Sada je kritični trenutak za GDPR. Da li je vaše poduzeće spremno?

Udaljeni smo samo godinu dana od najsveobuhvatnije promjene u europskoj politici zaštite podataka u zadnjih nekoliko desetljeća. Kada Uredba EU o Općoj zaštiti podataka (GDPR) stupi na snagu u maju 2018. godine, ona će zamijeniti postojeću Direktivu o zaštiti podataka i sve nacionalne zakone koji su usvojeni uz nju, podižući regulatorne standarde za zaštitu podataka širom regije.

Poduzeća su postala kustosi koji čuvaju podatke o kupcima, a GDPR šalje jasnu poruku da je i njihova obaveza da koriste ove informacije u najboljem interesu njihovih klijenata. Kompanije koje se ne budu pridržavale GDPR-a će se suočiti s oštrim kaznama, u nekim slučajevima do 4% njihovog globalnog prometa, a svi znaci ukazuju na stroge kazne nakon stupanja uredbe na snagu.

Izazov u ovom smislu je da će neke kompanije, da bi se pridržavale GDPR-a, biti prinuđene da naprave značajna poboljšanja u načinu na koji upravljaju podacima i osiguravaju lične podatke, iako ni jednom od ove dvije stavke ranije nisu morali upravljati na vrlo striktan način.

Poduzeća shvaćaju hitnost ove situacije - 91% kompanija u Njemačkoj, Francuskoj i Velikoj Britaniji su zabrinute u pogledu svoje sposobnosti da se pridržavaju GDPR-a - ali više od 70% nije ni blizu spremno za promjenu. Još gore, Gartner je iznio predviđanje da 50% kompanija na koje GDPR ima utjecaj neće postići potpunu usklađenost do kraja 2018. godine, sedam mjeseci nakon stupanja zakona na snagu.

Detaljnije o GDPR-u

S manje od godinu dana do dana stupanja na snagu GDPR-a, vrijedi ispitati što će biti potrebno za pravovremeno usklađivanje kompanija s GDPR-om.

Za početak, trebamo razumjeti kakve to sigurnosno-kontrolne mehanizme GDPR zagovara. Naravno, postoji prostor za tumačenje regulative, ali zahtjevi koje ona postavlja mogu biti podijeljeni u tri kategorije: procjena, prevencija i otkrivanje.

Kontrole vezane za procjenu su dovoljno jednostavne. Cilj je da kompanije izvrše reviziju svojih podataka i razumiju gdje se podaci čuvaju, kao i kako se odvija tok podataka unutar njihove organizacije. Od presudnog je značaja da kompanije znaju svoju poziciju, kako bi mogle utvrditi gdje se nalaze rizici u okviru njihovih trenutnih poslovnih modela i direktno se njima pozabave.

Zaštita podataka leži u srcu GDPR-a. Europska komisija organizacije promatra kao čuvare podataka o kupcima i kao takve, imaju odgovornost za dizajniranje i konfiguriranje procesa koji štite ove informacije od krađe ili zloupotrebe. Ovo uključuje šifriranje podataka o kupcima kako bi smanjili mogućnost krađe i učinili podatke nemogućim za dešifriranje u slučaju da ikada budu kompromitirani.

U ovom trenutku, vrijedi napomenuti da kada poduzeća uspiju da učinkovito maskiraju ili anonimiziraju svoje podatke u određenom okruženju, na primjer, ako koriste informacije o klijentima za razvoj novih usluga, ovo okruženje će ispasti iz djelokruga GDPR-a, jer će se promatrati kao područje koje više ne sadrži osjetljive informacije.

GDPR-ove kontrole zasnovane na otkrivanju imaju za cilj da poduzeća učine ažurnijim da pruže podršku svojim službenicima za zaštitu podataka (DPO). Svaka kompanija će morati da imenuje DPO-a. Od kompanija se također očekuje da uspostave sisteme koji će im omogućiti da brzo otkriju neovlaštene aktivnosti, prikupe dokaze u slučaju kršenja i dostave pravovremene izvještaje DPO-u. Ovo će promovirati proaktivan pristup sigurnosti podataka i prisiliti organizacije da vode evidenciju o svom učinku.

Nema vremena za gubljenje

Kompanije koje još nisu poduzele mjere za ispunjavanje odredaba GDPR-a očekuje naporna borba. Regulativa od 150 stranica će uticati na praktično svaku glavnu globalnu organizaciju, pored onih koje posluju isključivo u EU, i zahtijevat će veliki napredak u načinu na koji se upravlja podacima.

Zaštita nije potrebna samo za podatke o kupcima. Podjednako je važno za poduzeća da osiguraju da njihovi IT sistemi i baze podataka mogu izdržati napade i da njihovi ljudi upravljaju osjetljivijim informacijama na savjesniji način. Prelazak na GDPR se u jednakoj mjeri tiče i poboljšanja ljudskog faktora i procesa, koliko se tiče zaštite informacija.

Poduzeća imaju resurse na raspolaganju da ih vode kroz ovu promjenu. Prodavci IT usluga i opreme, uključujući i Oracle, preuzeli su vodeću ulogu u pružanju pomoći kompanijama da prilagode svoju sigurnosnu arhitekturu zahtjevima GDPR-a. Na praktičnijem nivou, advokatska kompanija DLA Piper koja djeluje na globalnoj razini razvila je mobilnu aplikaciju koja korisnicima, na njihov zahtjev, omogućava pristup cjelokupnom tekstu GDPR-a. Aplikacija također povezuje članove iz nove regulative s odgovarajućim članovima iz Direktive EU o zaštiti podataka, što olakšava brendovima da utvrde što točno treba da promijene u svojim postojećim modelima.

Bez obzira na to da li odluče da koriste ove resurse ili da samostalno provedu potrebne aktivnosti, odbrojavanje do uvođenja GDPR-a je u svojoj konačnoj fazi i poduzeća ne mogu sebi priuštiti da izgube više vremena. Burna 2016. i početak 2017. godine su možda privremeno odvratile pažnju s globalnog fokusiranja na privatnost podataka, ali vlade i potrošači nisu ništa manje nepopustljivi u pogledu potrebe za promjenama, a poduzeća se moraju pripremiti za ispunjavanje ovih očekivanja.