Hogyan teszi jobbá az általános adatvédelmi rendelet (GDPR) a dokumentum- és információbiztonsági irányítási rendszer (IBIR) irányelveit és folyamatait

Az Általános Adatvédelmi Rendelet (GDPR) bevezetése után a legtöbb szervezetet kénytelen volt felülvizsgálni az adatok gyűjtési, megőrzési és menedzselési módjait, és azok megfelelőségét. A GDPR előírásai azonban nemcsak új megfelelési irányelvek kidolgozását követelik meg, hanem a bevezetett megoldások demonstrálási lehetőségének megteremtését is. A felelősségrevonhatóság alapelve szerint ugyancsak meg kell vizsgálni, és szükség esetén frissíteni kell ezeket az irányelveket.

A Dokumentum- és Információbiztonsági Irányítási Rendszer (IBIR) rendszeres aktualizálását ösztönzi az Európai Unió által bevezetett Általános Adatvédelmi Rendelet (GDPR) megszegését súlytó, akár 20 millió Eurót is meghaladó büntetés veszélye.

A GDPR 2018 májusában lépett hatályba. Azóta már a végrehajtási intézkedések és a szabályozási útmutatások jelentősen megkönnyítették a GDPR koncepcióinak megértését. Más szóval ma már jobban átláthatjuk, hogyan értelmezik a bíróságok és az adatvédelmi hatóságok a GDPR szabályokat. Mit jelent ez az adatvédelmi rendelet az IBIR irányelvek és folyamatok szempontjából? Elég sokmindent - és ez valójában jó hír. A GDPR nem csak az EU-ban működő szervezetekre vonatkozik. Ugyanúgy érvényes a régión kívüli országokra is (ideértve Nagy-Britanniát, és bármely más országot vagy régiót), amelyek árukat és szolgáltatásokat kínálnak az EU magánszemélyeinek. Továbbá vonatkozik minden olyan szervezetre is, amely nyomon követi az EU-ból érkező webhelylátogatók online viselkedését.

A GDPR ugyanúgy vonatkozik az adatkezelőkre (azokra a szervezetekre, amelyek irányítják a személyes adatok feldolgozását és meghatározzák azok gyűjtésének okait), mint az adatfeldolgozókra (azokra a szervezetekre, amelyek az adatkezelők utasításai szerint járnak el), de kötelezettségeik értelemszerűen eltérőek. Valójában ez azt jelenti, hogy szinte mindenkinek, aki bárminemű online üzleti tevékenységet folytat, meg kell győződnie arról, hogy az ő IBIR irányelvei és folyamatai megfelelnek a GDPR-nak.

Őszintén szólva a GDPR követelményei már régóta esedékesek voltak, tekintve, hogy a GDPR bevezetése előtt milyen nagy számban fordultak elő érzékeny adatok megsértésének súlyos (és sokszor kínos) esetei, kis és nagyvállalatok által egyaránt. Azok a szervezetek tehát, amelyek javítani szeretnének adatkezelési folyamataikon, most kellő motivációt és tiszta útmutatót kaptak.

Mik a szükséges első lépések? Amennyiben még nem történt meg, a szervezetnek felül kell vizsgálnia adatgyűjtési eljárásait, hogy a természetes személyek beleegyezésével történik-e a személyes adatok gyűjtése, valamint az egyéb adatgyűjtési jogalapok. Meg kell vizsgálni azt is, hogy hogyan dolgozzák fel, tárolják és végül semmisítik meg ezeket az adatokat - különös tekintettel az érzékeny információkat.

A GDPR alapján a vállalatoknak nem ajánlott tovább tárolniuk az adatokat, mint ameddig az a feldolgozáshoz elengedethetetlen. Az IBIR irányelveket és eljárásokat frissíteni kell annak biztosítása érdekében, hogy az adatokat az adatvédelmi rendelet paramétereinek megfelelően szerezzék meg, védjék, dolgozzák fel, őrizzék meg és semmisítsék meg.

Az IBIR irányelveinek és folyamatainak frissítésébe nem kevés munkát kell fektetni, hogy azok GDPR-kompatibilisek legyenek. Ez azonban még mindig kevésbé fájdalmas folyamat, mint egy kínos vagy kompromittáló adatszivárgás, vagy egy akár 20 millió eurós pénzbírság. Valójában a GDPR egy olyan problémára hívta fel a figyelmet, amellyel mindannyian küzdünk – az összegyűjtött és felhasznált személyes adatok védelmére –, és arra ösztönöz, hogy ne csak azok adatait védjük, akikkel üzleti kapcsolatban állunk, hanem a saját szervezeteinket is.

Ezen túl a GDPR egyre több adatvédelmi törvény megalkotását inspirálta. Hasonló szabályozások jelentek meg világszerte a személyes információkra és magánjellegű adatokra vonatkozóan. Ennek egy példája a Kaliforniai Fogyasztói Adatvédelmi Törvény (California Consumer Privacy Act, avagy CCPA) 2018-ból, vagy a 2020-as Kaliforniai Adatvédelmi Törvény (California Privacy Rights Act, avagy CPRA). Ez a tendencia globális jellegű, jó példa erre a POPI (Protection of Personal Information Act) törvény, melyet a Dél-afrikai Köztársaságban fogadtak el 2020-ban.

