GDPR Register | Compliance tool for privacy experts

Duomenų apsaugos pareigūno vaidmuo ir pareigos

brit1marketing — Tue, 28 May 2019 08:57:35 +0000

Atsižvelgiant į naujausią CPO žurnalo apklausą, mes aiškinamės, koks yra duomenų apsaugos pareigūno (DAP) vaidmuo.

Šiame straipsnyje bus atsakyta į klausimus: :
– kas yra DAP?
– kokios įmonės turi jį paskirti?
– kokios yra DAP pareigos?

Duomenų apsaugos pareigūno apibrėžimas

Jungtinės Karalystės nepriklausoma duomenų apsaugos institucija ICO.org apibrėžia, kas yra duomenų apsaugos pareigūnas (DAP):

„DAP padeda jums stebėti vidines operacijas, kad jos atitiktų BDAR nurodymus; informuoja ir pataria dėl duomenų apsaugos įsipareigojimų; teikia patarimus dėl poveikio duomenų apsaugai vertinimo (DPIA) ir veikia kaip tarpininkas tarp duomenų subjektų ir duomenų apsaugos inspekcijos.“

Paprasčiau tariant, DAP yra asmuo, kuris yra atsakingas už tai, kad įmonė atitiktų GDPR reikalavimus.

Svarbu žinoti:

Jei DAP pareigybė yra paskirta esamam darbuotojui, jam leidžiama išlaikyti kitą pareigą įmonėje, tačiau tik tiek, kiek tai nesukelia interesų konflikto.

Tai reiškia, kad DAP negali dalyvauti sprendžiant, kurie asmens duomenys turi būti tvarkomi. Tad DAP negali būti bendrovės direktorius ar finansų, personalo, rinkodaros, IT skyrių vadovas, ar už teisinių klausimų įmonėje sprendimą atsakingas asmuo.

DAP paskyrimas

Privacy-regulation.eu nurodo tris pagrindines sąlygas, kuomet DAP turi būti paskirtas:

duomenis tvarko valdžios institucija arba įstaiga, išskyrus teismus, kai jie vykdo savo teismines funkcijas;
duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ir (arba) tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus; arba
duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu, arba asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas dideliu mastu.

Prieš sprendžiant ar paskirti DAP, reikia įvertinti, ar įmonė atitinka nustatytas sąlygas. Šis vertinimas galėtų būti vidaus duomenų apsaugos audito dalis. Vertinimas turėtų būti dokumentuota išvada, kuri taip pat galėtų būti prieinama priežiūros institucijai, jei būtina.

Svarbu žinoti:

Įmonės neatitinkančios nei vienos iš nurodytų sąlygų, neprivalo paskirti duomenų apsaugos pareigūno.

Paprastai tariant, DAP neturi būti paskirtas, jei:

asmens duomenys nėra tvarkomi arba tvarkomi nedideliu mastu;
pagrindinė įmonės veikla retai apima duomenų subjektų stebėseną.

DAP vaidmuo ir pareigos

Kadangi DAP atlieka tarpininko tarp įmonės ir duomenų apsaugos imspekcijos vaidmenį, jis turi būti lengvai prieinamas bendrovės vadovybei, darbuotojams, priežiūros institucijoms ir duomenų subjektams.

Jei įmonių grupei paskiriamas vienas duomenų apsaugos pareigūnas, kiekviena dukterinė įmonė turėtų turėti vienodą prieigą prie jo. Todėl DAP kontaktiniai duomenys turi būti nurodyti privatumo politikoje ir pateikti valdžios institucijoms.

Duomenų apsaugos pareigūnas turi dalyvauti visuose su asmens duomenų apsauga susijusių klausimų aptarimuose. BDAR 39 straipsnyje nurodytos pagrindinės DAP užduotys:

informuoti duomenų valdytoją arba duomenų tvarkytoją ir duomenis tvarkančius darbuotojus apie jų prievoles pagal šį reglamentą ir kitas Sąjungos arba valstybės narės apsaugos nuostatas ir konsultuoti juos šiais klausimais;
stebėti, kaip laikomasi šio reglamento, kitų Sąjungos arba nacionalinės duomenų apsaugos nuostatų ir duomenų valdytojo arba duomenų tvarkytojo politikos asmens duomenų apsaugos srityje, įskaitant pareigų pavedimą; didinti informuotumą bei mokyti duomenų tvarkymo operacijose dalyvaujančių darbuotojus;
paprašius konsultuoti dėl poveikio duomenų apsaugai vertinimo ir stebėti jo atlikimą pagal str. 35;
bendradarbiauti su priežiūros institucija;
atlikti kontaktinio asmens funkcijas priežiūros institucijai kreipiantis su duomenų tvarkymu susijusiais klausimais, įskaitant 36 straipsnyje nurodytas išankstines konsultacijas, ir prireikus konsultuoti visais kitais klausimais.

Vykdydamas užduotis, DAP privalo suprasti riziką, susijusią su duomenų tvarkymo operacijomis. DAP taip pat turi atsižvelgti į tvarkymo pobūdį, apimtį, kontekstą ir tikslus.

DAP turėtų teikti pirmenybę ir sutelkti dėmesį į rizikingesnes veiklas. Pavyzdžiui, tais atvejais, kai tvarkomi specialiosios kategorijos duomenys arba kai galimas žalingas poveikis duomenų subjekto teisėms ir laisvėms. Todėl DAP turėtų pateikti jį paskyrusiai įmonei rizika pagrįstus patarimus.

Jei bendrovė nusprendžia nesilaikyti DAP patarimų, priežastys turi būti dokumentuojamos, kad būtų įrodyta atskaitomybė.

Apibendrinimas

Bendrajame duomenų apsaugos reglamente duomenų apsaugos pareigūnas yra svarbiausias atnaujinto duomenų valdymo sistemos rodiklis. Jis ne tik padeda laikytis reikalavimų, bet ir yra tarpininkas tarp bendrovės, priežiūros institucijos ir duomenų subjekto. Todėl duomenų apsaugos pareigūnas turi būti paskirtas kruopščiai apsvarstant visas operacijas įmonėje.

Tačiau, nors DAP vaidmuo ir uždaviniai yra labai svarbūs įmonei, svarbu žinoti, kad DAP nėra asmeniškai atsakingas už duomenų apsaugos reglamento reikalavimų laikymąsi. BDAR nurodymų laikymasis yra pačios įmonės atsakomybė.

Įmonė nusprendus nepaskirti DAP, kai jis yra reikalingas, tai gali būti traktuojama kaip BDAR reikalavimų pažeidimas. Įmonė rizikuoja susidurti su BDAR baudomis, kurios gali siekti 20 mln. EUR arba 4% apyvartos.

