„Din toate studiile de caz pe care le-am urmărit, am înțeles că GDPR nu este o colecție de interdicții, ci o formă de respect aplicat, pentru că adevărata conformare nu se vede în documente impecabile, ci în micro-deciziile zilnice prin care o organizație alege, de fiecare dată, să protejeze omul înainte să protejeze confortul propriu.”
De fiecare dată când aud pe cineva spunând că GDPR este „doar o formalitate” sau „o birocrație inutilă”, recunosc că mă amuz puțin, nu pentru că oamenii ar fi „greșiți” în mod intenționat, ci pentru că propoziția aceasta apare aproape întotdeauna exact în organizațiile în care datele personale circulă cel mai mult, adică în instituții publice, în retail, în sănătate, în servicii financiare și, mai nou, în orice colț de comunitate care are un grup de WhatsApp și o imprimantă care știe să scoată liste cu nume, CNP-uri și adrese. Din punctul meu de vedere, tocmai aici devine interesant subiectul, fiindcă GDPR nu este doar un text juridic european, ci un fel de test practic al maturității organizaționale, care arată cât de bine știe o instituție sau o firmă să-și controleze propriile reflexe administrative, să-și delimiteze scopurile, să-și definească responsabilitățile și să-și protejeze oamenii, inclusiv atunci când tentația este să rezolve totul rapid, „din mers”, cu soluții comode.
Ideea care mă ajută să intru în problemă fără să rămân blocat în limbajul strict legal este perspectiva lui Anthony Giddens, care explică faptul că regulile și structurile sociale nu sunt doar constrângeri exterioare, ci și resurse care fac posibilă acțiunea, iar instituțiile se mențin prin practici repetate, adică prin rutinele concrete ale oamenilor care lucrează în ele și care, în fiecare zi, „refac” organizația prin ceea ce fac efectiv (Giddens, 1984). Consider că această perspectivă este extrem de utilă pentru GDPR, deoarece mă obligă să privesc conformarea nu ca pe o declarație de intenție, ci ca pe o serie de comportamente verificabile, iar diferența dintre „avem proceduri” și „le aplicăm coerent” devine, brusc, o diferență dintre o instituție care inspiră încredere și una care doar mimează controlul.
În aceeași logică, îmi place să privesc protecția datelor ca pe o problemă de „potrivire” între context și informație, nu ca pe un război absurd împotriva circulației datelor, iar aici îmi este foarte utilă ideea lui Helen Nissenbaum despre integritatea contextuală, conform căreia intimitatea nu înseamnă oprirea oricărei circulații de informații, ci menținerea unor fluxuri adecvate contextului, rolurilor și așteptărilor legitime, astfel încât datele să circule „cum trebuie” într-o situație dată, nu arbitrar și disproporționat (Nissenbaum, 2004). Din perspectiva mea, această idee explică foarte bine de ce unele situații aparent mărunte, cum ar fi o listă de datornici lipită la avizier, un e-mail trimis din grabă sau o cameră video montată „pentru siguranță”, pot deveni probleme serioase de GDPR, pentru că ele rup echilibrul dintre scop, proporționalitate și protecția persoanei, chiar dacă intenția declarată este benignă.
Mai există o dimensiune pe care nu vreau să o ratez, anume faptul că digitalizarea aduce beneficii reale, dar produce și riscuri noi, uneori invizibile până în momentul în care se manifestă, iar aici mă ajută interpretarea lui Ulrich Beck despre societatea riscului, în care modernitatea nu înseamnă doar progres, ci și apariția unor vulnerabilități sistemice, care cer instituțiilor capacitate de anticipare, evaluare și control al consecințelor (Beck, 1992). Eu aș completa spunând că GDPR funcționează în România și ca o pedagogie a riscului, fiindcă obligă organizațiile să treacă de la logica „merge și așa” la logica „demonstrează că ai gândit riscurile și că ai măsuri reale”, iar această schimbare de mentalitate se vede cel mai bine în studii de caz, nu în definiții.
Pornind de aici, scopul proiectului meu este să clarifice, pe înțelesul unui public care nu este format exclusiv din specialiști, cum arată aplicarea GDPR în România atunci când o privim în mod concret, prin studii de caz relevante, astfel încât să pot înțelege nu doar ce tipuri de încălcări apar frecvent, ci și de ce apar, ce mecanisme organizaționale le favorizează, cum reacționează instituțiile de supraveghere și ce lecții practice pot fi extrase pentru administrația publică, pentru mediul privat și pentru comunități. În această analiză mă interesează, în mod special, diferența dintre conformarea formală și conformarea reală, pentru că în practică o instituție poate avea politici frumos redactate și, totuși, să eșueze exact acolo unde contează, adică în transparență, în gestionarea cererilor persoanelor vizate, în securitatea accesului și în disciplina internă a comunicării.
Metodologic, voi folosi o abordare de tip studiu de caz și analiză comparativă, bazată pe documente publice și pe descrieri oficiale ale unor situații de aplicare a GDPR, urmărind pentru fiecare caz aceeași linie logică, adică contextul prelucrării, temeiul invocat, drepturile afectate, măsurile de securitate, răspunsul organizațional și măsurile corective, pentru că vreau să pot compara cazuri din sectoare diferite fără să amestec mere cu pere, chiar dacă uneori tentația este mare. Din punctul meu de vedere, această structură este cea mai utilă pentru învățare, fiindcă transformă GDPR dintr-un set de articole abstracte într-un instrument de interpretare a realității administrative și organizaționale, iar rezultatul dorit este o înțelegere mai clară a modului în care protecția datelor devine, în România, fie o rutină sănătoasă de guvernanță, fie o sursă repetată de vulnerabilități, în funcție de cum sunt gândite și trăite procesele interne.
Cadrul conceptual și teoretic pentru înțelegerea studiilor de caz GDPR din România
Când încerc să înțeleg studiile de caz GDPR din România, îmi dau seama că primul pas util nu este să memorez articole, ci să-mi construiesc o hartă conceptuală care să explice de ce anumite situații devin probleme juridice și organizaționale, iar altele rămân doar inconveniente cotidiene, pentru că în realitate GDPR funcționează ca o gramatică a prelucrării datelor, adică stabilește ce înseamnă să lucrezi cu informații despre oameni într-un mod legitim, proporțional și controlabil. În textul Regulamentului, ideea centrală este că datele personale trebuie prelucrate în mod legal, echitabil și transparent, în scopuri determinate, limitate la strictul necesar, păstrate atât cât trebuie și protejate prin măsuri adecvate, iar peste toate se așază responsabilitatea operatorului de a putea demonstra conformarea, nu doar de a o declara (European Parliament & Council of the European Union, 2016). Din perspectiva mea, acest „a demonstra” schimbă totul, fiindcă obligă organizațiile din România să treacă de la stilul „avem o hârtie, deci suntem acoperiți” la stilul „avem un proces care funcționează, deci putem arăta oricând ce am făcut, de ce am făcut și cum am redus riscurile”, iar diferența dintre cele două este exact terenul pe care apar cele mai multe studii de caz.
Ca să nu rămân doar la nivel normativ, îmi este foarte utilă perspectiva lui Anthony Giddens, care explică faptul că structurile sociale sunt simultan constrângeri și resurse, iar instituțiile există prin practici recurente, adică prin rutinele oamenilor care le reproduc zi de zi prin ceea ce fac, nu prin ceea ce spun că fac (Giddens, 1984). Consider că această idee îmi oferă o cheie simplă, dar puternică, pentru a citi cazurile din România, fiindcă îmi arată că GDPR nu „se implementează” printr-un document trimis pe e-mail, ci prin micro-decizii repetate, precum cine are acces la o bază de date, cum se răspunde la o cerere de acces, dacă un angajat știe sau nu să recunoască o breșă și ce reflex are atunci când apare presiunea de timp.
