Regulamentul general privind protecția datelor (GDPR) este cea mai strictă lege privind confidențialitatea și securitatea din lume. Deși a fost elaborat și adoptat de Uniunea Europeană (UE), acesta impune obligații organizațiilor de oriunde, atâta timp cât acestea vizează sau colectează date legate de persoane din UE. Regulamentul a intrat în vigoare pe 25 mai 2018. GDPR va impune amenzi dure celor care încalcă standardele sale de confidențialitate și securitate, cu sancțiuni care ajung la zeci de milioane de euro.
Prin GDPR, Europa își semnalează poziția fermă cu privire la confidențialitatea și securitatea datelor într-un moment în care tot mai mulți oameni își încredințează datele personale serviciilor cloud, iar încălcările sunt o practică zilnică. Regulamentul în sine este vast, cu o anvergură largă și destul de puțin specific, ceea ce face ca respectarea GDPR să fie o perspectivă descurajantă, în special pentru întreprinderile mici și mijlocii (IMM-uri).
Am creat acest site web pentru a servi drept resursă pentru proprietarii și managerii de IMM-uri, pentru a aborda provocările specifice cu care se pot confrunta. Deși nu înlocuiește consultanța juridică, vă poate ajuta să înțelegeți unde să vă concentrați eforturile de conformitate cu GDPR. De asemenea, oferim sfaturi despre instrumentele de confidențialitate și cum să atenuați riscurile. Pe măsură ce GDPR continuă să fie interpretat, vă vom ține la curent cu cele mai bune practici în evoluție.
Dacă ați găsit această pagină – „ce este GDPR?” – probabil că sunteți în căutarea unui curs intensiv. Poate că nici măcar nu ați găsit încă documentul în sine (sfat: iată regulamentul complet). Poate că nu aveți timp să citiți întregul. Această pagină este pentru dvs. În acest articol, încercăm să demitizăm GDPR-ul și, sperăm, să-l facem mai puțin copleșitor pentru IMM-urile preocupate de conformitatea cu GDPR.
Istoricul GDPR-ului
Dreptul la viață privată face parte din Convenția Europeană a Drepturilor Omului din 1950, care prevede: „Orice persoană are dreptul la respectarea vieții sale private și de familie, a domiciliului său și a corespondenței sale.” Pornind de la această bază, Uniunea Europeană a căutat să asigure protecția acestui drept prin intermediul legislației.
Pe măsură ce tehnologia a progresat și internetul a fost inventat, UE a recunoscut nevoia unor protecții moderne. Așadar, în 1995, a adoptat Directiva europeană privind protecția datelor, stabilind standarde minime de confidențialitate și securitate a datelor, pe baza cărora fiecare stat membru și-a bazat propria lege de implementare. Dar deja internetul se transforma în aspiratorul de date care este astăzi. În 1994, a apărut online primul banner publicitar. În 2000, majoritatea instituțiilor financiare ofereau servicii bancare online. În 2006, Facebook s-a deschis publicului. În 2011, un utilizator Google a dat în judecată compania pentru scanarea e-mailurilor sale. Două luni mai târziu, autoritatea europeană pentru protecția datelor a declarat că UE avea nevoie de „o abordare cuprinzătoare privind protecția datelor cu caracter personal” și au început lucrările de actualizare a directivei din 1995.
GDPR-ul a intrat în vigoare în 2016, după adoptarea de către Parlamentul European, iar începând cu 25 mai 2018, toate organizațiile erau obligate să respecte reglementările. Domeniu de aplicare, sancțiuni și definiții cheie.
În primul rând, dacă prelucrați date cu caracter personal ale cetățenilor sau rezidenților UE sau oferiți bunuri sau servicii acestor persoane, atunci GDPR vi se aplică chiar dacă nu vă aflați în UE. Vom vorbi mai multe despre acest lucru într-un alt articol.
În al doilea rând, amenzile pentru încălcarea GDPR sunt foarte mari. Există două niveluri de sancțiuni, care ajung la maximum 20 de milioane de euro sau 4% din veniturile globale (oricare dintre acestea este mai mare), plus că persoanele vizate au dreptul de a solicita despăgubiri pentru daune. De asemenea, vom vorbi mai multe despre amenzile GDPR.
GDPR definește pe larg o serie de termeni juridici. Mai jos sunt câțiva dintre cei mai importanți la care ne referim în acest articol:
Date cu caracter personal — Datele cu caracter personal sunt orice informație care se referă la o persoană care poate fi identificată direct sau indirect. Numele și adresele de e-mail sunt evident date cu caracter personal. Informațiile despre locație, etnia, sexul, datele biometrice, convingerile religioase, cookie-urile web și opiniile politice pot fi, de asemenea, date cu caracter personal. Datele pseudonime pot, de asemenea, să se încadreze în definiție dacă este relativ ușor să identifici pe cineva din acestea.
Prelucrarea datelor — Orice acțiune efectuată asupra datelor, fie ea automată sau manuală. Exemplele citate în text includ colectarea, înregistrarea, organizarea, structurarea, stocarea, utilizarea, ștergerea… deci practic orice.
