До уваги! 25 травня вступили в силу нові правила в роботі з персональними даними.

Одне з найважливіших змін в роботі захисту персональних даних швидко наближається. Вступ в силу регламенту General Data Protection Regulation від 26 квітня 2016 року, який введено в дію 25 травні 2018 року, зажадають деяким організаціям чия діяльність пов’язана з персональними даними громадян або жителів країн-членів Європейського союзу призначити співробітника із захисту даних (DPO) . Превентивні заходи і приведення всіх бізнес-процесів у відповідність до вимог нових правил є кращою альтернативою непомірним штрафам.

Це може бути застосовано до всіх державних органів і компаніям, які беруть участь в систематичній обробці вразливих персональних даних в великих масштабах.

Цей регламент замінить Директиву 95/46 / ЄС Європейського парламенту та Ради «Про захист фізичних осіб при обробці персональних даних і про вільне переміщення таких даних» і після вступу в силу замінить відповідне місцеве законодавство країн-членів ЄС.

GDPR вважається найбільш прогресивним регуляторним актом в сфері захисту персональних даних і його роль в цій сфері важко переоцінити. У ньому уточнено поняття персональних даних, а саме в перелік таких включені IP-адреси, цифрові ідентифікатори пристроїв і місця розташування, за якими може бути ідентифікована конкретна фізична особа.

Крім визначення саме персональних даних, дано визначення контролера і процесора. Так, контролером (далі DPO) є фізична або юридична особа, державний орган, організація або інший орган, які самостійно або спільно з іншими визначає мету і способи обробки персональних даних. А під процесором розуміється фізична або юридична особа, державний орган, організація, які здійснює обробку персональних даних від імені контролера.

Організація може призначити роль DPO одному зі своїх співробітників, до тих пір, поки їх професійні і нові обов’язки (як DPO) не призводять до конфлікту інтересів, або він може укласти контракт з зовнішнім постачальником послуг. Більш того, один DPO може бути призначений для спільного використання між декількома організаціями.

Основним завданням DPO є проведення аудиту обробки даних. Під час аудиту обробки даних DPO повинен визначити обсяг і мету обробки, джерело і чутливість оброблених даних, а також дані перекази за межі ЄС.

Обов’язки DPO

Інформувати і повідомляти організації та її співробітникам про їхні зобов’язання у відношенні нової постанови
Надавати навчальні та інформаційні семінари для осіб, що займаються обробкою даних
Стежити за дотриманням правил і обов’язків
Стежити за оцінкою впливу захисту і організації при необхідності повідомлення
Заохочувати культуру захисту даних в рамках організації
Співпрацювати з наглядовим сайтом з питань обробки персональних даних

DPO відповідають за звітність перед вищим керівництвом в незалежній манері і вони не повинні отримувати ніяких інструкцій щодо виконання своїх завдань. Крім того, вони наймаються на термін не менше двох років і можуть бути звільненими тільки в тому випадку, якщо вони не здатні виконати свої обов’язки.

З вступу в силу GDPR, організації потрібно почати підготовку щодо призначення DPO, в тому числі:

Переглянути критерії та вимоги до призначення DPO і оцінку внутрішніх співробітників, чи підходять вони для здійснення своїх обов’язків або будуть необхідні зовнішні кандидати, щоб забезпечити належне навчання співробітників
Простежити за публікаціями і рекомендаціями щодо ролі DPO в органах по захисту прав ЄС
Запланувати бюджети, щоб мати можливість надавати адекватні ресурси для DPO в майбутньому
Забезпечити захист реалізації вимог регламенту незалежністю і уникнути конфліктів інтересів

Регламент буде застосовуватися до обробки персональних даних суб’єктів даних, які знаходяться в ЄС, навіть якщо контролер або процесор не зареєстровані в Союзі, але їх діяльність з обробки пов’язана з пропозицією товарів або послуг, незалежно від того, чи буде потрібно оплата від суб’єкта даних в ЄС, або моніторингом їхньої поведінки, якщо їх поведінка має місце в межах ЄС.

Так що, якщо компанія потрапляє під дію даного регламенту, слід уже зараз замислитися про наслідки. Розмір штрафів складе до 20 млн. Євро або 4% загального світового річного обороту попереднього фінансового року в залежності від того, яка з двох цифр виявиться вище. Такі штрафи змусять кожного контролера і процесора відповідально ставитися до опрацювання даних. А значить, можна розраховувати на зважений підхід всіх компаній, які так чи інакше пов’язані з персональними даними, до проведення відповідного комплаенса.

У країнах Європейського союзу вже почалася підготовка до нових правил роботи з персональними даними. Але не варто обмежуватися кордонами Європейського союзу, готуватися необхідно і компаніям, які, так чи інакше, працюють з жителями ЄС або їх персональними даними.

Існують різні причини, за якими ви повинні домогтися відповідності вимогам GDPR, наприклад:

Захистіть репутацію своєї організації
Мінімізувати інциденти безпеки
Підвищуйте довіру до своїх клієнтів
Сприяння доступу до даних
Забезпечити більш суворе дотримання правил
Включити точне зберігання даних клієнтів
Сприяти адекватному контролю доступу

Тому українським компаніям необхідно оцінити можливість застосування GDPR до їх діяльності. При цьому слід звернути увагу на клієнтів-європейських громадян. Якщо діяльність компанії підпадає під дію Регламенту, необхідно вжити заходів щодо обмеження роботи з європейськими громадянами або привести свою діяльність у повну відповідність з новими правилами.

PECB пропонує навчання та сертифікацію з регулювання загального захисту персональних даних, що допоможе вам досягти відповідності новим вимогам, уникнути штрафів за недотримання, підвищити довіру до клієнтів і підвищити лояльність клієнтів.

Наша компанія PECB Ukraine 18-22 червня проводить новий навчальний 5-ти денний курс з підготовки “Сертифікованих фахівців із захисту персональних даних”.

Переглянути інформацію про курс Ви зможете на нашому сайті pecb.com.ua або за посиланням.

Зареєструватися на курс

Ми тут для того, щоб задовольнити ваші конкретні потреби і допомогти вам на цьому шляху!

У матеріалах статті використана інформація з сайтів: https://pecb.com, http://jurliga.ligazakon.ua