Глобите по GDPR достигат 4% от световния оборот.

Общият регламент относно защитата на данните (GDPR, известен в България и като ОРЗД, Регламент 2016/679) е законът на ЕС за защита на данните, който урежда как организациите събират, обработват, съхраняват и предават лични данни на физически лица в Европейското икономическо пространство (ЕИП). Той се прилага за всяка организация, която обработва лични данни на жители на ЕС, независимо къде се намира организацията. Това включва дружества, установени в ЕС, дружества извън ЕС, които предлагат стоки или услуги на жители на ЕС, и организации, които наблюдават поведението на жители на ЕС. GDPR установява права за субектите на данни, задължения за администраторите и обработващите лични данни и механизми за прилагане с глоби до 20 милиона евро или 4% от световния годишен оборот.

GDPR Article 30 изисква както администраторите, така и обработващите лични данни да поддържат писмен регистър на дейностите по обработване (ROPA). За администраторите той трябва да включва името и данните за контакт на администратора, целите на обработването, категориите субекти на данни и лични данни, категориите получатели, международните предавания заедно с гаранциите, сроковете за съхранение и общо описание на техническите и организационните мерки за сигурност. За обработващите лични данни регистърът трябва да включва името на всеки администратор, от чието име се извършва обработването, категориите обработване, международните предавания и мерките за сигурност. Venvera поддържа вашия ROPA автоматично, докато документирате дейностите по обработване, с възможност за експорт при запитвания от надзорния орган.

Оценката на въздействието върху защитата на данните (DPIA), изисквана съгласно GDPR Article 35, е процес за откриване и намаляване на рисковете за защитата на данните при даден проект или дейност по обработване. DPIA е задължителна, когато обработването е вероятно да породи висок риск за физическите лица, включително систематично и мащабно профилиране със значителни последици, мащабно обработване на специални категории данни и систематично наблюдение на публично достъпни зони. DPIA трябва да описва операциите по обработване, да оценява необходимостта и пропорционалността, да оценява рисковете за субектите на данни и да определя мерки за справяне с тези рискове. Ако DPIA сочи висок остатъчен риск, администраторът трябва да се консултира с надзорния орган съгласно Article 36. Venvera предоставя структурирани шаблони за DPIA с оценяване на риска и проследяване на мерките за смекчаване.

GDPR Article 33 изисква администраторите да уведомят своя надзорен орган за нарушение на сигурността на личните данни в рамките на 72 часа от узнаването за него, освен ако нарушението не е вероятно да породи риск за правата и свободите на физическите лица. Уведомлението трябва да включва естеството на нарушението, категориите и приблизителния брой засегнати субекти на данни и записи, името и данните за контакт на длъжностното лице по защита на данните, вероятните последици и предприетите или предложените мерки за справяне с нарушението. Ако уведомяването в рамките на 72 часа е невъзможно, трябва да се посочат причините за забавянето. Когато нарушението е вероятно да породи висок риск за физическите лица, Article 34 изисква администраторът да съобщи за нарушението и на засегнатите субекти на данни без ненужно забавяне.

GDPR ограничава предаването на лични данни към държави извън ЕИП, освен ако не е осигурена адекватна защита. Механизмите за предаване включват решения за адекватно ниво на защита на Европейската комисия (когато се приема, че трета държава осигурява адекватна защита), стандартни договорни клаузи (SCC), приети от Комисията, задължителни фирмени правила (BCR), одобрени от надзорните органи, и дерогации за конкретни случаи съгласно Article 49. След решението Schrems II организациите трябва да извършват и оценки на въздействието на предаването (TIA), за да преценят дали законодателството на приемащата държава осигурява по същество равностойна защита. Venvera следи всички трансгранични предавания, документира правното основание за всяко и маркира предаванията към държави без решение за адекватно ниво на защита за извършване на TIA.

GDPR предоставя на субектите на данни осем основни права: правото на информираност (Articles 13-14) за начина на обработване на данните им, правото на достъп (Article 15) до копие от личните им данни, правото на коригиране (Article 16) на неточни данни, правото на изтриване или „правото да бъдеш забравен“ (Article 17), правото на ограничаване на обработването (Article 18), правото на преносимост на данните (Article 20) в машинночетим формат, правото на възражение (Article 21) срещу обработване, основано на легитимни интереси или директен маркетинг, и правото да не бъдат обект на автоматизирано вземане на решения, включително профилиране (Article 22). Администраторите трябва да отговорят на исканията на субектите на данни в рамките на един месец, с възможност за удължаване с два месеца при сложни искания. Venvera ви помага да проследявате и управлявате исканията на субектите на данни с наблюдение на сроковете.

GDPR установява двустепенна структура на санкциите. По-ниското ниво (Article 83(4)) се прилага при нарушения на задълженията на администраторите, обработващите лични данни, сертифициращите органи и органите за наблюдение, с глоби до 10 милиона евро или 2% от общия световен годишен оборот, която от двете е по-висока. По-високото ниво (Article 83(5)) се прилага при нарушения на основните принципи за обработване, условията за съгласие, правата на субектите на данни и разпоредбите за международно предаване, с глоби до 20 милиона евро или 4% от общия световен годишен оборот, която от двете е по-висока. Надзорните органи вземат предвид фактори като естеството, тежестта и продължителността на нарушението, дали то е умишлено или по небрежност, предприетите мерки за ограничаване на вредите, предишни нарушения и степента на съдействие на органа.

Да. Venvera е софтуер за съответствие с GDPR, който покрива вашия регистър на дейностите по обработване, оценките DPIA, уведомяването за нарушения и обработването на искания от субекти на данни. Той ви дава обхванат набор от контроли, оценка на пропуските, която измерва готовността ви спрямо Регламента, и работно пространство с доказателства зад всеки член. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за ISO 27001, попълват предварително голяма част от вашата позиция по GDPR. Започнете с безплатна проверка на съответствието, преди да поемате ангажимент.