Persoana vizată — Persoana ale cărei date sunt prelucrate. Aceștia sunt clienții sau vizitatorii site-ului dvs.
Operator de date — Persoana care decide de ce și cum vor fi prelucrate datele cu caracter personal. Dacă sunteți proprietar sau angajat în organizația dvs. care gestionează date, acesta sunteți dvs.
Persoană împuternicită de operator de date — O terță parte care prelucrează date cu caracter personal în numele unui operator de date. GDPR are reguli speciale pentru aceste persoane și organizații. Acestea ar putea include servere cloud, cum ar fi Google Drive sau Microsoft OneDrive, sau furnizori de servicii de e-mail, cum ar fi GMail.
Principii de protecție a datelor
Dacă prelucrați date, trebuie să o faceți în conformitate cu șapte principii de protecție și responsabilitate descrise în Articolul 5.1-2:
Legalitate, echitate și transparență — Prelucrarea trebuie să fie legală, echitabilă și transparentă pentru persoana vizată.
Limitarea scopului — Trebuie să prelucrați datele în scopurile legitime specificate explicit persoanei vizate atunci când le-ați colectat.
Minimizarea datelor — Trebuie să colectați și să prelucrați doar atâtea date cât sunt absolut necesare pentru scopurile specificate.
Acuratețe — Trebuie să păstrați datele cu caracter personal exacte și actualizate.
Limitarea stocării — Puteți stoca datele de identificare personală doar atât timp cât este necesar pentru scopul specificat.
Integritate și confidențialitate — Prelucrarea trebuie efectuată astfel încât să se asigure securitatea, integritatea și confidențialitatea adecvate (de exemplu, prin utilizarea criptării).
Responsabilitate — Operatorul de date este responsabil pentru a putea demonstra conformitatea cu GDPR cu toate aceste principii.
Responsabilitate
GDPR prevede că operatorii de date trebuie să poată demonstra că respectă GDPR. Și acest lucru nu este ceva ce puteți face ulterior: Dacă credeți că sunteți conform cu GDPR, dar nu puteți demonstra cum, atunci nu sunteți conform cu GDPR. Printre modalitățile prin care puteți face acest lucru:
Desemnați responsabilități privind protecția datelor pentru echipa dvs.
Mențineți o documentație detaliată a datelor pe care le colectați, modul în care sunt utilizate, unde sunt stocate, ce angajat este responsabil pentru acestea etc.
Instruiți-vă personalul și implementați măsuri de securitate tehnice și organizatorice.
Aveți contracte de prelucrare a datelor în vigoare cu terțe părți pe care le contractați pentru a prelucra date în numele dvs.
Numiți un responsabil cu protecția datelor (deși nu toate organizațiile au nevoie de unul – mai multe despre asta în acest articol).
Securitatea datelor
Sunteți obligat să gestionați datele în siguranță prin implementarea de „măsuri tehnice și organizatorice adecvate”.
Măsurile tehnice înseamnă orice, de la solicitarea angajaților dvs. de a utiliza autentificarea cu doi factori pe conturile în care sunt stocate date personale până la contractarea cu furnizori de cloud care utilizează criptare end-to-end.
Măsurile organizaționale includ instruirea personalului, adăugarea unei politici de confidențialitate a datelor în manualul angajaților sau limitarea accesului la datele cu caracter personal doar angajaților din organizația dvs. care au nevoie de ea.
Dacă aveți o încălcare a securității datelor, aveți la dispoziție 72 de ore pentru a informa persoanele vizate sau vă veți confrunta cu sancțiuni. (Această cerință de notificare poate fi anulată dacă utilizați măsuri de siguranță tehnologice, cum ar fi criptarea, pentru a face datele inutile pentru un atacator.)
Protecția datelor prin proiectare și implicit
De acum înainte, tot ceea ce faceți în organizația dvs. trebuie să ia în considerare, by design and by default, „prin proiectare și implicit”, protecția datelor. Practic, aceasta înseamnă că trebuie să luați în considerare principiile de protecție a datelor în proiectarea oricărui produs sau activitate nouă. GDPR acoperă acest principiu în Articolul 25.
Să presupunem, de exemplu, că lansați o aplicație nouă pentru compania dvs. Trebuie să vă gândiți la ce date cu caracter personal ar putea colecta aplicația de la utilizatori, apoi să luați în considerare modalități de a minimiza cantitatea de date și cum le veți securiza cu cea mai recentă tehnologie.
Când aveți voie să prelucrați date
Articolul 6 enumeră cazurile în care este legal să prelucrați date personale. Nici nu te gândi să atingi datele personale ale cuiva – nu le colecta, nu le stoca, nu le vinde agenților de publicitate – decât dacă poți justifica acest lucru printr-unul dintre următoarele:
Persoana vizată ți-a dat consimțământul specific și neechivoc pentru prelucrarea datelor. (de exemplu, s-a înscris pe lista ta de e-mailuri de marketing.)
