EU GDPR

Tiền phạt có thể lên tới 4% doanh thu toàn cầu hàng năm do vi phạm GDPR hoặc 20 triệu euro. Đây là mức phạt tối đa có thể áp dụng cho những vi phạm nghiêm trọng nhất, ví dụ: không có đủ sự đồng ý của khách hàng để xử lý dữ liệu hoặc vi phạm cốt lõi của các khái niệm "Bảo vệ Quyền riêng tư bằng Thiết kế".

Dữ liệu cá nhân là bất kỳ thông tin nào có thể được sử dụng để xác định trực tiếp hoặc gián tiếp người đó, chẳng hạn như tên, ảnh, địa chỉ email, chi tiết ngân hàng, bài đăng trên các trang web mạng xã hội, thông tin y tế hoặc địa chỉ IP của máy tính.

Sự đồng ý phải được cấp dưới dạng dễ hiểu và dễ truy cập với mục đích xử lý dữ liệu được gắn với sự đồng ý đó. Nó phải rõ ràng, dễ nhận biết và sử dụng ngôn ngữ rõ ràng và dễ hiểu. Nó cũng phải dễ dàng rút lại sự đồng ý như khi cấp nó. Khi xử lý dữ liệu cá nhân nhạy cảm, không có gì ngoài "opt-in" sẽ đủ.

Nếu đối tượng dữ liệu dưới 16 tuổi, sự đồng ý của cha mẹ sẽ được yêu cầu để xử lý dữ liệu cá nhân của trẻ em. Các quốc gia thành viên có thể hạ thấp tuổi sự đồng ý của cha mẹ, nhưng không thấp hơn tuổi 13.

Các DPO phải được bổ nhiệm trong trường hợp (a) các cơ quan công cộng, (b) các tổ chức tham gia vào giám sát hệ thống quy mô lớn hoặc dữ liệu lớn, hoặc (c) các tổ chức tham gia vào xử lý hàng loạt dữ liệu cá nhân nhạy cảm (Điều 37). Nếu tổ chức của bạn không thuộc một trong những danh mục này, thì bạn không cần bổ nhiệm DPO.

Thông báo về vi phạm

Theo GDPR, thông báo vi phạm sẽ trở nên bắt buộc ở tất cả các quốc gia thành viên khi có khả năng xảy ra vi phạm dữ liệu "có thể gây rủi ro cho quyền và tự do của các cá nhân". Thông báo phải xảy ra trong vòng 72 giờ kể từ khi phát hiện vi phạm. Các bên xử lý dữ liệu cũng sẽ được yêu cầu thông báo cho các bên kiểm soát "mà không gây chậm trễ không cần thiết" sau khi lần đầu tiên nhận thức được vi phạm dữ liệu.

Quyền truy cập

Những đối tượng dữ liệu có quyền lấy xác nhận từ bên kiểm soát dữ liệu cho dù dữ liệu cá nhân liên quan đến họ được xử lý hay không, nơi nào và vì mục đích gì. Bên kiểm soát dữ liệu sẽ cung cấp một bản sao dữ liệu cá nhân miễn phí trong định dạng điện tử.

Quyền bị lãng quên

Được gọi là xóa dữ liệu, quyền bị lãng quên cho phép đối tượng dữ liệu yêu cầu bên kiểm soát dữ liệu xóa dữ liệu cá nhân của họ, ngừng phổ biến thêm dữ liệu và có khả năng yêu cầu các bên thứ ba dừng xử lý dữ liệu. Dữ liệu không còn phù hợp với mục đích xử lý ban đầu hoặc đối tượng dữ liệu rút lại sự đồng ý. Cũng cần lưu ý rằng quyền này yêu cầu bên kiểm soát so sánh quyền của chủ thể với "lợi ích công cộng trong tính khả dụng của dữ liệu" khi xem xét các yêu cầu như vậy.

Tính di động của dữ liệu

Đối tượng dữ liệu có thể nhận được dữ liệu cá nhân liên quan đến họ, mà họ đã cung cấp trước đó trong "định dạng thường được sử dụng và dễ đọc của máy" và có quyền truyền dữ liệu đó cho bên kiểm soát khác.

Bảo vệ Quyền riêng tư bằng Thiết kế

Bảo vệ quyền riêng tư về dữ liệu phải là cốt lõi của các hệ thống công nghệ mà các bên kiểm soát và bên xử lý sử dụng để quản lý thông tin của những đối tượng dữ liệu, không chỉ là một phần bổ sung.