Un concept care îmi place, pentru că duce discuția dincolo de clișeul „GDPR interzice tot”, este integritatea contextuală, adică ideea că intimitatea nu înseamnă blocarea circulației informației, ci potrivirea corectă între context, roluri și fluxuri de date, astfel încât informațiile să circule adecvat situației și așteptărilor legitime, nu arbitrar și disproporționat (Nissenbaum, 2004). Din punctul meu de vedere, exact aici se nasc multe cazuri românești aparent „mici”, care în realitate sunt foarte pedagogice, fiindcă o listă de datornici lipită la avizier, o notificare într-un grup de WhatsApp sau o supraveghere video setată „din comoditate” nu sunt greșeli pentru că există date, ci pentru că fluxul nu mai respectă contextul, iar oamenii ajung să fie expuși în afara rolurilor și scopurilor care ar justifica acea circulație.
Când intru în zona de securitate și incidente, nu pot să nu mă gândesc la Ulrich Beck și la ideea de societate a riscului, în care modernizarea produce riscuri noi, greu de anticipat și de controlat, iar instituțiile și organizațiile trebuie să gestioneze consecințe ale propriei digitalizări, chiar atunci când digitalizarea a fost făcută pentru eficiență și confort (Beck, 1992). Din perspectiva mea, asta explică de ce în România apar atât de multe situații legate de acces neautorizat, parole slabe, erori umane sau expuneri accidentale, pentru că riscul nu vine doar din „atacatori”, ci și din designul proceselor, din instruire și din cultura organizațională, iar GDPR obligă să tratezi securitatea ca pe o disciplină continuă, nu ca pe o „bifă” făcută odată.
În același registru, mi se pare important să înțeleg drepturile persoanei vizate nu ca pe niște cereri incomode, ci ca pe mecanisme instituționale care echilibrează puterea dintre organizație și individ, iar aici se simte foarte bine un adevăr simplu: organizațiile au infrastructură, oameni și timp, în timp ce individul are, de obicei, doar o solicitare și speranța că va fi luat în serios. Daniel Solove arată că modelul clasic bazat pe consimțământ și pe auto-administrarea intimității este adesea nerealist, fiindcă oamenii nu pot gestiona în mod rațional, constant și informat toate alegerile privind datele lor într-o lume complexă, plină de asimetrii și formulare lungi (Solove, 2013). Eu aș completa spunând că, din această cauză, studiile de caz românești sunt extrem de utile pentru învățare, fiindcă pun în lumină momentul în care drepturile devin proceduri reale, adică atunci când o organizație chiar știe să ofere acces, ștergere, opoziție sau portabilitate fără să transforme dreptul într-un maraton administrativ care îl descurajează pe solicitant.
Ca să nu ignor dimensiunea „invizibilă” a acestor procese, îmi place să aduc în discuție și ideea lui Luciano Floridi despre infosferă și etica informației, adică faptul că trăim într-un mediu în care informația despre noi nu este un simplu detaliu, ci un element constitutiv al identității și demnității, ceea ce face ca protecția datelor să fie și o problemă morală, nu doar juridică (Floridi, 2014). Consider că această perspectivă mă ajută să explic de ce, în anumite domenii precum sănătatea sau serviciile sociale, o divulgare accidentală nu este doar o „eroare de comunicare”, ci o vulnerabilizare a persoanei, iar în studiile de caz din România această vulnerabilizare este uneori mai importantă decât cuantumul sancțiunii, pentru că arată unde instituțiile încă nu înțeleg că datele sunt fragmente de viață, nu doar câmpuri într-un tabel.
În plan organizațional, mă ajută mult și felul în care DiMaggio și Powell descriu izomorfismul instituțional, adică presiunile care fac organizațiile să semene între ele, fie prin constrângeri legale, fie prin standarde profesionale, fie prin imitarea a ceea ce pare „legitim” într-un domeniu (DiMaggio & Powell, 1983). Din punctul meu de vedere, GDPR a creat în România un fel de limbaj comun al conformării, în care toată lumea vorbește despre politici, informări, DPIA, DPO și registre, însă studiile de caz ne arată partea incomodă, anume că a semăna la nivel de documente nu înseamnă a semăna la nivel de practici, iar diferența dintre „copiat modelul” și „internalizat modelul” este exact locul în care apar încălcările repetate.
Nu pot să evit nici perspectiva clasică a lui Max Weber despre birocratie și raționalitate formală, care explică de ce organizațiile moderne se sprijină pe reguli, proceduri, ierarhii și evidențe, tocmai pentru a produce stabilitate și predictibilitate (Weber, 1978). Eu aș spune că GDPR nu este anti-birocrație, ci, paradoxal, pro-birocrație de calitate, fiindcă cere reguli clare, urme verificabile și responsabilități asumate, dar cere și un tip de raționalitate care se raportează la risc și la protecția persoanei, nu doar la confortul administrativ, iar în România această diferență este vizibilă atunci când o instituție folosește procedura pentru a proteja omul, nu pentru a se proteja doar pe sine.
În fine, pentru că multe studii de caz apar în zone de supraveghere, control și acces la informație, îmi este utilă și lectura lui Michel Foucault despre supraveghere ca tehnologie a puterii, în care a fi observat, sau a crede că poți fi observat, modelează comportamente și normalizează disciplina (Foucault, 1975). Din perspectiva mea, această cheie explicativă este foarte potrivită pentru cazurile românești legate de camere video, monitorizarea angajaților sau controlul excesiv, pentru că GDPR devine aici un instrument care încearcă să limiteze tentația unei puteri administrative „automate”, transformând supravegherea într-o activitate justificată, proporțională și transparentă, nu într-un reflex instituțional de tipul „mai bine să avem, că nu se știe”.
Toate aceste concepte, puse împreună, îmi oferă o grilă prin care pot analiza studiile de caz din România fără să reduc totul la „amendă” și „articol încălcat”, pentru că mă interesează să văd ce anume a eșuat de fapt, dacă a fost un flux nepotrivit contextului, o rutină organizațională prost construită, o cultură a controlului, o lipsă de guvernanță a riscului sau o înțelegere superficială a drepturilor persoanei vizate, iar în final să pot formula lecții clare, aplicabile, care să facă GDPR mai ușor de înțeles și, ideal, mai ușor de respectat.
Cadrul normativ și instituțional al GDPR în România
Când încerc să pun în ordine „peisajul” GDPR din România, primul lucru care îmi devine clar este că nu vorbim despre o singură regulă, ci despre un ansamblu de nivele normative care se suprapun, iar în centrul lor stă Regulamentul (UE) 2016/679, adică un act cu aplicabilitate directă în toate statele membre, gândit tocmai ca să reducă fragmentarea și să impună un limbaj comun al protecției datelor, de la legalitate și transparență până la responsabilizare și securitate (European Parliament & Council of the European Union, 2016). Din perspectiva mea, forța reală a GDPR nu este doar că „se aplică”, ci că obligă instituțiile și companiile să-și explice, inclusiv lor însele, de ce prelucrează date, cât de mult prelucrează, cât păstrează și cum demonstrează că nu transformă viața oamenilor într-un set de câmpuri accesibile oricând, dintr-un reflex administrativ.
În România, Regulamentul nu a rămas singur, ci a fost însoțit de Legea nr. 190/2018, care introduce măsuri de punere în aplicare și clarifică anumite zone în care dreptul intern are un rol, tocmai pentru a face compatibilă aplicarea generală a GDPR cu particularități juridice și administrative naționale (Parlamentul României, 2018). Consider că această lege este importantă nu doar ca „anexă” națională, ci ca semn că GDPR, oricât de european ar fi, se lovește inevitabil de infrastructura internă a fiecărui stat, adică de instituții, proceduri și practici care există deja, iar armonizarea reală înseamnă să adaptezi aceste practici fără să inventezi scurtături care arată bine în documente, dar nu funcționează în viața organizațională.