Az új adatformátumok növekvő mennyiségével, valamint az emberek és szervezetek adatainak számos felhasználási módjával várható, hogy az adatvédelmi előírások az elkövetkező években még tovább fognak fejlődni szerte a világon.

A Dokumentum- és Információbiztonsági Irányítási Rendszer (IBIR) rendszeres aktualizálását ösztönzi az Európai Unió által bevezetett Általános Adatvédelmi Rendelet (GDPR) megszegését súlytó, akár 20 millió Eurót is meghaladó büntetés veszélye.

A GDPR 2018 májusában lépett hatályba. Azóta már a végrehajtási intézkedések és a szabályozási útmutatások jelentősen megkönnyítették a GDPR koncepcióinak megértését. Más szóval ma már jobban átláthatjuk, hogyan értelmezik a bíróságok és az adatvédelmi hatóságok a GDPR szabályokat. Mit jelent ez az adatvédelmi rendelet az IBIR irányelvek és folyamatok szempontjából? Elég sokmindent - és ez valójában jó hír. A GDPR nem csak az EU-ban működő szervezetekre vonatkozik. Ugyanúgy érvényes a régión kívüli országokra is (ideértve Nagy-Britanniát, és bármely más országot vagy régiót), amelyek árukat és szolgáltatásokat kínálnak az EU magánszemélyeinek. Továbbá vonatkozik minden olyan szervezetre is, amely nyomon követi az EU-ból érkező webhelylátogatók online viselkedését.

A GDPR ugyanúgy vonatkozik az adatkezelőkre (azokra a szervezetekre, amelyek irányítják a személyes adatok feldolgozását és meghatározzák azok gyűjtésének okait), mint az adatfeldolgozókra (azokra a szervezetekre, amelyek az adatkezelők utasításai szerint járnak el), de kötelezettségeik értelemszerűen eltérőek. Valójában ez azt jelenti, hogy szinte mindenkinek, aki bárminemű online üzleti tevékenységet folytat, meg kell győződnie arról, hogy az ő IBIR irányelvei és folyamatai megfelelnek a GDPR-nak.

Őszintén szólva a GDPR követelményei már régóta esedékesek voltak, tekintve, hogy a GDPR bevezetése előtt milyen nagy számban fordultak elő érzékeny adatok megsértésének súlyos (és sokszor kínos) esetei, kis és nagyvállalatok által egyaránt. Azok a szervezetek tehát, amelyek javítani szeretnének adatkezelési folyamataikon, most kellő motivációt és tiszta útmutatót kaptak.

Mik a szükséges első lépések? Amennyiben még nem történt meg, a szervezetnek felül kell vizsgálnia adatgyűjtési eljárásait, hogy a természetes személyek beleegyezésével történik-e a személyes adatok gyűjtése, valamint az egyéb adatgyűjtési jogalapok. Meg kell vizsgálni azt is, hogy hogyan dolgozzák fel, tárolják és végül semmisítik meg ezeket az adatokat - különös tekintettel az érzékeny információkat.

A GDPR alapján a vállalatoknak nem ajánlott tovább tárolniuk az adatokat, mint ameddig az a feldolgozáshoz elengedethetetlen. Az IBIR irányelveket és eljárásokat frissíteni kell annak biztosítása érdekében, hogy az adatokat az adatvédelmi rendelet paramétereinek megfelelően szerezzék meg, védjék, dolgozzák fel, őrizzék meg és semmisítsék meg.

Az IBIR irányelveinek és folyamatainak frissítésébe nem kevés munkát kell fektetni, hogy azok GDPR-kompatibilisek legyenek. Ez azonban még mindig kevésbé fájdalmas folyamat, mint egy kínos vagy kompromittáló adatszivárgás, vagy egy akár 20 millió eurós pénzbírság. Valójában a GDPR egy olyan problémára hívta fel a figyelmet, amellyel mindannyian küzdünk – az összegyűjtött és felhasznált személyes adatok védelmére –, és arra ösztönöz, hogy ne csak azok adatait védjük, akikkel üzleti kapcsolatban állunk, hanem a saját szervezeteinket is.

Ezen túl a GDPR egyre több adatvédelmi törvény megalkotását inspirálta. Hasonló szabályozások jelentek meg világszerte a személyes információkra és magánjellegű adatokra vonatkozóan. Ennek egy példája a Kaliforniai Fogyasztói Adatvédelmi Törvény (California Consumer Privacy Act, avagy CCPA) 2018-ból, vagy a 2020-as Kaliforniai Adatvédelmi Törvény (California Privacy Rights Act, avagy CPRA). Ez a tendencia globális jellegű, jó példa erre a POPI (Protection of Personal Information Act) törvény, melyet a Dél-afrikai Köztársaságban fogadtak el 2020-ban.

Az új adatformátumok növekvő mennyiségével, valamint az emberek és szervezetek adatainak számos felhasználási módjával várható, hogy az adatvédelmi előírások az elkövetkező években még tovább fognak fejlődni szerte a világon.