Zašto sama usklađenost s GDPR-om neće zaštititi vaše podatke
Mnoge organizacije tretiraju usklađenost s GDPR-om kao ciljnu crtu: prođi reviziju, predaj dokumentaciju, označi kućicu i nastavi dalje. No nedavna analiza tvrtke Zextras iznosi poantu koju vrijedi ponoviti: usklađenost s GDPR-om i istinska sigurnost podataka nisu ista stvar, a miješanje ta dva pojma može ostaviti organizacije izloženima čak i nakon što su tehnički zadovoljile zakonske zahtjeve.
Ulozi za pogrešku u ovom slučaju su značajni. Prema Općoj uredbi o zaštiti podataka, neusklađenost može rezultirati kaznama do 4% godišnjeg globalnog prihoda tvrtke ili 20 milijuna eura, ovisno o tome koji je iznos veći. Za velike multinacionalne tvrtke, ta kazna temeljena na postotku može znatno nadmašiti fiksni iznos, čineći GDPR jednim od financijski najposljedičnijih zakona o privatnosti na svijetu. Osim same kazne, organizacije koje podbace mogu se suočiti s trajnom štetom po ugled i financijskim posljedicama koje nadžive svaku pojedinačnu mjeru provedbe.
Razlika između označavanja kućice i izgradnje stvarne zaštite
GDPR je osmišljen kako bi pojedincima dao smislenu kontrolu nad njihovim osobnim podacima: kako se prikupljaju, pohranjuju, obrađuju i na kraju brišu. Usklađenost, u najstrožem smislu, znači da je organizacija implementirala politike, dokumentaciju i tehničke mjere koje uredba zahtijeva. To je važan temelj, ali nije isto što i sigurnost podataka.
Sigurnost podataka je kontinuirana praksa stvarne zaštite informacija od neovlaštenog pristupa, gubitka ili zlouporabe. Organizacija može imati svaku politiku koju GDPR zahtijeva na papiru, s ugovorima o obradi podataka i izjavama o privatnosti, i dalje pretrpjeti povredu podataka ako njezini temeljni sustavi, prakse enkripcije ili kontrole pristupa nisu robusni. Usklađenost je trenutna slika stanja; sigurnost je kontinuirana disciplina. Upravo taj jaz između ta dva pojma razlog je zašto se povrede podataka i dalje događaju u organizacijama koje su vjerovale da su već obavile posao usklađivanja.
Korisna ilustracija iz stvarnog svijeta onoga što je u pitanju kada sigurnost podbaci jest slučaj opisan u Unimed Billing Breach Exposes Patients at German University Hospitals, gdje su sigurnosni propusti dobavljača usluga naplate treće strane ugrozili osobne i medicinske podatke u više bolnica. Incidenti poput ovog pokazuju kako jedna slaba karika u lancu obrade podataka može potkopati zaštite koje su na papiru izgledale solidno.
Trendovi provedbe pokazuju cijenu pogreške
Provedba GDPR-a značajno je sazrela otkako je uredba stupila na snagu, a financijske posljedice postale su nemoguće ignorirati. Kao što je detaljno opisano u GDPR Fines Top €4 Billion as 137 Nations Adopt Privacy Laws, kumulativne kazne izrečene prema ovoj uredbi sada su prešle značajan prag, odražavajući koliko ozbiljno europski regulatori pristupaju prekršajima. Istovremeno, izvještavanje o GDPR at 10: Enforcement Gaps Between EU Countries Persist pokazuje da intenzitet provedbe i dalje značajno varira ovisno o zemlji, što znači da razina nadzora s kojom se organizacija suočava može uvelike ovisiti o tome gdje se nalazi njezino tijelo za zaštitu podataka.
Regulatorni pritisak nije statičan ni u drugom smislu. Novi razvoj događaja u upravljanju umjetnom inteligencijom preoblikuje ono što regulatori očekuju od obrađivača podataka, kao što je istraženo u GDPR Fines and AI Rules Are Reshaping Compliance. Organizacije koje usklađenost tretiraju kao jednokratni projekt umjesto kao praksu koja se razvija riskiraju zaostati kako se pojavljuju nova pravila i novi prioriteti provedbe.
Što to znači za vas
Ako vaša organizacija obrađuje osobne podatke građana EU-a, praktična je pouka jasna: dokumentacija o usklađenosti trebala bi biti polazna točka, a ne krajnji cilj. Zapitajte se bi li vaše tehničke zaštitne mjere, poput enkripcije, kontrola pristupa i nadzora, doista zaustavile povredu podataka, a ne samo opisuju li vaše politike kako biste odgovorili na nju. Redovito pregledavajte tokove podataka kako biste potvrdili da dobavljači i obrađivači treće strane zadovoljavaju istu sigurnosnu razinu koju primjenjujete interno, jer se praznine najčešće prvo pojavljuju u vanjskim uslugama. I imajte na umu da se prioriteti provedbe GDPR-a mijenjaju tijekom vremena, pa program usklađenosti izgrađen za uredbu kakva je bila na početku možda treba ažurirati kako bi odražavao trenutna očekivanja.
Ključni zaključci
Usklađenost s GDPR-om postavlja pravni okvir, ali istinska sigurnost podataka ono je što zapravo čuva informacije sigurnima i drži vašu organizaciju izvan kolone kazni. Kako biste zatvorili taj jaz: revidirajte svoje tehničke kontrole, ne samo dokumentaciju, primjenjujte iste sigurnosne standarde na dobavljače treće strane koje primjenjujete interno te pratite razvoj trendova provedbe umjesto da pretpostavljate da prošla revizija usklađenosti i dalje odražava današnje zahtjeve. Tretiranje GDPR-a kao stalne sigurnosne obveze, umjesto jednokratne liste za provjeru, najpouzdaniji je način zaštite i vaših podataka i ugleda vaše organizacije.
