Všeobecné nariadenie o ochrane údajov (GDPR)

Všeobecné nariadenie o ochrane údajov (GDPR) bolo v Európskej únii (EÚ) prijaté v roku 2016 a vyžaduje, aby všetky podniky chránili aktualizovanú definíciu osobných a súkromných údajov občanov EÚ pri transakciách uskutočňovaných v členských štátoch EÚ. Smernica stanovuje pravidlá ochrany osobných údajov, ktoré poskytujú transparentnosť a rozšírené práva na súkromie pre občanov EÚ.

Aká je aktualizovaná definícia súkromia?

Základná definícia osobných údajov je akákoľvek informácia týkajúca sa identifikovanej alebo identifikovateľnej fyzickej osoby (dotknutej osoby).

Medzi príklady súkromných údajov, na ktoré sa vzťahuje GDPR, patria:

• Meno a priezvisko
• Emailová adresa
• Telefónne číslo
• Adresa bydliska
• Dátum narodenia
• Závod
• Genetické markery alebo identifikované predispozície
• Rod
• Náboženská príslušnosť
• Politické názory
• Čísla kreditných kariet
• Údaje uchovávané nemocnicou alebo lekárom
• Fotografia, na ktorej je možné identifikovať osobu
• Číslo identifikačnej karty
• ID súboru cookie
• Adresa internetového protokolu (IP).
• Údaje o polohe (napríklad údaje o polohe z mobilného telefónu)
• Reklamný identifikátor vášho telefónu

V prípade zistenia úniku údajov sú spoločnosti podľa GDPR teraz povinné informovať všetky dotknuté osoby a dozorné orgány do 72 hodín. Nariadenia GDPR sa vzťahujú na všetky údaje o ochrane osobných údajov vytvorené pre obyvateľov EÚ bez ohľadu na to, či sú občanmi krajín EÚ alebo nie.

GDPR definuje sankcie za nedodržiavanie predpisov. Nedodržiavanie predpisov GDPR môže mať za následok pokuty v rozmedzí od 10 miliónov eur až po štyri percentá ročného globálneho obratu spoločnosti.

Podľa GDPR nemôžu spoločnosti legálne spracovávať osobné údaje (PII) žiadnej osoby bez splnenia aspoň jednej z nasledujúcich šiestich podmienok:

1. Výslovný súhlas používateľa alebo spracovanie osobných údajov je nevyhnutné:

1. na plnenie zmluvy s používateľom alebo na vykonanie krokov na uzavretie zmluvy; alebo
2. na splnenie zákonnej povinnosti; alebo 
3. na ochranu životne dôležitých záujmov používateľa alebo inej osoby; alebo
4. na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi; alebo
5. na účely oprávnených záujmov prevádzkovateľa alebo tretej strany, s výnimkou prípadov, keď nad týmito záujmami prevažujú záujmy, práva alebo slobody používateľa.

Okrem toho musia spoločnosti, ktoré vykonávajú spracovanie údajov alebo monitorujú dotknuté osoby vo veľkom rozsahu, vymenovať zodpovednú osobu za ochranu údajov (DPO). DPO je osobou zodpovednou za správu údajov a zabezpečenie súladu spoločnosti s GDRP. Táto osoba je zodpovedná za zabezpečenie uplatňovania vhodných zásad ochrany údajov pri uchovávaní osobných údajov.

Čo to znamená pre malé a stredné podniky?

Firmy, ktoré pôsobia mimo EÚ a nespracúvajú súkromné ​​údaje dotknutých osôb z EÚ, ako je uvedené v zozname vyššie, sa nemusia obávať samotného GDPR. Podobná legislatíva však platí vo väčšine sveta, takže by sa firmy mali namiesto toho zamerať na preskúmanie práv na ochranu osobných údajov vo svojej krajine. Keď pochopíte svoje zákonné povinnosti vo svojej domovskej krajine, budete chcieť vypracovať plán oznamovania porušení.

Dôležitosť plánu oznamovania porušení

Je veľmi dôležité mať plán na informovanie všetkých používateľov a príslušných agentúr zapojených do porušenia údajov. Čas na zistenie, ako informovať a aké sú príslušné zákony a požiadavky domovskej krajiny, nie je počas porušenia, ale pred ním. V USA existuje v jednotlivých štátoch rôznorodá prešívaná paleta zákonov o ochrane údajov. Neexistuje žiadny federálny zákon. Pri príprave procesu oznámenia o porušení si vyhľadajte externého poradcu a odborníkov, ktorí vám pomôžu dodržiavať predpisy každého štátu (alebo krajiny), o ktorej máte údaje.

Predpisy o ochrane osobných údajov podľa krajiny (príklad): 

• Európskej únie Všeobecné nariadenie o ochrane údajov (GDPR)
• Kalifornský zákon o ochrane spotrebiteľa (2018)
• Austrálsky dodatok o ochrane súkromia Zákon (o porušeniach údajov podliehajúcich oznamovaniu) z roku 2017
• Zákon o ochrane osobných údajov a elektronických dokumentoch (PIPEDA)
• Nemecký zákon o ochrane údajov v porovnaní s GDPR (BDSG)

Spoločnosť CyberHoot odporúča, aby ste poznali zákony, ktoré sa týkajú vašej spoločnosti, a pripravili si dokument o procese oznamovania porušení, ktorý tieto zákony odráža. Nezabudnite tento proces každoročne testovať.

Najlepšou obranou proti pokutám za porušenie údajov je žiadne porušenie

Okrem zavedenia procesu oznamovania narušení existuje mnoho ďalších opatrení, ktoré môže vaša spoločnosť podniknúť na zníženie rizika narušenia. CyberHoot odporúča tieto základné protiopatrenia proti narušeniu:

• Školte a testujte zamestnancov, ako ich rozpoznať a vyhnúť sa im Phishing, SMiShingovýcha vishing útoky;
• Riaďte zamestnancov súborom politík kybernetickej bezpečnosti, ktoré stanovujú požiadavky spoločnosti na kybernetickú bezpečnosť;
• Zamestnať princíp najmenej výsad odobratím administrátorských práv z používateľských počítačov a notebookov;
• Zaveďte správcu hesiel na zlepšenie hygieny hesiel zamestnancov;
• Povoliť dvojfaktorové overenie na všetkých kritických účtoch (e-mail, bankový účet atď.); a
• Overte volajúcich vo vašej firme, keď podávajú žiadosti s vysokou hodnotou (žiadosti o informácie, zmeny rezervácií, platby kreditnou kartou atď.). Spoločnosti s prístupom k mobilným telefónnym číslam klientov by mali každému žiadateľovi o zmenu poslať overovací kód prostredníctvom SMS.

Ak sa chcete dozvedieť viac o GDPR, pozrite si toto krátke 5-minútové video:

Zdroje: 

Online CSO

TechTarget

ZDNet

Ďalšie čítanie:

Booking.com dostal pokutu za útok na Vishinga

Predpisy sa nekončia pri kalifornskom zákone CCPA

Súvisiace podmienky:

Kalifornský zákon o ochrane spotrebiteľa (CCPA)

Zistite, ako môže CyberHoot zabezpečiť vaše podnikanie.

Naplánujte si ukážku