varför gdpr är viktig och vad du behöver göra för att ... · data ska kunna användas • den...
TRANSCRIPT
Varför GDPR är viktig och vad du behöver göra för att komma tillrätta med den
GDPR kommer att få en dramatisk
effekt på hur organisationer hanterar
uppgifter om kunder, anställda och
andra. Förordningen kommer att träda i
kraft i maj 2018 och den innebär att alla
företag, myndigheter och enheter inom
den offentliga sektorn som kommer i
kontakt med en EU-invånares data måste
omvärdera sina datahanteringsmetoder
för att verifiera att de uppfyller kraven och
därigenom undviker stora bötesbelopp
och dålig publicitet. Det gäller även
organisationer som har hyr datatjänster
inom EU, oavsett var slutanvändaren
eller användaren finns.
Organisationer av alla storlekar måste
börja planera nu för att kunna ha alla
processer implementerade i tid. Detta
dokument är avsett som en rättfram
guide om GDPR och som omfattar dess
bakgrund, nyckelregler, påföljder och
bästa praxis för att kunna hantera denna
historiska milstolpe inom uppgiftsskydd.
Guiden är främst avsedd för dem som
inte är specialister men som har någon
roll inom IT, säkerhetsfrågor
eller företagsledningen.
Varför GDPR är viktig och vad du behöver göra för att komma tillrätta med denBeredskap, tekniska verktyg, smarta idéer och expertråd kan hjälpa dig att uppfylla de svåra utmaningarna som kommande regler om uppgiftsskydd innebär
GDPR måste ses som en del i det större sammanhang som uppgiftsskyddsbestämmelserna utgör. I Europa har det funnit lagar om uppgiftsskydd i över fyrtio år och dataskyddsdirektivet (1995) har hjälpt till att fastställa regler för informationshantering. Men dessa regler var inte uppskattade och de har inte följt med i tiden och de är inte anpassade till denna digitala tid då företagen och deras processer i huvudsak är elektroniska.
Tidigare lagar var även begränsade i sin omfattning, straffen var ofta lindriga och de enskilda EU-länderna hade olika egna sätt att tolka direktivet. somehow exempt is redundant. Med GDPR är det en väldigt stor skillnad och något av det viktigaste att komma ihåg är att det harmoniserar reglerna över alla EU-länder, snarare än att som tidigare lämna det åt varje enskild medlemsstat. Observera
även att förordningen träder i kraft långt innan Storbritannien avser att lämna EU, Storbritannien utgör därför inget undantag från förordningen. Storbritanniens dataskyddsmyndighet har också klargjort att Brexit inte kommer att påverka antagandet av GDPR som en del i den brittiska lagstiftningen.
En annan viktig faktor är att GDPR kräver ett tydligt samtycke: det innebär att uppgifter som sparas om en person endast får användas för det specifika syfte som överenskommits med personen. Definitionen av vad dessa uppgifter kan gälla är väldigt bred och kan omfatta inte bara namn, adress, e-post och telefonnummer, utan även uppdateringar på sociala medier, bilder och IP-adresser.
Organisationer måste se till att de tillhandahåller ”rätten att radera”: det vill säga möjligheten att information om enskilda personer kan raderas på begäran.
Slutligen, och kanske mest skrämmande medger GDPR möjligheter till mycket större böter på upp till 20 miljoner euro eller, om det beloppet är högre, 4 procent av den årliga globala omsättningen för det senaste räkenskapsåret. Det innebär att bötesbeloppen i princip kan röra sig om flera hundratals miljoner eller till och med miljarder euro, och det här är en helt annorlunda omfattning av böter än vad som någonsin tidigare har tillämpats i Europa. Dessa böter kommer givetvis också att innebära skador på företagets goda rykte, vilket i sin tur i stort sett kan bli dyrare än värdet för själva böterna. Företag som till exempel TalkTalk, Target, Sony och Yahoo har alla fått sina varumärken uppmärksammade i medierna och förknippade med dataskyddsproblem, och i vissa fall kan de ekonomiska konsekvenserna vara betydande: Yahoos dataskyddsproblem för e-post var till exempel specifikt orsaken till en rapporterad sänkning i pris med 350 miljoner dollar under den pågående försäljningen till Verizon.