În paralel, există și un cadru distinct pentru prelucrările din domeniul aplicării legii, unde logica nu este identică cu cea a GDPR, deoarece apar scopuri precum prevenirea și combaterea infracțiunilor, iar în România această zonă este reglementată, în principal, prin Legea nr. 363/2018, care vizează prelucrările realizate de autorități competente în acest scop, precum și libera circulație a acestor date în contextul specific (Parlamentul României, 2018). Din punctul meu de vedere, faptul că avem acest „dublu regim” este util pentru claritate, pentru că ne amintește că protecția datelor nu este o singură regulă aplicată mecanic peste tot, ci un echilibru între drepturi și interese publice, iar echilibrul devine credibil doar dacă este explicat transparent și controlat instituțional, nu lăsat la libera inspirație a fiecărei structuri.
Dacă partea normativă este „harta”, instituțional vorbind miza este cine veghează ca harta să fie urmată, iar aici intră în scenă ANSPDCP, prezentată oficial ca autoritate publică centrală autonomă, cu competență generală în domeniul protecției datelor, având ca obiectiv apărarea drepturilor și libertăților fundamentale ale persoanelor fizice în legătură cu prelucrarea datelor (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, n.d.-a; Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, n.d.-b). Eu văd aici un lucru esențial, anume că GDPR nu este doar un set de obligații pentru operatori, ci și o arhitectură de control democratic, deoarece fără o autoritate care investighează, dispune măsuri și sancționează, regulile riscă să rămână simple recomandări morale, frumoase, dar ușor ignorabile atunci când apare presiunea operațională.
În plus, pentru mine este important să înțeleg că aplicarea GDPR nu se face doar „de sus în jos”, prin sancțiuni, ci și prin ghidare și interpretare comună la nivel european, iar aici rolul European Data Protection Board este tocmai să emită orientări, recomandări și bune practici pentru a clarifica regulile și a promova o înțelegere unitară a dreptului european al protecției datelor (European Data Protection Board, n.d.). Consider că această funcție de ghidare este, paradoxal, cea care reduce confuzia practică, pentru că multe situații reale sunt gri, iar organizațiile au nevoie de criterii interpretative stabile ca să nu transforme conformarea într-un joc de ghicit intențiile regulatorului.
De exemplu, în domeniul supravegherii video, care în România produce frecvent tensiuni între „siguranță” și „intruzivitate”, EDPB a emis orientări dedicate prelucrării prin dispozitive video, tocmai pentru a fixa repere despre proporționalitate, informare, limitarea scopului și evaluarea riscurilor (European Data Protection Board, 2020). Din perspectiva mea, aceste orientări sunt un antidot util împotriva reflexului organizațional „punem camere și vedem noi”, deoarece introduc un standard de gândire înainte de instalare, nu după ce apare plângerea, iar aceasta este o schimbare culturală, nu doar juridică.
La nivel intern, ANSPDCP explică și rolul Responsabilului cu protecția datelor, subliniind utilitatea desemnării și faptul că această funcție este legată de sprijinirea operatorului în respectarea obligațiilor și în organizarea conformării (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, n.d.-c). Eu aș completa spunând că DPO-ul este adesea „traducătorul” indispensabil dintre limbajul juridic și realitatea operațională, fiindcă fără cineva care înțelege simultan normele și procesele, GDPR riscă să devină fie o frână birocratică, fie o formalitate decorativă, iar ambele variante sunt, în mod diferit, costisitoare.
Din toată această arhitectură, ideea care îmi rămâne ca fir roșu este că România aplică GDPR printr-un mix de normă europeană direct aplicabilă, norme naționale de punere în aplicare și reglementări speciale pentru domenii sensibile, iar peste ele funcționează un mecanism de supraveghere și ghidare care încearcă să transforme protecția datelor din „o obligație” într-o practică instituțională stabilă, verificabilă și orientată spre drepturile persoanei, ceea ce, realist vorbind, este o muncă de durată, pentru că schimbă rutine, schimbă reflexe și obligă organizațiile să-și ia propriile procese mai în serios decât ar face-o din simplă inerție.
Metodologia cercetării
Când îmi propun să analizez studii de caz GDPR din România, îmi dau seama că nu vreau să fac un inventar de sancțiuni ca într-un catalog, ci să urmăresc mecanismele prin care o organizație ajunge să prelucreze datele într-un mod problematic, pentru că, în practică, „încălcarea” nu apare din neant, ci se construiește treptat, prin decizii mici, prin rutine, prin lipsă de instruire sau printr-o cultură a scurtăturilor, iar tocmai de aceea aleg abordarea de tip studiu de caz, care îmi permite să intru în logica situației, să înțeleg contextul și să reconstruiesc pas cu pas lanțul cauzal al evenimentelor. Robert K. Yin descrie studiul de caz ca o strategie potrivită pentru investigarea unor fenomene contemporane în profunzime, mai ales atunci când granița dintre fenomen și context nu este clar delimitată și când întrebările de tip „cum” și „de ce” sunt centrale (Yin, 2018). Din perspectiva mea, această definiție explică perfect de ce GDPR se pretează la studiu de caz, deoarece prelucrarea datelor este mereu amestecată cu infrastructura, cu procedurile interne, cu presiuni operaționale și cu oameni reali care interpretează reguli, iar dacă tai contextul, rămâi doar cu un schelet juridic care nu mai spune mare lucru despre viața organizațională.
În același timp, mă interesează ca selecția cazurilor să nu fie întâmplătoare, adică să nu aleg doar exemple „spectaculoase”, ci să construiesc o diversitate controlată, în care să apară sectoare diferite și tipuri diferite de riscuri, astfel încât să pot compara și să pot identifica tipare recurente, nu doar excepții. Kathleen M. Eisenhardt explică faptul că studiile de caz pot fi folosite pentru construirea de teorie atunci când sunt selectate cazuri relevante și sunt analizate comparativ, iar puterea metodei crește atunci când cauți pattern-uri, convergențe și explicații plauzibile, nu doar o poveste singulară bine spusă (Eisenhardt, 1989). Eu aș completa spunând că, pentru România, o selecție bună înseamnă să includ măcar câte un caz din administrație publică, din sănătate, din retail sau servicii digitale, plus un caz din zona comunitară, cum ar fi asociațiile de proprietari, deoarece abia atunci observ cum GDPR își schimbă „fața” în funcție de resurse, cultură instituțională și presiunea publică.
Ca surse de date, prefer o abordare bazată pe documente publice verificabile, pentru că îmi oferă consistență și trasabilitate, iar aici intră comunicatele autorității de supraveghere, hotărârile instanțelor atunci când există, ghidurile sau orientările relevante și, cu un grad de prudență, relatările media doar ca fundal contextual, nu ca sursă principală de probă. John W. Creswell subliniază că în cercetarea calitativă, alegerea surselor și a procedurilor de colectare trebuie să fie coerentă cu scopul studiului, iar transparența metodologică, adică să fie clar de unde provin datele și cum sunt folosite, este esențială pentru credibilitate (Creswell & Creswell, 2018). Din punctul meu de vedere, această transparență este și o formă de disciplină intelectuală, pentru că mă obligă să nu confund „ce cred eu că s-a întâmplat” cu „ce reiese din documente”, ceea ce, ironic, seamănă foarte mult cu principiul de responsabilizare din GDPR, unde nu e suficient să afirmi, ci trebuie să poți demonstra.
