Nu toată lumea poate fi un specialist în conformitate cu GDPR, dar asta nu înseamnă că ar trebui să ignorați protecția datelor și confidențialitatea; mai ales dacă conduceți o afacere. Chiar dacă s-a vorbit mult despre conformitatea GDPR, faptul că este gata GDPR nu este un proiect unic. Este o abordare continuă a afacerilor.

A avea încredere în oamenii cu care ne împărtășim datele noastre (uitându-ne la Facebook!) Este o mare parte a modului în care facem afaceri online. Atunci când o companie are nevoie de date cu caracter personal pentru a-și conduce serviciul, utilizatorul ar trebui să fie conștient de ce și de cum sunt utilizate, astfel încât să poată decide cu privire la acest serviciu.

Acesta este motivul pentru care GDPR pune mai multă responsabilitate asupra organizațiilor și crește drepturile persoanelor.

Unii consultanți cu care am vorbit spun că nu există niciun fel de conformitate 100% GDPR. Este vorba mai mult de o privire asupra datelor și proceselor dintr-un punct de vedere „etic” și nu la fel de mult despre „instrumente” sau „liste de verificare”.

Deci, nu căutați un șablon, fiecare organizație are modul său de a face lucrurile. Încercați să dezvoltați o strategie eficientă de protecție a datelor și de confidențialitate bazată pe scenariul dvs. Acest ghid este doar un punct de plecare, cu o abordare la nivel înalt și generală. În mod ideal, va trebui să căutați în fiecare zonă a afacerii dvs. și să examinați modul în care colectați, procesați, dezvăluiți, stocați și ștergeți datele.

 Acest ghid are doar caracter orientativ și nu constituie consultanță juridică sau analiză juridică. Este posibil ca organizațiile să fie nevoite să solicite consiliere juridică independentă pentru probleme sau întrebări juridice specifice.

 

 

1. Cunoașteți conceptele și articolele cheie referitoare la GDPR

Respectarea GDPR nu înseamnă doar „remedierea unui site web”. Face parte din întreaga organizație.

Există doar câteva situații în care companiile nu procesează deloc informații. În majoritatea cazurilor, există diferite niveluri de personal cheie (HR, IT, marketing, echipe de securitate) care interacționează cu datele clienților și, prin urmare, ar trebui să fie conștienți de Regulamentul general privind protecția datelor. Nu este un spectacol pentru o singură persoană. Aveți nevoie atât de implementări tehnice, cât și legale.

Înțelegerea termenilor este un pas important. Iată câteva pe care le vom folosi în ghid și vă vor ajuta să navigați în GDPR:

Persoana vizată - o persoană fizică ale cărei date personale sunt prelucrate de către un operator sau un procesator.
Operator de date - entitatea care determină scopurile, condițiile și mijloacele de prelucrare a datelor cu caracter personal.
Date cu caracter personal - orice informație legată de o persoană fizică sau de o persoană vizată care poate fi utilizată pentru a identifica direct sau indirect persoana respectivă.
Procesor de date - entitatea care procesează date în numele controlorului de date.
Apoi, familiarizați-vă cu articolele de mai jos. Acest lucru vă va face tranziția către GDPR mai puțin dificilă.

Artă. 5: Principii referitoare la prelucrarea datelor cu caracter personal.
Artă. 6: Bazele legale ale prelucrării datelor cu caracter personal.
Artă. 12 - 22: Drepturile persoanei vizate (acces, portabilitatea datelor, dreptul de a fi uitat etc.)
Artă. 25 și 32: Companiile ar trebui să pună în aplicare măsurile de protecție necesare pentru a proteja datele cu caracter personal ale persoanei vizate.

Pași de acțiune:
Luați-vă timp pentru a citi legea.
Consultați Ghidul nostru complet GDPR WordPress.
Procesați cu atenție datele utilizatorului. Tratați-l așa cum ați trata secretele comerciale.
Evaluați-vă produsele, serviciile, instrumentele, furnizorii etc. conform dispozițiilor GDPR.
Informați-vă colaboratorii despre riscurile și beneficiile GDPR.

