GDPR betyder GDPR – Har du etableret din SAR-plan?

EU GDPR vil blive vedtaget af Storbritannien uanset Brexit, så handling er nødvendig nu. For de virksomheder, der ser ansvarligt på, hvordan de vil opfylde kravene til denne europæiske forordning, vil emneadgangsanmodninger (SAR'er) uden tvivl være en del af deres overvejelser.

I henhold til den nye EU GDPR skal organisationer reagere på SAR'er "uden unødig forsinkelse og senest inden for en måned". Dette er en kortere tidsramme end under den eksisterende DPA, som angiver 40 dage. Måske endnu mere krævende er det, at supplerende oplysninger også skal gives til anmoderne sammen med deres personoplysninger. Dette omfatter, hvor det er muligt, detaljer om "den påtænkte periode, for hvilken Personlig data vil blive opbevaret eller, hvis det ikke er muligt, de kriterier, der anvendes til at bestemme denne periode”.

Yderligere oplysninger er også nødvendige for at forklare rekvirentens ret til at anmode om berigtigelse eller sletning af deres data, til at gøre indsigelse mod behandlingsaktiviteter samt deres ret til at indgive klager til databeskyttelsesmyndigheder. Organisationer skal identificere, hvor de har hentet anmodernes personlige data fra i tilfælde, hvor de ikke er blevet indsamlet direkte fra den enkelte. Anmodere vil også have ret til at få oplysninger om de sikkerhedsforanstaltninger, der anvendes, når deres data overføres uden for Det Europæiske Økonomiske Samarbejdsområde.

Ifølge Informationskommissærens kontor (ICO) Årsrapport for regnskabsåret 2015/16*, 42 % af concerns rejst med dem centreret om SAR. Dette understreger de vanskeligheder, organisationer allerede har med at overholde de eksisterende, mindre byrdefulde regler. Det indikerer, at organisationer har et stykke vej at gå for at opfylde forventningerne fra kunder, personale og regulatorer!

Planen

Under ICO'erne Forberedelse til Generel databeskyttelsesforordning (GDPR) – 12 trin at tage nu**, den 5. beskriver behovet for procedurer og en plan for, hvordan en organisation vil håndtere SAR'er.

I lyset af de nye krav er det vigtigt, at personalet er tilstrækkeligt uddannet til at identificere, hvad en anmodning er, og processen for at håndtere den. At vente dage før processen startes og data hentes fra systemer vil være risikabelt, da bøderne sandsynligvis vil være meget stivere under GDPR.

• Fastlæg, hvordan du vil styre dit GDPR-projekt med klar synlighed over alt det arbejde, der skal udføres for at opnå og bevisoverholdelse.
• Aftal politikker internt, der beskriver dine pragmatiske procedurer og processer.
• Identificer, hvem der skal trænes, og hvordan vil du vise, at træningen har fundet sted.
• Foretage screening og vurdering af indvirkning på privatlivets fred.
• Identificer og adresser information, fysiske og lovgivningsmæssige privatlivsrisici.
• Etabler en metode til at tildele SAR'er til uddannede personer sammen med deadlines og advarsler, mens du bevarer synlighed og ledelsesrapportering.

Så GDPR kan udgøre en væsentlig risiko for organisationer og en plan, der skal håndteres SAR'er og alle andre aspekter af kravene er nødvendige:

• Sørg for, at de har et klart arbejdsflow at følge, hvor de kan holde styr på deres arbejde.
• Giv dem mulighed for hurtigt at få adgang til versionskontrollerede skabelonsvar med standardiseret formulering (som giver de supplerende detaljer, der skal oplyses sammen med anmoderens data)
• Udstyr personalet med værktøjer til nemt og effektivt at give andre teammedlemmer opgaver til at udføre deres del af processen.
• Integrer dit GDPR-arbejde i dit bredere ISMS eller informationssikkerhed standarder.
• Demonstrere effektiv styring over for en regulator i tilfælde af en undersøgelse.

Uden tvivl vil tilsynsmyndigheder også lede efter en stærk holdning til at demonstrere sikkerheden af ​​personlige data af registeransvarlige og databehandlere. Derfor vores softwareløsning, ISMS.online, inkluderer alle værktøjer og rammer til styring af GDPR-overholdelse og informationssikkerhed i overensstemmelse med kravene i ISO 27001.

Informationskommissærens årsberetning og årsregnskab 2015/16

Vejledning til den generelle databeskyttelsesforordning (GDPR)