เช่นเดียวกับกฎระเบียบส่วนใหญ่ GDPR ไม่ได้เป็นรายการที่ชัดเจนของกฎเกี่ยวกับสิ่งที่ต้องทำและสิ่งที่ไม่ ดังนั้นคำถามเกี่ยวกับมันมักจะกว้างเกินไปที่จะจัดการกับเว็บไซต์ Q / A มีหลายตำนานและความเรียบง่ายที่ไม่ถูกต้องรอบกฎระเบียบและอุตสาหกรรมทั้งหมดขึ้นอยู่กับความกลัวของการลงโทษที่กำหนดโดยกฎระเบียบ
คำตอบนี้พยายามให้ภาพรวมที่เป็นประโยชน์ของเรื่อง ฉันไม่ได้เป็นนักกฎหมาย แต่ฉันทำงานเกี่ยวกับเรื่องนี้มาเกือบนับตั้งแต่ได้รับการแนะนำก่อนอื่นด้วยการรวบรวมข้อมูลวิธีการรอและดูและในปัจจุบันมีวิธีปฏิบัติที่เป็นประโยชน์เรียงลำดับความสำคัญและวนซ้ำ
เรายังไม่ทราบว่าจะมีการตีความกฏหมายอย่างไรและหลาย บริษัท ยังคงรอดูว่าการกระทำของคนอื่นกำลังทำอะไร เนื่องจาก Server Fault มีไว้สำหรับผู้เชี่ยวชาญด้านไอทีเราไม่ใช่นักกฎหมายที่สามารถตีความข้อบังคับและความสัมพันธ์กับกฎหมายอื่น ๆ แม้ว่าเราจะทำได้คำถามสไตล์ Q / A นั้นใช้เวลานานมากในการมีข้อมูลรายละเอียดที่จำเป็นในการตอบ: การปฏิบัติตาม GDPR ไม่ใช่เรื่องของการกระทำของแต่ละบุคคล แต่เป็นกลยุทธ์ทั้งหมดใน บริษัท ของคุณ หากคุณต้องการถามคำถามดังกล่าวคุณอาจต้องจ้างที่ปรึกษาหรือแม้แต่ทนายความ อย่างไรก็ตามจะมีหลายคนที่รอดชีวิตโดยไม่มีใคร
คุณต้องสร้าง (อาจมีคำแนะนำทางกฎหมาย) กลยุทธ์ของคุณเองและจากนั้นตัดสินใจว่าคุณกำลังทำอะไรเพื่อให้สอดคล้องกับ GDPR เมื่อคุณพยายามใช้การเปลี่ยนแปลงเหล่านั้นในระบบข้อมูลจริงคุณอาจประสบปัญหาทางเทคนิคว่าควรจะทำอย่างไร นั่นคือเมื่อคำถามถูก จำกัด ขอบเขตของ Server Fault!
ในการเริ่มต้นคุณควรรู้ว่ากฎระเบียบนั้นมีไว้เพื่ออะไร เป็นกรอบทางกฎหมายในการรับรองว่าข้อมูลส่วนบุคคลได้รับการจัดการอย่างรอบคอบตลอดช่วงอายุการใช้งานตั้งแต่การรวบรวมจนถึงการลบ GDPR ข้อ 5อธิบายหลักการในการประมวลผลข้อมูลส่วนบุคคลโดยย่อ:
- ถูกต้องตามกฎหมายเป็นธรรมและโปร่งใส
- ข้อ จำกัด วัตถุประสงค์
- การลดขนาดข้อมูล
- ความถูกต้อง
- ข้อ จำกัด การเก็บรักษา
- ความซื่อสัตย์และความลับ
GDPR ให้ข้อมูลแก่อาสาสมัครเช่นประชาชนควบคุมข้อมูลส่วนบุคคลและเครื่องมือเพื่อให้แน่ใจว่าหลักการเหล่านี้ได้รับการเคารพ รวมถึงสิทธิ์ในการเข้าถึงข้อมูลของตนเองแก้ไขและย้ายข้อมูลและลบข้อมูลเช่นสิทธิในการถูกลืม (หากไม่มีกฎหมายอื่นกำหนดให้เก็บรักษาไว้) นอกจากนี้ยังให้ความเป็นไปได้ของการลงโทษและ บริษัท ของคุณอาจจำเป็นต้องกำหนดเจ้าหน้าที่ป้องกันข้อมูล
หลักการส่วนใหญ่ได้ถูกนำไปใช้ในกฎหมายแห่งชาติแล้ว (เนื่องจากData Protection Directive 95/46 / EC) ซึ่งทำให้การเปลี่ยนแปลงค่อนข้าง จำกัด สำหรับ บริษัท ในสหภาพยุโรป บริษัท นอกสหภาพยุโรปอาจทำอะไรได้มากกว่านี้หากดำเนินการกับข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรป
สิ่งสำคัญประการหนึ่งที่การเปลี่ยนแปลงคือความรับผิดชอบซึ่งทำได้ดีที่สุดในการปฏิบัติโดยการบันทึกขั้นตอนการปฏิบัติของคุณอย่างละเอียด:
- วิธีการและเหตุผลที่ข้อมูลส่วนบุคคลจะถูกเก็บรวบรวม
- สิ่งที่ทำให้การประมวลกฎหมายถูกต้อง ( ความยินยอมเป็นเพียงเงื่อนไขเดียวจากศิลปะ 6 )
- วิธีจัดเก็บและประมวลผลข้อมูล
- ผู้ที่สามารถเข้าถึงข้อมูลและวิธีที่คุณควบคุมและตรวจสอบสิ่งนี้
- ไม่ว่าจะถูกลบ (โดยอัตโนมัติ / มาตรฐานการปฏิบัติ) เมื่อเหตุผลในการจัดเก็บหมดอายุ
- วิธีจัดการความเสี่ยงที่เกี่ยวข้องเช่นการวิเคราะห์ความเสี่ยง
ในความคิดของฉันถ้าคุณคิดอย่างรอบคอบเกี่ยวกับสิ่งเหล่านี้แก้ไขปัญหาและลดความเสี่ยงที่คุณค้นพบแล้วบันทึกสิ่งเหล่านี้ทั้งหมดคุณควรอยู่ห่างจากการคว่ำบาตร - แม้ว่าคุณจะถูกบุกรุกก็ตาม จะมีมหาสมุทรของพฤติกรรมประมาทที่เป็นไปได้ระหว่างสถานการณ์ของคุณและชนิดของพฤติกรรมที่ทำให้หนึ่งต้องรับผิดชอบ€ 20 ล้าน / 4% ของค่าปรับการหมุนเวียน