Firmy będą chronić pobrane dane osobowe klientów

Unijne regulacje wymuszą ogrom zmian na wszystkich podmiotach, które gromadzą i przetwarzają dane osobowe. Dotyczyć one będą systemów informatycznych, działań marketingowych i obsługi klientów oraz tworzenia nowych procedur. Choć na wdrożenie firmom pozostało półtora roku, ponad połowa polskich przedsiębiorstw nie słyszała o nowych wymaganiach.

Celem rozporządzenia GDPR jest ujednolicenie przepisów o ochronie danych osobowych na terenie całej Unii Europejskiej.

Nowe przepisy mają również zwiększyć kontrolę osób fizycznych nad ich danymi osobowymi i nałożą szereg nowych wymogów na wszystkie podmioty, które gromadzą i przetwarzają takie dane. Nowe przepisy wprowadzą również zasadę ochrony "by default". Oznacza to, że firmy i przedsiębiorcy mogą wykorzystywać dane osobowe klientów tylko i wyłącznie w celu, w którym zostały one pobrane. Przedsiębiorstwa muszą zbudować mechanizmy, które udowodnią, że pozyskane przez nie informacje nie były przetwarzane ani wykorzystywane niezgodnie z przeznaczeniem.

Jak wyjaśnia Michał Jarski, dyrektor regionalny Trend Micro, przedsiębiorcy staną przed ogromnym wyzwaniem ewidencji wszystkich danych osobowych, ich lokalizacji, miejsca przetwarzania. Na tak długie procedury, dostosowanie kwestii formalnych i wdrożenie rozwiązań technologicznych pozostało bardzo mało czasu.

Tym, którzy nie dostosują się do wymogów rozporządzenia GDPR, grożą duże kary finansowe, których wysokość może sięgnąć 2–4 proc. rocznych obrotów przedsiębiorstwa.

Firmy mogą się spodziewać kontroli urzędników, którzy sprawdzą, czy spełnione zostały wymogi rozporządzenia GDPR. Ale nowe przepisy wprowadzają też obowiązek samooceny skutków materializacji ryzyka.

To oznacza, że przedsiębiorstwa muszą wprowadzić mechanizmy, które umożliwią ocenę tego, co się stanie, jeżeli ktoś się włamie do systemu, ukradnie dane i posłuży się nimi w niecnym celu.