 

2. Ce trebuie făcut acum pentru respectarea GDPR

Ar trebui să acționați într-o mână de domenii diferite:

2.1. Cartografierea datelor

Un pas important către respectarea GDPR este să înțelegeți cum se mișcă datele în organizația dvs. Documentarea modului în care fluxul de informații în compania dvs. prin realizarea unui inventar vă ajută să demonstrați că vă conformați. Un bun punct de plecare ar trebui să fie această hartă a datelor: șablonul de date GDPR

harta datelor de conformitate gdpr
Cartografierea fluxului de date vă va ajuta, de asemenea, să identificați zonele care ar putea cauza probleme de conformitate GDPR. Nu uitați că operațiunile de procesare pot fi efectuate numai dacă operatorul de date se poate baza cel puțin pe o bază legală. Cea mai potrivită bază legală va depinde de datele cu caracter personal prelucrate și de scopurile prelucrării.

2.2. Politica de Confidențialitate

Examinați și actualizați politica dvs. de confidențialitate actuală. Acesta este primul loc în care oamenii vor căuta să verifice conformitatea GDPR.

Trebuie să comunicați persoanelor fizice baza legală pentru prelucrarea datelor, perioadele de păstrare, dreptul de a vă plânge atunci când clienții nu sunt mulțumiți de implementarea dvs., dacă datele lor vor face obiectul unei decizii automate și drepturile lor în temeiul GDPR.

Mai mult, trebuie să furnizați informațiile într-un limbaj concis, ușor de înțeles și clar.

2.3. Instruire

GDPR este un proiect de schimbare a afacerii - oamenii cu care lucrați trebuie să înțeleagă importanța protecției datelor și să fie instruiți cu privire la principiile de bază ale GDPR și la procedurile implementate pentru conformare.

Distribuiți acest articol oamenilor care trebuie informați.

Pași de acțiune:
Harta și documentarea fluxurilor de date efectuate de procesatorii de date.
Fii pe deplin transparent față de utilizatorul care renunță la informațiile lor.
Acordați notificări informative angajaților, vânzătorilor și clienților dvs. conform art. 13 din GDPR.
Configurați metoda de consimțământ pentru a utiliza consimțământul explicit / activ atunci când prelucrați date personale sensibile pe site-ul dvs. web.

 

3. Pașii de conformitate GDPR care trebuie urmați în continuare

Operatorii de date ar trebui să coopereze întotdeauna cu Autoritatea de Supraveghere în ceea ce privește îndeplinirea sarcinilor lor.

Programați audituri periodice ale activităților de prelucrare a datelor și controalelor de securitate din organizația dvs. Păstrați la zi înregistrările procesării datelor cu caracter personal pentru dovada consimțământului.

3.1. Verificați ce fac alți furnizori

Deoarece GDPR nu are reguli clare, piața va trebui să vină cu tactici diferite pentru a se asigura că datele sunt conforme, dar nu pentru a sacrifica experiența utilizatorului. O mulțime de companii au apărut cu noi funcții, așa că asigurați-vă că verificați modificările și cele mai bune practici pentru nișa dvs. pe site-urile concurenților.

3.2. Raportați încălcări de date

Ar trebui să vă asigurați că aveți procedurile potrivite pentru a detecta, raporta și investiga nu numai încălcări de date interne, ci și externe. Fiți inteligent în timp ce configurați matricea de încălcare a datelor pe baza severității încălcării datelor, a numărului de persoane afectate, a tipului de date personale afectate etc.

De obicei, trebuie să raportați încălcarea datelor către Autoritatea de Supraveghere în termen de 72 de ore, cu excepția cazului în care datele personale au fost anonimizate sau criptate.

3.3. Continuați să lucrați la politicile, procedurile și procesele operaționale

Așa cum am menționat anterior, confidențialitatea nu este un proiect unic. Este o muncă continuă pentru a vă asigura că datele pe care le colectați sunt sigure și utilizate cu un domeniu adecvat. Ar trebui să vă revizuiți procedurile pentru a vă asigura că acestea acoperă toate drepturile pe care le au indivizii, inclusiv modul în care ați șterge datele personale sau furniza datele în format electronic într-un format utilizat frecvent.

 Pași de acțiune:
Proiectarea mecanismului de raportare a încălcării datelor.
Aliniați toate procedurile interne în conformitate cu GDPR și politicile de confidențialitate.
Revizuirea și actualizarea contractelor angajaților, clienților și furnizorilor.
Securizarea datelor cu caracter personal prin măsuri organizatorice și tehnice adecvate.
Verificați dacă transferurile de date în afara UE sunt conforme cu cerințele GDPR. Nu uitați de punctele de tranziție.

 

4. Ajustările site-ului web

Acest subiect este puțin controversat, în special pentru dezvoltatori și specialiști în marketing. Aș spune că ajustarea formularelor și obținerea consimțământului pentru cookie-uri ar trebui să rezolve 80% din probleme. Cu toate acestea, rețineți că acesta nu este un sfat juridic.