Daugiau šia tema:

Duomenų tvarkymo veiklos įrašai (BDAR 30 straipsnis)
Kokios baudos taikomos, nesilaikant BDAR?

Ar jūsų įmonė atitinka BDAR reikalavimus?

Įsivertinkite, ar turite laikytis BDAR, ir jei taip, koks yra jūsų BDAR atitikties pasirengimo lygis. Taip pat patikrinkite atsakymus į dažniausiai užduodamus klausimus.

BDAR atitikties kontrolinis sąrašas

The post Duomenų apsaugos pareigūno vaidmuo ir pareigos appeared first on GDPR Register | Compliance tool for privacy experts.

Skirta pirmoji BDAR bauda Lietuvoje

Sarune Zybartaite — Mon, 27 May 2019 13:22:28 +0000

Praėjus metams po BDAR įsigaliojimo, Lietuvos valstybinė duomenų apsaugos inspekcija (VDAI) skyrė pirmą administracinę baudą. Įmonei UAB „Mister Tango“, kuri teikia finansines paslaugas tiek Lietuvoje, tiek užsienio šalyse, buvo skirta 61 500 EUR bauda už BDAR 5, 32 ir 33 straipsnių pažeidimus, tarp kurių – netinkamas asmens duomenų tvarkymas momentiniuose ekrano vaizduose (MEV).

Netinkamas asmens duomenų tvarkymas

Remiantis VDAI pateiktais duomenimis, nustatyta, kad UAB „MisterTango“ tvarko daugiau asmens duomenų, negu būtina mokėtojo inicijuotam mokėjimui įvykdyti. Be to, nustatyta, kad įmonė duomenis saugo ilgiau, negu pati yra nustačiusi bei nurodo esant reikalinga.

VDAI rašo, kad tyrimo metu nustatyta, kad ne mažiau kaip 2 dienas internete buvo prieinamas tinklalapis su UAB „MisterTango“ apdorotų mokėjimų sąrašu. Jame buvo matomi įvairių bankų įstaigų klientų atlikti mokėjimai per UAB „MisterTango“ mokėjimo iniciavimo paslaugų sistemą su tų klientų asmens duomenimis. Taip pat daugiau kaip 9 000 MEV su 12 skirtingų bankų, esančių skirtingose valstybėse, klientų mokėjimo sesijų detalių puslapiais. Be kita ko, nustatyta, kad įmonėje saugos užtikrinimą ir valdymą bei visos įmonės IT infrastruktūros (techninės ir programinės) valdymą, diegimą ir priežiūrą vykdė vienas darbuotojas. Taip nebuvo užtikrintas tinkamas neautorizuotų ar netyčinių modifikacijų galimybių minimizavimas ir tinkamos asmens duomenų apsaugos politikos įgyvendinimas. Taigi, UAB „MisterTango“ nepasirinko atitinkamų techninių ar organizacinių priemonių, kurios padėtų užtikrinti pavojų atitinkančio lygio saugumą, įskaitant apsaugą nuo neteisėto tvarkymo, atskleidimo, ir tuo pažeidė BDAR 5 ir 32 str.

Inspekcijos nuomone, pirmiau minėtas incidentas, kai 2 dienas internete neautorizuotiems asmenims buvo sudaryta galimybė prieiti prie asmens duomenų, laikytinas tokiu duomenų saugumo pažeidimu, apie kurį privaloma pranešti priežiūros institucijai. Todėl UAB „MisterTango“ privalėjo ne vėliau kaip 72 val, kai sužinojo apie asmens duomenų saugumo pažeidimą, apie tai pranešti Inspekcijai. Apie šį pažeidimą nepranešdama priežiūros institucijai UAB „MisterTango“ pažeidė BDAR 33 str.

Asmens duomenų apsaugos inspekcijos tyrimas

Prieš priimdama sprendimą dėl baudos skirimo, VDAI apsvarstė visus veiksnius, susijusius su tuo, ar įmonė „Mister Tango“, dėjo visas pastangas, siekdama užtikrinti, kad duomenų tvarkymas būtų skaidrus, suderinamas ir saugus. VDAI padarė išvadą, kad „Mister Tango“ neturi reikiamų techninių ir organizacinių saugumo priemonių, kad užtikrintų reikiamą saugos lygį, įskaitant apsaugą nuo neteisėto tvarkymo ar atskleidimo.

VDAI sprendimas dar neįsigaliojo ir gali būti apskųstas teismui.

Originalus šaltinis: Įmonės atsakomybės neišvengs – Lietuvoje skirta ženkli bauda už Bendrojo duomenų apsaugos reglamento pažeidimus

Daugiau panašiomis temomis:

The post Skirta pirmoji BDAR bauda Lietuvoje appeared first on GDPR Register | Compliance tool for privacy experts.

Poveikio duomenų apsaugai vertinimo vadovas

Sara Laine — Sat, 02 Mar 2019 23:43:11 +0000

Bendrasis duomenų apsaugos reglamentas (BDAR) reikalauja, kad įmonės ir organizacijos, kurių duomenų tvarkymas gali sukelti pavojų fizinių asmenų interesams, atliktų poveikio asmens duomenų apsaugai vertinimą (angl.trump. DPIA). Tai būtina, nes bendrovės yra atsakingos už tai, kad veikla būtų tvarkoma taip, kad fizinių asmenų teisės ir laisvės būtų apsaugotos.

Jei įmonėje DPIA dar nėra atliekamas, jis turi būti parengtas ir įdiegtas į įmonės veiklos politiką ir procedūras.

Kas yra poveikio duomenų apsaugai vertinimas?

Poveikio duomenų apsaugai vertinimas skirtas sistemingai ir išsamiai analizuoti įmonės asmens duomenų tvarkymo veiklą ir jo keliamą riziką. DPIA padeda įmonei nustatyti ir išvengti rizikos, susijusios su duomenų apsauga ir privatumu. DPIA padengia atitikties riziką iš įmonės perspektyvos, ir riziką asmenų teisėms ir laisvėms. Asmens duomenų tvarkymo pažeidimai gali asmeniui sukelti didelę socialinę ar ekonominę žalą.

Todėl atliekant DPIA reiktų atsižvelgti rizikos laipsnį – galimas neigiamas poveikis asmenims ir jo tikimybė. DPIA nepadeda visiškai neišvengia rizikos, tačiau jis turėtų būti rengiamas taip, kad būtų kuo tiksliau nustatomas ir sumažinamas galimas neigiamas duomenų tvarkymo poveikis, ir įvertinama ar likusi rizika gali būti suvaldyta. DPIA taip pat gali remtis platesnia atitiktimi, atsižvelgiant į finansinę ir reputacijos naudą, įrodant atskaitomybę kiekvienam individualiam klientui.

