EU-GDPR 25 May 2018

Overzicht van de Algemene Verordening Gegevensbescherming (AVG)

De Europese Commissie heeft haar EU Data Protection Reform in January 2012 om Europa geschikt te maken voor het digitale tijdperk. Meer dan 90% van de Europeanen zegt dat ze overal in de EU dezelfde gegevensbeschermingsrechten willen - en ongeacht waar hun gegevens worden verwerkt.

De verordening is een essentiële stap om de grondrechten van de burger in het digitale tijdperk te versterken en het bedrijfsleven te vergemakkelijken door de regels voor bedrijven in de digitale eengemaakte markt te vereenvoudigen. Eén wet zal ook een einde maken aan de huidige versnippering en kostbare administratieve lasten, wat leidt tot besparingen voor bedrijven van ongeveer € 2,3 miljard per jaar. De richtlijn voor de politie en het strafrecht beschermt het fundamentele recht van de burger op gegevensbescherming wanneer persoonsgegevens worden gebruikt door strafrechtshandhavingsinstanties. Het zal er met name voor zorgen dat de persoonsgegevens van slachtoffers, getuigen en verdachten van misdrijven naar behoren worden beschermd en grensoverschrijdende samenwerking bij de bestrijding van misdaad en terrorisme vergemakkelijken.

Op 15 december 2015 bereikten het Europees Parlement, de Raad en de Commissie overeenstemming over de nieuwe gegevensbeschermingsregels, waarmee een modern en geharmoniseerd gegevensbeschermingskader voor de hele EU werd vastgesteld. De commissie burgerlijke vrijheden van het Europees Parlement en het Comité van permanente vertegenwoordigers (Coreper) van de Raad hebben vervolgens de overeenkomsten met zeer grote meerderheden goedgekeurd. De overeenkomsten werden ook verwelkomd door de Europese Raad van 17-18 december als een belangrijke stap voorwaarts in de uitvoering van het Digital Single Market Strategy.

Op 8 april 2016 heeft de Raad de verordening en de richtlijn aangenomen. En op 14 april 2016 zijn de verordening en de richtlijn aangenomen door het Europees Parlement.

Op 4 mei 2016 zijn de officiële teksten van de verordening en de richtlijn in alle officiële talen gepubliceerd in het EU-Publicatieblad. Terwijl de Regulatie treedt in werking op 24 mei 2016 en is van toepassing vanaf 25 mei 2018De Richtlijn treedt op 5 mei 2016 in werking en de EU-lidstaten moeten de richtlijn uiterlijk omzetten in hun nationale wetgeving 6 mei 2018.

Regulation (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 95/46 / EG (algemene verordening gegevensbescherming)

Directive (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of de uitvoering van strafrechtelijke sancties , en betreffende het vrije verkeer van dergelijke gegevens, en tot intrekking van Kaderbesluit 2008/977 / JBZ van de Raad

Akkoord over de hervorming van de gegevensbescherming door de Commissie

Factsheets

Commission Proposals on the data protection reform: legislative texts

Current legal framework

Public opinion surveys

Source info: https://ec.europa.eu/justice/data-protection/reform/index_en.htm

Cybersecurity en de AVG

Het cybersecurity-landschap verandert snel dankzij onze steeds digitaler wordende levensstijl, de wildgroei van verbonden apparaten en een evolutie in de manier waarop informatie door een organisatie stroomt. Naarmate gegevens bijvoorbeeld meer beschikbaar komen voor zakelijke gebruikers, wordt het voor cybercriminelen veel gemakkelijker om er toegang toe te krijgen en er misbruik van te maken. Nu de Britse Data Protection Act snel achterhaald raakt, presenteert de AVG een nieuwe, uniforme oplossing voor het beschermen van gevoelige informatie, een oplossing die consistent is in de hele regio en in staat is om informatie beter te beschermen in dit tijdperk van sociaal, mobiel en cloudgebaseerd delen.

Het is begrijpelijk dat de nieuwe verordening verschillende gevolgen zal hebben voor bedrijven die gegevens van EU-burgers verwerken – ongeacht hun locatie – en er moeten voorbereidingen worden getroffen om ervoor te zorgen dat steeds strengere sancties worden nageleefd en voorkomen. Bij handhaving bepaalt de AVG dat datalekken binnen 72 uur na ontdekking aan de relevante autoriteiten moeten worden gemeld als ze de rechten en vrijheden van de getroffen personen in gevaar kunnen brengen, en moeten van al deze incidenten gegevens worden bijgehouden.

