GDPR – nowe wymagania dla ochrony danych osobowych. Idzie zagłada?

W maju 2018 roku wymagane będzie spełnienie zapisów określonych w rozporządzeniu parlamentu EU w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (w skrócie: GDPR).

Największym chyba problemem jest możliwa do nałożenia kara za niespełnienie wymogów:

Naruszenia przepisów dotyczących następujących kwesti podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Jest jeszcze druga kara – maksymalnie dwa razy większa – za inne naruszenia (polecam zerknąć artykuł 83). Niektórzy wróżą nawet totalny armageddon – organizacja związana z PCI szacuje kary w samej Wielkiej Brytanii na 2018 rok na kwotę do 122 miliardów funtów (to sporo więcej niż całoroczny budżet Polski!)

Jak zwykle w tego typu dokumentach jest dużo prawniczej otoczki, choć w bardzo dużej mierze to techniczne zabezpieczenia wpływają na realne bezpieczeństwo danych. Co tutaj mamy?

(…) administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający (…) ryzyku, w tym między innymi w stosownym przypadku:

a) pseudonimizację i szyfrowanie danych osobowych;

b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

No więc przyznać się, kto z Was posiada udowodnioną zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania?

Kto mierzy bezpieczeństwo?

Kto regularnie testuje bezpieczeństwo?

Kto z Was realizuje analizę ryzyka? („Oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem”)

Dla różnych firm oczywiście te procesy będą wyglądać różnie i możliwe jest bazowanie na tzw. kodeksach postępowania (w skrócie – zbiorze opracowanych zasad do stosowania np. w danej branży czy w organizacji o określonej wielkości). Ale za wiele tego typu dokumentów nie mamy (w Polsce chyba w ogóle) ?

Z ciekawostek – obowiązywało będzie również zgłaszanie naruszenia ochrony danych osobowych (za brak spełnienia tego obowiązku –  kara jak wyżej):

W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu właściwemu (…)

Konkrety odnośnie wdrażania całości miały być w zeszłym roku, ale temat coś przycichł. A tymczasem zegar tyka i wszyscy w UE muszą się zastosować do nowej regulacji – do dnia 25 maja 2018.

Na koniec mały dokument do przejrzenia, przedstawiający w przyjaznej formie nowe przepisy + pokazujący checklistę, którą można użyć do przygotowania się na 2018 rok.

PS
Jeśli ktoś ma jakieś informacje odnośnie stanu przygotowania polskich przepisów do GDPR, prośba o komentarz.

–ms