Ang Pangkalahatang Regulasyon sa Proteksyon ng Datos (EU 2016/679) ay nagkabisa noong Mayo 25, 2018 na nagdagdag ng mga bagong elemento at makabuluhang pagpapahusay sa umiiral na sistema ng proteksyon ng datos.
Mga Tungkulin at Responsibilidad
Bago ang GDPR, malamang napag-isipan mo na kung kailangan mong pormal na magtalaga ng isang DPO – isang pangangailangan kung:
- Ikaw ay isang pampublikong awtoridad o katawan; o
- Ang iyong mga pangunahing aktibidad ay nangangailangan ng malawakan, regular, at sistematikong pagsubaybay sa mga indibidwal; o
- Ang iyong mga pangunahing aktibidad ay binubuo ng malawakang pagproseso ng mga espesyal na kategorya ng datos o datos na may kaugnayan sa mga kriminal na paghatol at pagkakasala.
Maraming organisasyon ang pumiling tiyakin na ang isang indibidwal o departamento ay may responsibilidad para sa mga aktibidad sa privacy nang hindi nangangailangan ng pormal na appointment para sa isang DPO. Ang pagtiyak na ang mga tungkulin at responsibilidad para sa proteksyon ng data ay kilala at dokumentado sa iyong organisasyon ay isang mahalagang kinakailangan sa pagsunod.
ROPA – Rekord ng mga Aktibidad sa Pagproseso
Ang dokumentasyon ng mga aktibidad sa pagproseso na isinagawa ng organisasyon ay isang kinakailangan ng Artikulo 30 ng GDPR (kapwa sa UK at EU) kung ang iyong organisasyon ay may mahigit 250 empleyado. Ito rin ay isang kinakailangan para sa mas maliliit na kumpanya kung ang datos na iyong pinoproseso ay:
- hindi paminsan-minsan
- malamang na makaapekto sa mga karapatan at kalayaan ng mga indibidwal; at
- kinabibilangan ng datos ng espesyal na kategorya o datos ng kriminal na paghatol at pagkakasala.
Dapat maglaman ang iyong ROPA ng isang mapa ng datos ng iyong mga sistema na naglalaman ng personal na datos kasama ang impormasyon sa legal na batayan ng pagproseso, ang mga layunin at pamamaraan ng pagproseso ng datos, mga patakaran at pamamaraan sa pagbabahagi ng datos at pagpapanatili ng datos.
Mahalagang tiyakin na may mga regular na pagsusuri sa dokumentasyong ito dahil malamang na may mga pag-update sa paglipas ng panahon.
May karagdagang gabay mula sa ICO tungkol sa pinakamahusay na kagawian sa ROPA.
Mga patakaran at pamamaraan
Dapat malinaw na binabalangkas ng iyong mga patakaran at pamamaraan ang mga tungkulin at responsibilidad sa iyong organisasyon na sumasaklaw sa ilang mga aspeto na may kaugnayan sa privacy:
- Proteksyon ng Datos at pamamahala ng mga rekord
- Seguridad ng impormasyon kabilang ang mga paglabag at pamamahala ng insidente
- Ang pagkakaloob ng impormasyon kasunod ng mga kahilingan sa karapatan ng indibidwal – tulad ng mga kahilingan sa pag-access sa paksa at mga abiso ng impormasyon
- Proteksyon ng Datos ayon sa disenyo at default upang matiyak na ang mga isyu ay isinasaalang-alang at naidokumento (Mga pagtatasa ng epekto sa privacy) kapag ipinatupad ang mga bagong sistema, serbisyo, produkto at proseso, o kapag inaamyendahan ang mga umiiral na sistema
- Dapat regular na suriin ang patakaran sa privacy ng iyong website at malinaw na maipakita ang petsa ng huling pag-update
Pamamahala ng Tagapagtustos
Mahalaga na mayroong mga kontrata sa mga organisasyong nagpoproseso ng datos para sa iyo. Dapat itakda ng mga kontrata ang mga detalye ng pagproseso kabilang ang:
- Ang paksa ng pagproseso
- Tagal ng pagproseso
- Kalikasan at layunin ng pagproseso
- Uri ng personal na datos at mga kategorya ng mga paksa ng datos
- Kung may anumang sub-processor na ginagamit.
Kinakailangan ang isang balangkas ng mga pagsusuri ng due diligence upang matiyak na ang mga organisasyong ito ay nagpapatakbo ng mga naaangkop na teknikal at organisasyonal na kinakailangan upang matugunan ang GDPR.
Inirerekomenda ang regular na pagsusuri sa mga kontrata at kasunduan sa pagbabahagi ng datos na mayroon ka sa ibang mga organisasyon.
Pagsasanay
Mahalaga ang pagtiyak na alam ng iyong mga tauhan ang kanilang mga responsibilidad kaugnay ng pagproseso ng personal na datos. Dapat kasama sa induction at refresher training ang impormasyon tungkol sa proteksyon ng datos, mga potensyal na banta sa seguridad, at mga patakaran at istruktura ng pamamahala ng impormasyon ng iyong organisasyon. Ang pagsubaybay at pagdodokumento ng pagkumpleto ng pagsasanay ay isang mahalagang elemento upang maipakita ang iyong pagsunod.
Iba pang mga batas at regulasyon
Mayroong iba't ibang mga Batas at regulasyon sa UK na may kinalaman sa seguridad ng datos. Kabilang dito ang:
- Mga Regulasyon sa Pagkapribado at Elektronikong Komunikasyon (PECR) 2003 – na sumasaklaw sa mga 'spam' at mga mailshot ng mass-marketing. Ang mga regulasyon sa ilalim ng PECR ay inilalabas din paminsan-minsan. Halimbawa, ang mga regulasyon sa paggamit ng cookies sa mga website, at noong 2016 upang hilingin sa sinumang gagawa ng tawag sa marketing na ipakita ang kanilang numero
- Batas sa Disenyo ng Karapatang-ari at mga Patente – inamyendahan noong 2002 upang masakop ang pagnanakaw ng software
- Maaaring may iba pang mga pamantayan at regulasyon sa IT na naaangkop: halimbawa, ang mga kumpanyang nagpoproseso ng mga transaksyon sa credit card ay kailangang tiyakin ang pagsunod sa Payment Card Industry Data Security Standards (PCI DSS).
Mga Pinagmulan at mga Link
ng ICO Home page para sa mga organisasyon
portal ng EU GDPR – www.gdpreu.org