Kada reikia parengti DPIA?

DPIA būtina, kai asmens duomenų tvarkymas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms. Tai reiškia plačiai paplitusį ar rimtą poveikį asmeniui ar visuomenei apskritai. Parengti DPIA reikia, kai:

Sistemingas ir platus profiliavimas arba automatinis apdorojimas, turintis teisinių pasekmių asmeniui;
Didelės apimties specialiųjų duomenų ar asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais, apdorojimas;
Sistemingas viešos teritorijos stebėjimas.

Siekiant nustatyti tikslesnį duomenų tvarkymo operacijų, dėl kurių, atsižvelgiant į joms būdingą didelį pavojų, reikia atlikti DPIA, turėtų būti įvertinti toliau nurodyti devyni kriterijai:

Vertinimas arba balų skyrimas, įskaitant profiliavimą ir prognozavimą;
Automatizuotas sprendimų, sukeliančių teisinį arba panašų rimtą poveikį, priėmimas;
Sisteminga stebėsena;
Tvarkomi neskelbtini duomenys arba labai asmeniški duomenys;
Didelio masto duomenų tvarkymas;
Duomenų rinkinių siejimas ir derinimas;
Tvarkomi su pažeidžiamais duomenų subjektais susiję duomenys;
Naujoviškas naudojimas arba naujų technologinių ar organizacinių sprendimo būdų taikymas;
Duomenų subjektams užkertamas kelias naudotis savo teisėmis, paslaugomis arba sudaryti sutartis.

DPIA poreikis turi būti atidžiai apsvarstytas, juolab, kad ES valstybėse DPIA reikalavimai gali kisti. Pavyzdžiui, Suomija į pradinį duomenų apdorojimo sąrašą neįtraukė vietos duomenų, kol EDPB (Europos duomenų apsaugos taryba) patarė ją pridėti. Taip pat, ne kiekviena ES valstybė reikalauja DPIA, jei įmonė naudojasi naujomis technologijomis. Tačiau DPIA rengimas turėtų būti laikomas kaip bendra taisykle tais atvejais, kai duomenų tvarkymas apima profiliavimą ar nuolatinį stebėjimą, kai sprendimai dėl galimybės naudotis paslaugomis ar galimybėmis daromi pasitelkiant technologiją arba, kai tduomenų tvarkymas yra susijęs su ypač slaptais duomenimis ar pažeidžiamais asmenimis. Net jei didelė rizika asmeniui nėra aptikta, DPIA yra pagrindinis duomenų apsaugos dokumentas, kai tvarkymo veikla yra kintanti nuolat dokumentuojama.

The post Poveikio duomenų apsaugai vertinimo vadovas appeared first on GDPR Register | Compliance tool for privacy experts.

BDAR ir B2B rinkodara

Sarune Zybartaite — Sat, 02 Mar 2019 22:20:05 +0000

Perduodant asmeninius duomenis tiesioginei rinkodarai B2B ir B2C veikloje, reikia vadovautis dviem atskirais ES lygmens reglamentais.

Elektroninių ryšių įstatymu (ERĮ)
Bendruoju duomenų apsaugos reglamentų (BDAR)

Įmonės privalo laikytis abiejų reikalavimų. Praėjusiuose straipsniuose Previously topics “BDAR įtaka tiesioginei rinkodarai ir profiliavimui” and “Tiesioginės rinkodaros taisyklės ir išimtys, taikomos trumpųjų žinučių ir el.laiškų siuntimui“ dėmesys buvo skiriamas labiau į B2C veiklą. Šį kartą akcentuojamas marketingas B2B veikloje.

BDAR B2B rinkodaroje. Gairės reklaminių el.laiškų siuntimui B2B kontaktams.

Įprastai, remiantis BDAR, įmonės (juridiniai asmenys) laikomi „verslo klientais“ ir tokiu atveju, reklaminę informaciją siųsti leidžiama. Kitaip, nei B2C, B2B veikloje, tiesioginės rinkodaros pranešimai įmonės el.pašto adresui gali būti siunčiami be išankstinio sutikimo. Tačiau siuntėjas privalo identifikuoti save ir pateikti kontaktinius duomenis. BDAR turi būti laikomasi, kai tvarkomi asmens duomenys. Todėl, tos pačios taisyklės, su kai kuriomis išimtimis, taikomos neatsižvelgiant į tai, ar į adresatą kreipiamasi kaip į fizinį asmenį, ar kaip asmenį, veikiantį įmonės vardu. Pavyzdžiui, verslo kontaktas, kuriame nurodomas jo vardas (vardas.pavardė@įmonė.lt), laikomas fizinio asmens, o ne verslo kontakto informacija.

Pateikiame keletą taisyklių, kuriomis remiantis įmonės gali kreiptis į B2B kontaktus tiesioginės rinkodaros tikslais:

Pavieniai prekybos agentai laikomi fiziniais asmenimis. Tai reiškia, kad el.laiškai gali būti siunčiami tik tuo atveju, jei yra gautas konkretus sutikimas. Pavyzdžiui, jie anksčiau yra pirkę produktą ar naudoję paslaugą, ir neatsisakė tiesioginės rinkodaros pranešimų.
Reikalaujama, kad asmens, su kuriuo susisiekiama tiesioginės rinkodaros tikslais, pareigos atstovaujamoje įmonei būtų susijusios su gauto laiško tema. Pvz., su duomenų apsauga susijusios temos turėtų pasiekti dpo@įmonė.lt ir pardavimus – pardavimai@įmonė.lt
Įprastai, gera veiklos praktika laikoma, jei, gavus verslo kontakto prašymą, yra nutraukiami bet kokie rinkodaros pranešimai. Kontaktų, atsisakiusių el.paštu siunčiamų reklaminių laiškų, sąrašas turi būti saugomas.
Jei įmonės kontakto el.pašto adrese nurodomas asmens vardas ir/ar pavardė, BDAR turi būti pritaikomas ir asmuo gali atsisakyti tiesioginės rinkodaros pranešimų ir toks prašymas privalo būti patenkinamas.
Pranešimuose tiesioginės rinkodaros tikslais turi būti pateikta galimybė atsisakyti tokių pranešimų prenumeratos.

BDAR ir B2B rinkodara. Vietinis taikymas

Tiesioginės rinkodaros taisykles nurodo BDAR, tačiau įmonės turi prisiminti, kad ES valstybės narės gali remtis BDAR nurodymais arba nustatyti papildomas, griežtesnes sąlygas. Todėl, prieš siunčiant tiesioginės rinkodaros pranešimus verslo klientams, svarbu žinoti skirtumu tarp opt-out, viengubo opt-in ir dvigubo opt-in pasirinkimų. Ir kuri ES valstybių narių taiko kurį variantą.

