Angajații au participat la cursul GDPR. Dar știu ce să facă într-o situație reală?
În multe organizații, instruirea în domeniul protecției datelor este bifată anual: angajații participă la un training general, primesc o prezentare despre principiile GDPR, drepturile persoanelor vizate, incidentele de securitate și obligația de confidențialitate, iar la final semnează o listă de prezență sau completează un test.
Formal, organizația poate demonstra că instruirea a avut loc.
Practic, însă, rămâne întrebarea esențială: știu angajații ce trebuie să facă atunci când se confruntă cu o situație concretă în activitatea lor?
Un curs general de protecția datelor oferă o bază necesară, dar nu poate acoperi toate situațiile cu care se confruntă departamentele unei organizații. Riscurile și deciziile specifice unui call-center sunt diferite de cele întâlnite în resurse umane, marketing, vânzări, IT, contabilitate, registratură sau relația cu furnizorii.
Din acest motiv, instruirea GDPR nu ar trebui tratată ca un eveniment anual identic pentru toți angajații, ci ca un proces adaptat activităților, responsabilităților și riscurilor fiecărui departament.
Un training general oferă reguli. Activitatea de zi cu zi produce întrebări
Să luăm exemplul unui call-center.
Angajații pot afla, în cadrul unui curs general, că trebuie să respecte confidențialitatea, să prelucreze numai datele necesare și să nu divulge informații unor persoane neautorizate. Aceste principii sunt corecte, dar nu le spun întotdeauna cum să reacționeze într-o conversație reală.
În activitatea unui call-center pot apărea zilnic întrebări precum:
- Cum verificăm identitatea persoanei care ne contactează?
- Ce informații putem solicita pentru verificare și când solicitarea devine excesivă?
- Putem comunica informații despre contract soțului, soției sau unui alt membru al familiei?
- Ce facem dacă titularul nu se poate prezenta și o altă persoană afirmă că îl reprezintă?
- Cum procedăm în cazul unui client persoană juridică?
- Putem comunica informații persoanei care folosește serviciul, dar nu este titularul contractului?
- Ce facem dacă datele furnizate de client nu corespund celor existente în sistem?
- Putem actualiza o adresă de e-mail sau un număr de telefon în timpul convorbirii?
- Cum recunoaștem o cerere de exercitare a unui drept GDPR?
- Ce facem dacă persoana solicită înregistrarea convorbirii?
- Cum trebuie notate informațiile în aplicația internă?
- Ce informații nu ar trebui consemnate în câmpurile de observații?
- Când o divulgare greșită trebuie raportată ca posibil incident de securitate?
- Cum reacționăm dacă interlocutorul începe să comunice date privind sănătatea, situația financiară sau alte informații sensibile?
- Putem transmite documentele pe o adresă de e-mail diferită de cea înregistrată?
- Cum procedăm în cazul unei persoane agresive, insistente sau care refuză verificarea identității?
- Suntem obligati întotdeauna să ștergem datele cu caracter personal la cererea PV?
- Când este necesar consimțământul?
- Putem folosi datele primite de la un terț pentru marketing?
Un curs general nu poate oferi răspunsuri adecvate tuturor acestor întrebări. În lipsa unor reguli aplicate, angajatul va improviza, va cere ajutor unui coleg sau va aplica o soluție folosită anterior, fără să știe dacă aceasta este corectă.
Iar atunci când fiecare operator procedează diferit, organizația nu mai are o practică controlată, ci o sumă de decizii individuale.
Instruirea trebuie adaptată departamentului
Un program real de conștientizare ar trebui să pornească de la activitatea efectivă a angajaților, nu exclusiv de la structura Regulamentului general privind protecția datelor.
Înaintea unui training destinat unui anumit departament, trainerul trebuie să înțeleagă cel puțin:
- ce categorii de persoane sunt vizate;
- ce date sunt accesate;
- prin ce aplicații și canale sunt prelucrate;
- ce solicitări apar frecvent;
- ce decizii trebuie să ia angajații;
- ce proceduri interne există;
- ce incidente sau dificultăți au apărut anterior;
- ce servicii sunt externalizate;
- care este legislația aplicabilă domeniului de activitate al operatorului dar si cea aplicabila direct departamentului;
- când trebuie implicat superiorul, departamentul juridic, responsabilul cu securitatea sau DPO-ul.
În cazul call-centerului, trainingul ar trebui construit inclusiv pornind de la scripturile de verificare, tipurile de solicitări primite, drepturile de acces din aplicație, regulile privind înregistrarea convorbirilor și situațiile în care informațiile pot fi comunicate unor reprezentanți sau terți.
În cazul departamentului de resurse umane, temele relevante vor fi altele: accesul la dosarele de personal, transmiterea documentelor, monitorizarea angajaților, datele medicale, fotografiile, recrutarea și perioadele de păstrare.
Pentru marketing vor conta utilizarea imaginilor, bazele de date, comunicările comerciale, organizarea evenimentelor, publicarea testimonialelor și administrarea rețelelor sociale.
