Khi thời hạn kích hoạt GDPR gần kề, những chuẩn bị điên rồ của các công ty đang gần kết thúc. Thấy số lượng lớn vi phạm dữ liệu, EU đã tiến một bước để đặt quyền riêng tư người dùng thành ưu tiên hàng đầu cho các tổ chức.
Khung mới này cho Bảo mật & Bảo vệ Dữ liệu đã gia tăng nhiều nghĩa vụ cho Các Tổ Chức. Mặc dù một số công ty đã tuân thủ GDPR, vẫn còn những công ty đang vật lộn để làm cho quy định này phù hợp.
Việc triển khai GDPR không phải vấn đề của một ngày hay một tháng. Nhưng sau nó, các công ty phải xem xét lại toàn bộ chính sách, quy trình và thủ tục nội bộ để đáp ứng yêu cầu Tuân thủ GDPR.
Đọc các bài viết trước của chúng tôi để có bức tranh hoàn chỉnh về GDPR, tác động của nó và những gì doanh nghiệp đang thực hiện để đáp ứng yêu cầu Tuân thủ GDPR.
Dưới đây là liệt kê tất cả những thách thức lớn GDPR mang lại!
Khả Năng Thích Ứng
Ngày 25/5 chỉ là điểm khởi đầu. Ngôn ngữ dùng trong GDPR khá mơ hồ, tạo ra vấn đề cho công ty hiểu quy trình. Theo báo cáo, chỉ 25% doanh nghiệp có ý tưởng nghiêm túc về quy định này. Thêm vào đó, lo ngại lớn là chi phí để đạt được - số lượng vô tận thay đổi & cập nhật trong chính sách nội bộ đòi hỏi đầu tư và nỗ lực khổng lồ.
Cũng, các quy chuẩn và quy định này mới nên có thể mất thời gian để công ty thích ứng với thay đổi mới. Nhưng các giải pháp có tổ chức chắc chắn sẽ giúp họ thích ứng tốt hơn những ai cố gắng thích ứng sau.
Thách Thức Lớn Cho Doanh Nghiệp Nhỏ
Từ tổ chức quy mô lớn đến doanh nghiệp vừa và nhỏ, tất cả đều có dữ liệu nhạy cảm cần bảo vệ. Khi phải tuân thủ GDPR, các vấn đề chính doanh nghiệp nhỏ phải đối mặt là:
- Đầu tư cao có thể mang lại chương trình bảo mật high-tech
- Điều phối DPO (Cố vấn Bảo vệ Dữ liệu) cho việc này.
- Đào tạo nhân viên báo cáo trong vòng 72 giờ trong trường hợp vi phạm dữ liệu.
- Duy trì kiểm soát chất lượng với chuỗi cung ứng - Xác thực rằng tất cả nhà cung cấp và nhà thầu liên quan đến kinh doanh của bạn phải Tuân thủ GDPR.
- Chuẩn bị cho khả năng chuyển dữ liệu (data portability) - Trong trường hợp khách hàng yêu cầu bản sao dữ liệu của họ.
- Điều phối thành viên chịu trách nhiệm duy nhất cho các Yêu cầu Chủ thể Dữ liệu (Data Subject Requests).
Doanh nghiệp quy mô nhỏ có ít nguồn lực để xử lý những thách thức này và biên độ ít hơn nếu có lỗi xảy ra (điều khá thường thấy)
Yêu Cầu Chủ Thể Dữ Liệu Thường Xuyên
Đây là thay đổi và thách thức lớn nhất cho Tổ chức. Chúng phải xử lý tất cả yêu cầu chủ thể dữ liệu nhanh chóng. Vì GDPR cung cấp quyền cho cá nhân và người dùng:
– hỏi về dữ liệu công ty lưu trữ gì
– dữ liệu của họ được sử dụng như thế nào
– loại dữ liệu cá nhân nào liên quan
– mục đích xử lý thông tin nhạy cảm của họ
– xóa dữ liệu bất cứ khi nào họ muốn, và
– khiếu nại với cơ quan giám sát
Rõ ràng, các truy vấn sẽ xuất hiện hàng ngày. Vì bất kỳ công ty nào không thể vi phạm quyền này của người dùng, nên họ phải thiết lập quy trình cảnh báo các thành viên nhóm cần thiết mỗi khi Yêu cầu Chủ thể Dữ liệu đến. Thông tin cung cấp phải minh bạch, công평 và súc tích cho người dùng. Tổ chức không thể dùng ngôn ngữ phức tạp nữa để mislead và gây nhầm lẫn cho người tiêu dùng.