În analiza propriu-zisă, îmi propun să tratez fiecare caz ca pe o unitate comparabilă, adică să urmăresc aceleași dimensiuni pentru fiecare situație, astfel încât comparația să fie justă, iar aici mă ajută mult logica analizei tematice și a codificării, prin care transform un set de documente în teme recurente, precum transparența, temeiul legal, minimizarea, securitatea, dreptul de acces, răspunsul la breșe sau cultura organizațională a controlului. Matthew B. Miles, A. Michael Huberman și Johnny Saldaña descriu analiza calitativă ca un proces de reducere, afișare și concluzionare, în care codificarea și identificarea pattern-urilor devin instrumente pentru a trece de la date brute la interpretări argumentate (Miles et al., 2014). Eu consider că această disciplină a codificării mă protejează de tentația de a dramatiza un caz doar pentru că sună grav, deoarece mă obligă să-l așez în aceleași grile ca pe celelalte și să văd dacă este cu adevărat excepțional sau doar o variație pe o temă recurentă, ceea ce, în România, se întâmplă destul de des, mai ales la supraveghere video și la divulgări nejustificate în comunicarea internă.
Pentru a nu transforma analiza de conținut într-o simplă „impresie de lectură”, mă raportez și la ideea de rigoare în analiza documentelor, adică să pot explica exact de ce am extras o anumită temă și cum am ajuns la o concluzie, nu doar să afirm că „se vede” din text. Klaus Krippendorff insistă asupra faptului că analiza de conținut este o metodă care trebuie să producă inferențe reproductibile și valide din texte, iar asta presupune reguli clare de codare, coerență și atenție la contextul de producere a documentelor (Krippendorff, 2018). Din perspectiva mea, acest tip de rigoare este crucial când lucrezi cu comunicate oficiale, deoarece ele sunt, inevitabil, texte instituționale, scrise într-un anumit registru, cu selecție de informații și cu o intenție de comunicare publică, iar tocmai de aceea trebuie citite atent, comparate între ele și interpretate cu un simț critic calm, nu cu entuziasm pripit.
În ceea ce privește validitatea interpretărilor, încerc să folosesc o formă de triangulare minimalistă, în sensul că nu mă bazez pe un singur tip de document pentru o concluzie importantă, ci, acolo unde se poate, compar comunicatul cu prevederi normative, cu orientări europene și, ideal, cu decizii sau hotărâri care confirmă faptele sau consecințele. Robert E. Stake vorbește despre rolul interpretării în studiul de caz și despre faptul că cercetătorul caută o înțelegere „îngroșată” a situației, adică o descriere care surprinde semnificația și complexitatea, nu doar o schemă de tip cauză-efect (Stake, 1995). Eu aș completa spunând că această înțelegere „îngroșată” este exact antidotul împotriva clișeului „GDPR e doar despre amenzi”, deoarece mă forțează să văd ce s-a stricat în proces, ce a fost ignorat în cultura internă și ce ar fi putut preveni situația, iar asta, în final, este mult mai valoros pentru învățare decât simpla reținere a sancțiunii.
Nu în ultimul rând, chiar dacă lucrez cu documente publice, eu tratez proiectul cu o atenție etică explicită, pentru că a vorbi despre protecția datelor fără grijă față de date devine, fără să vreau, o contradicție practică, iar criteriul meu este să evit orice re-identificare inutilă, să mă concentrez pe mecanisme și lecții, nu pe expunerea persoanelor, și să descriu cazurile la nivelul relevant pentru analiză. Creswell și Creswell discută despre importanța eticii cercetării, inclusiv în lucrările bazate pe documente, în sensul responsabilității față de consecințele publicării și a modului în care sunt reprezentate persoanele și instituțiile (Creswell & Creswell, 2018). Din punctul meu de vedere, această prudență nu slăbește analiza, ci o face mai matură, deoarece îmi păstrează atenția pe ceea ce contează academic, adică pe procese, riscuri, responsabilități și soluții, nu pe senzațional.
Prezentarea studiilor de caz din România privind aplicarea GDPR
Când ajung la partea de studii de caz, simt mereu că aici începe „viața reală” a GDPR, pentru că Regulamentul încetează să mai fie o colecție elegantă de principii și devine un test de maturitate organizațională, în care se vede imediat dacă o instituție sau o companie are procese vii, oameni instruiți și reflexe de protecție sau dacă, dimpotrivă, are doar documente frumoase, puse într-un folder care se deschide rar, de obicei în ziua în care apare o plângere.
Michel Foucault explică foarte bine faptul că supravegherea nu este doar o tehnică neutră de „a vedea”, ci un mecanism care produce disciplină și comportamente, pentru că simpla posibilitate de a fi observat schimbă felul în care oamenii se raportează la spațiu, autoritate și libertate (Foucault, 1975). Din perspectiva mea, ideea aceasta mă ajută să nu tratez camerele video ca pe un detaliu tehnic, ci ca pe un fapt social cu greutate, iar când apare tentația instituțională de a monitoriza excesiv, GDPR funcționează ca o frână legitimă care obligă la justificare, proporționalitate și transparență, chiar dacă, sincer, „frâna” aceasta nu este mereu iubită de cei care preferă controlul instant. În acest registru intră și cazul UAT Comuna Albeni, unde ANSPDCP a constatat probleme legate de informare și de măsuri adecvate de securitate și confidențialitate pentru sistemul de supraveghere video, într-un context în care se reclama monitorizarea angajaților, iar operatorul nu a dus la îndeplinire măsuri dispuse anterior și nu a răspuns solicitărilor autorității, fiind aplicată amendă și măsuri corective care au vizat inclusiv proceduri și instruire pentru cei cu acces la imagini (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2023).
Helen Nissenbaum propune conceptul de „integritate contextuală”, adică ideea că intimitatea nu înseamnă oprirea totală a circulației informațiilor, ci menținerea unor fluxuri potrivite contextului, rolurilor și așteptărilor legitime, astfel încât datele să circule „cum trebuie” într-o situație, nu arbitrar și disproporționat (Nissenbaum, 2004). Consider că această perspectivă este una dintre cele mai practice pentru GDPR, fiindcă îți arată că problema rar este „existența datelor”, iar problema reală este nepotrivirea dintre scop și mijloace, dintre cine are acces și cine ar trebui să aibă, dintre ce e necesar și ce e comod. În acest spirit, cazul Kaufland România este relevant tocmai pentru că arată fricțiunea dintre dreptul de acces și complexitatea imaginilor care surprind mai multe persoane, ANSPDCP reținând că operatorul nu a comunicat complet înregistrările video solicitate de persoana vizată pentru un interval relevant, iar comunicarea imaginilor poate fi făcută cu măsuri precum blurarea pentru a proteja drepturile altor persoane, ceea ce, din punctul meu de vedere, e un exemplu clar despre cum drepturile nu sunt sloganuri, ci proceduri tehnice și organizatorice care trebuie gândite dinainte, nu improvizate după plângere (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2022).
Ulrich Beck descrie modernitatea ca o „societate a riscului”, în care progresul și eficiența produc simultan vulnerabilități noi, adesea invizibile până când se manifestă, iar instituțiile sunt obligate să gestioneze consecințe generate chiar de propriile sisteme și infrastructuri (Beck, 1992). Personal, cred că această idee este aproape un manual de interpretare pentru breșele de securitate, deoarece ne obligă să vedem securitatea nu ca pe o „funcție IT”, ci ca pe o formă de guvernanță a riscului, unde slăbiciunile sunt, de multe ori, organizaționale înainte să fie tehnice. În acest cadru se așază și cazul Altex România, unde ANSPDCP a aplicat o amendă pentru încălcarea obligațiilor de securitate, după notificări privind publicarea unor conturi de clienți pe o platformă și după un atac de tip „credential stuffing”, fiind menționate date afectate precum nume, e-mail, parole, informații din cont, adrese, telefoane, istoric comenzi și date referitoare la carduri folosite la plata online, ceea ce îmi arată, foarte direct, cât de scump poate deveni un ecosistem digital atunci când protecția autentificării și controlul accesului nu sunt tratate ca priorități strategice (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2024).
