Paprastas BDAR atitikties vadovas

Bendrasis duomenų apsaugos reglamentas (BDAR) yra duomenų privatumo teisės aktas, įvestas ir patvirtintas Europos Komisijos ir Europos Parlamento, ir įsigaliojęs 2018 m. gegužės mėnesį.

BDAR pateikiamos taisyklės ir gairės Europos ir ne Europos įmonėms, kurios renka ir valdo savo Europos naudotojų duomenis ar jais dalijasi. Šiuo dokumentu ES rezidentams suteikiama teisė žinoti, kokie duomenys apie juos renkami, kaip jie laikomi, saugomi ir perduodami. BDAR taip pat apima teisę būti pamirštam ir teisę į prieigą. Tai reiškia, kad klientai gali paprašyti pamatyti surinktus duomenis ir paprašyti juos pašalinti.

Visos įmonės, renkančios naudotojų duomenis Europos Sąjungoje, nesvarbu, kur įsikūrusios, privalo laikytis BDAR. Nesilaikant BDAR, gali būti skiriamos didelės baudos, siekiančios iki 20 mln. eurų arba 4 % metinės pasaulinės apyvartos, žiūrint, kuri suma didesnė.

Asmeninės jūsų naudotojų informacijos saugojimas pagal BDAR atitikties standartus paveiks visą įmonę, nes gali tekti peržiūrėti ir pritaikyti daugumą jūsų procedūrų. Tačiau nėra aiškių taisyklių, kurios būtų taikomos kiekvienai organizacijai. Duomenų apsaugos būdas, priklausys nuo duomenų, kuriuos tvarko jūsų įmonė, tipo.

Kai kurie BDAR konsultantai teigia, kad nėra tokio dalyko kaip 100 % atitiktis BDAR, o BDAR reikalavimų laikymasis labiau susijęs su jūsų duomenų tvarkymo peržiūra ir tvarkymo veikla etiniu požiūriu, nei kontrolinių sąrašų pildymu. Todėl geriausia pirmiausia peržiūrėti septynis BDAR principus.

BDAR reikšmingai paveikė duomenų privatumo ir saugumo praktikas pasaulyje, įskaitant Jungtinėse Amerikos Valstijose įsikūrusias įmones. Norint geriau suprasti BDAR atitikties reikalavimus, svarbu suprasti esminius reglamento principus ir nuostatas.

Svarbiausias iš jų – BDAR reikalavimai taikomi JAV įmonėms, jei įmonės tvarko ES gyventojų asmens duomenis, nepaisant įmonės fizinės vietos. Iš esmės, bet kuri JAV įsikūrusi organizacija, tvarkanti gautus duomenis iš ES gyvenančių asmenų, privalo laikytis BDAR reglamentų.

Vienas iš esminių BDAR saugumo reikalavimų yra užtikrinti asmens duomenų apsaugą nuo neteisėtos prieigos, praradimo, pakeitimo ar sunaikinimo. Norėdamos vykdyti šį reikalavimą, įmonės privalo imtis atitinkamų techninių ir organizacinių priemonių, kaip antai šifravimo, prieigos kontrolės ir nuolatinių saugumo vertinimų.

Be to, BDAR reikalavimuose JAV įmonėms numatytas duomenų apsaugos pareigūno (DPO) skyrimas, jei organizacija užsiima didelio masto konfidencialių duomenų tvarkymu arba sistemine asmenų stebėsena. DPO turėtų būti atsakingas už atitikties BDAR stebėseną, taip pat teikti rekomendacijas dėl duomenų apsaugos klausimų ir veikti kaip ryšių punktas komunikuojant su duomenų apsaugos institucijomis.

Be to, JAV įmonės privalo skaidriai pateikti informaciją apie asmens duomenų rinkimą, tvarkymą ir laikymą. Taip pat pateikti aiškius privatumo pranešimus, gauti galiojantį duomenų subjektų sutikimą ir užtikrinti asmenims teises pagal BDAR, kaip antai teisę į prieigą prie savo duomenų, jų ištaisymą ir ištrynimą.

Toliau pateikiami septyni BDAR principai.

1. Teisėtumas, sąžiningumas ir skaidrumas. Duomenys turi būti tvarkomi teisėtai, sąžiningai ir skaidriai.

2. Tikslo ribojimas ir duomenų kiekio mažinimas. Duomenys turi būti renkami tik konkrečiais ir teisėtais verslo tikslais.

3. Duomenų kiekio mažinimas: turi būti renkami tik tie asmens duomenys, kurie būtini tuo tikslu, dėl kurio buvo surinkti.

4. Tikslumas. Jei būtina, turi būti daroma viskas, kad duomenys visada būtų atnaujinti. Jei duomenys netikslūs arba pasenę, jie turi būti ištrinti.

5. Laikymo ribojimas. Duomenys turi būti laikomi tik tiek laiko, kiek reikia produktams ar paslaugoms pateikti. Ilgiau juos galima laikyti tik siekiant archyvuoti viešojo intereso, mokslinių ar istorinių tyrimų arba statistiniais tikslais.

6. Sąžiningumas ir konfidencialumas. Įmonė turėtų daryti viską, ką gali, kad užtikrintų asmens duomenų saugumą. Ji turėtų saugoti juos nuo neteisėtos prieigos, kaip antai duomenų saugumo pažeidimų, taip pat netyčinio praradimo, sunaikinimo ar sugadinimo.