DPO Là Bắt Buộc
Với mục tiêu Hài hòa Bảo vệ Dữ liệu trên các quốc gia EU, việc điều phối Cố vấn Bảo vệ Dữ liệu (DPO) có thể được xem là tác động lớn của GDPR lên doanh nghiệp. Theo Điều 37 GDPR, việc chỉ định DPO cho mọi cơ quan công nơi giám sát và xử lý dữ liệu liên tục là bắt buộc.
GDPR tạo ra cơ hội việc làm mới. DPO là người phải có kiến thức chuyên gia về luật bảo vệ dữ liệu. GDPR không nêu rõ mức độ chuyên môn DPO nên có, nhưng về cơ bản theo độ phức tạp của xử lý dữ liệu đi kèm với sự thành thạo hơn của DPO.
DPO nên thực hiện các nhiệm vụ và trách nhiệm như:
- Quản lý các vấn đề bảo vệ dữ liệu nội bộ
- Chăm sóc quyền và sự đồng ý của cá nhân
- Giám sát Tuân thủ và các luật bảo vệ khác
- Đào tạo nhân viên về tầm quan trọng của yêu cầu tuân thủ
- Làm việc cùng nhau với người điều khiển (controllers) và người xử lý (processors)
Sự Tăng Cả Của Tấn Công Dữ Liệu
Khi các tổ chức đang cố gắng tuân thủ quy định bảo vệ dữ liệu mới, đồng thời báo cáo cho thấy tội phạm mạng đang tống tiền các công ty với số tiền hơi thấp hơn phạt GDPR cho các tổ chức chưa tuân thủ. Với nhiều người tham gia thế giới trực tuyến, cơ hội tăng lên rằng họ có thể bị nhiễm ransomware, BEC (Business Email Compromise - xâm phạm email kinh doanh) tấn công tống tiền và khai thác tiền điện tử.
Mặc dù quy định này sẽ giúp làm cho tất cả dữ liệu của chúng ta an toàn hơn, hacker vẫn sẽ hack.
Vì vậy, có nhu cầu áp dụng phương pháp bảo mật xuyên thế hệ (cross-generational security) để giúp giảm thiểu rủi ro tấn công dữ liệu.
Gánh Nặng Lên Các Thực Thể Chính Thức
Các bên liên quan chính ở đây là Người điều khiển (Controllers) và Người xử lý (Processors).
Controllers là những người chịu trách nhiệm trả lời câu hỏi "Cái gì", "Tại sao" và "Như thế nào" việc xử lý dữ liệu cá nhân của cá nhân diễn ra. Nó có thể là bất kỳ thực thể, cơ quan công, người hoặc bất kỳ tổ chức hoặc cơ quan nào.
Vai trò chính của controller là giữ bức tranh rõ ràng về việc sử dụng dữ liệu của cá nhân & trong trường hợp bất kỳ sự đồng ý nào nảy sinh từ người dùng (được xử lý không phù hợp) công ty sẽ phải chịu phạt (theo GDPR).
Processors là những người xử lý thông tin cá nhân của người dùng. Theo thuật ngữ GDPR, một processor là người pháp lý hoặc cơ quan xử lý dữ liệu thay mặt cho controllers. Nói đơn giản, controller là người quyết định hoặc đưa ra quyết định về hoạt động xử lý và Processor thực hiện những hoạt động đó.
Controller là người chọn processors để thực hiện xử lý tiếp theo - do đó nó trở thành gánh nặng như nhau cho cả hai để thực thi dữ liệu chính xác và đúng hướng. Cũng, đó là trách nhiệm của Processor để xóa dữ liệu sau khi xử lý xong.
Đe Dọa Lớn Đối Với Người Marketing
Người marketing phụ thuộc lớn hoặc hoàn toàn vào dữ liệu người tiêu dùng. Theo nguồn tin, chỉ 20% người dùng tin rằng ngay sau khi Quy định Bảo vệ Dữ liệu này có hiệu lực, các công ty sẽ không thể sử dụng, quản lý & bảo vệ dữ liệu của họ một cách nghiêm ngặt.
