Ce nu trebuie să uiți atunci când începi implementarea GDPR în compania ta
Momentele agitației din jurul introducerii GDPR s-au încheiat – acum este legea pe care trebuie să o respecte toate organizațiile care se ocupă de datele cu caracter personal ale rezidenților UE. În caz contrar, o încălcare te duce la consecințe financiare inevitabile. Cum te asiguri că nu uiți ceva important atunci când începi implementarea GDPR pentru compania ta?
Provocarea GDPR astăzi
Regulamentul general privind protecția datelor ( GDPR ) a standardizat protecția datelor în toate cele 28 de țări ale UE și a impus noi reguli stricte privind prelucrarea și controlul datelor personale ale utilizatorilor. Toate site-urile care colectează date de la rezidenții UE sunt obligați să se alinieze la cerințele de conformitate GDPR. În caz contrar, pot fi amendați cu până la 4% din cifra de afaceri globală (sau 20 de milioane EUR). Deci, dacă oamenii din Uniunea Europeană vizitează frecvent site-ul tău web, merită să fie pregătiți.
Ești eligibil pentru GDPR dacă:
- Compania ta prelucrează orice date de la orice persoană vizată care este cetățean al UE;
- Aștepți clienți (sau vizitatori pe site-ul tău) din Europa;
- Există chiar și o mică posibilitate de a colecta date de la un cetățean al UE;
- Oricare dintre furnizorii tăi terți colectează informații în numele tău în Europa.
Ce nu trebuie să uiți dacă dorești implementarea GDPR în compania ta: trei pași de bază
Iată o scurtă listă de verificare a conformității GDPR pentru companiile din situate în UE dar și în SUA cu privire la condițiile GDPR.
1. Partea legală
Audit informații: Ce date prelucrezi
Companiile trebuie să păstreze o listă actualizată și detaliată a activităților lor de prelucrare. Această listă ar trebui să includă răspunsuri la următoarele întrebări:
- În ce scopuri prelucrezi datele;
- Ce fel de date prelucrezi;
- Cine are acces la datele procesate în compania ta;
- Ce părți terțe au acces la aceste date și unde se află;
- Ce faci pentru a proteja datele (de exemplu, criptarea);
- Când intenționezi să ștergi datele colectate (dacă este posibil).
Autoritățile de reglementare pot solicita să le fie transmită această listă în orice moment.
Care este justificarea ta legală pentru activitățile de prelucrare a datelor?
Conform GDPR, prelucrarea datelor este ilegală, cu excepția cazului în care o justificați prin una dintre cele șase condiții ( articolul 6 , articolele 7-11 ) :
- Consimţământ
- Necesitatea executării unui contract
- Respectarea unei obligații legale
- Protejarea intereselor vitale ale oamenilor
- Realizarea sarcinilor de interes public sau autoritate oficială
- Interese legitime.
După ce alegi o bază legală pentru procesare, ar trebui să îți documentezi motivele.
Cât de transparentă este politica ta de confidențialitate
Configurarea unei politici clare de confidențialitate și cookie-uri este una dintre cerințele principale de conformitate GDPR. Iată ce ar trebui să includă politica ta de confidențialitate: informarea oamenilor că datele lor sunt colectate; scopul colectării datelor; activități de prelucrare a informațiilor; informații despre persoanele care au acces la datele colectate; măsurile care trebuie luate pentru a menține datele colectate în siguranță.
Furnizează politica de confidențialitate persoanelor înainte sau în momentul colectării datelor acestora. Fă-l ușor accesibil pe site și utilizează un limbaj simplu.
2. Securitatea informațiilor
Protecția datelor prin selectare și implicit
Pentru a respecta GDPR, trebuie să încorporezi concepte stricte de protecție a datelor în sânul companiei tale, urmând principiile „protecției datelor prin selectare și implicit”, enunțate în articolele 5 și 25. Ia toate măsurile tehnice și organizaționale pentru a oferi siguranța a datelor colectate și prelucrate.
Pseudonimizare și criptare
Pentru a păstra datele în siguranță, GDPR solicită companiilor să utilizeze criptarea sau pseudonimizarea ori de câte ori este posibil (articolul 32).
Politica de securitate internă
Configurează o securitate operațională puternică. Politica internă de securitate trebuie să se asigure că angajații și membrii echipei tale au cunoștințe suficiente despre securitatea datelor. În plus, ar trebui să includă îndrumări despre parole, VPN-uri, autentificare în doi factori, securitate e-mail și criptare dispozitiv. Asigură-te că personalul cu acces la datele cu caracter personal primește instruire suplimentară.
Analiza impactului asupra protecției datelor (DPIA)
DPIA te ajută să înțelegi cum serviciul tău ar putea amenința datele clienților și cum să atenuezi aceste riscuri. Ești obligat să efectuezi DPIA ori de câte ori intenționezi să utilizezi datele colectate pentru a arăta un risc ridicat pentru drepturile și libertățile proprietarilor de date.
Termen de notificare de 72 de ore despre încălcarea datelor
În cazul unei încălcări a datelor și expunerii la date cu caracter personal, ai la dispoziție 72 de ore pentru a notifica autoritatea de reglementare din jurisdicția ta cu privire la incident. În plus, ești obligat să informezi persoanele afectate despre riscurile pe care le impune încălcarea.
3. Responsabilitate
Atribuie un DPO (data protection officer) sau o persoană de contact responsabilă
Responsabilul cu protecția datelor este o persoană care monitorizează conformitatea GDPR, oferă consiliere cu privire la evaluările impactului asupra protecției datelor, efectuează analize ale riscurilor în domeniul protecției datelor și cooperează cu autoritățile de protecție a datelor. Dar pentru a fi cât mai sigur de reușita procesului de implementare GDPR, te poți folosi de consultanța unor experți în protecția datelor gdpr.
Semnează un contract de prelucrare a datelor cu partenerii tăi
Dacă vreun furnizor terț gestionează informații despre persoanele vizate (de exemplu, servicii de e-mail, software de analiză sau servere cloud), trebuie să respecte GDPR. De obicei, site-urile lor web trebuie să conțină un acord de prelucrare a datelor.
Aceste lucruri simple dar esențiale pe care nu trebuie să le uiți, te vor ajuta să implementezi cu succes legea privind confidențialitatea datelor în compania ta.