Niklas Luhmann explică faptul că încrederea este un mecanism social care reduce complexitatea, adică ne permite să funcționăm fără să verificăm totul permanent, iar atunci când încrederea se rupe, efectul nu este doar individual, ci lovește în cooperare și în stabilitatea relațiilor sociale (Luhmann, 1979). Din perspectiva mea, exact asta se întâmplă în cazurile de divulgare „în comunitate”, unde oamenii cred că circulația rapidă a informației este sinonimă cu transparența, iar GDPR vine și spune, uneori incomod, că transparența nu justifică expunerea inutilă a unui om în fața altor oameni. Aici se potrivește foarte bine cazul unei asociații de proprietari din Miercurea Ciuc, unde ANSPDCP a constatat că au fost dezvăluite date prin postarea pe un grup de WhatsApp a unei notificări care conținea informații despre o persoană, aplicând amenzi și reținând încălcări legate de legalitate, minimizare, responsabilitate și exercitarea drepturilor, iar pentru mine acesta este un exemplu aproape didactic despre cum un instrument banal de comunicare poate transforma viața privată într-un „anunț intern”, dacă nu există o cultură minimă a limitării și a discernământului (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2024).
Luciano Floridi susține că trăim într-o „infosferă” în care informația despre noi este profund legată de demnitate și identitate, iar etica informației devine centrală tocmai pentru că datele nu sunt simple „detalii administrative”, ci fragmente care pot vulnerabiliza persoana atunci când ajung unde nu trebuie (Floridi, 2014). Consider că această lectură este extrem de utilă pentru domeniul sănătății, fiindcă aici o eroare aparent mică, cum ar fi un e-mail trimis greșit, poate produce consecințe emoționale și sociale disproporționate, iar GDPR, în esență, încearcă să reducă această vulnerabilitate, nu doar să „pedepsească” procedural. Cazul Medstar este relevant tocmai prin concretețea lui, ANSPDCP constatând că date privind starea de sănătate au fost transmise eronat și nesecurizat prin poșta electronică între pacienți, fiind divulgate inclusiv date de identificare și date medicale, iar pe lângă amendă au fost reținute și probleme privind notificarea breșei și informarea persoanelor vizate, ceea ce îmi sugerează că adevărata maturitate nu se vede doar în prevenție, ci și în felul în care reacționezi responsabil atunci când prevenția a eșuat (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2025).
DiMaggio și Powell descriu „izomorfismul instituțional”, adică presiunile prin care organizațiile ajung să semene între ele, fie din constrângeri legale, fie din standarde profesionale, fie prin imitație, atunci când legitimitatea devine o miză la fel de importantă ca eficiența (DiMaggio & Powell, 1983). Eu aș completa spunând că GDPR a accelerat izomorfismul în Europa, însă studiile de caz arată că „a semăna” în documente nu înseamnă automat „a funcționa” în practici, iar fisurile apar exact acolo unde procedurile sunt incomplete sau canalele sunt gândite mai mult pentru confortul operatorului decât pentru drepturile persoanei vizate. În acest cadru intră și cazul Dante International, unde ANSPDCP a aplicat sancțiuni într-un context de prelucrare transfrontalieră, reținând inclusiv dificultăți legate de facilitarea exercitării drepturilor și ștergerea datelor, dar și probleme de informare completă, ceea ce, din punctul meu de vedere, arată cât de repede poate deveni „transfrontalier” un simplu flux de date atunci când platformele sunt regionale, iar drepturile trebuie să rămână funcționale indiferent de țară și de canalul tehnic ales de companie (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2023).
Max Weber explică raționalitatea formală a organizațiilor moderne prin reguli, proceduri și responsabilități stabilite, tocmai pentru a produce predictibilitate și control, însă această raționalitate devine credibilă numai atunci când este dublată de responsabilitate și de respectarea concretă a normelor care protejează individul (Weber, 1978). Din perspectiva mea, aici apare un mesaj interesant al jurisprudenței, deoarece confirmarea unei sancțiuni nu este doar un episod juridic, ci un semnal către întregul mediu organizațional că securitatea și confidențialitatea nu sunt „opționale”, mai ales în sectoare cu volum mare de date și procese digitale complexe. În această logică se înscrie și comunicatul privind hotărârea definitivă prin care Curtea de Apel Cluj a confirmat amenda de 100.000 euro aplicată Băncii Transilvania pentru încălcări legate de securitate și principiul integrității și confidențialității, ceea ce, pentru mine, funcționează ca un exemplu foarte clar că GDPR nu este doar o disciplină administrativă, ci o obligație de guvernanță tehnică și organizațională care trebuie susținută cu resurse, audit și control real, nu doar cu formulări generale (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, 2022).
Analiza comparativă a cazurilor
Când pun unul lângă altul cazurile din administrația publică locală privind supravegherea video, cazurile din retail și e-commerce privind securitatea conturilor și expunerile de date, situațiile comunitare precum divulgările în grupuri de comunicare, precum și episoadele din zona medicală unde o eroare de transmitere poate scoate la lumină date sensibile, îmi devine limpede că, dincolo de diferențele de sector, aceleași câteva „noduri” reapar obsesiv, iar acest lucru este util pentru învățare tocmai fiindcă îmi arată că GDPR nu este o colecție de interdicții dispersate, ci un sistem care penalizează consecvent aceleași slăbiciuni organizaționale, adică lipsa de transparență reală, controlul precar al accesului, absența unei logici de minimizare, confuzia temeiului legal și, mai ales, incapacitatea de a demonstra responsabilizarea în mod concret, nu doar declarativ, așa cum se poate observa în dinamica sancțiunilor și a măsurilor corective descrise în comunicatele autorității de supraveghere pentru cazuri precum supraveghere video în administrație, dreptul de acces la imagini, breșe în retail, divulgări în comunități și erori în sănătate (ANSPDCP, 2022a; ANSPDCP, 2023a; ANSPDCP, 2024a; ANSPDCP, 2025a).
Anthony Giddens explică faptul că structurile sociale există prin practici recurente, iar regulile devin reale numai atunci când sunt „activate” de oameni în rutina zilnică, ceea ce înseamnă că diferența dintre un cadru formal și o funcționare efectivă se vede în detaliile operaționale, nu în intențiile declarate (Giddens, 1984). Consider că exact aici se rupe firul în multe cazuri, deoarece comunicatele și tiparele pe care le observ sugerează că organizațiile pot avea politici sau formulare, dar dacă reflexele oamenilor rămân cele vechi, adică dacă informarea este tratată ca o formalitate, accesul la date este acordat prea larg, iar reacția la incidente este lentă sau incompletă, atunci „conformarea” rămâne o poveste spusă frumos, dar neconfirmată în practică, iar acest lucru devine vizibil în mod repetat în situații precum supravegherea video fără informare adecvată sau gestionarea inegală a cererilor persoanelor vizate (ANSPDCP, 2023a; ANSPDCP, 2022a).
Helen Nissenbaum propune integritatea contextuală ca mod de a înțelege intimitatea, în sensul că problema centrală nu este existența informației, ci circulația ei nepotrivită contextului, rolurilor și așteptărilor legitime, ceea ce transformă o prelucrare aparent „normală” într-o intruziune atunci când fluxul este disproporționat sau nejustificat (Nissenbaum, 2004). Din perspectiva mea, această idee este aproape un instrument de diagnostic pentru comparația cazurilor, deoarece aceeași regulă se vede atât în supravegherea video instalată și folosită cu un control insuficient al accesului, cât și în distribuirea de date într-un grup comunitar unde transparența internă este confundată cu expunerea publică, iar când schimb contextul, îmi dau seama că problema nu este neapărat „tehnologia”, ci lipsa unei gândiri despre roluri și despre cine are dreptul legitim să știe ce, când și de ce, ceea ce reiese din situații legate de monitorizare, informare deficitară și divulgări nejustificate (ANSPDCP, 2023a; ANSPDCP, 2024a).