Met betrekking tot de bovengenoemde sancties, niet-conforme organisaties nu geconfronteerd met boetes van maximaal vier procent van hun wereldwijde omzet of € 20.000.000 - afhankelijk van wat hoger is, wat ongetwijfeld een ernstige impact zal hebben op de bottom line van een bedrijf. Voor minder ernstige incidenten wordt de boete verlaagd tot twee procent van de omzet of 10.000.000 euro.

Wat moet worden geclassificeerd als gevoelige gegevens?

Een belangrijke vraag om te overwegen is die welke betrekking heeft op de definitie van "gevoelige gegevens". Naarmate we meer informatie online plaatsen, is dit een definitie die voortdurend evolueert, en als zodanig is de term onlangs uitgebreid met genetische en biometrische gegevens, evenals online-id's zoals cookies, RFID-tags en IP-adressen. Wanneer een organisatie dergelijke informatie verwerkt, moet zij eerst een grondige controle uitvoeren van beschermende maatregelen rond die gegevens, waaronder waarborgen, beveiliging en mechanismen om het risico van blootstelling te verlagen en ervoor te zorgen dat de AVG wordt nageleefd.

Voor veel bedrijven is het een moeilijke uitdaging om IT-beveiliging goed te krijgen. We zijn getuige geweest van grote schendingen bij high profile merken van VTech naar TalkTalk to Target, evenals de schadelijke gevolgen van een financieel en reputatieperspectief. De AVG biedt organisaties de kans om hun bestaande beveiligingsmechanismen serieus te analyseren aan de hand van een vaststaand criterium dat niet alleen hun cybersecuritypositie versterkt, maar ook het risico op een zeer dure inbreuk vermindert. Voor velen zal dit aanpassingsproces moeilijk, tijdrovend en kostbaar zijn, dus het zou een goed idee zijn om te beginnen met het maken van toekomstbestendige beveiligingsstrategieën, het plannen van de veranderingen en het investeren in geschikte technologie eerder vroeger dan later.

Versleutel alles

Nu cybercriminelen tot het uiterste gaan om gevoelige of lucratieve gegevens te bemachtigen, zou het uiteindelijke doel voor organisaties moeten zijn om die gegevens koste wat het kost te beschermen. We leven in een tijd waarin datalekken bijna onvermijdelijk zijn, dus het is logisch om data met encryptie te verdedigen, zodat het onleesbaar en vrijwel onbruikbaar blijft als en wanneer het in verkeerde handen valt. Er moet een inventarisatie worden gemaakt waarin rekening wordt gehouden met alle gegevens die worden geproduceerd, verwerkt en opgeslagen, zodat volledig inzicht kan worden verkregen in hoe en waar de informatie stroomt. Een standaardstrategie van 'alles versleutelen' is van cruciaal belang om naleving te garanderen, en de technologische vooruitgang van vandaag betekent dat versleuteling niet langer een duur of omslachtig proces is - in feite is het nu sneller en gemakkelijker dan ooit tevoren om gegevens te beveiligen met versleuteling, dus er is heel weinig excuus voor organisaties die dit niet doen.

Dat gezegd hebbende, terwijl dit een goed begin is, moet effectieve bescherming verder gaan dan encryptie - vooral bij het overwegen van de dreiging van binnenuit. Toegangscontroles zijn een belangrijke extra verdedigingslaag, die ervoor zorgt dat alleen gebruikers met het juiste niveau van autorisatie toegang hebben tot bepaalde gegevenssets. Zodra een gebruiker toegang krijgt tot een versleutelingssleutel, wordt het gebruik ervan volledig gecontroleerd en verantwoord, waarbij regels voor gegevensrechten worden afgedwongen, waardoor het delen van toegang met een andere gebruiker en andere factoren zoals het tijdstip van de dag wordt voorkomen.

Met deze basismaatregelen zullen organisaties beter in staat zijn om te opereren in een post-GDPR-wereld. Echter, dingen veranderen en het is belangrijk om niet zelfgenoegzaam te worden. In plaats daarvan moet gegevensbeveiliging worden beschouwd als een constant werk in uitvoering, met regelmatige tests en evaluatie van de effectiviteit van deze instrumenten die in de algemene strategie voor gegevensbescherming zijn ingebouwd.

Kortom, de GDPR is een duidelijke stap in de goede richting, en zal hopelijk leiden tot de broodnodige verandering in organisaties die momenteel achterop raken op kritieke beveiligingsvereisten - maar hoewel de deadline nu misschien ver weg lijkt, zal het ons zeker besluipen, met verwoestende gevolgen voor degenen die er niet in geslaagd zijn om aandacht te besteden.

X