Persónuverndarreglugerðin (ESB 2016/679) tók gildi 25. maí 2018 og bætti við nýjum þáttum og verulegum úrbótum á núverandi kerfi um persónuvernd.
Hlutverk og ábyrgð
Í aðdraganda GDPR hefur þú íhugað hvort þú þyrftir formlega að skipa persónuverndarfulltrúa – sem er nauðsynlegt ef:
- Þú ert opinber aðili eða stofnun; eða
- Kjarnastarfsemi þín krefst umfangsmikils, reglulegs og kerfisbundins eftirlits með einstaklingum; eða
- Kjarnastarfsemi þín felst í umfangsmikilli vinnslu sérstakra flokka gagna eða gagna sem tengjast sakfellingum og brotum.
Margar stofnanir kjósa að tryggja að einstaklingur eða deild beri ábyrgð á persónuverndarstarfsemi án þess að þörf sé á formlegri skipun persónuverndarfulltrúa. Það er lykilatriði í reglufylgni að tryggja að hlutverk og ábyrgð varðandi persónuvernd séu vel þekkt og skjalfest innan fyrirtækisins.
ROPA – Skrá yfir vinnslustarfsemi
Skjölun á vinnslustarfsemi fyrirtækisins er krafa samkvæmt 30. grein GDPR (bæði í Bretlandi og ESB) ef fyrirtækið þitt hefur yfir 250 starfsmenn. Þetta er einnig krafa fyrir minni fyrirtæki ef gögnin sem þú vinnur úr:
- eru ekki einstaka
- eru líkleg til að hafa áhrif á réttindi og frelsi einstaklinga; og
- fela í sér gögn um sérstaka flokka eða gögn um sakfellingar og brot.
ROPA-yfirlýsingin þín ætti að innihalda gagnakort af kerfum þínum sem innihalda persónuupplýsingar ásamt upplýsingum um lögmætan grundvöll vinnslunnar, tilgang og aðferðir við vinnslu gagna, stefnu og verklagsreglur um gagnadeilingu og varðveislu gagna.
Mikilvægt er að tryggja að þessi skjöl séu reglulega endurskoðuð þar sem líklegt er að þau verði uppfærð með tímanum.
Frekari leiðbeiningar frá ICO um bestu starfsvenjur varðandi ROPA eru tiltækar.
Stefnumál og verklagsreglur
Stefnumál og verklagsreglur ykkar ættu að útlista skýrt hlutverk og ábyrgð innan fyrirtækisins sem nær yfir ýmis svið sem tengjast friðhelgi einkalífs:
- Gagnavernd og skjalastjórnun
- Upplýsingaöryggi, þar á meðal öryggisbrot og atvikastjórnun
- Upplýsingaveiting í kjölfar beiðna um einstaklingsréttindi – svo sem beiðna um aðgang að upplýsingum og upplýsingatilkynninga
- Gagnavernd bæði innbyggð og sjálfkrafa til að tryggja að mál séu tekin til greina og skjalfest (mat á áhrifum á friðhelgi einkalífs) þegar ný kerfi, þjónusta, vörur og ferlar eru innleiddir eða núverandi kerfi eru breytt
- Persónuverndarstefnu vefsíðunnar ætti að vera endurskoða reglulega og dagsetning síðustu uppfærslu ætti að vera skýr
Birgjastjórnun
Það er nauðsynlegt að samningar séu til staðar við stofnanir sem vinna úr gögnum fyrir þína hönd. Í samningum ættu að vera tilgreind nánari upplýsingar um vinnsluna, þar á meðal:
- Efni vinnslunnar
- Lengd vinnslunnar
- Eðli og tilgangur vinnslunnar
- Tegund persónuupplýsinga og flokkar skráðra aðila
- Ef einhverjir undirvinnsluaðilar eru notaðir.
Þörf er á ramma áreiðanleikakönnunar til að tryggja að þessar stofnanir starfi samkvæmt viðeigandi tæknilegum og skipulagslegum kröfum til að uppfylla GDPR.
Mælt er með að fara reglulega yfir samninga og gagnadeilingarsamninga sem þú hefur gert við aðrar stofnanir.
Þjálfun
Það er lykilatriði að tryggja að starfsfólk þitt sé meðvitað um ábyrgð sína varðandi vinnslu persónuupplýsinga. Innleiðingar- og upprifjunarþjálfun ætti að innihalda upplýsingar um gagnavernd, hugsanlegar öryggisógnir og stefnu og skipulag upplýsingastjórnunar fyrirtækisins. Eftirlit með og skráning á því hvort þjálfun sé lokið er mikilvægur þáttur í því að geta sýnt fram á að þú fylgir reglum.
Önnur lög og reglugerðir
Í Bretlandi eru ýmis önnur lög og reglugerðir sem hafa áhrif á gagnaöryggi. Þar á meðal eru:
- Reglugerð um friðhelgi einkalífs og rafræn samskipti (PECR) frá 2003 – sem fjallar um „ruslpóst“ og fjöldapóstsendingar. Reglugerðir samkvæmt PECR eru einnig gefnar út öðru hvoru. Til dæmis reglugerðir um notkun vafrakökur á vefsíðum og árið 2016 um að skylda alla sem hringja í markaðssetningu til að birta símanúmer sitt
- Lög um höfundarrétt, hönnun og einkaleyfi – breytt árið 2002 til að ná yfir hugbúnaðarþjófnað
- Aðrir upplýsingatæknistaðlar og reglugerðir kunna að gilda: til dæmis þurfa fyrirtæki sem vinna úr kreditkortafærslum að tryggja að farið sé að gagnaöryggisstöðlum greiðslukortaiðnaðarins (PCI DSS).
Heimildir og tenglar
Heimasíða ICO fyrir stofnanir
GDPR vefgátt ESB – www.gdpreu.org