Thông tin phải được cung cấp cho đối tượng dữ liệu khi dữ liệu được thu thập đã được xác định chính xác và bao gồm:

• Danh tính và chi tiết liên hệ của bên kiểm soát và DPO
• Các mục đích xử lý, mà dữ liệu cá nhân được dự định
• Cơ sở pháp lý của quá trình xử lý
• Nếu có, những lợi ích hợp pháp được theo đuổi bởi bên kiểm soát hoặc bên thứ ba
• Nếu có, những người nhận hoặc danh mục những người nhận dữ liệu cá nhân
• Khoảng thời gian dữ liệu cá nhân sẽ được lưu trữ, hoặc nếu điều này không thể, tiêu chí được sử dụng để xác định khoảng thời gian này
• Sự tồn tại của quyền truy cập, chỉnh sửa hoặc xóa dữ liệu cá nhân
• Quyền tính di động của dữ liệu
• Quyền rút lại sự đồng ý bất kỳ lúc nào
• Quyền nộp đơn khiếu nại với cơ quan giám sát

Quan trọng, khi dữ liệu không được lấy trực tiếp từ đối tượng dữ liệu (có thể sử dụng danh sách của bên thứ ba), danh sách sẽ thay đổi và bao gồm từ nguồn nào dữ liệu cá nhân xuất phát:

• Sự tồn tại của bất kỳ hồ sơ nào và thông tin có ý nghĩa về logic liên quan cũng như ý nghĩa và hậu quả dự kiến của quá trình xử lý như vậy cho đối tượng dữ liệu.
• GDPR đại diện cho một vấn đề đáng kể cho các nhà tiếp thị lấy dữ liệu từ danh sách của bên thứ ba.

Điều 6 của quy định GDPR nêu rõ rằng người thu thập dữ liệu chỉ có thể xử lý dữ liệu hợp pháp nếu, trong số những điều khác, nó có lợi ích hợp pháp hoặc sự đồng ý. Xác định liệu bạn có lợi ích hợp pháp yêu cầu "đánh giá cẩn thận" về những kỳ vọng và bối cảnh của dữ liệu bạn đang thu thập.

Thật hấp dẫn khi sử dụng một cách giải thích rộng của lợi ích hợp pháp để khắc phục nhu cầu về sự đồng ý. Chúng tôi không khuyến khích sử dụng một cách nhìn bao quát của lợi ích hợp pháp như một cách để biện minh cho việc thu thập dữ liệu. GDPR cung cấp một số ví dụ chẳng hạn như xử lý dữ liệu cá nhân để ngăn chặn gian lận, các mục đích hành chính nội bộ liên quan đến nhân viên và khách hàng, bảo mật mạng và báo cáo hoạt động tội phạm có thể hoặc mối đe dọa đối với an ninh công cộng.

Vẫn còn một vùng xám xung quanh lợi ích hợp pháp, và định nghĩa sẽ trở nên rõ ràng hơn theo thời gian. Khuyến cáo ngắn hạn là tập thói quen hỏi "cùng một mục tiêu có thể đạt được mà không cần xử lý dữ liệu cá nhân không?" Nếu câu trả lời là có, thì thực hành tốt nhất là chuyển khỏi lợi ích hợp pháp làm cơ sở cho xử lý dữ liệu; bạn nên lấy sự đồng ý.

1. Đưa ra kế hoạch chủ động cho sự tuân thủ GDPR của bạn.
2. Xem lại các thông báo và chính sách quyền riêng tư, và đảm bảo chúng đáp ứng các mức tuân thủ GDPR.
3. Chuẩn bị kế hoạch trong trường hợp xảy ra vi phạm bảo mật.
4. Kiểm toán sự đồng ý của bạn.
5. Làm cho sự đồng ý tiếp thị opt-in.
6. Xem lại phần lợi ích hợp pháp của chỉ thị với cố vấn pháp lý của bạn để đảm bảo nó bao gồm tổ chức của bạn cho việc sử dụng dữ liệu của người mua để xử lý và quản lý đơn đặt hàng đó.
7. Làm cho ngôn ngữ sự đồng ý của bạn dễ tìm và đọc về việc sử dụng dữ liệu cá nhân.
8. Tạo kế hoạch hành động cho các yêu cầu đối tượng dữ liệu đối với tổ chức của bạn để sử dụng dữ liệu của họ.
9. Trở thành người chịu trách nhiệm cho sự tuân thủ của bạn.
10. Đào tạo nhân viên của bạn.
11. Có các quy trình rõ ràng tại chỗ, được viết và kiểm toán.
12. Bổ nhiệm DPO nơi bắt buộc.
13. Đảm bảo rằng các đối tác bên kiểm soát / xử lý của bạn tuân thủ.

GDPR áp dụng cho các tổ chức, bên kiểm soát và bên xử lý nằm trong và bên ngoài EU, những người cung cấp hàng hoá hoặc dịch vụ cho những đối tượng dữ liệu EU. GDPR cũng áp dụng cho các tổ chức, chẳng hạn như các tổ chức tiếp thị hoặc những người cung cấp hoặc sử dụng dữ liệu giám sát hành vi của các đối tượng EU.

Bên kiểm soát xác định các mục đích, điều kiện và phương tiện để xử lý dữ liệu cá nhân, trong khi bên xử lý xử lý dữ liệu cá nhân thay mặt bên kiểm soát.