Generel databeskyttelsesforordning (GDPR)

Den generelle forordning om databeskyttelse (GDPR) blev vedtaget i Den Europæiske Union (EU) i 2016 og kræver, at alle virksomheder beskytter en opdateret definition af personoplysninger og private data for EU-borgere i forbindelse med transaktioner, der finder sted inden for EU's medlemsstater. Direktivet fastsætter regler for databeskyttelse, der giver gennemsigtighed og udvidede rettigheder til privatlivets fred for EU-borgere.

Hvad er den opdaterede definition af privatliv?

Den grundlæggende definition af personoplysninger er enhver information, der vedrører en identificeret eller identificerbar fysisk person (den registrerede).

Eksempler på private data, der er omfattet af GDPR, inkluderer:

• Navn og efternavn
• E-mail adresse
• Telefonnummer
• Hjemme adresse
• Fødselsdato
• Løb
• Genetiske markører eller identificerede prædispositioner
• Køn
• Religiøs tilknytning
• Politiske meninger
• Kreditkortnumre
• Data opbevaret af et hospital eller en læge
• Fotografi hvor en person kan identificeres
• Identifikationskortnummer
• Et cookie-ID
• Internetprotokol (IP) adresse
• Lokationsdata (for eksempel lokationsdata fra en mobiltelefon)
• Din telefons reklame-id

Når et databrud er blevet opdaget, er virksomheder nu forpligtet i henhold til GDPR til at underrette alle berørte personer og tilsynsmyndighederne inden for 72 timer. GDPR-reglerne gælder for alle privatlivsdata, der oprettes for EU-borgere, uanset om de er statsborgere i EU-lande eller ej.

GDPR definerer sanktioner for manglende overholdelse. Manglende overholdelse af GDPR-forskrifter kan resultere i bøder på alt fra 10 millioner euro til fire procent af virksomhedens årlige globale omsætning.

I henhold til GDPR må virksomheder ikke lovligt behandle nogens personligt identificerbare oplysninger (PII) uden at opfylde mindst én af følgende seks betingelser:

1. Brugerens udtrykkelige samtykke; eller behandling af privatlivsoplysninger er nødvendig:

1. for at opfylde en kontrakt med brugeren eller for at tage skridt til at indgå en kontrakt; eller
2. for overholdelse af en juridisk forpligtelse eller 
3. for at beskytte en brugers eller en anden persons vitale interesser; eller
4. med henblik på udførelsen af en opgave i offentlighedens interesse eller som led i udøvelsen af offentlig myndighed, der er tildelt den dataansvarlige, eller
5. med henblik på den dataansvarliges eller en tredjeparts legitime interesser, medmindre sådanne interesser tilsidesættes af brugerens interesser, rettigheder eller friheder.

Derudover skal virksomheder, der udfører databehandling eller overvåger registrerede i stor skala, udpege en databeskyttelsesrådgiver (DPO). DPO'en er den person, der er ansvarlig for datastyring og for at sikre, at virksomheden overholder GDPR. Denne person er ansvarlig for at sikre, at passende databeskyttelsesprincipper anvendes i forbindelse med opbevaring af personoplysninger.

Hvad betyder dette for en SMV?

Virksomheder, der opererer uden for EU og ikke behandler private data om registrerede i EU, som beskrevet i listen ovenfor, behøver ikke bekymre sig om selve GDPR. Tilsvarende lovgivning findes dog i det meste af verden, så virksomheder bør i stedet fokusere på at undersøge deres lokale lands rettigheder til databeskyttelse. Når du forstår dine juridiske forpligtelser i dit eget hjemland, bør du udvikle en plan for underretning om brud.

Vigtigheden af en plan for anmeldelse af brud

Det er meget vigtigt at have en plan for at underrette alle brugere og relevante myndigheder, der er involveret i et databrud. Tidspunktet for at finde ud af, hvordan man underretter, og hvad de gældende love og krav i hjemlandet er, er ikke under et brud, men før et. I USA findes der et kludetæppe af databeskyttelseslove fra de enkelte stater. Der er ingen gældende føderal lov. Når du forbereder din underretningsproces for brud, skal du sørge for at søge ekstern rådgivning og ekspertise for at hjælpe dig med at overholde reglerne for hver stat (eller land), du måtte have data om.

Databeskyttelsesforordninger efter land (et eksempel): 

• Den Europæiske Union Generel databeskyttelsesforordning (BNPR)
• Californiens forbrugerbeskyttelseslov (2018)
• Australiens privatlivsændring Lov om anmeldelsespligtige databrud fra 2017
• Lov om beskyttelse af personlige oplysninger og elektroniske dokumenter (PIPEDA)
• Tysklands databeskyttelseslovgivning sammenlignet med GDPR (BDSG)

CyberHoot anbefaler, at du kender de love, der påvirker din virksomhed, og at du udarbejder et dokument om brudsmeddelelsesproces, der afspejler disse love. Glem ikke også at teste processen årligt.

Det bedste forsvar mod bøder for databrud er slet ingen brud

Ud over at etablere en proces til anmeldelse af brud, er der mange andre handlinger, din virksomhed kan foretage for at reducere risikoen for et brud. CyberHoot anbefaler følgende grundlæggende modforanstaltninger mod brud:

• Træn og test medarbejdere i, hvordan de kan opdage og undgå Phishing, smishingog vishing angreb;
• Styr medarbejderne med et sæt cybersikkerhedspolitikker, der fastlægger virksomhedens cybersikkerhedskrav;
• Ansæt den princippet om mindst privilegium ved at fjerne administratorrettigheder fra brugernes stationære og bærbare computere;
• Indfør en adgangskodeadministrator for at forbedre medarbejdernes adgangskodehygiejne.
• Aktivér tofaktorgodkendelse på alle kritiske konti (e-mail, bank osv.); og
• Godkend opkaldere til din virksomhed, når de foretager anmodninger af høj værdi (anmodning om oplysninger, ændring af bookinger, opkrævning af kreditkort osv.). Virksomheder med adgang til kunders mobiltelefonnumre bør sende en sms med godkendelseskode til hver ændringsanmoder.

For at lære mere om GDPR, se denne korte 5-minutters video:

kilder: 

CSO Online

TechTarget

ZDNet

Yderligere læsning:

Booking.com idømt bøde efter angreb fra Vishing

Reglerne stopper ikke ved Californiens CCPA

Relaterede vilkår:

Californiens forbrugerbeskyttelseslov (CCPA)

Find ud af, hvordan CyberHoot kan sikre din virksomhed.

Planlæg en demo