Czy firmy są gotowe na zmiany w zakresie ochrony danych osobowych?

Regulacja unijna oochronie danych osobowych GDPR wejdzie wżycie już za 14 miesięcy. Wiele polskich firm wciąż niezdaje sobie jednak sprawy ztego, jakie niesie ona konsekwencje dlazarządzania danymi ich klientów czy skali potencjalnych kar za niedostosowanie się do warunków rozporządzenia. Nie mówiąc już oniezbędnych inwestycjach wtym zakresie.

– W kwietniu 2016 roku ogłoszono na forum Unii Europejskiej wprowadzenie nowej regulacji związanej z ochroną danych osobowych. Ta regulacja będzie obowiązywać od maja 2018 roku i wprowadza bardzo poważne zmiany w dostępie do danych osobowych i ich przetwarzaniu. Wprowadza też wiele technologicznych implikacji z tym związanych – mówi Przemysław Mazurkiewicz, szef presales firmy Commvault na obszar Europy Wschodniej.

Ogólne rozporządzenie o ochronie danych osobowych, czyli GDPR (General Data Protection Regulation), wejdzie w życie 25 maja 2018 r. Eksperci przestrzegają, że do tego czasu firmy muszą przejść przez żmudny proces weryfikacji wewnętrznych procedur cyberbezpieczeństwa.

 

– Wydaje się, że polskie firmy nie są jeszcze dobrze przygotowane do wprowadzenia tej regulacji. Wynika to również z tego, że nie do końca wiadomo, jak będą wyglądać akty wykonawcze czy pojawi się ustawa z tym związana – ocenia Mazurkiewicz. – Jest takie oczekiwanie i prawdopodobnie to wszystko będzie miało miejsce wiosną tego roku tak, żeby firmy miały jakiekolwiek szanse z punktu widzenia technologicznego na przygotowanie się do obligatoryjnego wypełnienia postanowień regulacji w maju 2018 roku.

 

Według badania ARC Rynek i Opinia dla Trend Micro i VMware z końca ubiegłego roku ponad połowa polskich firm nigdy nie słyszała o GDPR, natomiast dwie trzecie nie zdaje sobie sprawy z tego, ile czasu pozostało na wdrożenie rozporządzenia.

– Należy pomyśleć o inwestycjach w rozwiązania, które pozwolą określić, gdzie dane osobowe się znajdują, w jaki sposób są chronione czy zapewniona jest ich prywatność i ich wysoka dostępność. Regulacja wprowadza wiele nowych praw, np. prawo do zapomnienia – zaznacza ekspert Commvault.

Rozporządzenie GDPR przyznaje osobom fizycznym prawo do bycia zapomnianym, czyli zażądania niezwłocznego usunięcia danych osobowych. W efekcie organizacje będą musiały na życzenie usunąć wszystkie dane osobowe i związane z nimi odnośniki. 

 

– Bez odpowiednich rozwiązań firmie będzie naprawdę trudno takie dane odnaleźć i usunąć zarówno z kopii produkcyjnych, jak i z kopii backupowych czy z archiwów. Będzie to długotrwały proces. Myślę, że należy zacząć od dokładnej analizy danych i określenia, w jakich obszarach brakuje nam rozwiązań informatycznych, żeby zapewnić bezpieczeństwo, ochronę danych i wyszukiwanie takich danych. Trzeba się też przygotować do procesu udostępniania danych na żądanie użytkowników końcowych – wymienia Mazurkiewicz.

 

Badanie dla Trend Micro i VMware wskazuje, że połowa ankietowanych firm nie dysponuje procedurami i technologiami zapewniającymi konsumentowi prawo do bycia zapomnianym. Z kolei 42 proc. organizacji nie ma wdrożonych żadnych procedur informowania organu ochrony danych o zaistniałych naruszeniach. A takie są niezbędne do tego, aby realizować założenia nowego prawa. Obliguje ono firmy do zgłoszenia incydentu w ciągu maksymalnie 72 godzin od jego wystąpienia. W razie zaniechania takiego działania przedsiębiorstwa mogą być ukarane grzywną w wysokości nawet 4 proc. rocznych obrotów.