Киберкрепость: всестороннее руководство по компьютерной безопасности

7. Право не быть объектом автоматизированного принятия решений. Субъекты данных имеют право не исполнять решение, основанное исключительно на автоматизированной обработке, включая профилирование, которое влечет за собой юридические последствия для них или аналогичным образом существенно влияет на них.

Будучи обработчиком данных, важно понимать и соблюдать эти права, чтобы соответствовать требованиям GDPR.

Стандарты и технические меры безопасности GDPR

Общий регламент по защите данных — это всеобъемлющее положение о конфиденциальности, которое применяется к организациям, действующим на территории Евросоюза, и к тем, кто обрабатывает персональные данные граждан ЕС. Один из ключевых элементов GDPR — требование к организациям применять технические и организационные меры для обеспечения безопасности персональных данных. Эти меры предназначены для защиты персональных данных от несанкционированных доступа, изменения, уничтожения и других форм обработки.

Для того чтобы соответствовать требованиям GDPR, организации должны оценить риски с целью выявления потенциальных угроз безопасности и уязвимостей. На основании результатов оценки они должны внедрить меры безопасности, призванные снизить эти риски. Ими могут быть шифрование, контроль доступа и планы реагирования на инциденты. Организации должны регулярно проверять и тестировать свои меры безопасности, чтобы убедиться в их эффективности.

В дополнение к техническим мерам организации должны применять организационные меры для обеспечения безопасности персональных данных. К ним могут относиться политики и процедуры обработки персональных данных, обучение сотрудников и подрядчиков, а также регулярный аудит и обзор деятельности по обработке данных.

Стандарты конфиденциальности GDPR и административные меры

Общий регламент по защите данных устанавливает строгие стандарты конфиденциальности и административные меры по защите персональных данных физических лиц в ЕС. Перечислим их.

• Прозрачность. Ответственные за обработку данных должны предоставлять субъектам данных четкую и ясную информацию о том, как собираются, используются и распространяются их персональные данные.

• Согласие. Контролеры должны получить явное и информированное согласие субъектов данных на обработку их персональных данных.

• Минимизация данных. Ответственные за обработку данных должны собирать и обрабатывать только те персональные данные, которые необходимы для конкретной цели.

• Точность данных. Контролеры должны принимать меры для обеспечения точности и актуальности персональных данных.

• Сохранение данных. Ответственные за обработку данных должны хранить персональные данные лишь столько, сколько необходимо для выполнения цели, для которой они были собраны.

• Безопасность данных. Контролеры должны применять технические и организационные меры для защиты персональных данных от несанкционированного доступа, изменения или уничтожения.

• Уведомление об утечке данных. Ответственные за обработку данных должны уведомлять соответствующие органы и затронутых субъектов данных в случае утечки данных.

• Наличие сотрудника по защите данных. Контролеры должны назначить ответственного за защиту данных для надзора за соблюдением GDPR.

Эти стандарты конфиденциальности и административные меры призваны обеспечить гражданам ЕС больший контроль над их личными данными и возложить на организации ответственность за то, как они их обрабатывают. Соблюдение GDPR обязательно для организаций, которые работают в ЕС или обрабатывают персональные данные граждан ЕС.

Обучение и тренинги по соблюдению требований GDPR

Это важный аспект обеспечения того, чтобы организации и отдельные лица понимали и соблюдали правила, установленные Общим регламентом по защите данных. Он предусматривает проведение тренингов и обучение всех сотрудников, подрядчиков и других лиц, работающих с персональными данными. Сюда входит их обучение правилам и стандартам GDPR, а также тому, как в соответствии с ними обрабатывать и защищать персональные данные. Кроме того, организации должны постоянно проводить обучение и тренинги, чтобы информировать людей о любых изменениях или обновлениях правил GDPR. Это гарантирует, что все сотрудники, подрядчики и другие лица осведомлены о своих обязанностях и обязательствах в соответствии с GDPR и способны эффективно защищать персональные данные.

Аудит и обеспечение соблюдения требований GDPR