Регламент о защите персональных данных (GDPR) направлен на защиту основных прав и свобод человека, в частности неприкосновенности частной жизни, а также на регулирование обязанностей лиц, обрабатывающих такие данные. С 07.10.2016 этот закон возлагает множество обязанностей на все организации, обрабатывающие персональные данные.
Что изменится с введением GDPR?
- Административный штраф в размере от 5.000 до 1.000.000 турецких лир и лишение свободы
- Необходимость принятия технических и организационных мер для обеспечения безопасности данных
- Обязанность компаний, обрабатывающих данные, систематически определять ответственных за обработку данных
- Действие регламента распространяется на все организации, обрабатывающие персональные данные, без каких-либо исключений
- Данные не могут обрабатываться без явного согласия субъектов данных
- В случае запроса информации компании обязаны предоставить ее в уполномоченный орган по защите персональных данных в течение 15 дней
Какие персональные данные должен защищать ваш бизнес?
- Персональные данные сотрудников (удостоверение личности, адрес, дата рождения и т. д.)
- Персональные данные клиентов / пациентов / гостей (маркетинговые базы данных, медицинские записи, списки контактов)
- Непубличные персональные данные деловых партнеров и поставщиков услуг
- Персональные данные, передаваемые третьим лицам (бухгалтерские записи, кредитные реестры, прямой маркетинг)
Как обеспечить безопасность данных для соответствия GDPR?
Контроль данных
Компании должны знать, как используются все принадлежащие им данные. Необходимо постоянно отслеживать, куда перемещаются данные конфиденциального характера, кто и с какой целью их использует.
Обучение сотрудников
Каждый сотрудник должен знать, какие данные допустимо использовать. Компании могут установить ограничения на использование данных, информируя сотрудников о политике безопасности.
Правила использования данных
Компании должны установить четкие правила относительно того, кто может работать с персональными данными. Эти правила не должны оставаться на бумаге — они должны эффективно применяться.
Шифрование
Все данные, содержащие персональную информацию, должны быть зашифрованы. Компании должны обеспечить применение шифрования во всей организации, включая конечные устройства.
Предотвращение утечки данных (DLP)
Предотвращение утечки данных должно быть эффективно реализовано и охватывать все каналы коммуникации. Электронная почта, принтеры, съемные устройства, такие как USB и DVD, а также другие каналы коммуникации должны контролироваться, чтобы за пределы компании могли передаваться только определенные данные.