Từ việc xin phép dữ liệu đến truy cập dữ liệu, đối với người marketing, đây trở thành trách nhiệm phải quan tâm đến việc người dùng có thể dễ dàng truy cập dữ liệu đang được sử dụng hoặc bán cho bên thứ ba để sinh lợi nhuận. Với người marketing, việc hiểu bạn đang thu thập bao nhiêu dữ liệu và tự hỏi xem bạn có thực sự cần thông tin hôn nhân hay sở thích ẩm thực trước khi họ đồng ý kết nối với trang của bạn là điều thiết yếu.
Một vài lĩnh vực GDPR sẽ ảnh hưởng đến hoạt động marketing của bạn:
- Cookie trang web- Thu thập mẫu tìm kiếm của người truy cập để có lợi cho mình sẽ không được chấp nhận nữa! Bây giờ người marketing cần xin đồng ý cho cookie trên trang web của bạn phải minh bạch và không mơ hồ. Cũng, bạn phải cho họ một cách riêng biệt để họ có thể rút lại sự đồng ý nếu muốn.
- Tác động lớn lên Quản trị Dữ liệu Khách hàng- Người marketing phải xem xét lại loại dữ liệu nào họ lưu, họ lưu như thế nào, họ xử lý nó như thế nào, chia sẻ & chuyển cho ai, và cuối cùng nó được truy cập như thế nào.
- Ảnh hưởng lên Email Marketing- Người marketing phải giữ tài liệu rõ ràng về người dùng đã đồng ý nhận email từ bạn với thông tin về cách bạn sẽ marketing nó. Trong trường hợp bạn nhận danh sách người dùng từ bên thứ ba, bạn phải đảm bảo họ có tài liệu tương tự.
Hệ Quả Của Vi Phạm GDPR
Vì quy định này sẽ ảnh hưởng đến mọi tổ chức bất kể nơi nó ở, trong trường hợp công ty của bạn chưa có biện pháp nào để tuân thủ. Tác động GDPR lên doanh nghiệp khá khắt khe vì cấu trúc phạt được chia thành hai ngưỡng tùy thuộc vào bản chất vi phạm.
- Ngưỡng Phạt Cao Hơn áp dụng khi tổ chức vi phạm:
– Quyền của cá nhân
– Sự đồng ý của người dùng
– Chuyển dữ liệu
– Xử lý dữ liệu (khi nó bị giới hạn trong thời gian xác định)
Nếu các điều này bị vi phạm, phạt 4% doanh thu công ty hoặc lên đến €20 triệu - cái nào cao hơn, sẽ được áp dụng.
- Ngưỡng Phạt Thấp Hơn được áp dụng lên Controllers, Processors và các cơ quan giám sát khác. Trong trường hợp:
– Nếu dữ liệu cá nhân trẻ em được thu thập & xử lý không có sự đồng ý
– Nếu cơ quan giám sát không được thông báo trong vòng 72 giờ vi phạm dữ liệu
– Nếu người dùng hoặc khách hàng dữ liệu bị rò rỉ được thông báo trong khung thời gian cho phép và,
– Các nghĩa vụ khác trên cơ quan giám sát, DPO (Cố vấn Bảo vệ Dữ liệu) và cơ quan chứng nhận v.v.
Nếu các điều này bị vi phạm, phạt 2% doanh thu công ty hoặc lên đến €10 triệu - cái nào cao hơn, sẽ được áp dụng.
Mặc dù GDPR đang thực hiện một vài thay đổi đáng kể, nó không phải là sự thoát ly hoàn toàn khỏi các nguyên tắc và hệ thống hiện có. Quy định này sẽ ở lại với tất cả thách thức và khuyết điểm, đồng thời tổ chức nên ngừng than vãn và hiểu cơ hội của nó cũng. Quy định bảo vệ dữ liệu cách mạng này sẽ đứng vững trên tiềm năng của nó hay sẽ lúng túng trước rào cản hành chính sẽ được quyết định khi thi hành vào ngày 25/5/2018.