Ulrich Beck descrie societatea modernă ca o societate a riscului, în care sistemele create pentru eficiență produc vulnerabilități noi, iar instituțiile sunt forțate să gestioneze consecințe care apar tocmai din infrastructurile pe care le-au introdus pentru a funcționa mai repede și mai comod (Beck, 1992). Personal, cred că această grilă explică de ce breșele de securitate și expunerile de date în mediul privat au un aer de „inevitabilitate gestionabilă”, adică nu sunt surprize absolute, ci evenimente care devin probabile atunci când controlul autentificării, managementul parolelor, monitorizarea tentativelor de acces și cultura de securitate sunt tratate ca teme secundare, iar tocmai aici GDPR devine o disciplină de guvernanță, fiindcă obligă organizația să dovedească faptul că a luat riscul în serios înainte de incident și că a reacționat coerent după incident, ceea ce se regăsește în abordarea autorității în cazuri de tip retail sau platforme digitale unde sunt invocate obligații de securitate și măsuri tehnice și organizatorice adecvate (ANSPDCP, 2024b).
Niklas Luhmann arată că încrederea reduce complexitatea socială, pentru că ne permite să trăim fără să verificăm continuu toate detaliile, iar atunci când încrederea este deteriorată, efectul depășește persoana direct afectată și lovește în cooperare, în predictibilitate și în sentimentul de siguranță al relațiilor (Luhmann, 1979). Consider că aceasta este cheia prin care cazurile comunitare și cele din sănătate devin, paradoxal, mai dramatice decât par dacă le citești doar juridic, deoarece o divulgare într-un grup intern sau o transmitere greșită a unor date medicale nu înseamnă doar o abatere procedurală, ci o vulnerabilizare relațională, fiindcă omul simte că mediul din jur, care ar fi trebuit să fie predictibil și decent, a devenit un spațiu în care informația despre el poate circula greșit, iar această ruptură de încredere explică de ce măsurile corective și instruirea sunt la fel de importante ca sancțiunea în sine (ANSPDCP, 2024a; ANSPDCP, 2025a).
Luciano Floridi insistă că, într-o infosferă densă, informația despre noi nu este doar un detaliu administrativ, ci o componentă a demnității și identității, iar etica informației devine esențială tocmai pentru că o scurgere sau o divulgare poate produce o formă de „dezarmare” a persoanei în raport cu propria viață (Floridi, 2014). Din punctul meu de vedere, această interpretare face ca datele sensibile, mai ales cele medicale, să fie privite nu doar prin prisma articolului încălcat, ci ca situații în care organizația are o obligație morală și profesională de a preveni expunerea, iar când prevenția eșuează, are obligația de a reacționa rapid, de a limita prejudiciul și de a recâștiga controlul, ceea ce se observă în cazurile în care sunt discutate atât securitatea transmiterii, cât și gestionarea ulterioară a incidentului și a informării (ANSPDCP, 2025a).
DiMaggio și Powell explică izomorfismul instituțional ca proces prin care organizațiile ajung să semene între ele prin presiuni coercitive, normative și mimetice, mai ales atunci când legitimitatea este o miză centrală (DiMaggio & Powell, 1983). Consider că GDPR a amplificat izomorfismul în România într-un mod foarte vizibil, fiindcă aproape toate organizațiile învață aceleași cuvinte și produc aceleași tipuri de documente, dar studiile de caz arată, fără menajamente, că asemănarea de suprafață nu garantează funcționalitatea, deoarece drepturile persoanelor vizate, procedurile de ștergere sau mecanismele de răspuns la cereri devin „testul de rezistență” care separă organizațiile care au internalizat modelul de cele care îl imită, iar aceste diferențe apar mai ales în situații în care autoritatea descrie dificultăți de facilitare a drepturilor și necesitatea unor măsuri corective de instruire și ajustare a proceselor (ANSPDCP, 2023b).
Max Weber descrie birocratia modernă ca o formă de raționalitate formală bazată pe reguli, proceduri, competențe și evidențe, menită să producă predictibilitate și control (Weber, 1978). Eu aș completa spunând că GDPR forțează birocrația, atât în public cât și în privat, să-și demonstreze calitatea, pentru că nu mai este suficient să ai o procedură, ci trebuie să ai o procedură care funcționează, iar confirmările în instanță sau mențiunile explicite despre exigența măsurilor de securitate arată că responsabilizarea devine o cerință „serioasă”, nu o politețe juridică, ceea ce pune presiune pe organizații să investească în audit, control intern și disciplină operațională, nu doar în texte standard (ANSPDCP, 2022b).
Michel Foucault arată că supravegherea este o tehnologie de putere care produce disciplină, normalizează și modelează comportamente, deoarece posibilitatea de a fi observat devine o formă de control interiorizat (Foucault, 1975). Din perspectiva mea, aceasta explică de ce, în comparația cazurilor, supravegherea video nu poate fi tratată ca un simplu „instrument de siguranță”, fiindcă ea schimbă raporturi de putere în spații de muncă și în spații publice, iar GDPR obligă instituția să-și justifice această putere, să o limiteze și să o facă transparentă, ceea ce devine cu atât mai important când apar acuzații de monitorizare excesivă sau când accesul la imagini nu este gestionat riguros (ANSPDCP, 2023a).
Dacă încerc să trag o sinteză comparativă care să fie utilă pentru învățare, eu aș spune că cele mai frecvente tipare se leagă de transparență insuficientă sau formală, de o cultură a „accesului prea larg” la date în interiorul organizației, de minimizare slabă și de securitate tratată ca responsabilitate a unui departament, nu ca responsabilitate a întregii conduceri, iar răspunsurile instituționale tind să combine sancțiunea cu măsuri corective care, în esență, împing organizația spre maturitate procedurală, prin politici clare, instruire, control al accesului, evaluare a riscurilor și capacitate de a răspunde rapid la cererile persoanelor vizate, ceea ce îmi confirmă că GDPR, cel puțin în aceste cazuri, funcționează ca un mecanism de modernizare a guvernanței informaționale, chiar dacă uneori pare un profesor sever care nu acceptă scuza „am fost ocupați”.
Discuții și interpretare asupra cazurilor GDPR din România
Când încerc să ies din „lista de fapte” și să intru în sensul mai adânc al cazurilor, eu ajung inevitabil la ideea că GDPR nu funcționează în România ca un simplu set de interdicții, ci ca un test de guvernanță informațională, adică un test al capacității unei organizații de a-și defini scopurile, de a-și controla fluxurile de date, de a-și disciplina accesul intern și de a răspunde coerent atunci când realitatea, care are prostul obicei să fie mai inventivă decât procedurile, produce incidente sau cereri incomode.
Anthony Giddens pornește de la faptul că structurile sociale nu sunt doar „ziduri” care ne constrâng, ci și resurse care fac acțiunea posibilă, iar organizațiile există prin practicile repetitive ale oamenilor, astfel încât regula devine reală abia atunci când este aplicată în rutină, nu atunci când este enunțată în documente (Giddens, 1984). Consider că această idee explică aproape dureros de bine de ce multe organizații par conforme „la suprafață”, dar se împiedică fix în lucrurile mici care se repetă zilnic, cum ar fi cine are acces la ce, cum se răspunde la o solicitare, ce se întâmplă când un angajat trimite un e-mail greșit, sau cum se justifică o prelucrare care a fost introdusă cândva „pentru eficiență” și a rămas acolo ca un reflex care nu mai este chestionat.