GDPR: En introduktion
För att uppfylla kraven enligt GDPR
måste organisationer utnämna särskilda
uppgiftsskyddsombud, som kan vara
antingen en intern eller extern person
med ansvar för att förordningen följs.
Organisationerna kommer även att
behöva se över sina processer och
skapa handlingsplaner och upprätta
bestämmelser eller riskera att hamna i
tillsynsmyndigheternas klor, med möjliga
stora böter som följd.
Men den goda nyheten är att genom att
agera nu och implementera de korrekta
verktygen och processerna kommer
GDPR att kunna hanteras och de åtgärder
som vidtas för att uppfylla kraven kommer
att bli en konkurrensfördel, förbättra
företagets rykte om att följa bästa praxis
och fungera som en plattform för bättre
datainsikter.
I korthet:
• GDPR definierar på ett mer strikt sätt
hur EU-invånares data måste hanteras,
även i länder utanför Europeiska unionen
• Den kräver tydligt samtycke från
invånarna om att data kan samlas in och
tydlighet om för vilka syften som dessa
data ska kunna användas
• Den specificerar omfattningen av vad
som utgör personliga uppgifter till att
inkludera sociala medier, fotografier,
e-postadresser och till och med datorers
IP-adresser
• Uppgifterna måste vara överförbara via
öppna och populära filformat
Uppgifter har aldrig varit så omtalade
eller lika värdefulla. Några ser det som
”den nya oljan”: en källa med råmaterial
som kan förädlas för att skapa stor makt
och rikedom, i det här fallet genom att
identifiera mönster och trender som leder till
möjligheter eller för att minska riskerna. Data
i webberan används för marknadsföring till
oss baserat på vår sökhistorik, transaktioner,
preferenser och intressen. Organisationer
kan även gräva fram data i försvarssyfte,
till exempel för att upptäcka beteenden
som påvisar ett bedrägeri eller något
annat kriminellt beteende.
Behovet av uppgiftsskydd
Ackumulering av data och undersökningar
av dem har skapat stora förmögenheter
för webbjättar som till exempel Google och
Facebook, men nästan alla organisationer
idag innehar kunduppgifter, uppgifter
om de anställda, uppgifter om möjliga
kunder och annan personligt identifierbar
information (PII). Och utmaningen är att
eftersom data har ökat i värde har vi sett
en parallell ökning av attacker och hot
inriktade på att stjäla data.
Organisationer sparar idag dessa uppgifter
inte bara på mobila enheter, stationära
datorer och på datacenterservrar, utan
de finns även på webbaserade tjänster
från tredje part och i det offentliga molnet.
Att få insikt i vilka personuppgifter som
organisationen förfogar över och säkerställa
att kraven enligt GDPR följs blir inte
någon lätt uppgift, särskilt i större företag
som vanligtvis har flera olika databaser,
kundrelationshanteringssystem, kalkylblad
och annan programvara som körs i olika
versioner, på olika operativsystem och på
olika maskinvaruplattformar.
I januari 2016 beräknades det att över
510 miljoner människor bor i de länder
som styrs av Europeiska unionen, mer
än en och en halv gånger hela
befolkningen i USA.
[1]Genom åren har många förordningar
antagits, framför allt dataskyddsdirektivet
som i Europa tolkas av olika
dataskyddsmyndigheter, som till exempel
dataskyddsmyndigheten i Storbritannien
(Information Commissioner’s Office, ICO)
och i Frankrike (Commission Nationale
de l’Information et des Libertés, CNIL)
samt respektive myndighet i de enskilda
delstaterna i Tyskland och så vidare. De
varierar i perspektiv och omfattning, men
något som är konsekvent är att de böter
som dessa myndigheter har utfärdat har
varit relativt låga, vanligtvis begränsade
till några hundra tusen euro, även för
fall då dataöverträdelserna hamnade på
löpsedlarna, som t.ex. fallen med Talk
Talk (2015) och Sony PlayStation
Network (2011).
EU och dataskydd
Som advokaterna hos Pinsent Masons
påpekade, ”Varken CNIL, myndigheterna i
Hamburg [ansvariga för Google i Tyskland]
eller ICO har utnyttjat alla sina befogenheter
mot organisationer som bröt mot reglerna.”
