Kas yra GDPR? Išsamus duomenų apsaugos, privatumo teisių ir atitikties reikalavimų vadovas

Kas yra GDPR?

GDPR (Bendrasis duomenų apsaugos reglamentas) yra Europos Sąjungos išsami duomenų apsaugos teisė, įsigaliojusi 2018 m. gegužės 25 d. Šis reglamentas nustato, kaip asmeniniai duomenys, priklausantys ES gyventojams, turi būti renkami, tvarkomi, saugomi ir apsaugoti bet kurios organizacijos visame pasaulyje. GDPR taikomas bet kuriai įmonei, kuri tvarko ES piliečių duomenis, nepriklausomai nuo to, kur yra įsikūrusi, todėl tai yra viena iš plačiausiai taikomų privatumo įstatymų pasaulyje.

Reglamentas įveda griežtas baudas iki 20 milijonų eurų arba 4% metinių pasaulinių pajamų (kuris yra didesnis), todėl atitiktis yra būtina visų dydžių verslams, veikiančiais skaitmeninėje ekonomikoje.

Kodėl GDPR atitiktis yra svarbi verslo sėkmei

• Pasaulinis pasiekiamumas: Taikoma bet kuriai įmonei, tvarkančiai ES gyventojų duomenis, nepriklausomai nuo įmonės vietos
• Griežtos baudos: Baudos iki 20 milijonų eurų arba 4% pasaulinių metinių pajamų už neatitiktį
• Padidėjęs vartotojų pasitikėjimas: Skaidrumas duomenų tvarkyme kuria stipresnius klientų santykius
• Konkurencinis pranašumas: Privatumo pirmumo požiūris išskiria prekes privatumo sąmoninguose rinkose
• Teisinė apsauga: Tinkama atitiktis mažina teisinius rizikos ir duomenų pažeidimų įsipareigojimus

Pagrindiniai GDPR įgyvendinimo privalumai skaitmeniniams verslams

Padidinta duomenų sauga

GDPR reikalavimai verčia organizacijas įgyvendinti tvirtas saugumo priemones, mažinant duomenų pažeidimų riziką ir saugant tiek klientų informaciją, tiek verslo reputaciją nuo kibernetinių grėsmių.

Pagerintas klientų pasitikėjimas

Skaidrios duomenų praktikos ir aiškios privatumo politikos rodo pagarbą vartotojų privatumui, kurdamos stipresnius klientų santykius ir didindamos prekės ženklo lojalumą privatumo sąmoninguose rinkose.

Geriau tvarkomi duomenys

GDPR atitiktis reikalauja, kad organizacijos audituotų ir organizuotų savo duomenų rinkimo praktikas, leidžiančias efektyviau tvarkyti duomenis ir sumažinti saugojimo išlaidas.

Įrodyti GDPR atitikties naudojimo atvejai ir įgyvendinimo pavyzdžiai

• E-prekybos platformos: Įgyvendinti slapukų sutikimo juostas ir duomenų tvarkymo sutartis klientų pirkimams
• El. pašto rinkodara: Reikalauti aiškaus sutikimo ir teikti lengvas atsisakymo mechanizmus
• Interneto analizė: Gauti vartotojo sutikimą prieš stebint elgesį ir siūlyti anonimizavimo galimybes
• Klientų aptarnavimas: Įgyvendinti duomenų prieigos užklausas ir šalinimo procesus klientų užklausoms
• Mobiliosios programėlės: Kurti privatumo pagal numatytuosius nustatymus ir skaidrias duomenų rinkimo pranešimus

Ar turėtumėte rinkti minimalų duomenų kiekį? Optimalus duomenų tvarkymo strategija

GDPR reikalauja duomenų minimizavimo - rinkti tik tuos asmeninius duomenis, kurie yra būtini jūsų konkrečiam verslo tikslui. Sutelkite dėmesį į aiškaus sutikimo gavimą duomenų tvarkymui ir reguliariai audituokite savo duomenų rinkimo praktikas, kad užtikrintumėte nuolatinę atitiktį.

Įgyvendinkite privatumo pagal dizainą principus nuo bet kurio naujo projekto pradžios, užtikrindami, kad duomenų apsaugos aspektai būtų integruoti į kiekvieną sistemą ir procesą, o ne pridėti kaip požiūris vėliau.

