Stručnjaci odgovaraju.
DATUM: 30.05.2018.
Zacijelo ste u posljednjih nekoliko mjeseci više puta imali prilike čuti o GDPR-u (General Data Protection Regulation), novoj uredbi Europske unije o zaštiti osobnih podataka građana koja donosi velike promjene u organizacije svih veličina i oblika – od udruga, preko državnih institucija, do korporacija. Istodobno, o ovoj temi postoji velika količina informacija, dezinformacija i konfuzije – na koga se uredba odnosi, kako joj se prilagoditi i najvažnije – odakle početi?
Što je GDPR i što znači za poslovanje organizacija
Opća uredba o zaštiti podataka nova je uredba Europske unije od 27. travnja 2016. godine. Službeno se počela provoditi 25. svibnja 2018. godine, što znači da je zemljama članicama i organizacijama ostavljen period od dvije godine da prilagode svoju legislativu i organizacije novom zakonu. Duljina prilagodbe nije slučajna – radi se o kompleksnom zakonu koji predviđa novi način pristupa osobnim podacima građana što će utjecati na mnoge organizacijske procese, kao i novi pristup dizajnu sigurnosnih sustava. Organizacije će morati prilagoditi način čuvanja, obrade i dijeljenja podataka, što znači uvođenje novih tehničkih rješenja, reviziju ugovora i internih pravilnika, ali i adekvatno obrazovanje zaposlenika.
Novost koju GDPR uvodi, a za mnoge i razlog za zabrinutost, su velike kazne za nepridržavanje koje propisuje uredba, a koje za organizacije mogu iznositi i do 4% godišnjeg obrtaja novca na globalnoj razni odnosno do 20 milijuna eura. Hrvatski zakon koji uređuje provođenje GDPR-a na teritoriju RH izglasan je u Saboru 27. travnja 2018. te propisuje Agenciju za zaštitu osobnih podataka kao instituciju koja će biti zadužena za propisivanje kazni.
Odnosi li se GDPR na moju organizaciju
Ako imate barem jednog zaposlenika, vjerojatno pohranjujete neki oblik osobnih podataka u svojoj organizaciji. Osobni podatak prema GDPR-u je svaka informacija koja se odnosi na fizičku osobu koju je moguće direktno ili indirektno identificirati pomoću nje – ime i prezime, OIB, fizička ili email adresa, lokacijski podaci, broj telefona, biometrijski podaci, zdravstveni karton itd. Nakon 25. svibnja morate obratiti pažnju ne samo na podatke zaposlenika, već i vanjskih suradnika, volontera, sudionika anketâ, individualnim klijentima odnosno korisnicima vaših usluga (koji nisu pravne osobe), pretplatnicima na newsletter – odnosno na sve baze koje bi mogle uključivati bilo koju od kategorija osobnih podataka fizičkih osoba. Dakle – GDPR se vrlo vjerojatno odnosi na vašu organizaciju, a koliko ćete toga trebati promijeniti ovisi o brojnim faktorima kao što su veličina organizacije ili djelatnost, kao i naravno postojeća razina zaštite podataka.
Na što se Opća uredba o zaštiti podataka ne odnosi
Ako ste tek krenuli u prilagodbu GDPR-u, prije nego što počnete paničariti, treba obratiti pažnju na to da se GDPR odnosi samo na osobne podatke fizičkih, a ne i pravnih osoba. Raspolaganje podacima koji se tiču pravnih osoba mogu uređivati posebni ugovori ili pravilnici, no ovaj tip podataka ne podliježe samoj uredbi. Isto tako, podaci koji se ne mogu povezati s konkretnom fizičkom osobom, odnosno identificirati osobu, kao što su anonimni odgovori na ankete koji ne uključuju osobna pitanja poput demografskih kategorija i sl. te ne pohranjuju ip adresu osobe ili email, nisu problematični.
Odakle mogu početi
Većina eksperata koja se bavi zaštitom osobnih podataka preporučit će vam da krenete s okupljanjem tima zaduženog za prilagođavanje GDPR-u. Ako vaša organizacija ima više odjela, bilo bi dobro da se u prilagodbu GDPR-u uključe njihovi predstavnici. Idealan tim bi uključivao osobu zaduženu za pravna pitanja, stručnjaka informacijske sigurnosti, predstavnike marketinga, ljudskih resursa, korisničke podrške i uprave.
Paralelno s okupljanjem tima, potrebno je razumjeti osnove nove uredbe i krenuti se informirati koristeći brojne resurse koji su dostupni u digitalnom obliku. Sljedeći korak je ustanoviti koje sve tipove osobnih podataka imate, u kojim se formatima nalaze, tko ima pristup podacima, koja je svrha prikupljanja i osnova po kojoj prikupljate podatke. Više informacija o ‘mapiranju’ podataka izložit ćemo vam u narednom članku.