Vietinės BDAR taisyklės B2B rinkodaroje

Opt-Out

El.laiško gavėjui suteikiama galimybė lengvai atsisakyti rinkodros pranešimų prenumeratos. Jei gavėjas neatsisakė pranešimų prenumeratos, reklaminiai laiškai gali būti siunčiami. Tokie pavyzdžiai – Estija, Suomija, Latvija, Švedija ir kt.

Viengubas Opt-In

Reikalaujama, kad reklaminių pranešimų gavėjas atliktų veiksmą (užsisakytų prenumeratą), kad būtų įtrauktas į B2B tiesioginės rinkodaros sąrašą, jei panašių prekių ar paslaugų nebuvo prašoma reklamuoti / parduoti anksčiau. Tokie pavyzdžiai – Lietuva, Lenkija, Rumunija ir kt. Lietuvoje: Tiesioginę rinkodarą elektroniniu paštu reglamentuoja elektroninių ryšių įstatymas. Jei norima tiesioginės rinkodaros pranešimus siųsti įmonės atstovui, sutikimas turi būti gautas iš tos įmonės vadovo ar jo įgalioto asmens. Tai reiškia, kad naujienlaiškis/reklaminis pranešimas negali būti siunčiamas be sutikimo. Bendrieji el.pašto adresai info/marketingas/dpo@įmonė.lt yra tvarkomi tokiu pačiu būdu, kaip ir tie, kuriuose nurodomas asmens vardas ir/ar pavardė.

Dvigubas Opt-In

Griežčiausi taikomi reikalavimai B2B komunikacijai. 1-as žingsnis – prenumeratos, gauti tiesioginės rinkodaros pranešimus, formos užpildymas ir, 2-as žingsnis – el.paštu gautos nuorodos paspaudimas, kuri patvirtina prenumeratą. El.paštu rinkodaros pranešimų negalima siųsti tol, kol gavėjas neįvykdė abiejų žingsnių. Tokie pavyzdžiai – Vokietija ir Šveicarija.

The post BDAR ir B2B rinkodara appeared first on GDPR Register | Compliance tool for privacy experts.

BDAR: Teisėti interesai

Sarune Zybartaite — Wed, 19 Dec 2018 10:48:43 +0000

BDAR nurodo 6 teisėtumo pagrindus asmens duomenų tvarkymui ir teisėti interesai – vienas jų.

Teisėti interesai nenurodo konkretaus duomenų tvarkymo tikslo, todėl tai yra lanksčiausias iš teisėtumo pagrindų;
Nereikalaujama konkretaus sutikimo iš duomenų subjekto;
Duomenų tvarkymas atitinka įmonės interesus → naudingas įmonei;
Teisėtų interesų nepaisoma jei būtina vadovautis pagrindinėmis teisėmis → kai duomenų subjektų teisės ir interesai ra aukščiau įmonės interesų. Pavyzdžiui, vaiko duomenų apsauga, nusikalstama veika.

Bet kaip žinoti, kas laikoma teisėtu interesu? BDAR nenustato, į kokius veiksnius reikia atsižvelgti sprendžiant, ar duomenų tvarkymo tikslas gali būti teisėti interesai. Teisėti interesai gali būti taikomi įvairiomis aplinkybėmis. Todėl balansą tarp įmonės ir fizinio asmens interesų turi nustatyti pati įmonė.

Trijų dalių testas

The key elements of the legitimate interests provision can be broken down into a three-part test.

Tikslo testas – ar vykdant duomenų tvarkymą galima remtis teisėtu interesu?
Būtinybės testas – ar duomenų tvarrkymas būtinas tam tikslui?
Pusiausvyros testas – ar teisėti interesai kelia grėsmę duomenų subjektų teisėms ir laisvėms? (socialinė ar ekonominė žala, duomenų praradimas, negalėjimas vykdyto BDAR nurodytų asmens teisių).

Nepakanka, kad įmonė nuspręstų, jog tai yra jos teisėti interesai ir pradeda tvarkyti duomenis. Prieš pradėdami duomenų tvarkymč, reikia atsakyti į šiuos pateiktus klausimus. Jei atsakymai 1.TAIP 2. TAIP 3.NE, tuomet galima remtis teisėtais interesais.

Kaip BDAR reglamentuoja teisėtus interesus?

Teisėti interesi yra pats lanksčiausias teisėtas pagrindas, tačiau negalima daryti prielaidos, kad jis visada bus tinkamas betkokių asmens duomenų tvarkymui apdorojimui. Jei nusprendžiama remtis teisėtais interesais, įmonės prisiima papildomą atsakomybę už tai, kad būtų visapusiškai atsižvelgiama ir žmonių teisių ir interesų apsaugą. Todėl prieš pradedant duomenų bazės tvarkymą teisėtais interesais įmonė turi būti tikra dėl:

Minimalios įtakos asmens privatumui;
Proporcingo duomenų kiekio naudojimo;
Klientų sutikimo dėl jų asmens duomenų tvarkymo.

Kaip minėta, įvairūs interesai gali būti teisėti interesai. Tai gali būti įmonių interesai ar trečiųjų šalių interesai, komerciniai interesai, taip pat didesnė socialinė nauda.

TEISĖTI INTERESAI	GALI BŪTI TEISĖTAIS INTERESAIS (jei apiprėžiamas tikslas)
Sukčiavimo prevencija Tinklo ir informacijos saugumo užtikrinimas Viešojo saugumo ir nusikalstamų veikų nustatymas	Darbuotojo ir kliento duomenų tvarkymas Tiesioginė rinkodara (atitikimas el. Privatumo taisyklėms) Dalinimasis informacija įmonių grupėje

Skaitykite plačiau apie BDAR reglamentuojamus teisėtus interesus.

The post BDAR: Teisėti interesai appeared first on GDPR Register | Compliance tool for privacy experts.

Šeši mėnesiai su GDPR. Kas įvyko?

Sarune Zybartaite — Wed, 19 Dec 2018 09:29:41 +0000

BDAR, įsigaliojęs 2018 m. gegužės 25 d., išplėtė ES duomenų apsaugos zonos aprėptį, pristatė naujoves, turinčios įtakos tiek įmonėms, tiek fiziniams asmenims. Todėl tai buvo vienas svarbiausių įvykių ES ir už ES ribų esančioms įmonėms, kurios tvarko ES gyventojų asmens duomenis. Įmonės buvo priverstos persvarstyti asmens duomenų tvarkymo veiklos prioritetus, pristatyti naujus metodus ir plėtoti asmens duomenų tvarkymo kultūrą, sumažinant surinktų duomenų kiekius, apibrėžiant duomenų tvarkymo tikslus ir priežastis, vykdant duomenų subjektų teises ir kita.

