Technické a procesní požadavky na zavedení GDPR

Evropské nařízení o ochraně osobních údajů (GDPR) dosud platné předpisy pro zacházení s osobními daty v mnohém upřesňuje a zjednodušuje, navíc firmy v rámci přípravy mohou udělat pořádek ve schraňovaných datech a procesech pro nakládání s nimi.

Podle nedávného doporučení společnosti Gartner je nejvyšší čas s přípravou firemních systémů na GDPR začít, přesto si je v současné době jen desetina organizací vědomá toho, jaké sankce na ně mohou při zanedbání přípravy dolehnout; a ještě menší procento má představu o tom, jak by měly postupovat.

Příprava na GDPR donutí firmy udělat si pořádek v datech. Důležité je důkladně zmapovat infrastrukturu a procesy a zjistit, kde všude jsou osobní údaje uloženy, kdo má právo s nimi manipulovat, proč k nim má přístup a za jakým účelem je zpracovává.

Velkým úkolem bude regulace "šedé zóny" IT, tedy situace, kdy jsou data uložená mimo k tomu určená úložiště. Ať už jde o různé neoficiální zálohy nebo kopie na osobních stanicích, v noteboocích či telefonech zaměstnanců.

"Mezi klíčové úkoly GDPR patří především zabezpečení dat. Úniky osobních údajů jsou ve valné většině způsobeny špatným zajištěním kybernetické bezpečnosti. Firmy budou muset nově definovat pravidla pro zajištění dat před úniky - a to jak před útoky zvenčí, tak před interními incidenty. Investice firem do této oblasti jsou nemalé, proto je třeba vyhodnotit, jakou úroveň zabezpečení dat firma opravdu potřebuje a jak je možné jej zajistit opravdu účelně. Nedílnou součástí přípravy na GDPR by proto mělo být i vzdělávání pracovníků odpovědných za zabezpečení dat. Zajištění souladu s GDPR je časově náročný projekt, na jehož začátku by měli zainteresovaní IT odborníci i management nejprve zjistit, jakým požadavkům budou muset jejich systémy vyhovět. Pomoci jim mohou naše nové specializované kurzy: Zákon o kybernetické bezpečnosti a GDPR - technické a procesní požadavky a Data Protection Officer s certifikační zkouškou," říká Ondřej Ševeček, odborník na bezpečnost dat Počítačové školy GOPAS.

Lidé, kteří ve firmách zajišťují IT bezpečnost a právnický servis už většinou mají představu o tom, co GDPR obnáší. Ale ne vždy. Nedávný průzkum, který provedla společnost Kaspersky Lab například ukázal, že pětina IT specialistů dosud nemá představu o tom, co by měli zajistit. A ještě hůře jsou na tom zaměstnanci jiných oddělení, kteří s daty přicházejí denně do styku.

Nařízení Evropského parlamentu a Rady EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR) vejde v platnost již 25. 5. 2018.

Nedodržení tohoto nařízení může být postihováno vysokými sankcemi až do výše 20 milionů eur nebo 4% ročního obratu, proto by firmy neměly přípravu zanedbat.

Článek GOPAS, a.s. ze dne pátek 9. června 2017

Další články od GOPAS, a.s.