GDPR je Opšta uredba o zaštiti ličnih podataka koja se primjenjuje od 25. maja 2018. godine.
Nova EU Uredba broj 2016/679 (EU Regulation GDPR) koja zamjenjuje Direktivu o zaštiti podataka (Data Protection Directive) 95/46/EC i dizajnirana je tako da ujednači zakone o zaštiti podataka širom Europe, da zaštiti sve građane EU i da promijeni način na koji organizacije širom regije pristupaju zaštiti podataka.
Zaštita ličnih podataka jedan je od osnovnih zadataka koje GDPR stavlja pred organizacije bilo da je riječ o ličnim podacima korisnika, klijenata ili zaposlenika. Organizacije u svakom trenutku moraju znati gdje su koji podaci te u koju svrhu se smiju koristiti. Isto tako, u slučaju da netko odluči povući dozvolu za korištenje njegovih ličnih podataka, organizacije moraju biti u mogućnosti učiniti to u zadanom roku.
Šta je sve lični podatak
Ime, adresa, e-mail adresa, IP i MAC adresa, GPS lokacija, RFID tagova i kolačića na web stranicama, telefonski broj, fotografija, video snimke pojedinaca, OIB/JIB, biometrijski podaci (otisak prsta, snimka šarenice oka), genetski podaci, podaci o obrazovanju i stručnoj spremi, podaci o primanjima, podaci o kreditnom zaduženju, podaci o računima u banci, podaci o zdravlju, seksualnoj orijentaciji, glas i mnogi drugi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi.
Tko je dužan poštovati GDPR
Ne samo na organizacije koje posluju unutar EU, nego i na sve ostale organizacije u svijetu koje nude svoju robu i usluge, ili na drugi način obrađuju podatke nositelja ličnih podataka iz EU. Odnosi se na sve organizacije koje pohranjuju i obrađuju podatke nositelja podataka sa sjedištem unutar EU, bez obzira na geografsku lokaciju njihovog sjedišta.
Sve strane tvrtke koje obrađuju podatke građana EU podliježu ovoj Uredbi. Tako je već sada 92% tvrtki u SAD-u reklo kako je prilagodba GDPR-u jedan od njihovih najviših prioriteta, odnosno 54% ih smatra najvišim prioritetom. Iako je riječ o europskoj uredbi, GDPR utječe na preustroj zaštite podataka mnogih stranih tvrtki pa tako i Facebooka, Googlea, Microsofta te mnogih drugih.
Koje su kazne za neusklađenost?
Organizacije mogu biti kažnjene s do 4% ukupnog globalnog godišnjeg prihoda, ili 20M€. To je maksimalna kazna koja može biti zapriječena za teška kršenja Uredbe, kao npr neimanje dodatnih saglasnosti za korištenje osobnih podataka ili kršenja koncepta “Privacy by design”. Zapriječena je i umanjena kazna od 2% ili 10M€ za vođenje neurednih zapisa ličnih podataka (član 28), neobavještavanje nadležnih institucija za curenje podataka ili neprovođenje sigurnosne procjene. Bitno je naglasiti da pravila vrijede kako za organizacije koje prikupljaju podatke, tako i za one koje ih obrađuju, tj usluge u oblaku nisu izuzete od GDPR zahtjeva.
Šta treba učiniti?
Formirati projektni tim (i podtimove) za usaglašavanje. Provjeriti da li trebate imenovati Službenika za zaštitu podataka, te ga uključite u projektni tim. Krenite s procjenom usuglašenosti (assessment). Na osnovu procjene definisati koje sve zahtjeve trebate zadovoljiti. Kreirajte listu zahtjeva za usuglašavanje. Podijelite zadatke unutar timova, koristiti mjere po listi (implement). Na kraju testirajti sve mjere, ažurirajti procedure i osigurajti da se mjere i procedure uvedu u redovno poslovanje. Sve dokumentovat.
Veliki broj organizacija angažuju dodatnu konsultansku pomoć kako bi što bolje prilagodili GDPR-u i bili sigurni da su uspješno sproveli sve smjernice GDPR-a.