BDAR atitikties apklausa

The TechRadar – internetinis leidinys, skirtas technologijoms, neseniai vykdė tyrimą, kuriame dalyvavo 103 didžiosios bendrovės, veikiančios Europoje, iš įvairių pramonės šakų, įskaitant mažmeninę prekybą, žiniasklaidą, technologijas, viešąjį sektorių, finansus ir kelionių organizavimą. Rezultatai parodė, nors įmonės žino apie BDAR reikalavimus ir jau turėjo šešis mėnesius, kad atitiktų naujus standartus, daugeliui įmonių BDAR atitiktis vis dar sukelia galvos skausmą. Apibendrinus apklausą buvo paminėta, kad dažniausi trūkumai BDAR atitikties procese yra nenurodomas duomenų saugojimo terminas, netinkamas duomenų tvarkymo ar paieškos metodų taikymas. Apklausa parodo, kur kas mažesnį atitikties lygį , nei tikėtasi.

GDPR susijęs ne tik su įmonėmis ES viduje, bet ir su ne ES šalimis, kurios tvarko ES piliečių asmens duomenis. Ir, remiantis „TechRadar“ apklausos duomenimis, tik 35% Europos bendrovių sutiko pateikti tyrimo duomenis. Tai apima įmones, kurių būstinė yra JK, Prancūzijoje, Vokietijoje, Ispanijoje, Švedijoje ir Italijoje. Tačiau tik 50% įmonių pateikusių duomenis, parodė vos aukštesnė reikalavimų atitikimą, nei įmonęs už ES ribų. Taigi, atrodo, kad įmonės, nepriklausančios ES, stengiasi aktyviau dalyvauja BDAR atitikties procese.

Kai kurios pramonės šakos labiau atitinka BDAR standartus, lyginants su kitomis. „TechRadar“ išreiškė susirūpinimą dėl to, kad daugiau nei 76% mažmeninės prekybos įmonių nesutiko dalyvauti apklausoje. Finansinių paslaugų teikėjai buvo aktyviausi, nors tik pusė šios srities atstovų pateikė duomenis.

Pagrindinė BDAR duomenų apsaugos pažeidimo priežastis

Pasak ICO, dauguma asmens duomenų apsaugos pažeidimų atsirado dėl „žmogaus klaidos“. Nekompetencija ar klaidos lėmė net 88 % gautų pranešimų apie pažeidimus (konfidencialūs duomenys, išsiųsti el. paštu neteisingam gavėjui, dokumentų praradimas arba vagystė, dokumentai palikti nesaugioje vietoje ir kt.). Tik 22% susijusę su kenksminga veikla.

Keletas gerai žinomų BDAR suomenų apsaugos pažeidimų:

6 mėnesių BDAR Lietuvoje apibendrinimas

Lietuvos duomenų apsaugos inspekcija gavo daugybę prašymų konsultacijoms ir tiek pat skundų iš duomenų subjektų dėl neteisėto arba neteisingo jų duomenų tvarkymo. Todėl Lietuvos duomenų apsaugos inspekcija kol kas dirba kaip padėjėjas BDAR atitikties procese, nei baudėjas.

Per 2018 m. buvo suteikta daugiau kaip 6671 konsultacijų. Tai yra 15% daugiau, palyginti su 2017 m. Daugiausia dėmesio buvo skiriama duomenų tvarkymo teisėtumui ir BDAR pateiktoms naujovėms. Taip pat tiek įmonėms, tiek fiziniams amenims buvo aktuali informacija dėl vaizdo kamerų įrašų, duomenų apsaugos pareigūno paskyrimo bei BDAR numatytų fizinių asmenų teisių vykdymo ir jų pažeidimo. Iki šiol Lietuvos duomenų apsaugos inspekcija nėra paskyrusi BDAR baudų. Tačiau po 19 patikrinimų, atliktų nuo gegužės 25 d., nustatyta 18 atvejų, kai asmens duomenysbuvo tvarkomi neteisingai.

Iš gautų skundų skaičiaus akivaizdu, kad tiesioginė rinkodara yra vienas iš aktualiausių klausimų, su kuriais susiduria duomenų subjektai. Per pusmetį vietos duomenų apsaugos institucija gavo 443 tokius skundus. Beveik tiek pat kaip ir 2017 m. (480). Be tiesioginės rinkodaros, fiziniai asmenys aktyviai skundžiasi dėl duomenų, kuriuos renka ir naudoja skolų surinkėjai, paslaugų teikėjų sektorius ir valstybiniai registrai. Taip pat galimi pažeidimai dėl specialių asmens duomenų kategorijų, asmens kodų, vaizdo duomenų tvarkymo teisėtumo.

Po BDAR įsigaliojimo, duomenų saugumo pažeidimai tapo svarbūs tiek viešajam, tiek privačiam sektoriui. Nuo gegužės 25 d. buvo pranešta apie 80 duomenų apsaugos pažeidimų (2017 m. – tik 7 duomenų pažeidimo atvejai). Pagrindinės priežastys – neteisėtas duomenų atskleidimas, praradimas, vagystė ir plagijavimas.

The post Šeši mėnesiai su GDPR. Kas įvyko? appeared first on GDPR Register | Compliance tool for privacy experts.

Kibernetinės atakos iš BDAR perspektyvos: Ransomware

Sarune Zybartaite — Tue, 18 Dec 2018 12:10:04 +0000

Beveik kiekvienas verslo sektorius, vykdydamas kasdienes operacijas, į jas integruoja įvairias technologijas. IT infrastruktūra ir praktika, jei ji nėra reguliariai atnaujinama, senėja ir tampa silpnesne. Todėl dėl saugomos informacijos kiekio ir kategorijos, įmonės tampa kibernetinių atakų taikiniais. Sveikatos priežiūros sektorius yra vienas didžiausių. 2017 m. sveikatos apsaugos sektorius patyrė beveik pusę Ransomware atakų įvykdytų globaliai. Į finansų sektorių nutaikyta 12% visų išpuolių, į gamybą – 7%, į švietimą ir mažmeninę prekybą – 6%, apgyvendinimo, poilsio ir laisvalaikio planavimo sektorių- 4%. Kiti sektoriai, įskaitant vyriausybę, nekilnojamąjį turtą, komunalines paslaugas patyrė 8% visų Ransomware atakų. Pasak „Europol„, 2018 m. Ransomware atakų išpuolis sumažėjo beveik 30%, lyginant su 2017 m., tačiau išlieka didžiausia grėsme iš visų kenkėjiškų programų, nes „ransomware“ kodai tampa labiau pažengę ir sunkiau juos aptikti ir (arba) įveikti.