CNIL gav Google 100 000 euro i böter
för obehörig insamling av data gällande
de data som insamlats genom företagets
tjänst Street View medan motsvarande
myndighet i Hamburg gav sökmotorjätten
145 000 euro i böter. Många kritiker har
påpekat att det är småsummor för ett
företag som har tiotals miljarder dollar
i intäkter per år.
Enligt GDPR kommer myndigheter i EU
teoretiskt att kunna ge företag hundratals
miljoner eller till och med miljarder euro i
böter. Med bötesbelopp i den storleken
så är det inte att undra på att GDPR har
orsakat oro bland företagen.
Det är viktigt att även notera att GDPR
inte bara gäller för EU-medlemmar
utan även för alla företag som samlar in
uppgifter under EU:s jurisdiktion. Stora
böter kommer även att leda till stora
mängder skadlig publicitet, vilket får vissa
att påstå att ett stort bötesbelopp skulle
kunna leda till att ett företag går under.
Rent sakligt kommer företagen att behöva
förbereda sig noggrant för att undvika att
bli föremål för böter enligt GDPR. Vissa
företag har tidigare avsatt en budget för
betalning av böter och redovisat det som
en del i riskerna i affärsverksamheten,
men det kommer inte längre att vara
något tillämpligt alternativ med GDPR,
där böter kan omvandla en årlig vinst
till en förlust.
GDPR behandlar ett grått område när
det gäller hur organisationer kan använda
personligt identifierbar information och där
det föregående direktivet på många sätt
handlade om att personer kunde ”välja
att inte delta” och nu ändrar GDPR det till
att personer kan ”välja att delta”. Det gör
konceptet med samtycke väldigt tydligt,
specifikt och otvetydigt och klargör att
organisationer inte kan använda uppgifter
utan ett tydligt samtycke och endast för
de specifika angivna ändamålen.
Tydligt samtycke
En vårdgivare som tillhandahåller ett
fettsugningsingrepp får till exempel inte
föra patientdata vidare till ett gym som vill
locka denna person att bli medlem och
ser ett samband mellan en person som
vill genomgå fettsugningsproceduren och
hålla sig i form.
Detta är en stor förändring. Personuppgifter
är idag hårdvaluta för webben. Genom
”gratistjänster” som t.ex. webbsökning eller
molnbaserad e-post eller sociala nätverk
”betalar” vi för dessa tjänster genom att
tillhandahålla information. GDPR blockerar
effektivt detta fria flöde av personuppgifter
genom att inrikta sig på hur data samlas in,
används och delas.
Att man har rätt att bli bortglömd har
blivit ett begrepp i en tidsålder där vi alla
har våra personuppgifter sparade online
oavsett om vi vill det eller inte och oavsett
om vi har en bredbandsanslutning, en
dator eller en telefon eller inte.
Ibland kallas det även, mer korrekt, för
”rätten till att raderas” och artikel 17 i
GDPR ger enskilda personer rätten att
kräva att deras personuppgifter raderas
och att bearbetningen av dem i vissa
situationer ska upphöra.
Rätten att bli bortglömd
• Data inte längre används för dess
ursprungliga syfte
• Givet samtycke återkallas och det inte
finns någon berättigad anledning till att
bearbetningen ska fortsätta
• Personen inte är myndig
• Data bearbetades ursprungligen på
något olagligt sätt
• Det finns en lagstadgad skyldighet
Det finns några undantag då rätten att
radera kan vägras. Det har för det mesta
att göra med yttrandefrihet, rättsliga krav
och forskning i det allmännas intresse,
men GDPR uppmanar generellt att
datatillsynsmyndigheterna måste uppfylla
rätten att få uppgifter raderade och i
möjligaste mån dela begäran av radering
med alla relevanta tredje parter.
Rätten att radera inkluderas specifikt
i GDPR på ett sätt som skiljer sig från
det tidigare dataskyddsdirektivet. Det
är en viktig och mycket synlig del i den
övergripande lagstiftningen.
En registeransvarig är en person som
självständigt eller som en del i ett
team specificerar för vilket syfte som
personuppgifter ska användas och
hur dessa data ska bearbetas.
Registeransvariga och registerförare
En registerförare är en tredje part som
inte är anställd av den registeransvarige
och som organiserar, anpassar, inhämtar,
avslöjar eller delar uppgifterna på den
registeransvariges vägnar.