Helen Nissenbaum propune conceptul de integritate contextuală, în care intimitatea nu este definită de tăcerea absolută a datelor, ci de faptul că informațiile circulă adecvat contextului, rolurilor și așteptărilor legitime, iar o încălcare apare atunci când fluxul se rupe de această adecvare și devine disproporționat, invaziv sau pur și simplu inutil (Nissenbaum, 2004). Din perspectiva mea, aici se vede foarte clar de ce România produce atât de multe situații care par „banale” la prima vedere, pentru că tocmai banalitatea comunicării rapide și a instrumentelor cotidiene face ca datele să alunece din contextul legitim în contextul nepotrivit, iar GDPR intervine nu ca să ne interzică să comunicăm, ci ca să ne obligă să comunicăm cu discernământ, adică să nu transformăm organizarea internă în expunere.
Ulrich Beck descrie societatea modernă ca o societate a riscului, în care progresul tehnologic și eficiența produc simultan vulnerabilități sistemice, iar instituțiile sunt obligate să gestioneze consecințe care apar tocmai din infrastructurile pe care le-au introdus pentru a funcționa mai rapid și mai confortabil (Beck, 1992). Eu aș completa spunând că, în România, digitalizarea accelerată a făcut ca prelucrarea datelor să devină un fel de „sistem circulator” al organizațiilor, dar dacă nu există o cultură reală a riscului, atunci organizația ajunge să trateze securitatea ca pe o corvoadă tehnică, nu ca pe o responsabilitate managerială, iar când apare incidentul, reacția este adesea un amestec de surpriză și improvizație, de parcă riscul ar fi venit din altă galaxie și nu din propriile procese.
Niklas Luhmann explică încrederea ca mecanism social de reducere a complexității, adică un mod prin care oamenii pot acționa fără să verifice permanent totul, însă această economie psihosocială devine fragilă atunci când încrederea este trădată, deoarece efectul se propagă în relații și în disponibilitatea de cooperare (Luhmann, 1979). Consider că aceasta este una dintre cele mai importante chei interpretative pentru cazurile care implică divulgări sau expuneri accidentale, fiindcă problema nu se termină la nivelul „am încălcat o regulă”, ci produce o fisură în relația dintre persoană și organizație, iar în România, unde oricum relația dintre cetățean și instituție are uneori un istoric de suspiciune, un astfel de episod poate amplifica neîncrederea și poate face ca orice demers administrativ să fie perceput ca un risc, nu ca un serviciu.
Michael Lipsky arată că politicile publice sunt, în realitate, „fabricate” la nivelul interacțiunii de zi cu zi dintre cetățeni și funcționarii de primă linie, deoarece aceștia operează sub presiune, cu resurse limitate, cu ambiguități și cu nevoia de a lua decizii rapide, iar aceste condiții modelează practicile reale, uneori mai mult decât normele formale (Lipsky, 1980). Din punctul meu de vedere, aici se află miezul implementării GDPR în administrația publică românească, pentru că nu poți cere conformare reală doar prin circulare și fișe de post, dacă oamenii care lucrează efectiv cu datele sunt copleșiți, insuficient instruiți sau evaluați aproape exclusiv pe viteză și volum, iar fără a regla aceste presiuni, GDPR riscă să fie trăit ca o piedică, nu ca o formă de protecție a demnității cetățeanului.
DiMaggio și Powell descriu izomorfismul instituțional ca proces prin care organizațiile ajung să semene între ele prin presiuni coercitive, normative și mimetice, mai ales când legitimitatea este la fel de importantă ca eficiența (DiMaggio & Powell, 1983). Eu cred că GDPR a produs în România o uniformizare rapidă a limbajului conformării, în sensul că toată lumea vorbește despre politici, informări, proceduri și responsabilități, dar tocmai studiile de caz arată că asemănarea formală nu garantează competența practică, deoarece diferența reală apare în funcționarea canalelor pentru drepturile persoanei vizate, în calitatea răspunsului la incidente și în disciplina accesului intern, adică exact în acele locuri unde nu mai poți improviza credibil.
Max Weber descrie birocratia modernă ca o formă de raționalitate formală bazată pe reguli, competențe, ierarhii și documente, menită să producă predictibilitate și control (Weber, 1978). Personal, îmi pare interesant că GDPR nu demolează logica birocratică, ci o obligă să devină mai responsabilă, pentru că nu mai este suficient să ai acte, trebuie să ai acte care corespund unei realități operaționale, iar atunci când organizația tratează documentarea ca pe o mască, nu ca pe o urmă a unui proces real, masca cade foarte repede, uneori chiar înainte să vină cineva în control, pentru că vine cetățeanul cu o solicitare și sistemul se blochează singur în propriile contradicții.
Luciano Floridi susține că trăim într-o infosferă în care informația despre noi este profund legată de identitate și demnitate, iar etica informației devine centrală tocmai pentru că datele pot vulnerabiliza persoana atunci când sunt folosite, circulate sau expuse fără grijă (Floridi, 2014). Din perspectiva mea, această interpretare este esențială mai ales când discut despre date sensibile, fiindcă în astfel de situații GDPR nu mai pare un „set de condiții”, ci o formă de protecție a intimității umane în sens tare, iar organizațiile care înțeleg asta ajung să trateze confidențialitatea nu ca pe un obstacol, ci ca pe o componentă a respectului instituțional.
Dacă ar fi să formulez o concluzie interpretativă care să-mi fie utilă și pentru învățare, eu aș spune că studiile de caz din România arată o tranziție incompletă de la conformare formală la conformare matură, în care documentele există, dar rutinele încă se luptă cu vechile reflexe ale controlului excesiv, ale comunicării grăbite și ale securității văzute ca problemă tehnică, iar lecția cea mai practică este că GDPR nu „se face” printr-un dosar, ci prin guvernanță zilnică, adică prin decizii mici, repetate, care fie construiesc încredere, fie o erodează fără zgomot, până când într-o zi acel zgomot apare brusc sub forma unei plângeri, a unui incident sau a unei crize de reputație.
Concluzii
Când trag linie după toate aceste studii de caz și după logica lor internă, eu rămân cu impresia foarte clară că GDPR în România nu este, în esență, o poveste despre „amenzi”, ci o poveste despre maturitate instituțională, despre felul în care organizațiile învață să-și guverneze informația, să-și limiteze reflexele de control și să-și respecte cetățenii și clienții nu doar prin intenții bune, ci prin procese verificabile, repetabile și stabile, iar tocmai aici apare diferența dintre conformarea formală și conformarea reală, care, din punctul meu de vedere, este adevăratul subiect al proiectului.
Anthony Giddens explică faptul că regulile și structurile devin reale prin practici recurente, adică instituțiile există în mod efectiv prin rutina oamenilor care le reproduc zi de zi, nu prin formulările din documente (Giddens, 1984). Consider că, dacă există o concluzie „tare” pe care o pot formula din perspectiva mea, aceasta este că GDPR se câștigă sau se pierde în micro-decizii cotidiene, pentru că poți avea un set impecabil de politici și totuși să cazi la test în momentul în care un angajat trimite datele la adresa greșită, când o cerere de acces este tratată ca o enervare, când camerele video sunt folosite excesiv dintr-un reflex de control sau când accesul intern la baze de date este acordat prea larg, iar în toate aceste momente se vede imediat dacă regula a fost internalizată ca practică sau doar afișată ca decor.
