Prawo: GDPR wymaga inwestycji w zabezpieczenia

Ogólne rozporządzenie o ochronie danych (General Data Protection Regulation – GDPR) dotyczy ochrony danych osobowych w państwach UE i zostało wydane w maju 2016 r. z terminem realizacji w dniu 25 maja 2018 r. Organizacje na całym świecie, które zbierają i przetwarzają dane osobowe mieszkańców Unii Europejskiej muszą działać zgodnie z nowym rozporządzeniem, albo zostaną obciążone znacznymi karami finansowymi.

– Przeprowadziliśmy badania w obrębie średnich i dużych organizacji, które są już objęte regulacjami prawnymi oraz przechowują i przetwarzają dane dla mieszkańców UE – czyli organizacji, które będą podlegać GDPR. Jednak okazało się, że większość z nich nie jest w stanie sprostać obowiązkowi przestrzegania GDPR. Ponadto badania wykazały, że jedynie 29% instytucji uważa, że ich podejście organizacyjne i techniczne w celu ochrony danych jest dziś „dojrzałe”, zaś tylko 38% przydzieliło w 2016 r. budżet na osiągnięcie zgodności z GDPR – zauważa Anna Zawadzka z firmy Forcepoint, specjalizującej się w ochronie danych w formie cyfrowej.

Zapewnienie zgodności z GDPR wymaga zarówno zmian organizacyjnych, jak i technologicznych. Zmiany organizacyjne obejmują mianowanie inspektora ochrony danych, opracowanie polityki i odbycie szkolenia w zakresie obsługi osobowych i poufnych danych osobowych oraz zapewnienie odpowiedniego podejścia do wykonywania oceny wpływu na ochronę danych (DPIA). Środki technologiczne w zakresie ochrony osobowych lub poufnych danych osobowych obejmują klasyfikację informacji, zapobieganie ich utracie, szyfrowanie, ograniczenia transferu danych i technologie, które umożliwią zainteresowanym osobom skorzystanie z prawa do dostępu, poprawiania i usuwania danych osobowych przechowywanych przez administratorów danych.

Wymagane technologie

Przy zdecydowanej większości danych osobowych gromadzonych, przechowywanych, porządkowanych, organizowanych i przetwarzanych do postaci cyfrowych dostępnych w ramach dzisiejszego poziomu rozwoju, zgodność z GDPR będzie wymagać właściwych rozwiązań technologicznych. Próby sprostania wymogom w inny sposób byłyby ryzykowne i nieproporcjonalne do wymogów GDPR, które szczegółowo wskazują na potrzebę rozwiązań technologicznych.