עדכוני מדור GDPR: אבטחת נתונים אישיים

הכל טוב מאוד שיש כוונות טובות לשמור על אבטחת הנתונים האישיים, אבל כדי באמת לעמוד בדרישות ארגונים צריכים להבטיח שהם משתמשים באמצעים טכניים וארגוניים מתאימים.

עם השינוי האמיתי הראשון של חוק הגנת המידע מזה 20 שנה, בואו נסתכל על מה תקנת הגנת המידע הכללית (GDPR) אומר על עקרונות אבטחה.

GDPR ואבטחת מידע אישי

השמיים אבטחת מידע אישי אינו דבר חדש. ה הגנה על נתונים חוק (DPA) 1998 ממליץ ששיטות העבודה הטובות ביותר יכללו הערכת הסיכון למידע והצבת אמצעי אבטחה מתאימים. אבל עם כניסתו של GDPR, המלצות אלה הן כעת דרישה חוקית.

בתקנות החדשות, סעיף 5(1)(ו) מדבר על שלמות וסודיות של נתונים אישיים, המכונה כעת 'עקרון האבטחה' של ה-GDPR:

"עובד באופן המבטיח אבטחה נאותה של הנתונים האישיים, לרבות הגנה מפני עיבוד בלתי מורשה או בלתי חוקי ומפני אובדן, הרס או נזק מקרי, תוך שימוש באמצעים טכניים או ארגוניים מתאימים."

מטרת עקרון האבטחה היא להבטיח שאמצעי האבטחה של הארגון שלך עוזרים למנוע מהנתונים האישיים שברשותך ללכת לאיבוד, גניבה או פגיעה בכל דרך שהיא. אז כשאנחנו מדברים על אבטחת מידע, אנו כוללים גם אבטחת סייבר, פיזית וארגונית.

משרד נציב המידע (ICO) ממליץ לשקול את עקרון האבטחה לצד סעיף 32 של ה-GDPR, במיוחד סעיף 32(1).

"בהתחשב במצב החדש, בעלויות היישום ובאופי, היקפו, ההקשר ומטרות העיבוד, כמו גם הסיכון של סבירות וחומרה משתנים לזכויות וחירויות של אנשים טבעיים, הבקר והמעבד יהיו ליישם אמצעים טכניים וארגוניים מתאימים כדי להבטיח רמת אבטחה המתאימה לסיכון".

מדוע אבטחת מידע חשובה?

אם ארגונים ואנשים לא מצליחים לעקוב אבטחת מידע תהליכים ועקרונות, הסיכון לרכוש ולנפש יכול להיות משמעותי. כמה דוגמאות לנזק כוללות:

• כרטיס תשלום, הטבות, הונאה פיננסית וזהות;
• נתונים אישיים גנובים גורמים להתקפות דיוג או חנית להיראות אותנטיות יותר;
• עבריינים ועדים בסכנת פגיעה או הפחדה; ו
• חשיפה של מידע המאפשר זיהוי אישי של אנשי שירות או רשויות אכיפת החוק.

מעל לכל, אבטחת מידע היא דרישה משפטית שעוזרת לך גם לתרגל ממשל נתונים תקין ולהפגין בפניך שרשרת אספקה ולקוחות שאפשר לסמוך עליהם.

בנוסף, ככל שתשקיעו כאן יותר עבודה כך ייטב, מכיוון שה-ICO מעריך את האמצעים הטכניים והארגוניים שיש לכם כאשר אתם שוקלים קנס - אם הגרוע מכל היה קורה.

אמצעי אבטחה ו-GDPR - על מה עליהם להגן?

כפי שכבר נגענו בו, עקרונות האבטחה כוללים כל היבט של עיבוד נתונים אישיים (סייבר ופיזי).

אז אמצעי האבטחה יבטיחו שניתן לגשת לנתונים אישיים רק על ידי אנשים מורשים לצורך חשיפה או מחיקה. האמצעים יוודא שהנתונים מדויקים ומלאים ויישארו נגישים ושמישים. הכוונה היא לעקרון 'סודיות, יושרה וזמינות'.

למרות שה-GDPR אינו מציע המלצות או הגדרות ספציפיות של אמצעי האבטחה שלך, הארגון שלך צפוי ליישם רמת אבטחה 'מתאימה'. כדי לקבוע מה נחשב מתאים עבורך, עליך למדוד תחילה את הסיכון ולהעריך את ערך הנתונים האישיים.

אילו אמצעים ארגוניים עליך לכלול עבור אבטחת GDPR?

אמצעי ארגוני יכלול ביצוע א הערכת סיכוני מידע. כמו כן, בניית תרבות של מידע ו אבטחת סייבר בארגון שלך חיוני בביצוע העקרונות על בסיס יומיומי. ייתכן שזו אחריותו של א קצין הגנת מידע (DPO) או חבר צוות אחר שאחראי על העברת המודעות לאבטחה.

ה-ICO גם מציע לך לכלול את הדברים הבאים בעת נקיטת צעדים כדי לעמוד בעקרון האבטחה:

• תיאום בין אנשי מפתח בארגון שלך (למשל מנהל האבטחה יצטרך לדעת על הפעלה והשלכה של כל ציוד IT);
• גישה לחצרים או לציוד שניתנו לכל מי מחוץ לארגון שלך (למשל לתחזוקת מחשבים) ושיקולי האבטחה הנוספים שהדבר ייצור;
• רציפות עסקית הסדרים המזהים כיצד תגן ותשחזר כל מידע אישי שברשותך; ו
• בדיקות תקופתיות כדי להבטיח שאמצעי האבטחה שלך נשארים מתאימים ומעודכנים.