Prelucrarea este necesară pentru executarea sau pregătirea încheierii unui contract la care persoana vizată este parte. (de exemplu, trebuie să faci o verificare a antecedentelor înainte de a închiria o proprietate unui potențial chiriaș.)
Trebuie să le prelucrezi pentru a respecta o obligație legală a ta. (de exemplu, primești o hotărâre de la instanța din jurisdicția ta.)
Trebuie să prelucrezi datele pentru a salva viața cuiva. (de exemplu, ei bine, probabil vei ști când se aplică aceasta.)
Prelucrarea este necesară pentru îndeplinirea unei sarcini în interes public sau pentru îndeplinirea unei funcții oficiale. (de exemplu, ești o companie privată de colectare a gunoiului.)
Ai un interes legitim de a prelucra datele personale ale cuiva. Aceasta este cea mai flexibilă bază legală, deși „drepturile și libertățile fundamentale ale persoanei vizate” prevalează întotdeauna asupra intereselor dumneavoastră, mai ales dacă este vorba de datele unui copil. (Este dificil să dau un exemplu aici, deoarece există o varietate de factori pe care va trebui să îi luați în considerare în cazul dumneavoastră. Biroul Comisarului pentru Informații din Regatul Unit oferă îndrumări utile aici.)
După ce ați stabilit temeiul legal pentru prelucrarea datelor dumneavoastră, trebuie să documentați această bază și să notificați persoana vizată (transparență!). Și dacă decideți ulterior să vă schimbați justificarea, trebuie să aveți un motiv întemeiat.
Documentați acest motiv și notificați persoana vizată.
Consimțământ
Există reguli noi și stricte cu privire la ceea ce constituie consimțământul unei persoane vizate pentru prelucrarea informațiilor sale.
Consimțământul trebuie să fie „liber acordat, specific, informat și lipsit de ambiguitate”.
Cererile de consimțământ trebuie să fie „clar distinse de celelalte aspecte” și prezentate într-un „limbaj clar și simplu”.
Persoanele vizate își pot retrage consimțământul dat anterior oricând doresc, iar dumneavoastră trebuie să le respectați decizia. Nu puteți pur și simplu schimba temeiul juridic al prelucrării cu una dintre celelalte justificări.
Copiii sub 13 ani își pot da consimțământul doar cu permisiunea părintelui.
Trebuie să păstrați dovezi documentare ale consimțământului.
Responsabili cu protecția datelor
Contrar opiniei populare, nu fiecare operator sau procesator de date trebuie să numească un responsabil cu protecția datelor (RPD). Există trei condiții în care vi se cere să numiți un RPD:
Sunteți o autoritate publică, alta decât o instanță care acționează în calitate judiciară.
Activitățile dumneavoastră principale necesită monitorizarea sistematică și regulată a persoanelor la scară largă. (De exemplu, sunteți Google.)
Activitățile dumneavoastră principale sunt prelucrarea la scară largă a categoriilor speciale de date enumerate la articolul 9 din GDPR sau a datelor referitoare la condamnări penale și infracțiuni menționate la articolul 10. (De exemplu, sunteți un cabinet medical.)
De asemenea, puteți alege să desemnați un responsabil cu protecția datelor (DPO) chiar dacă nu sunteți obligat. Există beneficii în a avea pe cineva în acest rol. Sarcinile sale de bază implică înțelegerea GDPR și a modului în care acesta se aplică organizației, consilierea persoanelor din organizație cu privire la responsabilitățile lor, desfășurarea de instruiri privind protecția datelor, efectuarea de audituri și monitorizarea conformității cu GDPR și servirea ca persoană de legătură cu autoritățile de reglementare.
Vom analiza în detaliu rolul DPO într-un alt articol.
Drepturile la confidențialitate ale persoanelor
Sunteți un operator de date și/sau o persoană împuternicită de operator. Dar, în calitate de persoană care utilizează internetul, sunteți și o persoană vizată. GDPR recunoaște o serie de noi drepturi la confidențialitate pentru persoanele vizate, care vizează oferirea persoanelor fizice a unui control mai mare asupra datelor pe care le împrumută organizațiilor. Ca organizație, este important să înțelegeți aceste drepturi pentru a vă asigura că sunteți în conformitate cu GDPR.
Mai jos este o trecere în revistă a drepturilor la confidențialitate ale persoanelor vizate:
Dreptul de a fi informat
Dreptul de acces
Dreptul la rectificare
Dreptul la ștergerea datelor
Dreptul la restricționarea prelucrării
Dreptul la portabilitatea datelor
Dreptul la opoziție
Drepturi în legătură cu luarea automată a deciziilor și crearea de profiluri.
Concluzie:
Tocmai am acoperit toate punctele majore ale GDPR în puțin peste 2.000 de cuvinte. Regulamentul în sine (fără a include directivele însoțitoare) are 88 de pagini. Dacă sunteți afectat de GDPR, vă recomandăm insistent ca cineva din organizația dvs. să îl citească și să consultați un avocat pentru a vă asigura că respectați GDPR.