Așadar, nu este suficient ca organizația să aibă „un training GDPR”. Trebuie să poată demonstra că instruirea este adecvată rolurilor și riscurilor existente.
Un training aplicat nu poate fi o prezentare unilaterală
Interactivitatea nu este doar o metodă prin care instruirea devine mai plăcută. Este modalitatea prin care organizația află ce se întâmplă în realitate.
În timpul discuțiilor apar frecvent practici care nu se regăsesc în proceduri:
- date comunicate unui membru al familiei „pentru că știa toate informațiile”;
- documente trimise pe o adresă de e-mail indicată în timpul apelului;
- capturi de ecran transmise colegilor;
- informații excesive introduse în câmpurile de observații;
- utilizarea contului altui coleg;
- copii ale documentelor păstrate local;
- solicitări ale persoanelor vizate tratate ca simple reclamații;
- incidente care au fost remediate informal, fără să fie raportate.
O prezentare în care trainerul vorbește, iar participanții ascultă, poate să nu scoată la iveală niciuna dintre aceste situații.
În schimb, întrebările, scenariile, simulările și discuțiile pe spețe permit identificarea diferenței dintre procedura scrisă și practica reală.
Calitatea trainingului depinde și de pregătirea trainerului
Un training aplicat nu poate fi susținut doar prin citirea unor definiții și enumerarea articolelor din GDPR.
Trainerul trebuie să cunoască domeniul de activitate, să înțeleagă fluxurile organizației și să poată lega cerințele legale de deciziile pe care angajații trebuie să le ia.
Participanții vor formula întrebări concrete, uneori dificile. Tocmai aceste întrebări reprezintă partea cea mai valoroasă a instruirii.
Desigur, pot exista situații excepționale, dependente de documente, de contracte sau de împrejurări care trebuie verificate înaintea formulării unei concluzii. În asemenea cazuri, un răspuns rezervat este mai responsabil decât unul improvizat.
Dar răspunsul „nu știu, mă informez și revin” nu ar trebui să devină soluția pentru problemele obișnuite și previzibile ale departamentului instruit. Dacă trainingul este destinat unui call-center, trainerul trebuie să fie pregătit să discute despre verificarea identității, divulgarea către terți, actualizarea datelor, înregistrarea convorbirilor, drepturile persoanelor și raportarea incidentelor.
Altfel, organizația a contractat o prezentare generală, nu o instruire adaptată riscurilor sale.
Trainingul poate deveni și un instrument de audit
Un training bine construit nu transmite doar informații. El ajută organizația să descopere:
- proceduri neclare sau inexistente;
- contradicții între instrucțiuni;
- practici neunitare;
- funcționalități problematice ale aplicațiilor;
- accesuri prea extinse;
- situații pentru care angajații nu știu cui să se adreseze;
- riscuri care nu au fost evaluate anterior.
Din acest motiv, întrebările participanților nu trebuie privite ca întreruperi ale prezentării. Ele sunt informații despre modul în care funcționează organizația.
După training, concluziile relevante ar trebui analizate și, după caz, transformate în:
- proceduri noi;
- clarificări ale instrucțiunilor existente;
- scenarii de lucru;
- modificări ale scripturilor;
- limitări ale accesului;
- schimbări tehnice;
- sesiuni suplimentare pentru anumite echipe;
- întrebări și răspunsuri disponibile angajaților.
Lista de prezență nu demonstrează eficiența instruirii
Principiul responsabilității presupune nu doar adoptarea unor măsuri, ci și capacitatea organizației de a demonstra că acestea sunt adecvate și funcționale.
O listă de prezență demonstrează că angajații au fost conectați la o sesiune sau s-au aflat într-o sală. Nu demonstrează că au înțeles cum trebuie să procedeze.
Eficiența instruirii poate fi susținută prin:
- conținut adaptat departamentului;
- spețe și întrebări relevante;
- verificarea cunoștințelor;
- consemnarea problemelor identificate;
- actualizarea procedurilor;
- instruiri suplimentare;
- evaluarea modului în care regulile sunt aplicate ulterior.
Scopul nu este ca angajatul să poată defini „operatorul” sau să enumere principiile GDPR. Scopul este să recunoască o situație cu risc și să știe ce poate face, ce nu poate face și cui trebuie să o raporteze.
De la obligație formală la măsură reală de protecție
Un training GDPR general rămâne util pentru formarea unei culturi comune și pentru înțelegerea noțiunilor de bază. Dar el trebuie completat prin instruiri aplicate, adaptate activităților cu risc și actualizate atunci când procesele, sistemele sau serviciile organizației se modifică.
În practică, incidentele nu apar pentru că un angajat nu poate reproduce definiția datelor cu caracter personal. Apar pentru că, într-o situație concretă, nu știe dacă poate comunica o informație, cum trebuie să verifice identitatea unei persoane sau când trebuie să raporteze o eroare.
De aceea, întrebarea relevantă este:
„Au fost angajații instruiți pentru situațiile pe care le întâlnesc efectiv în activitatea lor?”
