Dana Cireașă, Președinte al Asociației Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD)
În România, multe firme văd protecția datelor ca pe o frână. Care e scenariul în care conformitatea privacy devine avantaj competitiv (și chiar argument de vânzare), inclusiv pentru IMM-uri?
În realitate, conformitatea cu protecția datelor nu este doar o exigență legală sau o simplă cheltuială de conformare: este un semn distinctiv al maturității unui business și un pilon al încrederii în relația cu clienții, partenerii și investitorii. Când o companie adoptă un program de GDPR/privacy bine construit și integrat strategic în procesele interne, aceasta nu doar că reduce riscurile de sancțiuni – ci creează valoare adăugată în cel puțin trei feluri clare:
- Reduci semnificativ riscul reputațional și crești încrederea clienților
Clienții și partenerii de business sunt din ce în ce mai sensibili la modul în care datele lor sunt colectate, folosite și protejate. O breșă de securitate sau o neconformitate nu este doar o amendă – ea se traduce rapid în pierdere de încredere, retragerea clienților și deteriorarea brandului, ceea ce e mult mai costisitor decât simplul cost al conformității.
- Due diligence și evaluarea în tranzacții: conformitatea crește valoarea de piață
În tranzacțiile de tip achiziții sau fuziuni, protecția datelor este astăzi o componentă esențială a due diligence-ului: cumpărătorii analizează riscurile de sancțiuni, litigii și investigații, iar lipsa unui program solid de conformitate poate reduce valoarea business-ului sau chiar bloca tranzacția, în timp ce un nivel ridicat de conformitate funcționează ca diferențiator și semn clar de maturitate, procese interne solide și management responsabil.
- Conformitatea = maturitatea business-ului
Conformitatea reală cu GDPR (bunele practici de privacy) nu se oprește la evitarea amenzilor. Ea înseamnă: procese interne bine documentate și integrate în operațiuni, responsabilitate clară pentru protecția datelor în întregul lanț de furnizori, cultura organizațională orientată spre transparență și etică, precum și instrumente și proceduri de răspuns la incidente de securitate.
În plus, în piețele B2B, pentru IMM-uri în special, conformitatea poate fi argument clar în vânzări: multor companii care licitează pentru contracte publice sau proiecte li se solicită dovada unui program GDPR solid, auditabil și demonstrabil. În astfel de contexte, protecția datelor încetează să fie cost – devine criteriu de eligibilitate.
În următorii 2–3 ani, presiunea pe organizații nu va veni doar din GDPR, ci și din ecosistemul de reglementări (securitate, AI, guvernanță de date). Unde vedeți cel mai mare risc de coliziune între „inovație rapidă” și „conformare corectă”?
În următorii ani, cea mai mare zonă de coliziune va fi acolo unde deciziile sunt automatizate rapid, pe volume mari de date, fără ca organizațiile să-și fi maturizat guvernanța. Mă refer în special la utilizarea AI în procese de business critice – HR, marketing, scoring, customer support – unde presiunea de a „lansa repede” depășește capacitatea internă de a controla datele, riscurile și responsabilitățile.
Risc major apare atunci când AI este „lipit” peste procese deja fragile: date necartografiate, roluri neclare, furnizori netestați, lipsa evaluărilor de impact. Aici se intersectează GDPR, AI Act, cerințele de securitate (NIS2) și guvernanța datelor – iar nealinierea lor poate produce blocaje serioase sau expuneri reputaționale și financiare.
Pe scurt, nu inovația este problema, ci inovația fără arhitectură de guvernanță. Organizațiile care vor câștiga sunt cele care vor încetini puțin la început – pentru a defini reguli clare, responsabilități și controale – și vor putea apoi inova mai repede și mai sigur pe termen mediu.
ASCPD vorbește despre „statutul corect” al DPO-ului în organizații. Ce greșeală structurală se repetă cel mai des: DPO ca funcție decorativă, DPO subordonat conflictual sau DPO fără resurse – și ce model funcționează în practică?
Din practică, cea mai frecventă și mai periculoasă greșeală structurală nu este DPO-ul „decorativ”, ci DPO-ul subordonat conflictual – de regulă plasat în HR, juridic sau IT, cu obligația informală de a „alinia” concluziile la decizii deja luate. Aceasta golește de conținut cerința de independență din GDPR și transformă funcția într-un mecanism de validare, nu de control.
DPO-ul pur decorativ apare, de regulă, acolo unde managementul nu vede protecția datelor ca risc de business, ci ca obligație formală bifată.
Modelul care funcționează în practică este unul clar și simplu: DPO cu raportare directă către top management, acces real la informație și implicare timpurie în proiecte (by design, nu post-factum), cu rol de guvernanță a riscului, conectat la strategie, securitate, achiziții și inovare.
Ați lucrat mult cu zona de educație și copii (proiecte de conștientizare). Care este „datoria minimă” a companiilor care proiectează produse digitale folosite de minori, dincolo de conformarea formală?
Dincolo de conformarea formală, „datoria minimă” a companiilor care proiectează produse digitale pentru minori este să nu transfere riscul asupra copilului.
Concret: setări de confidențialitate „by default” la nivel maxim, colectare minimă de date, interfețe care nu manipulează (dark patterns), explicații adaptate vârstei și mecanisme reale de control pentru părinți. Copiii nu sunt „utilizatori mici”, ci persoane vulnerabile – iar un produs bine gândit ar trebui să îi protejeze chiar și atunci când ei nu știu că ar trebui să se protejeze singuri.
Dacă mâine ați putea impune o singură schimbare în cultura organizațională din România, care să reducă masiv riscul de incidente și amenzi, ar fi o regulă, un reflex sau o investiție?
Aș impune un reflex, reflexul de a întreba „ce date folosim și de ce?” înainte de a lansa orice proiect nou.
Majoritatea incidentelor și amenzilor nu apar din rea-credință, ci din decizii luate rapid, fără ca cineva să oprească procesul suficient de devreme pentru a evalua impactul asupra datelor și persoanelor. Dacă acest reflex ar deveni parte din cultura organizațională – la fel de natural ca verificarea bugetului – multe riscuri ar fi eliminate înainte să devină costuri reale.
Este un reflex care nu încetinește business-ul, dimpotrivă, îl maturizează. Pentru că organizațiile care își înțeleg datele își înțeleg mai bine și riscurile, procesele și responsabilitățile.
Cred că discuția despre protecția datelor ar trebui mutată definitiv din zona „obligațiilor legale” în zona deciziilor de business mature. Privacy, guvernanța și etica digitală nu sunt frâne ale inovației, ci infrastructura ei. Organizațiile care înțeleg asta vor avea mai puține crize, mai multă încredere din partea pieței și o capacitate reală de a crește sustenabil. În următorii ani, diferența nu o va face cine inovează cel mai rapid, ci cine reușește să o facă responsabil și, tocmai de aceea, credibil.
Daniela Cireasa