Helen Nissenbaum propune ideea de integritate contextuală, în care intimitatea nu este despre oprirea circulației informației, ci despre adecvarea fluxurilor la context, roluri și așteptări legitime, astfel încât datele să circule „cum trebuie”, nu arbitrar și disproporționat (Nissenbaum, 2004). Din perspectiva mea, această cheie explicativă clarifică de ce multe cazuri românești par mărunte la prima vedere, dar sunt de fapt foarte relevante pentru învățare, fiindcă ele arată cum prelucrarea devine problematică exact în clipa în care organizația confundă transparența cu expunerea, eficiența cu colectarea excesivă sau siguranța cu supravegherea fără limite, iar GDPR, în mod paradoxal, nu cere un control mai mare asupra oamenilor, ci cere un control mai bun asupra propriei organizații și asupra propriilor fluxuri de date.
Ulrich Beck descrie societatea modernă ca o societate a riscului, în care progresul și digitalizarea produc vulnerabilități noi, iar instituțiile trebuie să gestioneze consecințe generate chiar de sistemele pe care le construiesc pentru eficiență (Beck, 1992). Eu cred că această perspectivă este decisivă pentru înțelegerea incidentelor de securitate și a breșelor, deoarece ele nu sunt doar „accidente tehnice”, ci semne că riscul nu a fost guvernat suficient de matur, iar ceea ce numim, în limbaj GDPR, măsuri tehnice și organizatorice adecvate ar trebui să fie înțelese, în România, ca un program managerial permanent, nu ca un răspuns punctual după incident, fiindcă, altfel spus, dacă securitatea este tratată ca un proiect, iar nu ca o cultură, atunci organizația va avea mereu impresia că riscul apare din senin, deși el a fost construit, încet, de propriile rutine.
Niklas Luhmann arată că încrederea reduce complexitatea socială, pentru că ne permite să funcționăm fără să verificăm permanent totul, însă atunci când încrederea este ruptă, efectul se propagă dincolo de persoana afectată și lovește în cooperare și predictibilitate (Luhmann, 1979). Personal, mi se pare că acesta este unul dintre cele mai importante rezultate indirecte ale cazurilor, pentru că GDPR nu protejează doar date, ci protejează relații sociale, iar acolo unde apare o divulgare în comunitate, o expunere în comunicarea internă sau o eroare în sectorul medical, consecința cea mai grea nu este doar juridică, ci este sentimentul că mediul instituțional sau organizațional nu mai este de încredere, iar în România, unde capitalul de încredere în instituții este adesea fragil, astfel de episoade pot produce un efect de lungă durată asupra felului în care oamenii cooperează cu administrația sau cu serviciile.
Luciano Floridi insistă asupra faptului că, în infosferă, informația despre noi este legată de identitate și demnitate, iar etica informației devine centrală tocmai pentru că datele pot vulnerabiliza persoana atunci când sunt gestionate neglijent sau expuse (Floridi, 2014). Consider că această perspectivă dă profunzime concluziilor, în special când discut despre date sensibile, pentru că ea mă obligă să văd GDPR nu doar ca pe o obligație de conformare, ci ca pe o formă de respect instituțional față de persoană, iar atunci când organizațiile înțeleg această dimensiune, ele nu mai tratează protecția datelor ca pe o piedică, ci ca pe o componentă a calității serviciului și a profesionalismului.
Dacă încerc să formulez recomandările mele într-o formă coerentă, fără să transform concluzia într-un manual sec, eu aș spune că România are nevoie de o trecere de la conformare ca document la conformare ca infrastructură organizațională, ceea ce înseamnă că instituțiile publice ar trebui să trateze informarea, limitarea scopului și controlul accesului ca părți din proiectarea serviciului, nu ca anexe, iar mediul privat ar trebui să integreze securitatea și managementul autentificării ca prioritate strategică, nu ca sarcină lăsată exclusiv pe umerii IT-ului, în timp ce în zonele comunitare și în asociații, cea mai mare investiție utilă este educația practică despre minimizare și confidențialitate, fiindcă multe probleme apar din normalizarea unei transparențe greșit înțelese, iar în sănătate, unde miza este maximă, eu cred că trebuie împinsă cultura „double-check” și disciplina canalelor securizate, deoarece aici o singură eroare poate face mai mult rău decât zece proceduri frumos scrise.
În ceea ce privește perspectivele de cercetare viitoare, mie mi se pare că ar merita explorate mult mai atent diferențele dintre organizațiile care reușesc să transforme GDPR într-o rutină funcțională și cele care rămân în logica formală, fiindcă diferența nu este doar de bună-credință, ci pare să fie de resurse, de leadership, de instruire și de mod de evaluare a performanței interne, iar dacă aș continua acest proiect, eu aș investiga comparativ modul în care cultura organizațională influențează răspunsul la cererile persoanelor vizate, cum se transmit responsabilitățile între departamente, ce rol real are DPO-ul în practică și în ce măsură mecanismele de audit intern reduc recurența problemelor, deoarece acesta este, din punctul meu de vedere, punctul în care GDPR devine nu doar un regim juridic, ci un instrument de modernizare administrativă și de profesionalizare a guvernanței informaționale.
Bibliografie
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2022, April 14). Hotărâre definitivă privind amenda de 100.000 euro. https://www.dataprotection.ro/?lang=ro&page=Comunicat_Presa_14_04_2022 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2022, January 20). Sancțiune pentru încălcarea RGPD. https://www.dataprotection.ro/?lang=ro&page=Comunicat_Presa_20_01_2022 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2023, June 20). Sancțiune pentru încălcarea RGPD. https://www.dataprotection.ro/?page=Comunicat_Presa_20.06.2023 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2023, September 25). O nouă amendă – operator autoritate din administrația publică locală. https://www.dataprotection.ro/?page=Comunicat_Presa_25.09.2023 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2024, February 5). Amendă pentru încălcarea RGPD. https://www.dataprotection.ro/?page=Comunicat_Presa_05_02_2024 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2024, November 18). Sancțiune pentru nerespectarea GDPR. https://www.dataprotection.ro/?page=Comunicat_Presa_18.11.2024 Data Protection
- Autoritatea Națională de Suprveghere a Prelucrării Datelor cu Caracter Personal. (2025, February 20). Sancțiune pentru încălcarea RGPD. https://www.dataprotection.ro/?page=Comunicat_Presa_20_02_2025 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2025, January 13). Sancțiune pentru încălcarea RGPD. https://www.dataprotection.ro/?page=Comunicat_Presa_13.01.2025 Data Protection
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (2025, April 24). Sancțiune pentru încălcarea RGPD. https://www.dataprotection.ro/?page=Comunicat_Presa_24_04_2025 Data Protection
- Beck, U. (1992). Risk society: Towards a new modernity. Sage.
- Court of Justice of the European Union. (2020, November 11). Orange România SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), Case C-61/19. EUR-Lex. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A62019CJ0061 EUR-Lex
- DiMaggio, P. J., & Powell, W. W. (1983). The iron cage revisited: Institutional isomorphism and collective rationality in organizational fields. American Sociological Review, 48(2), 147–160.
- European Parliament and Council of the European Union. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation). Official Journal of the European Union.
- Floridi, L. (2014). The fourth revolution: How the infosphere is reshaping human reality. Oxford University Press.
- Foucault, M. (1975). Surveiller et punir: Naissance de la prison. Gallimard.
- Giddens, A. (1984). The constitution of society: Outline of the theory of structuration. Polity Press.
- Luhmann, N. (1979). Trust and power. Wiley.
- Nissenbaum, H. (2004). Privacy as contextual integrity. Washington Law Review, 79, 119–157.
- Solove, D. J. (2013). Privacy self-management and the consent dilemma. Harvard Law Review, 126, 1880–1903.
- Weber, M. (1978). Economy and society: An outline of interpretive sociology (G. Roth & C. Wittich, Eds.). University of California Press.
Niciun comentariu:
Trimiteți un comentariu