Kaip Ransomware susijęs su BDAR?

Ransomware – kenkėjiška programos/viruso forma. „Apkrėtus“ šiuo virusu, blokuojama vartotojo prieiga prie serverių, kompiuterių ir grasinamą juose esančius asmens duomenis paviešinti arba nesugrįžtamai sunaikinti, jei nebus gauta reikalaujama išpirka.

Galimi Ransomware padariniai:

Laikinas are visiškas spec. kategorijos asmens duomenų sunaikinimas;
Vykdomų operacijų sutrikdymas įsilaužius į serverius;
Išpirkos reikalavimas, kad sistema ir dokumentai būtų atkurti.

Stengdamosios atitikti GDPR reikalavimus, daugelis įmonių nepaiso grėsmės, susijusios su kibernetiniais išpuoliais. Per ataką gali nukentėti įmonės serveriai, staliniai kompiuteriai, nešiojamieji kompiuteriai. Atakai įvykus, įmonė turi įvertinti galimą žalą. Reikėtų atlikti diagnostiką, siekiant žinoti, ar asmens duomenys buvo pažeisti. Jei taip, vietinė duomenų apsaugos institucija turi būti informuojama per 72 valandas. Pranešime apie pažeidimą turi būti nurodoma atakos rūšis, paveiktų asmens duomenų kiekis, taip pat veiksmai, kurių buvo imtasi ir kurių planuojama imtis norint pašalinti pasekmes. Rimto pažeidimo atveju taip pat turi būti informuojami asmens duomenų subjektai, kurių informacija buvo pažeista. Įmonės, kurios tvarko spec.kategorijos duomenis, privalo informuoti vietos duomenų apsaugos instituciją apie incidentą, nepaisant atakos sukelto pažeidimo sunkumo. Jei ataką patyrusi įmonė nepateiks įrodymu, kad ji atitinka BDAR reikalavimų, ji bus priversta mokėti baudas (daugiau apie pranešimus apie pažeidimus ir GDPR baudas).

Ar Ransomware ataka laikoma asmens duomenų pažeidimu?

Prieš pateikdami savo reikalavimus, užpuolikai paprastai numato baudą, kurį būtų skiriama įmonei dėl BDAR nesilaikymo. Reikalaujama išpirka būtų kiek mažesnė. Taip tikimasi, kad nukentėjusieji verčiau mokėtų išpirką ir niekada nepraneštų apie incidentą, vietoje to, kad informuotų duomenų apsaugos institucijas, kurios pradėtų tyrimą ir galimai radę daugiau neatitikimų, pateiktų dar didesnes baudas.

Kita vertus, įmonės supranta, kad rizika gauti baudą dėl BDAR neatitikties yra didesnė.Juolab,kad galima teigti, kad Ransomware ataka iš tikrųjų nėra laikoma BDAR pažeidimu ir jo nereikia pranešti (jei jokie asmens duomenys atakos metu nebuvo pavogti, pakeisti ar sunaikinti).

Kaip išvengti Ransomware atakų?

Duomenų apsaugos ekspertai tikisi, kad ateinančiais metais Ransomware išpuolių daugės. Gali būti taikomasi į visas įmonės, nepriklausomai nuo jų dydžio. Užpuolikai žino, kad BDAR baudos gavimas mažosioms įmonėms gali būųti labai skausminga. Todėl labai svarbu įsitikinti, kad serveris ir įranga yra apsaugota, kad i būtų išvengta atakų ar bet kokių BDAR pažeidimų.

Pagrindiniai Ransomware prevencijos metodai:

Atnaujinti programinę įrangą.
Įsigyti licenzijuotą antivirusinę programą. Naudojant tinkamus įrankius, atakos gali būti blokuojamos, sistema apsaugota nuo „infekcijos“ plitimo.
Perkelti turimus duomenis į „debesiją“. Įprastai „debesija“ takom tinkamas saugumo priemones, skirtas apsaugoti duomenis ir laikytis BDAR nurodymų.
Sustiprinti slaptažodžius. passwords. Užpuolėjui sunkiau prisijungti prie paskyros, jei ji apsaugota ilgu ir patikimu slaptažodiu.
Skanuoti gaunamus el.laiškus nuo SPAMo ir kenkėjiško turinio.
Kartas nuo karto atnaujinti atsargines duomenų kopijas.
Pašalinti nenaudojamas paskyras.

The post Kibernetinės atakos iš BDAR perspektyvos: Ransomware appeared first on GDPR Register | Compliance tool for privacy experts.

Sveikatos priežiūros sektorius: kaip atitikti BDAR reikalavimus?

Sarune Zybartaite — Fri, 30 Nov 2018 14:02:55 +0000

Įsigaliojus BDAR, asmens duomenų apsauga tapo sudėtingesnė sveikatos priežiūros sektoriui – duomenys turi būti tvarkomi remiantis holistiniu požiūriu. Organizacijose turi būti nustatytos tam tikros procedūros, kurios gali būti taikomos nedelsiant. Pradedant atsargumo didinimu, dirbant su smens duomenimis, žinant, kur jie saugomi ir kaip jie yra tvarkomi. Tai taikoma tiek viešajam, tiek privačiam sektoriui: ligoninėms ir klinikoms, dantų priežiūrai, vaistinėms, slaugos namams, diagnostikos centrams ir laboratorijoms, e-parduotuvėms, parduodančioms vaistus, ir betkuriai kitai įmonei ar organizacijai, kuri tvarko asmens duomenissusijusius su sveikata.

Specialių kategorijų duomenų apibrėžimas ir sąlygos juos apdorojant

BDAR apibrėžia asmens duomenis, tvarkomus sveikatos priežiūros sektoriuje, kaip „specialių kategorijų duomenis“. Todėl apsaugos standartai yra kurkas didesni. BDAR nurodo tris specialias nuorodas į duomenis apie sveikatą:

Sveikatos duomenys – asmens duomenys, susiję su fizine ar psichine fizinio asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys informaciją apie to fizinio asmens sveikatos būklę;;
genetiniai duomenys – asmens duomenys, susiję su paveldėtomis ar įgytomis fizinio asmens genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie to fizinio asmens fiziologiją ar sveikatą, ir kurie gauti visų pirma analizuojant biologinį atitinkamo fizinio asmens mėginį;
Biometriniai duomenys – po specialaus techninio apdorojimo gauti asmens duomenys, susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę, kaip antai veido atvaizdai arba daktiloskopiniai duomenys.