7. Atskaitomybė. Dauguma įmonių privalo registruoti duomenų tvarkymą ir prireikus turi pateikti duomenis priežiūros institucijoms.

Atkreipkite dėmesį, kad ši informacija turi būti vertinama tik kaip bendros gairės. Ji skirta tik bendrai informuoti ir nėra teisinis patarimas. BDAR teisės aktą sudaro 11 skyrių, 99 straipsniai ir beveik du šimtai konstatuojamųjų dalių, todėl, norint visiškai laikytis BDAR, rekomenduojame gauti teisinio konsultanto arba priežiūros institucijos konsultaciją.

Teisė būti pamirštam yra visiškai nauja teisinė inovacija, leidžianti asmenims prašyti iš interneto pašalinti konkrečią apie juos surinktą informaciją. Ši aiški koncepcija atsirado Europos Sąjungoje ir yra įtraukta į BDAR kaip pagrindinė ES piliečių teisė.

Iš esmės teisėje būti pamirštam įkūnijama nuostata, kad žmonės turėtų turėti galimybę valdyti savo asmens duomenis ir galėtų pamiršti praeitį.

Nors teisė būti pamirštam neabsoliuti, atvejai, kuriais ji taikoma, labai aiškiai numatyti. Jei informacija nebeaktuali, netiksli ar yra tvarkoma neteisėtai, asmenys gali pateikti prašymą ją pašalinti.

Nors CCPA ir BDAR turi bendrą tikslą – apsaugoti naudotojų teises į privatumą, yra keli svarbūs aspektai, kuriais šie du teisės aktai skiriasi.

Pirmiausia, jie skiriasi taikymo aprėptimi. BDAR taikomas plačiau: jo turi laikytis visos organizacijos, kurios renka ir saugo naudotojų duomenis Europos Sąjungoje (ES) ir Europos ekonominėje erdvėje (EEE). O CCPA (Kalifornijos vartotojų privatumo aktas) galioja tik pelno siekiančioms organizacijoms, kurios atitinka tam tikrus kriterijus pagal mokestinių pajamų dydį ir tvarkomų duomenų kiekį bei renka Kalifornijoje gyvenančių naudotojų duomenis.

Antra, CCPA ir BDAR skirtingai traktuoja naudotojo sutikimą. CCPA duomenims rinkti nenustato aiškaus naudotojo sutikimo būtinybės, nebent naudotojas yra nepilnametis. O BDAR reikalauja aiškaus sutikimo visais duomenų rinkimo atvejais.

Trečia, šie reglamentai yra skirtingo tipo teisės aktai. BDAR yra reguliuojamasis teisės aktas, o CCPA – įstatyminis. Paprastai tariant tai reiškia, kad pažeidus CCPA, gali būti pareikštas civilinis ieškinys Kalifornijos valstijos teisme, o BDAR tiesiogiai neturi įtakos civiliniam procesui, tačiau gali būti įtrauktas į nacionalinius teisės aktus.

Galiausiai, vykdymo užtikrinimas ir baudos taip pat gerokai skiriasi. BDAR vykdymą užtikrina ES institucijos, o baudos už pažeidimus gali siekti iki 20 milijonų eurų arba 4 % bendros metinės apyvartos (taikoma didesnė suma). Už CCPA vykdymo užtikrinimą yra atsakingas Kalifornijos generalinis prokuroras; vienas pažeidimas gali užtraukti iki 2 500 JAV dolerių baudą, o jei pažeidimas padarytas tyčia – iki 7 500 JAV dolerių.

„NordPass“ rimtai vertina duomenų apsaugos ir privatumo klausimą. „NordPass“ yra saugus ir patikimas konfidencialios informacijos tvarkymo sprendimas, sukurtas atsižvelgiant į BDAR.

Tik jums žinomos informacijos architektūra užtikrinama, kad visi konfidencialūs duomenys prieš pasiekdami mūsų serverius būtų šifruojami vietoje – jūsų įrenginyje. Tai reiškia, kad neturime prieigos prie slaptažodžių ar jokių kitų jūsų duomenų, kuriuos jūsų įmonė gali laikyti „NordPass“, ir užtikriname didžiausią privatumą.

Vertiname skaidrumą, pateikiame išsamią privatumo politiką, kurioje išdėstomos mūsų duomenų apdorojimo praktikos, įskaitant renkamų duomenų tipus, rinkimo tikslus ir turimas saugumo priemones.

Be to, tarp mūsų griežtų saugumo priemonių yra apsaugą stiprinančios kelių veiksnių autentifikavimo (angl. „multi-factor authentication“, MFA) ir biometrinio autentifikavimo funkcijos.

Esame įsipareigoję retu duomenų saugumo pažeidimo atveju nedelsdami informuoti jo paveiktus naudotojus ir atitinkamas institucijas, kaip reikalaujama BDAR.

Atminkite, kad BDAR nėra vienkartinis projektas, ir neturėtumėte taip jo vertinti. Tai – nuolatinės pastangos tobulinti savo įmonės privatumo ir saugumo standartus.

Rinkitės „NordPass“ , siekdami patikimo ir aiškaus slaptažodžių tvarkymo, kuriuo būtų laikomasi atitikties politikų ir sumažinama duomenų saugumo pažeidimų rizika.