Problemi in vprašanja
Kdo mora uskladiti svoje poslovanje? Vse pravne osebe in samostojni podjetniki, društva, klubi, ... vsi. Pomembno dejstvo je, da izhodišče nove Uredbe izhaja iz pravice posameznika, nosilca osebnih podatkov, kar zgolj kot posledico določa odgovornost upravljavcev in obdelovalcev. Kar z drugimi besedami pomeni, da ni tako zelo pomembno ali ste d.o.o., društvo, klub, s.p. ali morda karkoli drugega. Obseg uskladitve je v prvi vrsti odvisen od tega, kakšno stopnjo tveganja predstavljate za imetnike osebnih podatkov, ki jih hranite v svojih zbirkah, koliko in kakšne vrste osebnih podatkov hranite, katere so obdelave, ki jih izvajate, kdo so vaši obdelovalci podatkov, postopki, kakšno tehnologijo uporabljate, kot tudi način varovanja ter vse ostalo kar sodi zraven.
Problem obdelovalcev osebnih podatkov, ki niso usklajeni. Obdelovalci podatkov, kot podjetja, ki prodajajo gostovanja, računovodski servisi, vzdrževalci programske in strojne opreme, podjetja ki delajo na področju varstva pri delu in podobno so v velikem številu neusklajeni in ne izpolnjujejo zahtev, ki jih zahteva Uredba. Odgovornost za varovanje osebnih podatkov je načeloma na upravljavcu, ki pa mora poskrbeti, da podatki iz njegovih zbirk osebnih podatkov ne bodo ušli nadzoru pri obdelovalcu. Zato se morajo vsi obdelovalci zavezati za varovanje osebnih podatkov v skladu z Uredbo, da pa to lahko storijo, se morajo v vsakem primeru najprej uskladiti sami.
Problem tehnologije in tehnološkega okvira GDPR, ZVOP-2 in EU AI Act. V tehnoloških zahtevah predpostavljamo, da je tehnologija, ki jo uporabljamo skladna (by design compliant, kot to zahteva GDPR) in omogoča pravilno izvajanje zakona. Kar v mnogih primerih na našo in vašo nesrečo ne drži in kar lahko predstavlja težave. Ki jih je treba tako ali drugače rešiti. Posebno vprašanje predstavlja tudi skladnost spletnih strani, posebej še, ker je IP obiskovalca deklariran kot osebni podatek in moramo v vsakem primeru z obiskovalcem spletne strani takoj v samem začetku obiska spletne strani razčistiti vsa vprašanja, ki zadevajo zasebnost in s tem našo skladnost z uredbo.
Ocena učinka. V nekaterih primerih podjetij je v primeru, da s svojim poslovanjem spadajo v eno od skupin, kjer s svojimi obdelavami pomenijo posebno tveganje za imetnike osebnih podatkov, so zahteve za varovanje osebnih podatkov pogojene z izdelavo ocene učinka, je certificiranje informacijske varnosti z ISO27001 precej smiselno. S certifikacijo ISO 27001 je namreč več kot polovica varnostnih tveganj, ki izhajajo iz zahtev GDPR precej bolj pod nadzorom, postopek priprave ocene učinka pa hitrejša in enostavnejša.
Način reševanja problema. Predavanja brez konkretnih rešitev in teoretiziranje ni način, ki rešuje konkretne probleme podjetij pri uskladitvi poslovanja z EU GDPR. Verjetno imate le redki ambicijo, da Vi postanete strokovnjaki za varovanje zasebnosti. Zato se zavedamo, da moramo mi rešiti vaš problem. Z vašim sodelovanjem seveda. Na način, da bo bolečih, nadležnih in slabih sprememb čim manj.
Smiselni ukrepi, slabo okolje. Vsi želimo, da se naši osebni podatki ne zlorabljajo. Zato je GDPR dober. Obenem pa je tehnološko okolje v katero so umeščeni GDPR, ZVOP-2 in EU AI Act izrazito neregulirano in v marsičem rado zapleta izvajanje v skladu z namenom zakona. Uskladitev pa je kljub vsemu nujna.
