 sufer\u0103 o lovitur\u0103.<\/p>\nIluzia norului digital: De ce au datele o adres\u0103 fizic\u0103?<\/h2>\n
Contractul dumneavoastr\u0103 vs. legisla\u021bia local\u0103<\/h3>\n
Pericolul \u201eMirroring-ului\u201d (Oglindirea datelor)<\/h3>\n
De ce Asia \u0219i SUA sunt nisipuri mi\u0219c\u0103toare juridice (Schrems II \u0219i CCS)?<\/h2>\n
Mahmureala de dup\u0103 hot\u0103r\u00e2rea Schrems II<\/h3>\n
De ce un contract (CCS) nu v\u0103 mai salveaz\u0103<\/h3>\n
Co\u0219marul administrativ: DTIA<\/h3>\n
Cum garanteaz\u0103 EU-Nearshoring \u201eConformitatea Implicit\u0103\u201d?<\/h2>\n
Confortul frontierelor interne europene<\/h3>\n
F\u0103r\u0103 avoca\u021bi scumpi, f\u0103r\u0103 DTIA<\/h3>\n
Datamondial: Siguran\u021b\u0103 dubl\u0103 cu ISO 27001<\/h3>\n
\n
List\u0103 de verificare: Este actuala dumneavoastr\u0103 migrare sau prelucrare de date 100% sigur\u0103?<\/h2>\n
Cele 5 \u00eentreb\u0103ri critice pentru furnizorul dumneavoastr\u0103<\/h3>\n
\n
\nS\u0103 v\u0103 mul\u021bumi\u021bi cu \u201e\u00een cloud\u201d nu mai este o op\u021biune. Cere\u021bi adresa exact\u0103 a centrului de date. Se afl\u0103 acesta \u00een afara SEE (Spa\u021biul Economic European)? Atunci ave\u021bi direct o provocare juridic\u0103.<\/li>\n
\nUneori serverele se afl\u0103 frumos \u00een Amsterdam, dar helpdesk-ul este \u00een India sau Filipine. Dac\u0103 un angajat de la suport se conecteaz\u0103 din Asia pentru a rezolva o problem\u0103, acest lucru este considerat deja \u201eexport de date\u201d conform GDPR.<\/li>\n
\nPartenerul dumneavoastr\u0103 lucreaz\u0103 dintr-o \u021bar\u0103 din afara UE? Cere\u021bi atunci Evaluarea Impactului Transferului de Date<\/em>. Nu o au, sau se uit\u0103 la dumneavoastr\u0103 cu o privire goal\u0103? Atunci probabil \u00eenc\u0103lca\u021bi legea \u00een acest moment.<\/li>\n
\nSecuritatea digital\u0103 este bun\u0103, dar cele mai mari scurgeri de date sunt adesea analogice. Un angajat care face rapid o poz\u0103 ecranului cu datele clien\u021bilor… se \u00eent\u00e2mpl\u0103 mai des dec\u00e2t crede\u021bi. \u00centreba\u021bi despre politica clean desk<\/em> \u0219i dac\u0103 telefoanele mobile trebuie s\u0103 r\u0103m\u00e2n\u0103 \u00een dulapuri.<\/li>\n
\nUita\u021bi-v\u0103 la literele mici despre r\u0103spundere. Adesea, r\u0103spunderea furnizorului este limitat\u0103 la o sum\u0103 ridicol de mic\u0103, \u00een timp ce dumneavoastr\u0103, ca \u0219i client, trebuie s\u0103 achita\u021bi \u00eentreaga amend\u0103 GDPR (p\u00e2n\u0103 la 4% din cifra de afaceri).<\/li>\n<\/ol>\nDiferen\u021ba dintr-o privire<\/h3>\n
\n\n
\n \nAspect de risc<\/th>\n Offshoring (Asia \/ SUA)<\/th>\n Nearshoring (UE \/ Datamondial)<\/th>\n<\/tr>\n<\/thead>\n \n Legisla\u021bie<\/strong><\/td>\n Legile locale prevaleaz\u0103 asupra confiden\u021bialit\u0103\u021bii<\/td>\n GDPR (AVG) este directiv<\/td>\n<\/tr>\n \n Supraveghere guvernamental\u0103<\/strong><\/td>\n Serviciile de informa\u021bii trag adesea cu ochiul<\/td>\n Reguli stricte de confiden\u021bialitate UE<\/td>\n<\/tr>\n \n H\u00e2r\u021bog\u0103raie<\/strong><\/td>\n DTIA complex\u0103 & CCS obligatorii<\/td>\n F\u0103r\u0103 h\u00e2r\u021bog\u0103raie suplimentar\u0103<\/td>\n<\/tr>\n \n Trafic de date<\/strong><\/td>\n Export riscant juridic<\/td>\n Liber\u0103 circula\u021bie \u00een cadrul SEE<\/td>\n<\/tr>\n \n Control<\/strong><\/td>\n Dificil \u0219i la distan\u021b\u0103<\/td>\n Aproape \u0219i transparent<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Alege\u021bi siguran\u021ba \u00een locul incertitudinii<\/h3>\n
Concluzie: Alege\u021bi certitudinea juridic\u0103 pentru back-office-ul dumneavoastr\u0103<\/h2>\n