W 2018 wchodzi w życie unijne Rozporządzenie o ochronie danych osobowych (RODO). Wiele firm nie rozpoczęło jeszcze przygotowań do jego wdrożenia. Tymczasem za niestosowanie się do nowych przepisów grozi grzywna w wysokości do 4% rocznego globalnego dochodu firmy.
75% firm, zgodnie z regulacjami wynikającymi z ich compliance, już teraz powinno w ściśle określonym czasie zgłaszać potencjalne zdarzenia naruszenia bezpieczeństwa danych. Tymczasem 44% z nich przyznaje, że regularnie przekracza wyznaczone terminy – wynika z badań przeprowadzonych przez firmę Balabit podczas RSA Conference 2016 w San Francisco. Zgodnie z RODO przedsiębiorstwa będą mieć zaledwie 72 godziny na to, by poinformować krajowe organy nadzorujące (w Polsce – GIODO) o incydencie naruszenia bezpieczeństwa danych w ich organizacji. W przeciwnym razie ukarane zostaną wysokimi grzywnami.
Eksperci firmy Balabit, dostawcy kontekstowej technologii bezpieczeństwa danych, prezentują praktyczne porady, jakie działania już teraz powinny podjąć organizacje, by wprowadzić unijne zalecenia na czas.
Punktem wyjścia do wdrożenia regulacji powinno być stworzeniemiędzywydziałowych zespołów, które opracują plan wdrożenia nowych regulacji w organizacji. Nie jest to bowiem zadanie, które można powierzyć działowi IT i oczekiwać, że upora się on z nim samodzielnie. Wymaga ono wspólnego wysiłku działu finansowego, prawnego, wewnętrznego oraz bezpieczeństwa IT, a nawet działu marketingu, który również ma do czynienia z zarządzaniem danymi osobowymi w różnej formie.
Aby organizacja działała zgodnie z przepisami RODO, wszyscy muszą dołożyć swoją cegiełkę.
- Pierwszym krokiem jest zwrócenie się do działu IT oraz prawnego o przeanalizowanie całego dokumentu i stworzenie listy istotnych dla każdego zespołu elementów.
- Następnie należy zbudować szczegółowy obrazu wszystkich danych osobowych, z którymi przedsiębiorstwo ma do czynienia i opisać, skąd pochodzą, gdzie są przechowywane, przesyłane i co zawierają.
Na tym etapie konieczna będzie ocena poziomu bezpieczeństwa przeprowadzona w oparciu o dokument dot. strategii ochrony danych „Privacy by design”, stworzony przez Europejską Agencję Bezpieczeństwa Sieci i Informacji (ENISA), z którego wyraźne zapożyczenia znajdują się również w RODO.
Podczas prac nad mapowaniem danych staraj się sprowadzać ich widoczność do niezbędnego minimum (określonego w RODO jako minimalizacja). Pozyskuj tyle danych osobowych, na ile zgadza się dany podmiot, ale deszyfruj i przetwarzaj tylko tyle, ile jest konieczne.
- Możliwe, że konieczne będzie także wprowadzenie nowych rozwiązań technologicznych lub modyfikacja polityki prywatności, by ocenić, czy twoje działania stanowią jakiekolwiek zagrożenie dla transferu lub przechowywania danych osobowych. Nazywa się to oceną wpływu na ochronę prywatności. W takim przypadku należy mieć na uwadze dwie istotne kwestie:
- po pierwsze, zabezpieczaj dane w trakcie ich przekazywania lub przechowywania i zawsze miej kontrolę nad tym, kto ma dostęp do danych osobowych oraz jakie działania może na nich podejmować;
- po drugie, raportuj i dokumentuj wszystko co robisz, by mieć dowód, że podjąłeś wszystkie niezbędne działania, by zachować zgodność z przepisami RODO.
Jakkolwiek GDPR może wydawać się skomplikowane na tym wczesnym etapie planowania, przystąpienie do działania nie jest tak trudne pod warunkiem, że nad wdrożeniem pracuje międzywydziałowy zespół i podzielona zostanie odpowiedzialność. Nie czekaj, aż zabraknie czasu na przygotowania. Zachowaj chłodny umysł i skup się na rzeczach istotnych.
