Üldine andmekaitsemäärus (GDPR) on põhjalikult muutnud seda, kuidas ettevõtted Euroopa Liidus ja väljaspool seda isikuandmeid käitlevad. Selles artiklis antakse üksikasjalik ülevaade GDPRist, selgitatakse, mida see tähendab ettevõtete jaoks, ning esitatakse praktiline kontrollnimekiri, mis sisaldab 7 sammu GDPRi järgimise tagamiseks.

Mis on GDPR?

Andmekaitse üldmäärus (GDPR) on ELi õiguse keskne osa ja on isikuandmete kaitse aluseks Euroopa Liidus ja Euroopa Majanduspiirkonnas. Nende peamine eesmärk on anda üksikisikutele ulatuslikuma kontrolli kaudu rohkem võimu oma andmete üle. Samal ajal tuleb rahvusvaheliselt tegutsevatele ettevõtetele kehtestatud eeskirju ühtlustada ja lihtsustada, et võimaldada sujuvat ja turvalist andmevahetust piiriüleselt.

Keda mõjutab GDPR?

Kõik ettevõtted, kes töötlevad ELi kodanike isikuandmeid, sõltumata sellest, kas nad asuvad ELis või mitte, peavad järgima GDPRi. See puudutab muu hulgas järgmist:

• Väljaspool ELi asuvad ettevõtted, kes koguvad isikuandmeid, pakkudes ELi kodanikele kaupu või teenuseid.
  
• Organisatsioonid, mis analüüsivad üksikisikute käitumist ELis.

Mida teeb GDPR?

GDPR sätestab täpsed suunised isikuandmete käitlemiseks ning kehtestab ettevõtetele ja organisatsioonidele ranged nõuetele vastavuse nõuded. Määruse tuumiku moodustavad järgmised olulised sätted:

• Selge nõusoleku nõue: Enne isikuandmete töötlemist tuleb andmesubjektidelt saada selge ja teadlik nõusolek. See nõusolek peab olema antud konkreetsel eesmärgil ja seda võib igal ajal tagasi võtta.
  
• Õigus: üksikisikutel on õigus nõuda teavet selle kohta, kas ja milliseid neid puudutavaid isikuandmeid töödeldakse, ning vajaduse korral taotleda juurdepääsu nendele andmetele ja lisateavet nende töötlemise kohta.
  
• Õigus andmete parandamisele: Kui isikuandmed on ebatäielikud või ebatäpsed, on andmesubjektidel õigus nõuda nende parandamist või täiendamist põhjendamatu viivituseta.
  
• Õigus andmete kustutamisele: tuntud ka kui “õigus olla unustatud”. See õigus võimaldab üksikisikutel taotleda oma isikuandmete kustutamist, eelkõige juhul, kui andmeid ei ole enam vaja algsel eesmärgil või kui nõusolek töötlemiseks on tühistatud.
  
• Erieeskirjad andmeedastuse kohta väljaspool ELi: Selleks et tagada isikuandmete kaitse ka siis, kui neid edastatakse kolmandatesse riikidesse, on GDPRis sätestatud erinõuded. Seega on andmete edastamine lubatud ainult siis, kui vastuvõttev riik pakub võrreldavat kaitsetaset või kui on olemas asjakohased kaitsemeetmed, näiteks standardsed andmekaitseklauslid või siduvad sisemised andmekaitse-eeskirjad.

Andmekaitse rikkumine

GDPRi mittetäitmisel on tõsised finants- ja mainekahjulikud tagajärjed. Määruses on sätestatud, et selle sätteid rikkuvate ettevõtete suhtes võib kohaldada suuri trahve. Need karistused võivad ulatuda kuni 4%ni asjaomase ettevõtte ülemaailmsest aastakäibest või kuni 20 miljoni euroni, olenevalt sellest, kumb on suurem.

7 sammu GDPRi järgimiseks

7 sammu GDPRi järgimiseks annavad ettevõtetele selgeid juhiseid, et tagada GDPRi rangete nõuete täitmine. Iga samm on andmetöötluse turvalisuse ja seaduslikkuse seisukohalt ülioluline:

1. samm: mõista GDPRi ja selle nõudeid

Enne digitaalsete lahenduste rakendamist on väga oluline arendada põhjalikku arusaamist GDPRist. See hõlmab ka andmesubjektide õiguste ja andmetöötlejate kohustuste tundmist.

2. samm: Andmekaitseametniku määramine

Oluline on kontrollida, kas teie ettevõte peab määrama andmekaitseametniku. Eriti ettevõtted, kes töötlevad regulaarselt suures koguses isikuandmeid, peaksid selle ametikoha täitma.

3. samm: Viige läbi andmekaitseaudit

Teie andmetöötlustoimingute põhjalik audit aitab tuvastada võimalikke riske andmeturvalisusele.

4. samm: riskihindamine ja protsesside kohandamine

Hinnake oma praeguste protsessidega seotud riske ja viige need vastavusse GDPRiga. See võib hõlmata täiendavate turvameetmete rakendamist või nõusolekute saamise viisi muutmist.

5. samm: ajakohastage oma privaatsuspoliitikat

Teie privaatsuspoliitika peaks vastama GDPRi nõuetele ja olema kõigile sidusrühmadele hõlpsasti kättesaadav. Kehtivate standardite järgimiseks on vaja neid korrapäraselt ajakohastada.