Minėtų duomenų formų apdorojimas leidžiamas tik tam tikromis sąlygomis:

Aiškus duomenų subjekto suteiktas sutikimas;
Tvarkyti duomenis būtina profilaktinės arba darbo medicinos tikslais, siekiant įvertinti darbuotojo darbingumą, nustatyti medicininę diagnozę, teikti sveikatos priežiūros arba socialinės rūpybos paslaugas ar gydymą arba valdyti sveikatos priežiūros ar socialinės rūpybos sistemas ir paslaugas;
Tvarkyti duomenis būtina dėl viešojo intereso priežasčių visuomenės sveikatos srityje, pavyzdžiui, siekiant apsisaugoti nuo rimtų tarpvalstybinio pobūdžio grėsmių sveikatai arba užtikrinti aukštus sveikatos priežiūros ir vaistų arba medicinos priemonių kokybės ir saugos standartus

Tačiau, remiantis BDAR, valstybės gali laikytis pateiktų arba nurodyti papildomas sąlygas, įskaitant apribojimus dėl genetinių duomenų, biometrinių duomenų ar sveikatos duomenų tvarkymo.

Su BDAR duomenų subjektai įgijo daugiau teisių. Sveikatos priežiūros sektorius turi atkreipti į teisė gauti prieigą, leidžianti duomenų subjektams susipažinti su jų tvarkomais sveikatos duomenimis. Teisė į duomenų perkėlimą leidžia duomenų subjektams lengviau perduoti savo sveikatos duomenis bet kuriam kitam sveikatos priežiūros paslaugų teikėjui. Teisė būti pamirštam – sunkiausia įgyvendinama, leidžia duomenų subjektams reikalauti, kad jų sveikatos duomenų tvarkymas būtų nutrauktas ir visi turimi duomenys būtų pašalinti.

BDAR nurodo, kad įmonės ir organizacijos sveikatos priežiūros sektoriuje turėtų būti paskirtas duomenų apsaugos pareigūnas (DPO), nes spec.kategorijų duomenys tvarkomi dideliu mastu. Duomenų apsaugos poveikio vertinimo (DPIA) atlikimas padeda įvertinti rizikos duomenų subjekto teisėms ir laisvėms, kilmę, pobūdį, specifiškumą ir pavojingumą.

Įmonės ir organizacijos sveikatos priežiūros sektoriuje privalo pranešti apie saugumo pažeidimus (per 72 valandas) ne tik vietos duomenų apsaugos institucijai, bet ir asmenims, kurių asmens duomenys gali būti pažeisti. Turi būti numatytos aiškios, praktiškos ir veiksmingos procedūros, kurios būtų vykdomos pažeidimo atveju. Turi būti įdiegta pranešimo apie pažeidimą procedūra, įskaitant aptikimo ir reagavimo pajėgumus. Todėl, kartas nuo karto patartina atlikti personalo mokymus.

Duomenų apsaugos pažeidimo atveju baudos gali siekti iki 20 mln. € arba 4% metinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė. Naujausias pažeidimas sveikatos priežiūros sektoriuje įvyko Portugalijos ligoninėje . Iš pradžių jai buvo paskirta 400 000 eurų bauda už prieigą prie paciento duomenų per netikras gydytojų paskiras. Skaitykite plačiau apie BDAR baudas.

ES valstybės narės gali nustatyti kokio masto administracinės baudos gali būti skiriamos toje valstybėje narėje įsteigtoms valdžios institucijoms ir įstaigoms. Tačiau tai nereiškia, kad jos gali būti atleidžiamos nuo atsakomybės.

Įmonių ir organizacijų sveikatos priežiūros sektoriuje žingsniai siekiant laikytis reikalavimų

Dėl senstančios IT infrastruktūros ir silpnos IT saugumo praktikos, sveikatos priežiūros sektorius yra vienas iš didžiausių taikinių kibernetinėms atakoms. Tai reiškia, kad reikia nustatyti technines saugumo priemones, kad būtų išvengta neteisėtos prieigos prie serveryje ar debesijoje laikomų asmens duomenų, jų neteisėto naudojimo ir praradimo.

Skaitykite daugiau:
https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1543321123665&uri=CELEX:32016R0679
https://ico.org.uk/for-organisations/health
http://www.eu-patient.eu/globalassets/policy/data-protection/data-protection-guide-for-patients-organisations.pdf

The post Sveikatos priežiūros sektorius: kaip atitikti BDAR reikalavimus? appeared first on GDPR Register | Compliance tool for privacy experts.

Viešbučių ir laisvalaikio planavimo sektorius: Kaip atitikti BDAR reikalavimus?

Sarune Zybartaite — Fri, 16 Nov 2018 10:36:01 +0000

Viešbučių ir laisvalaikio planavimo sektorius surenka didžiulį kiekį asmens duomenų, todėl būtina imtis reikiamų veiksmų, kad būtų išvengta finansinių pasekmių dėl BDAR reikalavimų nesilaikymo. Juolab, kad BDAR pažeidimus patyrė vieni žinomiausių viešbučių visame pasaulyje: Radisson (skaitykite plačiau apie duomenų apsaugos pažeidimus Radisson viešbučių tinkle), Hilton, Mandarin Oriental, Trump Hotels.

Dažnai asmeninė informacija apie klientus yra surenkama skirtingais būdais: jie gai būti surenkami tiesiogiai iš klientų, per viešbučių rezervavimo svetaines ir kt. Viešbučiai, kelionių agentūros ir panašūs paslaugų teikėjai turi klientų kreditinės kortelės informaciją. Ši turima informacija gali padidinti riziką pažeisti asmens duomenų teises. Todėl, BDAR negali būti ignoruojamas.

Svarbu suprasti, kad BDAR taikomas ES piliečių informacijos tvarkymui. Tai reiškia, kad, pavyzdžiui, jei viešbutis yra Jungtinėse Amerikos Valstijose, yra didelė tikimybė, kad jame lankosi turistai iš ES šalių. Todėl JAV įsikūrės viešbūtis turi laikyti taikomos GDPR taisyklių ir reikalavimų.

Kaip viešbučių ir laisvalaikio planavimo sektorius turi pradėti pasirengimą BDAR?

Viešbučių ir laisvalaikio planavimo sektorių atsovaujančios įmonės tvarko daug įvairios asmeninės informacijos apie jų klientus. Todėl pirmas dalykas, kurį turėtų atlikti šios bendrovės, – peržiūrėti visus sukauptus duomenis. Sutikimas tvarkyti asmens duomenis turėtų būti gauti tiek jau esamiems, tiek naujai gaunamiems duomenims.

Informacija apie klientus paprastai saugoma įvairiose platformose, tad rekomenduojama peržiūrėti:

CRM sistemas
Rezervacijos programas
Apmokėjimo įrankius
El.rinkodaros įrankius
Socialinės platformas
Klientų duomenų bazes
Elektroninio puslapio slapukus ir kt.