Kaip įvaldyti GDPR atitiktį: žingsnis po žingsnio įgyvendinimo vadovas

1 žingsnis: Atlikite duomenų auditą

• Žemėlapiuokite visus asmeninius duomenis, kuriuos jūsų organizacija renka, tvarko ir saugo
• Identifikuokite teisines pagrindus kiekvieno tipo asmeninių duomenų tvarkymui
• Dokumentuokite duomenų srautus tarp departamentų, sistemų ir trečiųjų šalių tiekėjų
• Įvertinkite esamas saugumo priemones ir identifikuokite atitikties spragas
• Sukurkite išsamų duomenų inventorių ir tvarkymo įrašą

2 žingsnis: Įgyvendinkite privatumo kontrolės priemones

• Kurkite aiškias, suprantamas privatumo politikos, paaiškinančias duomenų tvarkymo praktikas
• Įgyvendinkite slapukų sutikimo mechanizmus su detaliais sutikimo/atsisakymo pasirinkimais
• Sukurkite procesus, skirtus tvarkyti duomenų subjektų teisių užklausas (prieiga, šalinimas, perkeliamumas)
• Įsteigkite duomenų pažeidimų pranešimo procedūras institucijoms ir paveiktiems asmenims
• Įgyvendinkite privatumo pagal dizainą principus visose naujose sistemose ir procesuose

3 žingsnis: Įsteigti sutikimo valdymą

• Gauti aiškų, informuotą sutikimą prieš renkant asmeninius duomenis
• Teikti aiškią informaciją apie duomenų tvarkymo tikslus ir teisinį pagrindą
• Įgyvendinti lengvas atsisakymo mechanizmus anksčiau suteiktam sutikimui
• Vesti išsamius sutikimo, atšauktų ir atnaujintų įrašus
• Reguliariai peržiūrėti ir atnaujinti sutikimą nuolatiniams duomenų tvarkymo veiksmams

4 žingsnis: Saugumo ir atitikties stebėsena

• Įgyvendinti tinkamas technines ir organizacines saugumo priemones
• Atlikti reguliarius duomenų apsaugos poveikio vertinimus didelės rizikos tvarkymui
• Apmokyti darbuotojus apie GDPR reikalavimus ir geriausias duomenų apsaugos praktikas
• Įsteigti nuolatinę atitikties stebėseną ir reguliarius atitikties auditus
• Sukurti incidentų reagavimo planus galimiems duomenų pažeidimams ir pažeidimams

GDPR atitikties geriausios praktikos maksimaliai apsaugai

• Privatumas pagal dizainą: Integruoti duomenų apsaugą į kiekvieną sistemą ir procesą nuo pat pradžių
• Skaidri komunikacija: Naudoti aiškią, paprastą kalbą privatumo politikose ir sutikimo užklausose
• Reguliarūs auditai: Atlikti ketvirtinius atitikties peržiūras ir atnaujinti procesus, jei reikia
• Darbuotojų mokymai: Užtikrinti, kad visi darbuotojai suprastų GDPR reikalavimus ir savo atsakomybes
• Trečiųjų šalių valdymas: Patikrinti, ar visi tiekėjai ir partneriai laikosi GDPR atitikties standartų

GDPR atitikties DUK: Dažniausiai užduodami klausimai

Kas sudaro asmeninius duomenis pagal GDPR?

Asmeniniai duomenys apima bet kokią informaciją, kuri gali identifikuoti fizinį asmenį, įskaitant vardus, el. pašto adresus, IP adresus, buvimo duomenis, internetinius identifikatorius ir net pseudonimizuotus duomenis, kurie gali būti susieti su asmeniu.

Ar man reikia duomenų apsaugos pareigūno (DPO)?

DPO reikalingas, jei esate viešoji institucija, jūsų pagrindinės veiklos apima reguliarią asmenų stebėseną dideliu mastu, arba jūs tvarkote specialias asmeninių duomenų kategorijas dideliu mastu.

Kiek laiko galiu saugoti asmeninius duomenis pagal GDPR?

Duomenys turėtų būti saugomi tik tiek, kiek būtina pradiniam tikslui. Turite nustatyti ir dokumentuoti skirtingų duomenų tipų saugojimo laikotarpius ir automatiškai ištrinti informaciją, kai ji nebėra reikalinga.

Koks skirtumas tarp duomenų valdytojo ir duomenų tvarkytojo?

Duomenų valdytojas nustato asmeninių duomenų tvarkymo tikslus ir priemones, o duomenų tvarkytojas tvarko duomenis duomenų valdytojo vardu. Abu turi specifinių GDPR įsipareigojimų ir atsakomybę.

Kaip turėčiau tvarkyti duomenų subjektų teisių užklausas?

Į užklausas atsakykite per vieną mėnesį, patikrinkite prašytojo tapatybę, pateikite informaciją į dažnai naudojamą elektroninį formatą ir išlaikykite išsamius visų užklausų ir atsakymų įrašus atitikties dokumentacijai.