Sisu
- 1. müüt: GDPR on EL-i seadus, mida ei kohaldata EL-i väliste ettevõtete suhtes.
- 2. müüt: GDPR lihtsalt hirmutab inimesi, kuid tegelikke trahve ei määrata.
- 3. müüt: GDPR-i järgimiseks pean tegema ainult privaatsuspoliitika oma veebisaidil.
- 4. müüt: kui mulle antakse GDPR-i rikkumise eest trahv, pean maksma paarsada eurot.
- Pole vigu ega stressi - teie samm-sammuline juhend elumuutva tarkvara loomiseks ilma oma elu hävitamata
- 5. müüt: kui ma täidan GDPR-i, siis olen automaatselt vastavuses kõigi EL-i privaatsusseadustega.
- Lõppsõna
Allikas: Alexandersikov / Dreamstime.com
Ära võtma:
GDPR on teinud ulatuslikke muudatusi andmete kaitsmise osas, kuid selle uue seaduse osas on palju väärarusaamu ja segadust, kuidas see täpselt töötab.
ELis jõustus 25. jaanuaril EL-i üldine andmekaitsemäärus (GDPR)th Alates sellest ajast on ettevõtted kulutanud miljardeid dollareid, et tagada uue seaduse järgimine. Just 500 USA suurimat ettevõtet kulutasid GDPRi rangete nõuete täitmiseks umbes 7,8 miljardit dollarit. Vaatamata GDPR-i ulatuslikule kajastamisele meedias, ümbritsevad seda üsna uut EL-i seadust paljud müüdid. Selles artiklis käsitleme neist viit.
1. müüt: GDPR on EL-i seadus, mida ei kohaldata EL-i väliste ettevõtete suhtes.
Territoriaalsuse põhimõte kehtib sageli õiguse valdkonnas. See tähendab, et ühes riigis vastu võetud õigusaktid kehtivad ainult selles riigis. Näiteks USA patent pakub patendikaitset ainult Ameerika Ühendriikides. GDPR-i autorid otsustasid siiski teistsuguse lähenemisviisi kasutada, tagamaks, et EL-i elanike isikuandmeid ei kasutaks ebaausad välisettevõtted. GDPR kehtib väljaspool ELi asuvate ettevõtete kohta:
- Kaupade / teenuste pakkumine ELi elanikele,
- EL elanike käitumise jälgimine või
- Filiaalide omamine ELis (kui filiaalide tegevus hõlmab andmetöötlust).
(Selle kohta lisateavet leiate artiklist GDPR: Kas teate, kas teie organisatsioon peab vastama?)
2. müüt: GDPR lihtsalt hirmutab inimesi, kuid tegelikke trahve ei määrata.
World Wide Web koosneb enam kui 1,5 miljardist veebisaidist. Paljud neist veebisaitidest müüvad kaupu ja / või teenuseid ELi elanikele ja kuuluvad GDPRi reguleerimisalasse. On ebareaalne eeldada, et nad kõik vastavad GDPR-i nõuetele, sealhulgas, kuid mitte ainult, andmevoogude tuvastamine, andmetöötluslepingute sõlmimine ja põhjalike privaatsuspoliitikate ettevalmistamine.
Kindlasti pole kõigil e-kaubandusega tegelevatel ettevõtetel rahalisi ja inimressursse, et täita ELi uue eraelu puutumatuse seadusega kehtestatud kõrgeid standardeid. ELi andmekaitseasutused järgivad siiski õiguspõhimõtet “Ignorantia juris non excusat või ignorantia legis neminem excusatMis pärineb Rooma ajast. Eesti keeles võib selle tõlkida nii: “Seaduse teadmatus ei ole vabandus.” Vaatamata asjaolule, et GDPR on hiljuti jõustunud, määravad üha enam andmekaitseasutusi privaatsuse rikkujatele kopsakaid trahve. Näiteks määras Prantsuse andmekaitseamet jaanuaris 2019 GDPR-i rikkumise eest Google'ile 50 miljoni euro suuruse trahvi. Ametiasutus põhjendas Google'i trahvi määramise otsust järgmiselt: „Trahvi suurust ja avalikkust õigustatakse kõigepealt GDPR-i aluspõhimõtete - läbipaistvuse, teabe ja nõusoleku - osas tuvastatud puuduste tõsidusega.” Saksamaa, naabrinaine Prantsusmaa karistas sotsiaalmeediaettevõtet GDPR-i rikkumise eest palju väiksema trahviga (20 000 eurot). Kuid isegi sellel summal võivad olla alustavatele ettevõtetele ja väikeettevõtetele tõsised tagajärjed.
3. müüt: GDPR-i järgimiseks pean tegema ainult privaatsuspoliitika oma veebisaidil.
