U heeft er allicht reeds over gelezen: de aangepaste GDPR of General Data Protection Regulation van de Europese Unie is een feit. Vanaf 25 mei 2018 treedt de omstreden richtlijn rond bescherming en beveiliging van persoonlijke gegevens in.
Wat is GDPR?
Maar wat is deze – ondertussen haast beruchte – GDPR wetgeving? Welk is de impact op uw organisatie en hoe komt ook u in aanmerking om te voldoen aan de (strenge) vereisten?
GDPR (ook gekend als AVG of Algemene Verordening Gegevensbescherming) legt vast in regels hoe u moet omgaan met het beheer en beveiligen van persoonlijke gegevens van Europese burgers.
Concreet moet u als organisatie of bedrijf kunnen voorleggen welke gegevens u verzamelt, u deze gebruikt of beheert en hoe u zal zorgen dat deze voldoende beveiligd zijn tegen schadelijke invloeden van binnen- en buitenaf, ongeacht of het nu gaat over gegevens die u intern behandelt, door gebruik te maken van een cloud infrastructuur of zelfs infrastructuur buiten de EU.
Het Internet is reeds bezaaid met artikels over monsterboetes van tot 4% van uw jaarlijkse omzet bij het niet voldoen aan deze richtlijnen. Rapportage van “data lekken” is een must en u kan maar beter zorgen dat uw hele infrastructuur over een stevig security plan beschikt.
Hoewel één van de klassieke regels is “de soep wordt nooit zo heet gedronken…” is dit helaas hier wel het geval.
In een modern tijdperk waar uw organisatie gebruik maakt van cloud diensten, allicht in aanraking komt met enige vorm van gegevensverwerking van personen (klanten en/of medewerkers) is GDPR van toepassing op grote ondernemingen, maar ook kleine ondernemingen en andere organisaties.
Uit studies blijkt dat weinig organisaties reeds bezig zijn met voorbereiding, of enige vordering geboekt hebben in het opstellen van een actieplan.
Op welk soort onderneming is GDPR van toepassing?
De officiële GDPR richtlijn is van toepassing op beheerders van gegevens en verwerkers van gegevens. Beide “partijen” zijn dan ook in een definitie te gieten:
De beheerder – “de natuurlijke of legale persoon, publieke autoriteit, agentschap of instantie die alleen of met anderen het doel en de middelen bepaalt van verwerken van persoonlijke gegevens”. Met andere woorden als u zelf gegevens verzamelt en bewaard voor marketing doeleinden – wij geven maar een voorbeeld – dan valt u onder de rol van “beheerder” (data controller).
De verwerker – “de natuurlijke of legale persoon, publieke autoriteit, agentschap of instantie die de gegevens verwerkt in opdracht van de beheerder”. Om terug te komen op ons voorbeeld: als u gegevens verzamelt en bewaard voor marketing doeleinden en u doet dit via een cloud provider dan moet ook uw cloud provider in regel zijn met de GDPR wetgeving, zij zijn immers de “verwerker” (data processor).
Opgelet, de beheerder is verantwoordelijk voor het naleven van de richtlijnen van de verwerker!
Maar… de verwerker van persoonlijke gegevens moet ook beantwoorden aan bepaalde regels en rapportages over de manier waarop zij de gegevens verwerken.
Hoe kan uw onderneming GDPR compliant zijn?
Wij hebben alvast voor u de meest cruciale punten van GDPR hier onder geplaatst. Deze gegevens zijn uiteraard beschikbaar op de Officiële GDPR website.
Uitgebreide jurisdictie
De regels zijn van toepassing op elk bedrijf dat gegevens van EU burgers verwerkt, ongeacht de fysieke locatie van het bedrijf. Dus als uw fysiek kantoor niet op EU grondgebied ligt maar u verwerkt gegevens van EU burgers, bent u nog steeds verantwoordelijk.
Toestemming voor gebruik van de gegevens
Ondernemingen moeten toestemming hebben van het individu om deze gegevens ge bewaren en te beheren en dienen ook uit te leggen hoe zij deze gegevens zullen gebruiken, en waarom.
Verplichte rapportage van data lekken
Voortaan zijn ondernemingen en organisaties verplicht om een data lek te rapporteren aan de bevoegde instantie binnen 72 uur van de vaststelling van het data lek, tenzij het gaat om een beveiligingslek dat geen impact heeft op “de rechten en vrijheden van het individu”.
Recht op inzage
Bedrijven moeten aan elk individu dat hiervoor een aanvraag indient een elektronische kopij bezorgen van de bewaarde gegevens, inclusief informatie over hoe deze bewaard wordt, waar en voor welk doel.
Recht op verwijderen
EU burgers kunnen de data beheerder vragen om niet alleen hun gegevens te wissen maar ook om deze niet langer te laten gebruiken door derde partijen, welke op hun beurt ook verplicht zullen worden om deze gegevens niet langer te gebruiken.
Overdraagbaarheid
De nieuwe richtlijn geeft individuen eveneens de mogelijkheid om hun gegevens over te zetten van de ene beheerder naar een andere beheerder. Dit wil concreet zeggen dat – op aanvraag – bedrijven of organisaties een middel moeten voorzien zodat het individu eenvoudig de data in een leesbaar formaat kan doorgeven.
Privacy by design
Dit is een cruciale regel én ongetwijfeld een van de belangrijkste wijzigingen in GDPR. Vroeger kon men met de intentie “wij zorgen voor voldoende beveiliging” rondom de nood aan het implementeren van een grondige beveiliging fietsen/ Door het invoeren van de Privacy by Design regel moet voortaan beveiliging voorzien worden in producten/diensten en processen vanaf de dag van implementatie!
Data Protection Officer (DPO)
Zowel de data beheerder als data verwerker dienen te beschikken over een “DPO” of “Data Protection Officer”. De DPO kan een externe partij zijn, nieuwe medewerker of een lid van de organisatie. Opgelet, er zijn uitzonderingen, niet iedereen dient een DPO aan te stellen!
Hoe kan Kinamo helpen met GDPR compliance?
Als doorgewinterde cloud provider heeft Kinamo door de jaren heen grondige ervaring opgebouwd omtrent beveiliging van IT infrastructuren maar ook verwerking, beheer en logging van gegevens.
Is GDPR een “IT” only verhaal? Zeker niet… Wij zijn ons dan ook bewust van het feit dat het GDPR compliant krijgen van uw organisatie een frisse kijk vereist van uw ervaring als beheerder van uw eigen processen en de toegevoegde waarde van Kinamo voor het optimaliseren van de digitale processen in uw organisatie.
U wil eens praten over GDPR in uw organisatie? Wij zetten de koffie alvast klaar!
