Общий регламент по защите данных (ЕС 2016/679) вступил в силу 25 мая 2018 года, внеся новые элементы и существенные улучшения в существующий режим защиты данных.
Роли и обязанности
В преддверии GDPR вы наверняка задумывались о необходимости официального назначения сотрудника по защите данных (DPO) – это необходимо, если:
- Вы являетесь государственным органом или учреждением; или
- Ваша основная деятельность требует масштабного, регулярного и систематического мониторинга отдельных лиц; или
- Ваша основная деятельность заключается в крупномасштабной обработке специальных категорий данных или данных, касающихся уголовных приговоров и правонарушений.
Многие организации предпочитают назначать ответственных за защиту персональных данных отдельных лиц или отделы без необходимости официального назначения специалиста по защите данных. Обеспечение того, чтобы роли и обязанности в области защиты данных были хорошо известны и задокументированы в вашей организации, является ключевым требованием соответствия нормативным требованиям.
ROPA – Запись о ходе обработки данных
В соответствии со статьей 30 GDPR (как британского, так и европейского) документирование операций по обработке данных является обязательным требованием, если в вашей организации работает более 250 сотрудников. Это также является обязательным требованием для небольших компаний, если обрабатываемые вами данные:
- не являются случайными
- вероятно, повлияют на права и свободы отдельных лиц; и
- включают данные особой категории или данные об уголовных судимостях и правонарушениях.
В вашем плане обработки персональных данных (ROPA) должна содержаться карта данных ваших систем, содержащих персональные данные, а также информация о законных основаниях обработки, целях и методах обработки данных, политике и процедурах обмена и хранения данных.
Важно обеспечить регулярный пересмотр этой документации, поскольку со временем она, вероятно, будет обновляться.
рекомендации можно найти на сайте ICO.
Политики и процедуры
В ваших политиках и процедурах должны быть четко определены роли и обязанности в вашей организации, охватывающие ряд областей, связанных с конфиденциальностью:
- Защита данных и ведение документации
- Информационная безопасность, включая устранение утечек и управление инцидентами
- Предоставление информации в ответ на запросы, касающиеся прав отдельных лиц, – например, запросы на доступ к информации и уведомления о предоставлении информации
- Защита данных на этапе проектирования и по умолчанию обеспечивает учет и документирование проблем (оценка воздействия на конфиденциальность) при внедрении новых систем, услуг, продуктов и процессов, а также при внесении изменений в существующие
- Политику конфиденциальности на вашем веб-сайте следует регулярно пересматривать, а дату последнего обновления следует четко указывать
Управление поставщиками
Крайне важно заключить договоры с организациями, которые обрабатывают данные от вашего имени. В договорах должны быть подробно указаны условия обработки, включая:
- Предмет обработки
- Продолжительность обработки
- Характер и цель обработки
- Типы персональных данных и категории субъектов данных
- Если используются какие-либо субпроцессоры.
Необходима система проверок должной осмотрительности, чтобы гарантировать, что эти организации соблюдают надлежащие технические и организационные требования для соответствия GDPR.
Рекомендуется регулярно пересматривать контракты и соглашения об обмене данными, заключенные вами с другими организациями.
Обучение
Ключевым моментом является обеспечение осведомленности персонала об их обязанностях в отношении обработки персональных данных. Вводное и повторное обучение должно включать информацию о защите данных, потенциальных угрозах безопасности, а также о политике и структуре управления информацией вашей организации. Мониторинг и документирование завершения обучения являются важным элементом демонстрации соответствия требованиям.
Другие законы и правила
В Великобритании существует ряд других законов и нормативных актов, которые влияют на безопасность данных. К ним относятся:
- Правила защиты конфиденциальности и электронных коммуникаций (PECR) 2003 года регулируют борьбу со спамом и массовыми рассылками рекламных материалов. В рамках PECR также периодически издаются новые правила. Например, правила использования файлов cookie на веб-сайтах, а в 2016 году было введено требование к любому, кто совершает рекламные звонки, указывать свой номер телефона
- Закон об авторском праве, дизайне и патентах – с поправками, внесенными в 2002 году, для регулирования кражи программного обеспечения
- Могут применяться и другие ИТ-стандарты и правила: например, компаниям, обрабатывающим транзакции по кредитным картам, необходимо обеспечить соответствие стандартам безопасности данных платежных карт (PCI DSS) .
Источники и ссылки
Главная страница ICO для организаций
Портал ЕС по GDPR – www.gdpreu.org