En annan mycket viktig aspekt av GDPR
är vad som kallas för överträdelseanmälan.
Enligt de nya reglerna måste
registeransvariga, efter att ha mottagit
information från registerförare, informera
deras respektive dataskyddsmyndighet
om en överträdelse inom 72 timmar efter
att de blivit medvetna om överträdelsen.
Myndigheten kommer sedan att meddela
vad organisationen behöver offentliggöra
och vad de behöver meddela kunderna.
Meddelande om överträdelser
Systemet med överträdelsemeddelanden
finns redan i olika former i USA och sådana
meddelanden leder ofta till allmänhetens
kännedom och uppmärksamhet i
medierna, men förespråkare för systemet
säger att det innebär öppenhet och
möjlighet att upptäcka trender, till exempel
vid liknande angrepp på organisationer.
En anmälan till myndigheten måste
åtminstone beskriva överträdelsen av
personuppgifter, problemets omfattning,
uppgiftsskyddsombudets kontaktuppgifter,
sannolika konsekvenser av överträdelsen
och vilka åtgärder som har vidtagits. (Vissa
aspekter kan genomföras i faser snarare
än allt på en gång.)
För optimal verkan måste organisationer
uppdatera och konfigurera om tjänsterna så
att de kan identifiera säkerhetsöverträdelser
snabbare och ha en handlingsplan i
beredskap.
Utmaningens omfattning är överväldigande.
Över hälften av de företag som tillfrågades
förväntade en framgångsrik cyberattack
inom ett år, enligt en rapport. Det
genomsnittliga antalet dagar då attackerna
funnits på nätverket innan de detekterats är
omkring 200 dagar, enligt en annan rapport.
Även om meddelandet om överträdelser
görs när överträdelsen upptäcks kommer
eventuella tecken på slapphet när det gäller
att upptäcka sådana överträdelser sannolikt
att leda till högre böter.
Uppgiftsskyddsombud
GDPR kräver att uppgiftsskyddsombud
utnämns, som kommer att vara ansvariga
inför myndigheterna. Detta kan bli en
betydande roll eftersom ombudet i större
företag ofta kommer att ha det som sin
enda arbetsuppgift och ett stödjande
team till hjälp. I mindre företag kan det
ansvaret falla på en enskild person
som arbetar inom en annan avdelning:
personal som arbetar inom den juridiska
avdelningen kan vara en given möjlighet,
men även IT-avdelningen ka ha personal
som lämpad för uppgiften eftersom det
krävs teknisk kompetens för att skydda
och övervaka data.
Tyskland har redan ett försprång
här eftersom uppgiftsskyddsombud
sedan länge varit ett inslag i
organisationsstrukturen, men för andra
länder blir det en stor omställning.
Uppgiftsskyddsombud på heltid
kommer att krävas i situationer
därkärnverksamheten är inriktad
på databehandling (till exempel
direktreklamföretag eller kreditbyråer)
eller där man behandlar känsliga
data, till exempel med patientregister,
socialtjänsteregister eller kriminalregister.
Rollen som uppgiftsskyddsombud
kan anlitas som tredje part på den
registeransvariges vägnar, men den
personen måste kunna få tillgång till IT-
systemen och ha en god kännedom
om den gällande datalagstiftningen.
Mer än det tillräckliga: gränsöverskridande överföringar
GDPR tillåter överföring av personuppgifter
till andra länder som EG anser ha ett
”tillräckligt” skydd av personuppgifter.
Även utan denna bedömning om tillräckligt
skydd kommer en överensstämmelse
med de bindande företagsreglerna att
vara tillräcklig.
GDPR förtydligar även att det inte är
tillåtet att personuppgifter överförs till
något land utanför EU på grund av
något rättsligt krav i det andra landet.
Från hygienfaktor till ett incitament?
Finns det något positivt med GDPR?
Absolut. GDPR kommer att medföra att
oansvarig och hänsynslös användning av
personuppgifter lyfts fram i offentlighetens
ljus och ökar vår medvetenhet om hur
data används (och ibland missbrukas).
Men GDPR kan även bli en katalysator
för förändring inom organisationer i
och med att implementeringen av nya
datahanteringsstrukturer och revideringen
av arbetsflödena kommer att skapa
effektivitet och en plattform för mer
databaserade insikter. GDPR kan verka
vara en rent defensiv åtgärd, men
förordningen kan även fungera som en
stimulans för bredare förändringar och
kan i sin tur skapa affärsmöjligheter.
