תקנות הגנת הפרטיות – GDPR ואבטחת מידע עלו לכותרות בשנת 2018 ומאז אנו שומעים על נושא זה בחדשות מפעם לפעם בהקשר לתחום האינטרנט.
אם אתם בעלי עסקים או מנהלי חברות וארגונים, עליכם להכיר את ה-GDPR, תקנות הגנת הפרטיות שהוגדרו על- ידי האיחוד האירופאי, General Data Protection Regulation, אולם תקפות לכל חברה וארגון בעולם וגם בישראל.
מה זה תקנות הגנת הפרטיות – GDPR, ואיך זה קשור לאבטחת מידע?
תקנות הגנת הפרטיות GDPR, מחליפות דירקטיבה קודמת ומטרתן כיסוי כל דרישות האיחוד האירופאי בצורה אחידה.
כל עסק או ארגון שמחזיק מאגר נתונים או מידע של לקוחות או של גופים או של אנשים הגרים וחיים באחת ממדינות האיחוד האירופאי, התקנות הללו חלות עליו במלואן ועליו ליישם את דרישות התקנות במלואן ולהוכיח שהנתונים והמידע לא נחשפו בפני גורמים חיצוניים או עוינים.
מאחר והתקנות חלות על כל ארגון שלו מאגר מידע שיכול לכלול אנשים מהאיחוד האירופי, הרי שהן חלות גם אל ארגונים המתנהלים מחוץ לאירופה ולכן חשוב שכל חברה או ארגון יכירו את התקנות וידאגו לעמוד בדרישותיהן.
כיצד תהיו מוגנים מפני ההשלכות של תקנות הגנת הפרטיות – GDPR?
במידה ומצויים אצלכם נתונים ומידע על אנשים או לקוחות שיתכן והם בעלי אזרחות של מדינה החברה באיחוד האירופי, אם זה באמצעות אפליקציה, אתר או כל פלטפורמה אחרת כגון, מערכת תשלומים, מערכת ניהול לקוחות, פעילות הנעשית ברשתות החברתיות או פעילות שבאמצעותה אתם מקבלים את המיילים של הלקוחות, הרי שהתקנות הללו חלות עליכם במלואן ויש להזכיר שאי ידיעתן אינה פוטרת אתכם מההשלכות החלות על ארגונים שלא יעמדו בהן.
ל- GDPR מספר נושאים שחשוב לתת עליהם את הדעת ואותם יש לבדוק כדי לדעת עד כמה אתם חשופים: ראשית, התקנות מפרטות מתי מותר לארגון לשמור ולעבוד עם נתוני אנשים פרטיים. לפי התקנות, ניתן לעשות זאת רק לאחר שהתקבלה הסכמה מפורשת ובכתב.
במקרה של קטינים, ישנה מגבלה ברורה – במקרה זה תידרש הסכמת הורים בכתב.
חברות ונותני שירותים יחויבו לבנות מערכת מנוהלת ומנוטרת לאיסוף נתונים של המידע ושמירה על המידע בצורה אנונימית שלא יהיה ניתן לגשת אליה בשום צורה. החברות ידרשו להציג את המערכות שברשותם וכיצד הם עושים זאת.
כדי לקיים את הדרישה הנ"ל על הארגונים להקים נהלים לניטור פעילות הגנת המידע כפי שמוגדר בתקנה במלואה.
על הארגון למנות מנהל אבטחת מידע ואסור שהוא יהיה מנהל ה- IT של הארגון וזאת מחשש לניגוד אינטרסים.
על החברות להקים הגנות והקשחות למאגרי המידע שלהן ולתרגל פריצות יזומות לבחינת יעילות ההגנות.
על הארגונים לדווח ללקוחות על פריצת אבטחה שנעשתה, בתוך 72 שעות, לכל מי שנתוניו נפגעו או היו חשופים לפגיעה וכידוע, היו בשנים האחרונות מקרים רבים של האקרים שפרצו למאגרי מידע של רשתות חברתיות ידועות, בנקים, חברות פרטיות ואפילו עסקים קטנים. לכן תקנות הגנת הפרטיות – GDPR, חלות על כל סוגי הארגונים מהעסק הקטן ביותר ועד חברות ענק ולכן יש קשר ישיר בין ה-GDPR לבין אבטחת המידע של הארגון.
שיאא מערכות ניהול מכירה לעומק את דרישות התקנות להגנת הפרטיות GDPR, וכן את הדרישות של תקן אבטחת מידע ISO 27001-2013, הכולל בתוכו גם את התקנה הישראלית לאבטחת מידע וגם את התקנה האירופאית ה- GDPR.
צרו איתנו קשר לקבלת מידע נוסף בנושא תקנות הגנת הפרטיות – GDPR ואבטחת מידע, ואנו נשמח לסייע בכל נושא ובכל שאלה.