Règlement général sur la protection des données (RGPD)

La politique générale de sécurité des données (RGPD) a été adoptée dans l’Union européenne (UE) en 2016 et oblige toutes les organisations à protéger une mise à jour de la signification des informations individuelles et privées des citoyens de l’UE pour transactions ayant lieu dans les États membres de l’UE. L’instruction établit des règles de confidentialité des informations qui assurent la transparence et des droits de confidentialité élargis pour les citoyens de l’UE.

Quelle est la définition de confidentialité mise à jour?

La définition standard des données individuelles est toute information association avec une personne physique déterminée ou identifiable (personne concernée).

Exemples d’informations privées couvertes par le RGPD:

• Appel et nom
• Adresse e-mail
• Numéro de téléphone
• Adresse du domicile
• Date de naissance
• Race
• Marqueurs héréditaires ou pré-dispositions identifiées
• Genre
• Affiliation spirituelle
• Points de vue politiques
• Numéros de carte de paiement
• Informations détenues par un hôpital ou un médecin
• Photographie où une personne est reconnaissable
• Numéro de carte de reconnaissance
• Un identifiant de cookie
• Protocole Internet (IP) adresse
• Informations sur le lieu (par exemple, les données sur le lieu d’un téléphone mobile)
• La publicité chanter l’identifiant de votre téléphone

Lorsqu’une violation d’informations a été détectée, les entreprises sont désormais tenues par le RGPD de notifier toutes les personnes concernées et les autorités de surveillance dans les 72 heures. Les directives du RGPD s’appliquent à toutes les informations de confidentialité personnelles développées pour les citoyens de l’UE, qu’ils soient ressortissants ou non de pays de l’UE.

Le RGPD définit des frais en cas de non-conformité. Le non-respect des prescriptions du RGPD peut entraîner des amendes allant de 10 millions d’euros à 4% du chiffre d’affaires annuel mondial de l’entreprise.

En vertu du RGPD, l’entreprise ne peut légalement traiter personne personnellement identifiable détails (PII) sans remplir au moins l’une des 6 conditions suivantes:

1. Autorisation expresse de l’utilisateur; ou le traitement des données de confidentialité personnelles est nécessaire:

1. pour l’exécution d’un contrat avec l’utilisateur ou pour prendre des mesures pour conclure un contrat; ou
2. pour le respect d’une responsabilité légale; ou
3. pour sauvegarder les intérêts cruciaux d’un utilisateur ou d’un autre individu; ou
4. pour l’efficacité d’un travail effectué dans l’intérêt public ou dans l’exercice de l’autorité publique dévolue au responsable du traitement; ou
5. pour les fonctions d’intérêts réels poursuivis par le responsable du traitement ou un tiers, sauf lorsque ces intérêts sont supplantés par les intérêts, les droits ou les flexibilités de l’utilisateur.

De plus, les entreprises qui effectuent des traitements de données ou affichent des personnes concernées à grande échelle doivent désigner un Data Defense Officer (DPO). Le DPO est le jeton responsable de la gouvernance des données et de la conformité de l’entreprise avec le GDRP. Cette personne est responsable de veiller à ce que des principes de défense des informations appropriés soient appliqués à la maintenance des données personnelles.

Qu’est-ce que cela signifie pour une PME?

Les entreprises qui opèrent au-delà de l’UE et ne le font pas. traiter des informations privées sur des sujets d’information sur l’UE, comme détaillé dans la liste ci-dessus, n’a pas besoin de s’inquiéter du RGPD lui-même. Une législation comparable est en place dans la plupart des pays du monde, de sorte que les entreprises devraient plutôt se concentrer sur l’examen des droits de confidentialité des informations personnelles de leur pays. Dès que vous comprendrez vos engagements juridiques dans votre propre pays, vous souhaiterez développer une stratégie d’alerte de violation.

L’importance d’une stratégie de notification de violation

Il est extrêmement crucial d’avoir une stratégie pour informer les utilisateurs et les agences appropriées associées à une violation d’informations. Le temps de déterminer comment alerter et quelles sont les lois et les exigences appropriées du pays d’origine n’est pas tout au long d’une violation, mais avant une. Aux États-Unis, il existe un patchwork de lois sur la confidentialité des données par des États privés. Il n’y a pas de loi fédérale en vigueur. Lors de la préparation de votre processus de notification de violation, assurez-vous de rechercher des conseils et du savoir-faire en plein air pour vous aider à respecter chaque état sur lequel vous pourriez avoir des informations (ou nation selon le cas).

Lois sur la confidentialité des informations par pays ( a Sample):

CyberHoot vous recommande de connaître les lois ayant un impact sur votre entreprise et de préparer un document de processus de notification de violation montrant ces lois. N’oubliez pas de vérifier également le processus chaque année.

La meilleure défense contre les amendes pour violation d’informations n’est pas du tout une violation

Au-delà de l’établissement d’un processus d’alerte de violation, votre entreprise peut exiger de nombreuses autres actions pour réduire la menace d’une violation. CyberHoot recommande les contre-mesures fondamentales suivantes en cas de violation:

• Former et tester les membres du personnel sur la façon de détecter et de prévenir les attaques de phishing, de smishing et de vishing;
• Gérer les employés avec un ensemble de politiques de cybersécurité qui développent les exigences de cybersécurité de l’entreprise;
• Utiliser le principe du moindre avantage en supprimant les droits d’administrateur des postes de travail des utilisateurs et des ordinateurs portables;
• Adopter un gestionnaire de mots de passe pour améliorer la santé des mots de passe des employés ;
• Activer l’authentification à deux facteurs sur tous les comptes cruciaux (e-mail, banque, etc.); et
• Confirmer les appelants dans votre entreprise lorsqu’ils font des demandes de grande valeur (demande d’informations, modification de réservations, facturation d’une carte de paiement, etc.). Les entreprises ayant accès aux numéros de téléphone mobile des clients doivent envoyer un code d’authentification à chaque demandeur de modification.

Sources:

CSO Online

TechTarget

ZDNet