Marknadsföringsavdelningar kan
till exempel gynnas. Med uttryckligt
samtycke kan marknadsföringschefer
bättre inrikta sig på kunder som är mer
villiga att avslöja information eftersom de
vet exakt hur denna information kommer
att användas. Ingen påstår att GDPR
kommer att vara en snabbverkande
lösning, men med de nya processerna
implementerade och med mer robusta
dataplattformar kommer organisationerna
att bättre kunna utnyttja sina data och sin
långa erfarenhet. Vissa framåtblickande
organisationer kommer att arbeta med
GDPR samtidigt med olika bredare
digitala omvandlingsprojekt över olika
webbplatser och appar, vilket kommer att
bli en ansiktslyftning för företaget, dess
varumärke, affärspraxis och transaktioner.
Vad som ska göras nu
Ingen panik om du inte redan har börjat
planera inför er GDPR-överensstämmelse
men det är dags att börja nu. GDPR träder
i kraft i maj 2018, så de servicenivåavtal
som sluts nu måste inkludera dessa nya
åtgärder.
En uppenbar utgångspunkt är att
genomföra en fullständig datagranskning
med en bristanalys och en granskning
av alla processer och arbetsflöden, enligt
en så kallad konsekvensbedömning av
uppgiftsskyddet.
Många företag idag är skyldiga till
”skräplagring” med överflödiga, föråldrade
och irrelevanta data som sparas ifall de
möjligen skulle vara till nytta och eftersom
lagring idag är relativt billig och/eller att
administratörer inte kan bedöma vad
som behöver lagras och vad som kan
raderas. Dataminimering med rutiner för
att radera eller flytta arkiverade data bort
från kärnverksamheten, hjälper till att
klargöra vilka data som sparas och hur
de överlappar och replikeras.
Utför en jämförelse- och kontrastbedömning
av hur data hanteras idag och hur GDPR
kommer att kräva att dessa processer
förändras.
Säkerhetsprocesser måste granskas
noggrant och följas upp med regelbundna
tester och bedömningar. Men glöm inte
de enklare problemen, som t.ex. planering
för vad du behöver göra vid överträdelser,
inklusive ett kommunikationsprogram,
information till media och meddelande till
personalen för förbättrad medvetenhet.
Eftersom tolkningen och prejudikat ännu
inte har fastställts bör organisationer göra
en så sträng tolkning som möjligt
av värsta tänkbara fall.
Hur BlackBerry kan hjälpa dig
Som vi har beskrivit är GDPR en
betydande skillnad när det gäller
uppgiftsskydd i Europa, men det är
något som kan hanteras.
Utnämnande av ett uppgiftsskyddsombud
och ombearbetning av processer
kommer att behöva göras, men tekniken
kommer även att vara till hjälp. BlackBerry
tillhandahåller en omfattande uppsättning
verktyg för att säkra data, flagga hot,
granska tillgångarna och bedöma incidenter.
Som ett minimikrav ska organisationer
överväga:
• Synligheten för alla ändpunkter som
länkar till data som potentiellt omfattas
av GDPR
• En omfattande analys för att förstå
användningen av data
• En säker nätverksmiljö
• Kryptering av data i rörelse, i användning
och vilande på en slutpunktsapparat
• Ett identitetshanteringssystem som
autentiserar alla nätverksanvändare
• Ett omfattande system för förvaltning av
digitala rättigheter
• Möjligheten att säkra ändpunkter på
enheten, i applikationer och i datalager
över olika plattformar och olika enhetstyper
via en enskild integrerad plattform
• Skydd för entreprenörer likaväl som för
fast anställda
• Stöd från en organisation med praktisk
expertis inom allt ovanstående
BlackBerry erbjuder en portfölj med verktyg
och tjänster som kan hjälpa organisationer
att övergå till en överensstämmelse med
kraven enligt GDPR.
BlackBerry Enterprise Mobility Suite
ger ett flexibelt tillvägagångssätt genom
tjänster som erbjuder säkerhet och
produktivitet samtidigt som de bidrar till
ett överensstämmande med kraven enligt
GDPR. Efterhand som organisationens
behov utvecklas ger Enterprise Mobility
Suite möjlighet att lägga till ytterligare
funktioner efterhand som behovet uppstår.
