BIZIT seminar: Na koga se sve odnosi GDPR?

Sat otkucava i možda će vam biti potrebna profesionalna podrška kako biste na vreme pripremili svoju organizaciju za predstojeću EU regulativu. Odlaganje je možda uobičajeno ponašanje, ali u slučaju predstojećeg GDPR-a, to bi moglo da bude pogubno za veliki broj kompanija. Stupanjem na snagu 25. maja, GDPR je najveća promena u zaštiti evropskih podataka u poslednjih nekoliko decenija, međutim istraživanja koja su sprovedena u Sjedinjenim Američkim Državama (SAD), su pokazala da 51% američkih firmi koje imaju evropske potrošače, ili ne smatraju da ova nova regulativa o privatnosti kupaca ima veze sa njima ili još uvek nisu sproveli planove za usklađivanje sa GDPR-om. Slična situacija je i u Evropi.

Sa manje od 100 dana do primene nove regulative, ukoliko još niste počeli sa pripremama za GDPR, sada je poslednji trenutak. Istraživanja u SAD-u su ujedno pokazala da 82% evropskih potrošača namerava da ograniči ili obriše lične podatke o sebi koje drže kompanije, kako to dopušta GDPR. Firme koje se ogluše o GDPR mogu da budu kažnjene novčanim kaznama do 4% godišnjih prihoda.

Da vas nova regulativa ne bi uhvatila nespremnim, prenosimo nekoliko čestih, a pogrešnih shvatanja i mitova o GDPR-u.

Mit 1: GDPR se ne odnosi na moj posao

Na svaku kompaniju koja ima podatke vezane za državljane EU, ova regulativa ima uticaj, čak i ako je samo jedan klijent u pitanju. Trenutno, informacije koje se prikupljaju za testiranje ili za naučna istraživanja mogu da se koriste ali u skladu sa GDPR-om, s tim da primene odgovarajuće zaštitne mere i samo da obrađuju lične podatke potrebne za istraživačke svrhe. Svaka kompanija koja čuva lične informacije o ljudima iz EU mora da se pridržava regulative. Ovo podrazumeva lične podatke na sajtovima e-trgovine, medijskim sajtovima, platformama za razmenu poruka, datotekama vezanim za fitnes ili aplikacijama koje imaju veze sa zdravljem – bilo gde da se čuvaju, elektronski ili na papiru.

Mit 2: GDPR ne utiče na mene jer nemam nijednu evropsku kancelariju

Pogađajte opet. Čuvanje podataka o klijentima iz EU bilo gde na svetu ne čini kompanije imunim na GDPR nadzor, čak i onih firmi bez velikog broja evropskih kupaca. Baza podataka o mušterijama iz EU, bez obzira na veličinu, mora da se povinuje regulativi gde god da se nalazi, tako da postoji argument za njeno čuvanje bliže kupcima. I one firme sa, na primer, britanskim kancelarijama, koje misle da ih Brexit čini imunim, takođe će otkriti da nisu u pravu. GDPR pokriva ceo region, bez obzira na Brexit. Firme sa sedištem u Velikoj Britaniji moraju da izaberu vodećeg regulatora u EU kao deo usaglašavanja. Regulator Ujedinjenog Kraljevstva ne može da se smatra “ekvivalentnim” regulatorom nakon Brexit-a, iako će Velika Britanija uključiti statut o GDPR-u pre Brexit-a.

Mit 3: Mogu da izaberem “regulatorni autoritet” koji najbolje odgovara mom biznisu

Nažalost, ne možete. Međutim, GDPR ima okvir za usklađivanje vezano za jedno mesto, u kom se usklađivanje odvija u zemlji koja sadrži “glavnu ustanovu”, to jest sedište. Kompanije treba da biraju lokaciju, ali preduzeća ne mogu samo da izaberu poverenika za podatke koji im se sviđa, već moraju da se fokusiraju na zaštitu podataka na toj određenoj lokaciji. Poverenici za podatke o GDPR-u žele da kompanije budu u skladu sa GDPR-om, tako da rad sa njima ima smisla.

Mit 4: Ako počnem sada, još uvek imam vremena da budem 100% u skladu sa GDPR-om pre 25. maja

S obzirom na opseg regulative o GDPR-u, ovo izgleda malo verovatno – iako bi hitno pokretanje programa za usaglašavanje trebalo da bude trenutni prioritet. Dobijanje saglasnosti potrošača za sve podatke o EU korisnicima kompanije je prilično masivan poduhvat, naročito s obzirom na veliku količinu takvih podataka za koje je verovatno potreban novi pristanak. Zatim, postoje i scenarija iz noćnih mora, kao što su provale u mreže i lopovi koji kradu neodobrene podatke potrošača. Novčane kazne bi se primenjivale ako niste pokušali da unapred zaštite mrežu. U ovoj kasnoj fazi, najbolji je plan da dobijete profesionalnu podršku.

Sa GDPR-om koji je samo par meseci daleko, kompanije bi trebalo da ozbiljno prouče GDPR i razmotre najbolje opcije. Priprema može da spreči potencijalne novčane kazne. U stvarnosti, malo je verovatno da će većina kompanija imati sve baze koje su usklađene do ovog roka. U Gartner-ovom izveštaju stoji da čak do kraja 2018. godine, više od polovine preduzeća koja potpadaju pod regulativu neće zapravo biti u potpunosti u skladu sa zahtevima GDPR-a. Evo najvažnijih koraka koje bi trebalo da preduzmete sada:

• Napravite reviziju podataka – Ovo podrazumeva poznavanje podataka o evropskim korisnicima kako bi bili u mogućnosti da uvedete sveobuhvatne mere kako bi ih zaštitili.
• Tražite pomoć stručnjaka iz ove oblasti.
• Imenujte internog službenika za zaštitu podataka – Takva osoba može da ima i druge dužnosti, ali je od ključne važnosti imati osobu koja će da nadgleda program usklađenosti sa GDPR-om. Zapravo, neke kompanije stvaraju čitave timove za upravljanje informacijama radi saradnje sa službenikom za zaštitu podataka.
• Razumeti prava potrošača na osnovu GDPR-a i imati plan za odgovor – Potrošači imaju pravo da vide svoje lične podatke (obično u roku od mesec dana od zahteva), menjaju ih i brišu, a mogu i da zahtevaju ograničenje dalje obrade takvih podataka, takođe povlačeći prethodnu saglasnost o korišćenju. Pored toga, kupci se moraju obavestiti u roku od 72 sata o kršenju podataka.
• Rasporedite adekvatan budžet, alate i resurse – Ako sada ne izdvojite sredstva za ozbiljan plan usklađenosti sa GDPR-om uštedećete novac, ali ne u poređenju sa troškovima kazni kasnije. Većina kompanija obučava svoje zaposlene kako bi im pomogli da razumeju šta usklađivanje podrazumeva tako da ljudska greška ne dovede do nehotičnog kršenja bezbednosti.

O usklađivanju sa zakonom i o GDPR-u govoriće se i na BIZIT seminaru pod naslovom „GDPR – digitalna prava i obaveze”, koji organizuje PC Press u saradnji sa Poverenikom za informacije od javnog značaja i zaštitu podataka o ličnosti, SHARE Fondacijom i Udruženjem ISACA. Seminar koji će ovu temu posmatrati kroz tri aspekta: pravnog, poslovnog i aspekta informacione bezbednosti, biće održan 14. marta počev od 10:00 u Klubu poslanika (Beograd).

Izvor: ITProPortal