4 etapy przygotowań do wejścia nowych przepisów o ochronie danych osobowych

Połowa firm nie słyszało o czekających ich nowych obowiązkach.

Sprzedaż biletu lotniczego dla obywatela z Europy, rezerwacja hotelu na jego nazwisko czy zakupy w internecie – wszystkie te procesy objęte będą nowym unijnym rozporządzeniem o ochronie danych osobowych (angielski skrót: GDPR, polski: RODO), które dotyczyć będzie niemal wszystkich transakcji biznesowych. Również tych przeprowadzanych przez firmy z innych kontynentów, a w tym amerykańskich. Przedsiębiorcy muszą odpowiednio przygotować się na wejście GDPR. Tymczasem jeszcze kilka miesięcy temu 52 proc. polskich firm w ogóle nie słyszało o regulacji, która wchodzi w życie za rok.

Na przedsiębiorcach spoczywa olbrzymia odpowiedzialność - posiadają dostęp do danych, które w erze technologii z każdą chwilą zyskują na wartości, zachęcając cyberprzestępców do ataków. Wszelkie niedociągnięcia w zakresie ich ochrony mogą nieść ze sobą poważne konsekwencje. Dlatego GDPR nie pozostawia na nie miejsca.

Nowe przepisy będą m.in. umożliwiać kontrolowanie rejestrowania, przechowywania, przetwarzania i udostępniania danych osobowych klientów i pracowników firm. GDPR gwarantuje obywatelom prawo do usunięcia swoich danych z bazy, a także otrzymywania informacji o każdorazowym wycieku lub naruszeniu danych (firma zrządzająca danymi będzie mieć na to maksymalnie 72 godziny). Przedsiębiorcy będą musieli odnawiać otrzymaną zgodę na przetwarzanie danych osobowych - obecnie jest ona wydawana przez właściciela danych tylko raz, dożywotnio. Konieczne będzie także uzyskanie dodatkowej zgody właściciela danych na ich transfer.

Jeśli firma popełni błąd, nie dopełniając stosownych procedur, będzie musiała liczyć się z dotkliwymi skutkami, takimi jak utrata reputacji czy wysokie kary finansowe. Nowe rozporządzenie przewiduje bowiem, że za naruszenie GDPR na przedsiębiorstwo będzie można nałożyć grzywnę w wysokości 4 proc. całkowitego globalnego obrotu firmy w skali rocznej lub 20 mln euro, w zależności od tego, która wartość będzie wyższa. Pod uwagę nie będą brane żadne okoliczności łagodzące.

Polscy przedsiębiorcy nieprzygotowani

Jeszcze zaledwie kilka miesięcy temu ponad połowa polskich firm nie słyszała nawet o GDPR. Tymczasem przygotowanie organizacji na wejście w maju 2018 roku nowych przepisów może zająć nawet rok.

Głównego problemu z przygotowaniem na wejście GDPR w przypadku wielu przedsiębiorstw  należy upatrywać w procedurach, praktykach operacyjnych i infrastrukturze IT. Edward Gołda, administrator bezpieczeństwa informacji w Capgemini Polska sp. z o. o., przestrzega, że stworzenie jasnej polityki prywatności czy powołanie inspektora ochrony danych wiąże się z koniecznością przeprowadzenia starannego i długotrwałego procesu przygotowawczego, uwzględniającego również infrastrukturę IT firmy. Zasoby danych muszą zostać odpowiednio zabezpieczone.

Edward Gołda precyzuje, że proces przygotowania firmy na wejście w życie GDPR składa się z czterech etapów:

1. Przeprowadzenie audytu, który obejmuje analizę i zalecenia dotyczące planowania, zarządzania, kultury firmy, danych i technologii, i którego wynikiem jest lista wniosków i rekomendacji.
2. Na podstawie wyniku audytu tworzony jest plan strategiczny oraz analiza skutków wprowadzenia zmian pod kątem GDPR w firmie. Na tym etapie ocenie podlega infrastruktura IT przedsiębiorstwa.
3. Na podstawie punktu drugiego stworzony zostanie plan rozwoju dla inspektora ochrony danych.
4. Ostatnim stadium przygotowań jest opracowanie i zaimplementowanie w firmie trzech rozwiązań technologicznych, umożliwiających zabezpieczenie, zarządzanie i ochronę  baz danych.

Po co te zmiany?

Bezpieczeństwo danych osobowych naruszane jest coraz częściej. Tylko w Stanach Zjednoczonych w 2016 roku wykryto ponad 16 mln przypadków naruszenia prywatności z danych pochodzących z dokumentów medycznych. W wyniku cyberataku na E-Sports Entertainment Association (ESEA), ligę popularnej gry internetowej, wyciekło ponad 1,5 mln danych użytkowników. Spełnienie warunków narzucanych regulacją, która wejdzie w życie 25 maja 2018 roku, pozwoli na ich ochronę, o ile firmy zdążą wdrożyć wszystkie niezbędne rozwiązania.

Pobierz ebook "Social media marketing dla firm i agencje się w nim specjalizujące"