Unijne przepisy o ochronie GDPR, które wejdą w życie w maju 2018 r., oznaczają prawdziwą rewolucję w dziedzinie przetwarzania danych osobowych. Chodzi nie tylko o gromadzone numery PESEL czy adresy zamieszkania, lecz także o wszystkie informacje, które umożliwiają identyfikację osób fizycznych, w tym również adresy IP czy identyfikatory zamieszczone w plikach cookies. Według danych przedstawionych przez SAS Institute tylko 3 proc. przedsiębiorstw jest przygotowanych na nadchodzące zmiany.
Przedsiębiorcy niedoinformowani
– Realizacja nowych wytycznych może okazać się problematyczna, zwłaszcza dla przedsiębiorstw z sektora MŚP – twierdzi Tomasz Rozdżestwieński z Atmana, firmy działającej na rynku centrów danych.
Według niego problemem jest fakt, że przepisy wymagają specjalistycznego podejścia do zmiany polityki bezpieczeństwa informacji. – Mowa tutaj choćby o konieczności oceny ochrony danych osobowych już na etapie projektowania rozwiązań, czyli tzw. privacy by design, czy też konieczności przeprowadzenia analizy ryzyka utraty prywatności (privacy impact assessment – red.) oraz stworzenia planu reakcji na incydent zagrażający bezpieczeństwu (breach response plan – red.), które nie zostały do końca jasno sprecyzowane przez regulatora – dodaje ekspert.
Jego zdaniem w efekcie organizacje, które nie mają w swoim zespole doświadczonych specjalistów w zakresie cyberbezpieczeństwa, mogą mieć ogromne problemy z przygotowaniem swojej infrastruktury tak, by nie narazić się na ewentualne sankcje. – Związane jest to również z nakładami finansowymi, które dla sektora MŚP mogą okazać się barierą przy wdrażaniu bezpiecznych rozwiązań – tłumaczy Tomasz Rozdżestwieński.
W naszym kraju problemem jest również niedoinformowanie społeczeństwa w kwestii nowego aktu prawnego. Z badania przeprowadzonego przez instytut badawczy ARC Rynek i Opinia wynika, że nie słyszało o nim aż 52 proc. polskich przedsiębiorstw, połowa nie dysponuje procedurami i narzędziami gwarantującymi konsumentowi prawo do całkowitego usunięcia jego danych osobowych z systemu, a 42 proc. nie wdrożyło procedur informowania właściwego organu o naruszeniach prywatności cyfrowych profili osobowych.