SDK
Följande verktyg ingår i Enterprise Mobility
Suite:
Unified Endpoint Management (UEM)
hjälper till att åtgärda en av utmaningarna
när det gäller att säkra dagens företag:
den stora spridningen av olika enhetstyper,
från smarta telefoner till stationära datorer,
bärbara datorer, surfplattor, läsplattor och
smarta bärbara enheter och anslutna
slutpunkter. BlackBerry UEM har stöd för
de senaste containerteknikerna – Android
Enterprise, Samsung Knox och BlackBerry
Dynamics är enormt skalbara och kan
konfigureras med kontinuitetsplaner och
alternativ för katastrofåterställningar.
Programvaran kan distribueras på plats
eller i Microsoft Azure-molnet i önskat
område.
BlackBerry-programvara tillhandahåller
kryptering som en del i varje erbjudande,
vilket ger dataskydd över nätverk, på
enheter, i appar och i enskilda filer.
Särskilt relevant för GDPR erbjuder
BlackBerry kryptering av data i rörelse,
i användning och vilande, rollbaserade
kontroller och fjärråtkomstverktyg så
att data kan raderas eller återvinnas i
händelse av att enheter tappas bort
eller blir stulna.
BlackBerry Work bygger vidare på
företagets goda namn när det gäller
säker kommunikation med betydande
dataskydd för e-post och samarbete.
Allt detta i en enda produktivitetsapp ger
en smidig upplevelse vid bollande mellan
olika arbetsprogram samtidigt som det
utgör en säker container som förhindrar
förlust av data.
BlackBerry Workspaces erbjuder
en säker filsynkroniserings- och
delningstjänst med DRM-stöd (Digital
Rights Management) över alla enheter.
Workspaces ger organisationer möjlighet
att spåra hur filer delas – viktigt för GDPR
– och även ändra vem som kan komma
åt dessa filer efter att de har skickats.
BlackBerry Dynamics utökar den
säkerhet som används i BlackBerrys egna
appar för att skydda viktiga anpassade
program och tredjepartsprogram från
att manipuleras och möjliggör en säker
delning av data mellan appar och
användare.
BlackBerry Enterprise Identity möjliggör
enkel inloggning från vilken enhet som
helst, vilket ger säkerhet genom snabbare
åtkomst till säkrade appar.
BlackBerry 2FA ger IT-avdelningar
möjlighet att använda tvåfaktorsautentisering
för säker åtkomst och skyddar åtkomsten
till VPN-infrastrukturen, vilket skyddar viktiga
data.
För organisationer som inte har tid att
upprätta särskilda egna verksamheter
erbjuds konsulttjänster som ett sätt att
uppfylla kraven och implementera bästa
praxis utan att behöva ta uppmärksamhet
från den dagliga verksamheten.
BlackBerry erbjuder ett komplett utbud
av konsulttjänster för cybersäkerhet och
kan hjälpa dig att planera, distribuera och
hantera GDPR-implementeringen.
Mer att läsa
Avsnittet Top 10 operational impacts of
the GDPR (De 10 viktigaste sätten som
GDPR inverkar på verksamheten) är en
utmärkt, lättläst guide som publicerats
av International Association of Privacy
Professionals (IAPP).
Our Vision:To be the leading point of communications between UK based business technology leaders.
Our Mission:To provide focused peer led information, networking opportunities and knowledge sharing to help UK based business technology leaders be more effectiveCIO is the leading information brand for today’s busy chief information officer. CIO addresses issues vital to the success of chief information officers worldwide. CIO provides technology and business leaders with analysis and insight on information technology trends and a keen understanding of IT’s role in achieving business goals.
About the author:Martin Veitch is Editorial Director of IDG Connect. He has written about business and technology for over 25 years and has held senior editorial positions at ZDNet, IT Week and CIO.
© 2017 BlackBerry Limited. Med ensamrätt. Varumärken, inklusive men inte begränsat till BLACKBERRY, EMBLEM Design, BBM och BES är varumärken eller registrerade varumärken som tillhör BlackBerry Limited och de exklusiva rättigheterna till sådana varumärken är uttryck-ligen reserverade.Content: 05/17