6. samm: töötajate koolitamine

Koolitage oma töötajaid GDPRi põhimõtete osas. Andmekaitsealase teadlikkuse tõstmiseks ja rikkumiste vältimiseks on oluline korraldada korrapäraseid koolitusi.

7. samm: pidev järelevalve ja hindamine

GDPRi järgimine on pidev protsess. Võtke kasutusele mehhanismid oma andmetöötlustoimingute pidevaks jälgimiseks ja hindamiseks, et tagada nende pidev vastavus kehtivatele andmekaitsestandarditele. Kohandage oma protsesse vastavalt vajadusele uute õiguslike nõuete või tehnoloogia arenguga.

Järeldus

GDPRi järgimine on oluline kõigile ELis tegutsevatele või ELi kodanikele teenuseid osutavatele ettevõtetele. Eespool nimetatud sammude rakendamisega saavad ettevõtted mitte ainult vältida trahve, vaid ka suurendada oma klientide usaldust. GDPRiga kohanemine võib esialgu olla keeruline, kuid see annab ka võimaluse andmete töötlemise tavade läbivaatamiseks ja parandamiseks. Proaktiivne lähenemine andmekaitse nõuetele vastavusele võib anda ettevõttele konkurentsieelise ja tugevdada tema mainet klientide ja partnerite seas. Pidage meeles, et andmekaitse ei ole mitte ainult õiguslik kohustus, vaid ka kaasaegse äritegevuse keskne element, mis näitab teie klientide isikuandmete suhtes austust ja vastutustunnet.

Korduma kippuvad küsimused GDPRi kohta

Kas kõik ettevõtted peavad määrama andmekaitseametniku?
Mitte iga ettevõte ei ole kohustatud määrama andmekaitseametnikku. See on eriti vajalik riigiasutustele ja ettevõtetele, kes töötlevad suures mahus eriliiki isikuandmeid või kelle põhitegevus seisneb isikute korrapärases ja süstemaatilises jälgimises.

Kuidas saan ma andmesubjektina kasutada oma GDPRi kohaseid õigusi?
Andmesubjektid võivad oma õigusi, näiteks õigust juurdepääsule, parandamisele, kustutamisele või töötlemise piiramisele, kasutada otse vastutava ettevõtte vastu. Ettevõtted on kohustatud vastama sellistele taotlustele ühe kuu jooksul.

Mis on õigus andmete ülekantavusele?
Õigus andmete ülekantavusele võimaldab üksikisikutel saada oma isikuandmed, mille nad on esitanud vastutavale töötlejale, struktureeritud, üldkasutatavas ja masinloetavas vormis ning edastada need andmed takistusteta teisele vastutavale töötlejale.

Millist rolli mängivad allkirjapakkujad digitaalallkirjade GDPRi nõuete täitmisel?
Allkirjapakkujatel on oluline roll digitaalallkirjade GDPRi vastavuse tagamisel, kuna nad peavad tagama, et nende platvormid ja teenused vastavad andmekaitse-eeskirjadele. Nende hulka kuuluvad muu hulgas edastatavate andmete turvalisus, nõusolekunõuete täitmine ja digitaalallkirjade terviklikkust tagavate mehhanismide pakkumine.

Kuidas saan tagada, et minu valitud allkirjapakkuja täidab GDPRi andmekaitse-eeskirju?
Et tagada, et teie valitud allkirjapakkuja vastab GDPRi andmekaitse-eeskirjadele, saate kõigepealt kontrollida, kas pakkujal on asjakohased sertifikaadid või tõendid GDPRi nõuete täitmise kohta. Lisaks on soovitatav hoolikalt läbi vaadata teenusepakkuja privaatsuspoliitikat ja veenduda, et see vastab GDPRi nõuetele. Samuti võite küsida teenusepakkujalt tema turvameetmete, privaatsuspoliitikate ja isikuandmete töötlemise viisi kohta, et tagada GDPRi standardite täitmine.

Kus ma saan vaadata GDPRi tervikteksti ja saada lisateavet?
Üldise andmekaitse määruse (GDPR) tervikteksti ja lisateavet saab Euroopa Liidu ametlikul veebisaidil . See põhjalik allikas annab üksikasjaliku ülevaate GDPRi kõigist aspektidest ja on võrdluseks ettevõtetele, organisatsioonidele ja andmesubjektidele, kes tegelevad andmekaitsega.

Millised tegurid mõjutavad GDPRi kohaste trahvide suurust?
GDPRi kohaste trahvide suurust mõjutavad mitmed tegurid, sealhulgas rikkumise laad, süü ulatus, varasemad rikkumised ja ettevõtte finantssuutlikkus.

Kas väikeste ja keskmise suurusega ettevõtete trahvid erinevad suurtest ettevõtetest?
Jah, GDPR sätestab väikestele ja keskmise suurusega ettevõtetele erinevad trahvid võrreldes suurettevõtetega. Kuigi trahvisummad võivad mõlemal juhul olla märkimisväärsed, võtab määrus trahvi määramisel arvesse ka asjaomase ettevõtte finantssuutlikkust.