GDPR beteken GDPR – Het jy jou SAR-plan opgestel?

EU GDPR sal deur die VK aangeneem word, ongeag Brexit, so aksie is nou nodig. Vir daardie besighede wat verantwoordelik kyk na hoe hulle aan die vereistes vir hierdie Europese regulasie sal voldoen, sal Subject Access Requests (SAR's) ongetwyfeld deel van hul oorwegings vorm.

Onder die nuwe EU GDPR moet organisasies op SAR'e reageer "sonder onnodige vertraging en op die laatste binne een maand". Dit is 'n korter tydraamwerk as onder die bestaande DPA wat 40 dae bepaal. Miskien selfs meer veeleisend is dat aanvullende inligting ook aan versoekers verskaf moet word saam met hul persoonlike data. Dit sluit in, waar moontlik, besonderhede van “die beoogde tydperk waarvoor die persoonlike data gestoor sal word of, indien nie moontlik nie, die kriteria wat gebruik word om daardie tydperk te bepaal”.

Verdere inligting word ook vereis om die versoekers se regte te verduidelik om die regstelling of uitvee van hul data te versoek, om beswaar te maak teen verwerkingsaktiwiteite, tesame met hul reg om klagtes in te dien by databeskermingsowerhede. Organisasies sal moet identifiseer waar hulle versoekers se persoonlike data vandaan gekry het in gevalle waar dit nie direk van die individu ingesamel is nie. Aansoekers sal ook 'n reg hê om besonderhede te ontvang van die voorsorgmaatreëls wat toegepas word waar hul data buite die Europese Ekonomiese Ruimte oorgedra word.

Volgens Die Inligtingskommissaris se kantoor (ICO) Jaarverslag vir die finansiële jaar 2015/16*, 42% van concerns grootgemaak met hulle gesentreer op SAR. Dit beklemtoon die probleme wat organisasies reeds het om aan die bestaande, minder moeilike regulasies te voldoen. Dit dui aan dat organisasies 'n pad het om te gaan om aan die verwagtinge van kliënte, personeel en die reguleerders te voldoen!

Die Plan

Onder die ICO's Voorbereiding vir die Regulasie Algemene Data Protection (GDPR) – 12 stappe om nou te neem**, die 5de beskryf die behoefte aan prosedures en 'n plan van hoe 'n organisasie SAR's sal hanteer.

Gegewe die nuwe vereistes, is dit belangrik dat personeel voldoende opgelei is om te identifiseer wat 'n versoek is en die proses om dit te hanteer. Om dae te wag voordat die proses begin word en data van stelsels herwin word, sal riskant wees aangesien boetes waarskynlik baie sal wees stywer onder GDPR.

• Stel vas hoe jy jou GDPR-projek sal bestuur met duidelike sigbaarheid van al die werk wat voltooi moet word om te bereik en bewyse nakoming.
• Stem intern ooreen oor beleid wat jou pragmatiese prosedures en prosesse beskryf.
• Identifiseer wie opgelei moet word en hoe sal jy wys dat opleiding plaasgevind het.
• Onderneem privaatheid impak sifting en assessering.
• Identifiseer en spreek inligting aan, fisiese en wetgewende privaatheidsrisiko's.
• Vestig 'n metode om SAR's aan opgeleide individue toe te ken, tesame met spertye en waarskuwings, terwyl sigbaarheid en bestuursverslaggewing behou word.

Dus, GDPR kan 'n betekenisvolle inhou risiko vir organisasies en 'n plan om aan te spreek SAR's en alle ander aspekte van die vereistes word benodig:

• Maak seker dat hulle 'n duidelike werkvloei het om te volg waar hulle tred kan hou met hul werk.
• Gee hulle die vermoë om vinnig toegang te verkry tot weergawebeheerde sjabloonantwoorde met gestandaardiseerde bewoording (verskaf die aanvullende besonderhede wat saam met 'n versoeker se data bekend gemaak moet word)
• Rus personeel toe met gereedskap om ander spanlede maklik en effektief te takel om hul deel van die proses uit te voer.
• Integreer jou GDPR-werk in jou breër ISMS of inligtingsekuriteit standaarde.
• Demonstreer effektiewe bestuur aan 'n reguleerder in geval van 'n ondersoek.

Sonder twyfel sal reguleerders ook soek na 'n sterk posisie om die sekuriteit van persoonlike data deur beheerders en verwerkers te demonstreer. Dis hoekom ons sagteware oplossing, ISMS.online, sluit al die gereedskap en raamwerke in vir die bestuur van GDPR-nakoming en inligtingsekuriteit in ooreenstemming met die vereistes van ISO 27001.

Inligtingskommissaris se jaarverslag en finansiële state 2015/16

Gids tot die Algemene Databeskermingsregulasie (GDPR)