4.1. Formulare de înscriere

Acesta este modul standard în care companiile colectează informații, deci trebuie să ajustați toate formularele pe care le utilizați. Nu există un consens cu privire la modul de a face cel mai bine acest lucru, dar urmăm recomandările furnizorului nostru de servicii de e-mail. Această infografie privind obținerea conformității GDPR este un bun punct de plecare.

4.2. Consimțământul cookie-urilor

Versiunea scurtă: informați vizitatorii dvs. în limbi simple despre scopul cookie-urilor și trackerelor dvs. înainte de a seta altceva decât cookie-urile strict necesare.

Există diferite moduri în care companiile implementează acest lucru, iar referința GDPR la cookie-uri nu clarifică lucrurile. Sigur, există așa-numitele cookie-uri funcționale care sunt utilizate pentru o sesiune, dar aveți nevoie de consimțământul specific pentru a seta un cookie pentru a urmări utilizatorul.

Ce trebuie să știți aici este că apare un alt regulament european (ePrivacy) care va legifera și mai mult cookie-urile.

 

5. Alte probleme de conformitate GDPR de luat în considerare

Iată alte aspecte ale GDPR care nu sunt mai puțin importante:

5.1. Transferul și divulgarea datelor

Ochii asupra transferului de date cu caracter personal. Asigurați-vă că procesatorii dvs. de date vă vor solicita aprobarea ori de câte ori intenționează să transfere date în afara UE / SEE. Aceleași reguli se aplică atunci când procesatorii de date intenționează să subcontracteze o parte din serviciile pe care le furnizează.

5.2. Evaluări de impact asupra protecției datelor (DPIA)

GDPR introduce DPIA-uri obligatorii pentru organizațiile implicate în procesarea cu risc ridicat, cum ar fi implementarea de noi tehnologii, o operațiune de profilare care ar putea afecta în mod semnificativ persoanele, monitorizarea pe scară largă a unei zone accesibile publicului etc.

5.3. Evaluări ale intereselor legitime (LIA)

Spre deosebire de DPIA, LIAs este doar o cea mai bună practică dezvoltată în principal de specialiștii în domeniul confidențialității și se referă la toate acele situații în care controlorii de date încearcă să se bazeze pe interese legitime (operațiuni de marketing etc.). Un „interes” poate fi considerat „legitim” atâta timp cât operatorul de date poate urmări acest interes într-un mod care respectă protecția datelor și alte legi.

5.4. Responsabili cu protecția datelor

GDPR va solicita unor organizații să desemneze un responsabil cu protecția datelor (DPO). Organizațiile care necesită RPD includ autorități publice, organizații ale căror activități implică monitorizarea regulată și sistematică a persoanelor vizate la scară largă sau organizații care procesează ceea ce este cunoscut în prezent ca „date cu caracter personal sensibil” la scară largă.

5.5. Prelucrarea datelor copiilor

Dacă organizația dvs. prelucrează date de la subiecți minori, trebuie să vă asigurați că aveți sisteme adecvate pentru a verifica vârstele individuale și a obține consimțământul tutorilor. GDPR are câteva dispoziții specifice pentru copiii sub 16 ani (vă rugăm să rețineți articolul 8 din GDPR).

 

6. Monitorizați și auditați

Întreprinderile trebuie să recunoască faptul că transparența cu privire la modul în care datele sunt utilizate și protejate este acum cerută de lege. Fiecare organizație (inclusiv organizațiile de caritate și entitățile din sectorul public) trebuie să definească sfera pentru care colectează date specifice.

Ar trebui să colectați doar informații personale care sunt necesare pentru a furniza serviciul sau produsul și nimic mai mult. De asemenea, datele nu ar trebui să fie partajate în alte scopuri fără legătură.

Un alt lucru important este să păstrați datele în siguranță de hacking, exacte și actualizate și chiar să le ștergeți după o perioadă.

Regulamentul general privind protecția datelor lasă mult spațiu de îmbunătățit atunci când vine vorba de protejarea persoanelor. Acesta este motivul pentru care viitorul regulament privind confidențialitatea electronică va aduce și mai multă transparență, în special în Big Data, aruncând o lumină asupra apariției și a scopului analitice. Acesta ar trebui să fie un motiv suficient de bun pentru a vă monitoriza și audita datele în mod regulat.

Nu te opri aici. Accesați resursele oficiale pe care le-am folosit pentru acest ghid și aflați despre confidențialitate.