Ընդհանուր տվյալների պաշտպանության կանոնակարգը (ԵՄ 2016/679) ուժի մեջ է մտել 2018 թվականի մայիսի 25-ին՝ ավելացնելով նոր տարրեր և էական բարելավումներ գործող տվյալների պաշտպանության ռեժիմում։.
Դերերը և պարտականությունները
GDPR-ի ընդունմանը նախորդող ժամանակահատվածում դուք հաշվի կառնեք, թե արդյոք անհրաժեշտ է պաշտոնապես նշանակել տվյալների պաշտպանության պատասխանատու (DPO), ինչը անհրաժեշտություն է, եթե՝
- Դուք պետական մարմին կամ կազմակերպություն եք, կամ
- Ձեր հիմնական գործունեությունը պահանջում է անհատների լայնածավալ, կանոնավոր և համակարգված մոնիթորինգ, կամ
- Ձեր հիմնական գործունեությունը բաղկացած է տվյալների հատուկ կատեգորիաների կամ քրեական դատվածությունների և հանցագործությունների հետ կապված տվյալների լայնածավալ մշակումից։.
Շատ կազմակերպություններ նախընտրում են ապահովել, որ անհատը կամ բաժինը պատասխանատու լինի գաղտնիության գործունեության համար՝ առանց տվյալների պաշտպանության պատասխանատուի պաշտոնական նշանակման անհրաժեշտության: Տվյալների պաշտպանության դերերի և պարտականությունների ձեր կազմակերպությունում լավ հայտնի և փաստաթղթավորված լինելը համապատասխանության հիմնական պահանջ է:.
ROPA – Մշակման գործունեության գրանցում
Կազմակերպության կողմից իրականացվող մշակման գործունեության փաստաթղթավորումը GDPR-ի 30-րդ հոդվածի պահանջ է (թե՛ Մեծ Բրիտանիայի, թե՛ ԵՄ-ի համար), եթե ձեր կազմակերպությունն ունի 250-ից ավելի աշխատակից: Այն նաև պահանջ է փոքր ընկերությունների համար, եթե ձեր կողմից մշակվող տվյալները՝
- պատահական չեն
- հավանական է, որ ազդեն անհատների իրավունքների և ազատությունների վրա, և
- ներառում են հատուկ կատեգորիայի տվյալներ կամ քրեական դատվածության և հանցագործության տվյալներ։.
Ձեր ROPA-ն պետք է պարունակի ձեր համակարգերի տվյալների քարտեզ, որոնք պարունակում են անձնական տվյալներ, ինչպես նաև տեղեկատվություն մշակման օրինական հիմքերի, տվյալների մշակման նպատակների և մեթոդների, տվյալների փոխանակման և տվյալների պահպանման քաղաքականության և ընթացակարգերի վերաբերյալ։.
Կարևոր է ապահովել այս փաստաթղթերի պարբերաբար վերանայում, քանի որ ժամանակի ընթացքում թարմացումները հավանական են։.
ICO-ն լրացուցիչ ուղեցույցներ ունի ROPA լավագույն փորձի վերաբերյալ։
Քաղաքականություն և ընթացակարգեր
Ձեր քաղաքականությունն ու ընթացակարգերը պետք է հստակորեն սահմանեն ձեր կազմակերպության դերերն ու պարտականությունները, որոնք ընդգրկում են գաղտնիության հետ կապված մի շարք ոլորտներ՝
- Տվյալների պաշտպանություն և գրառումների կառավարում
- Տեղեկատվական անվտանգություն, ներառյալ խախտումները և միջադեպերի կառավարումը
- Տեղեկատվության տրամադրումը անհատական իրավունքների վերաբերյալ հարցումներից հետո, ինչպիսիք են՝ սուբյեկտի մուտքի հարցումները և տեղեկատվական ծանուցումները։
- Տվյալների պաշտպանություն՝ նախագծման և լռելյայն կերպով, որպեսզի ապահովվի, որ խնդիրները հաշվի առնվեն և փաստաթղթավորվեն (գաղտնիության վրա ազդեցության գնահատումներ), երբ ներդրվում են նոր համակարգեր, ծառայություններ, ապրանքներ և գործընթացներ, կամ փոփոխվում են առկա համակարգերը։
- Ձեր կայքի գաղտնիության քաղաքականությունը պետք է պարբերաբար վերանայվի, և վերջին թարմացման ամսաթիվը պետք է հստակ ցուցադրվի։
Մատակարարների կառավարում
Կարևոր է, որ պայմանագրեր կնքվեն ձեր անունից տվյալներ մշակող կազմակերպությունների հետ։ Պայմանագրերը պետք է սահմանեն մշակման մանրամասները, ներառյալ՝
- Մշակման առարկան
- Մշակման տևողությունը
- Մշակման բնույթը և նպատակը
- Անձնական տվյալների տեսակը և տվյալների սուբյեկտների կատեգորիաները
- Եթե օգտագործվում են որևէ ենթամշակողներ։.
Անհրաժեշտ է պատշաճ ուսումնասիրությունների շրջանակ՝ ապահովելու համար, որ այս կազմակերպությունները գործում են GDPR-ին համապատասխանելու համար համապատասխան տեխնիկական և կազմակերպչական պահանջները։.
Խորհուրդ է տրվում պարբերաբար վերանայել այլ կազմակերպությունների հետ կնքված պայմանագրերը և տվյալների փոխանակման համաձայնագրերը։.
Մարզում
Կարևոր է համոզվել, որ ձեր աշխատակիցները տեղյակ են անձնական տվյալների մշակման հետ կապված իրենց պարտականություններից: Ներածական և վերապատրաստման դասընթացները պետք է ներառեն տեղեկատվություն տվյալների պաշտպանության, անվտանգության հնարավոր սպառնալիքների և ձեր կազմակերպության տեղեկատվական կառավարման քաղաքականության և կառուցվածքների վերաբերյալ: Դասընթացների ավարտի մոնիթորինգը և փաստաթղթավորումը կարևոր տարր են ձեր համապատասխանությունը ցույց տալու համար:.
Այլ օրենքներ և կանոնակարգեր
Մեծ Բրիտանիայում կան տվյալների անվտանգությանը վերաբերող մի շարք այլ օրենքներ և կանոնակարգեր։ Դրանք ներառում են՝
- Գաղտնիության և էլեկտրոնային հաղորդակցության կանոնակարգեր (PECR) 2003 – որոնք վերաբերում են «սպամին» և զանգվածային մարքեթինգի փոստային հաղորդագրություններին: PECR-ի շրջանակներում կանոնակարգեր նույնպես պարբերաբար հրապարակվում են: Օրինակ՝ կայքերում թխուկների օգտագործման վերաբերյալ կանոնակարգեր, իսկ 2016 թվականին՝ մարքեթինգային զանգ կատարող յուրաքանչյուր անձից պահանջելու ցուցադրել իր համարը:
- Հեղինակային իրավունքի մասին «Դիզայնի և արտոնագրերի մասին» օրենք – փոփոխվել է 2002 թվականին՝ ծրագրային ապահովման գողությանը վերաբերող հարցերը կարգավորելու համար։
- Կարող են կիրառվել այլ ՏՏ ստանդարտներ և կանոնակարգեր. օրինակ՝ վարկային քարտերով գործարքներ մշակող ընկերությունները պետք է ապահովեն վճարային քարտերի արդյունաբերության տվյալների անվտանգության ստանդարտների (PCI DSS)։
Աղբյուրներ և հղումներ
ICO գլխավոր էջ կազմակերպությունների համար
ԵՄ GDPR պորտալ – www.gdpreu.org