Asmens duomenų įgyjimas

Yra šeši teisėti asmens duomenų tvarkymo pagrindai. Daugeliu atvejų viešbučių ir laisvalaikio planavimo sektorius turėtų remtis su klientais pasirašytomis sutartimis. Tačiau, nepriklausomai nuo to, koks yra teisėtas pagrindas, asmuo turi būti informuotas, kokie jo duomenys renkami, kam jie naudojami ir kiek laiko saugomi. Dėl šios priežasties, turi būti renkami tik būtini duomenys konkretiems tikslams ir jie turėtų būti saugomi tik tam laikotarpiui, kurio reikia tam tikslui pasiekti.

Duomenų subjektai turi teises, susijusias su jų asmens duomenimis. Viena iš jų – teisė sužinoti, kokie duomenys yra renkami. Įmonės turi 30 dienų pateikti bet kokios saugomos informacijos apie juos kopiją. Šie duomenys, klientų pageidavimu, gali būti pakeisti. Jei nėra jokio teisėto pagrindo rinkti asmens duomenis ir įmonė negali įrodyti priešingai, informacija turi būti ištrinta.

Asmens duomenų apsauga

Yra daug būdų užtikrinti, kad tvarkomi asmens duomenys yra saugūs. Tai apima viską – nuo saugumo politikos peržiūros iki duomenų šifravimo ir (arba) pseudonizavimo. Tačiau pradėti reiktų nuo privatumo pagal dizainą taikymo. Tai ypač svarbu dabar, kai technologijos yra sujungiamos su personalizavimu.

Viešbučių ir laisvalaikio planavimo sektoriuje mobiliosios technologijos atieka svarbų vaidmenį – kelionių ir viešbučių rezervacijų planavimas, įlaipinimo bilieto nuskaitymas ir kita. Šiandien šiems tikslams vis dar reikalingos atskiros programos, tačiau kelionė tampa vis sklandesnės tobulėjant technologijų ir personalizacijos bendradarbiavimui – privatumui pagal dizainą, kai asmens duomenimis dalinasi, tarkim, kelionių agentūra ir viešbutis. Tad šioje situacijoje negalima pamiršti BDAR reikalavimų. Turi būti parengtas susitarimas tarp skirtingų šalių dė asmens duomenų perdavimo ir tvarkymo. Nepriklausomai nuo paslaugų teikėjo (duomenų tvarkytojo), įmonė (duomenų valdytoja), yra atsakinga už tai, kad duomenų tvarkytojas vykdytų įsipareigojimus remiantis BDAR nurodymais.

Įmonės, kurios tvarko didelio masto asmens duomenis, turėtų skirti duomenų apsaugos pareigūną (DPO) ir atlikti Duomenų apsaugos poveikio vertinimą (DPIA). Taip pat yra papildomų reikalavimų, taikomų duomenims, kurie perduodami už ES ribų (daugiau informacijos apie asmens duomenų perdavimą trečiosioms šalims).

Įmonės neturėtų nuvertinti BDAR svarbos. Viešbučių ir laisvalaikio planavimo sektoriaus įmonės, kaip ir įmonės bet kuriame kitame sektoriuje, turi atsižvelgti į asmens duomenų tvarkymo politiką, procedūras ir technologijas. Be to, svarbu užtikrinti, kad darbuotojai būtų informuoti apie savo prievoles. Iš esmės, turi būti atsižvelgiama į visus įmonės veiksmus susijusius su asmens duomenimis. Kitu atveju bausmė už neatitikimą BDAR nurodymams gali siekti 4% metinės apyvartos arba 20 mln. eurų.

The post Viešbučių ir laisvalaikio planavimo sektorius: Kaip atitikti BDAR reikalavimus? appeared first on GDPR Register | Compliance tool for privacy experts.

Google Analytics: IP Anonimizacija

Sarune Zybartaite — Fri, 16 Nov 2018 09:27:30 +0000

Daugelis įmonių naudoja „Google Analytics“ kaip pagalbinę priemonę, kad surinktų vertingos informacijos apie klientų elgesį svetainėse, mobiliosse programėlėse ir kt.

Pagal numatytuosius nustatymus „Google Analytics“ naudoja visą lankytojų IP adresą, kad pateiktų bendrą ankytojų geografinę ataskaitą. Ataskaitoje taip pat parodyta ankytojų kalba, naudojama naršyklė, operacinė sistema, interneto paslaugų teikėjas ir ekrano rezoliucija.

Kodėl IP adreso optimizavimas reikalingas?

Remiantis BDAR, IP adresas laikomas asmens duomenimis. Nors IP adresai nėra rodomi „Google Analytics“ ataskaitose, lankytojų ID vis tiek gali būti susietas su IP adreso savininko asmenine informacija už „Google Analytics“ ribų. Dėl šios priežasties, „Google“ pristatė IP anonimizavimo funkciją, leidžiančią svetainių savininkams nustatyti, kad lankytojų IP adresai būtų anonimizuojami. Ši funkcija sukurta siekiant padėti svetainių savininkams laikytis privatumo politikos, vietinių duomenų apsaugos institucijų rekomendacijų ir teisinių reikalavimų, pvz., BDAR, kurio nurodymais siekiama neleisti saugoti viso IP adreso informacijos.

Kaip anonimizuoti svetainės lankytojų IP adresą?

„Google Analytics“ IP anonimizavimo funkcija pagal numatytuosius nustatymus neįjungta. Todėl, kai „Google Analytics“ klientas reikalauja anonimizuoti jo svetainės lankytojų IP adresą, „Google Analytics“ tai įvykdo kaip įvykdo kaip galima greičiau. Tai leidžia svetainė savininkui nereikalauti sutikimo iš svetainęs lankytojų, kad šie duotų sutikimą slapukų rinkimui .

Siekiant užkirsti kelią įmonės elektroninio puslapio lankytojų IP adreso rinkimui, IP adresai turi būti anonimizuojami. Tai galima padaryti, pakeičiant įmonės elektroninio puslapio/ mobiliosios programėės koduotę arba pridėdant naują kintamąjį GTM žymeje (instrukcijos anglų kalba). Tai gali būti padaroma ir per Google žymių tvarkytuvą kaip parodyta paveikslėlyje.

IP adreso anonimizavimas gali paveikti geografinių vietovių stebėjimo duomenis miesto lygiu. Tačiau nėra pastebimų tikslų skirtumo žemyno ar šalies lygiu.

Skaitykite daugiau Google Support pusapyje (anglų kalba)

Daugiau informacijos IP adreso anonimizavimo tema (anglų kalba)

The post Google Analytics: IP Anonimizacija appeared first on GDPR Register | Compliance tool for privacy experts.