Võib leida arvukalt veebisaite, mis pakuvad „GDPR-iga ühilduvaid” privaatsuspoliitika malle. Mõned neist lubavad kasutajatel isegi oma privaatsuseeskirju vastavalt vajadustele kohandada. Privaatsuspoliitika koostamine on aga vaid väike samm GDPR-i järgimise tagamiseks. Muud toimingud võivad hõlmata järgmist:
- Küpsiste hüpikriba installimine
- Andmete kaardistamise läbiviimine
- Andmekaitseametniku määramine
- Andmekaitsega seotud rikkumiste korral asjaomaste andmekaitseasutuste teavitamise protsessi rakendamine
- Andmetöötluslepingute sõlmimine andmetöötlejatega
- Selle tagamine, et kolmandates riikides asuvate andmetöötlejate andmekaitse oleks piisav
Lisaks sellele peab organisatsioon GDPR-i järgimiseks rakendama oma hästi kirjutatud privaatsuspoliitikat ja seda regulaarselt ajakohastama, et kajastada viimaseid muudatusi organisatsiooni andmekaitsepraktikas.
4. müüt: kui mulle antakse GDPR-i rikkumise eest trahv, pean maksma paarsada eurot.
Sanktsioone GDPR-i rikkumiste eest ei tohiks võrrelda parkimisrikkumistega, kuna esimestel võib olla ühiskonnale palju tõsisem mõju kui viimastel. Näiteks võib ettevõte, kes müüb oma klientide isikuandmeid andmemaakleritele, seada ohtu miljonite inimeste eraelu. Sellised andmemaaklerid võivad müüa isikuandmeid rämpspostitajatele, kes pommitavad andmesubjektide platvorme soovimatute andmetega, sundides neid seega rämpsposti lugemisel ja kustutamisel oma väärtuslikku aega raiskama. GDPR-i rikkumised võivad põhjustada ka isikliku teabe loata avaldamise. Tänapäeval võib igasugune avalikult kättesaadav isiklik teave üksikisiku kohta avaldada negatiivset mõju selle isiku karjäärile. Selle põhjuseks on asjaolu, et tööandjad kasutavad Google'ile sageli potentsiaalsete töötajate nimesid ja isiklikku teavet, näiteks tudengite peol tehtud fotot.
Pole vigu ega stressi - teie samm-sammuline juhend elumuutva tarkvara loomiseks ilma oma elu hävitamata
Te ei saa oma programmeerimisoskusi parandada, kui keegi tarkvara kvaliteedist ei hooli.
Seetõttu määravad ELi andmekaitseasutused GDPR-i rikkujatele tõenäoliselt tõsised trahvid. Eespool nimetatud 50 miljoni ja 20 000 euro suurused trahvid näitavad selgelt, et nõuetele mittevastavatele üksustele määratud trahvid ulatuvad tuhandete ja miljonite eurodeni. (Nõuetele mittevastavus võib muuta teid ka küberkuritegevuse sihtmärgiks. Lisateave jaotises Kuidas küberkurjategijad kasutavad GDPR-i ettevõtete väljapressimiseks.)
5. müüt: kui ma täidan GDPR-i, siis olen automaatselt vastavuses kõigi EL-i privaatsusseadustega.
GDPR-i üks eesmärke oli luua ühtlustatud EL-i õigusraamistik, mis rakendub vahetult kõikides EL-i riikides. Ehkki see eesmärk saavutati mingil määral, on EL-i riikidel siiski teatavate seaduse aspektide osas kaalutlusõigus. Sellest tulenevalt on igal EL-i riigil lubatud kehtestada eraldi täiendavad reeglid GDPR-i kohta. Praegu on vähemalt 70 sellist reeglit. Paljud neist on seotud töötajate andmete töötlemisega. Seega peavad ettevõtted, kes soovivad täita GDPR-i, mitte ainult järgima seda, vaid ka täiendavaid reegleid, mille on vastu võtnud üksikud EL riigid.
Lõppsõna
Eneseabiraamatutest võib olla palju abi erinevate valdkondade osas, näiteks psühholoogia, isiklike rahaasjade haldamine ja ettevõtte asutamine. Siiski tuleb ettevaatlik olla kõigi väljaannete puhul, mis pakuvad lihtsat viisi GDPR-i järgimiseks. Sellised väljaanded levitavad sageli müüte ja seavad oma lugejad ohtu saada kindlat trahvi. Vähesed inimesed üritavad väärtpaberiekspertide teenuseid kasutamata järgida USA väärtpabereid käsitlevaid õigusakte ja USA finantssektori reguleeriva asutuse üldisi eeskirju. Kuid paljud inimesed usuvad endiselt naiivselt, et suudavad täita GDPR-i (seadus, mis pole vähem keeruline kui USA väärtpaberiseadused), ostes malli 20 dollari eest ja postitades selle oma veebisaidile.