5 trinn til suksess for GDPR

Handlinger taler høyere enn ord, og det samme kan sies om GDPR. Det er ikke nok å bare si at du er i samsvar med oppdateringene av databeskyttelsesloven. Utfordringene handler om å vise at du er compliant og at du er i stand til å håndtere det fortløpende.

Vi har satt sammen en enkel tilnærming til GDPR som lar deg enkelt demonstrere at du kan stole på og er på vei til GDPR-suksess.

Dine GDPR-forberedelser

Vi har kokt dette ned i 2 områder – sjekklisten fra Informasjonskommissærens kontor (ICO) og måten du planlegger å bevise svarene dine på.

ICOs egenvurdering av databeskyttelse er et sett med 7 sjekklister som stiller deg 120 spørsmål om hvordan du for øyeblikket håndterer personopplysninger. De dekker spørsmål for behandlingsansvarlige og prosessorer, informasjonssikkerhet, direkte markedsføring, arkivbehandling, datadeling og tilgang til emner og CCTV.

Når du har fullført denne egenvurderingen, er det viktig å pause og prioritere arbeidet som kreves, samt se på budsjettet og ressursene du har. Din prioritet vil være basert på de største og mest åpenbare truslene og/eller problemene du har, f.eks. kraftige interessentkrav.

Du vil da tenke på hvordan du skal svare og bevise de 120 spørsmålene i GDPR egenvurdering. Vi foreslår å dele disse ned i 8 områder der arbeidet må gjøres, både når det gjelder implementering og deretter enkelt opprettholde og forbedre i fremtiden.

1) Informasjon (og behandlingsmidler) du har

• Personopplysningsinventar og kartlegging av informasjonsflyter
• Records behandling tracker
• Eiendelsregister / inventar

2) Risikoer: Konfidensialitet, integritet, tilgjengelighet

• Identifikasjon og evaluering
• Løpende ledelse inkludert demonstrasjon av retningslinjer og kontroller på plass og regelmessig gjennomgang av risikoer

3) Styring av retningslinjer og kontroller

• Enkeltpersoners rettigheter og personvernregler og kontroller basert på risikoene
• Informasjonssikkerhetspolitikk & kontroller basert på risikoene
• Justering av politikk og kontroller til anerkjente standarder, sertifiseringer og regelverk (der det kreves for å møte interessentenes forventninger)
• Regelmessige gjennomganger og demonstrasjon av disse har funnet sted

4) Vurderinger og forespørsler for å sikre personvern og sikkerhet ved design

• Legitime interessevurderinger
• Data Protection Konsekvensutredninger
• Emnetilgangsforespørsler

5) Hendelser og BCP

• Sikkerhet Hendelsesstyring
• Business Continuity Planlegging og utførelse

6) Ansatte

• Kommunikasjon og bevissthet rundt personvern og informasjonssikkerhet – planlagt og etter behov
• Dynamisk og kontinuerlig overholdelse når organisasjonen endrer sine retningslinjer, kontroller og praksis

7) Forsyningskjede

• Kommunikasjon og bevissthet rundt personvern og informasjonssikkerhet – planlagt og etter hvert som behov oppstår
• Dynamisk og kontinuerlig etterlevelse når organisasjonen endrer sine retningslinjer, kontroller og praksis
• Kontrakter, kontakter og relasjonshåndtering
• Utover leverandører til go-to-market-partnere og andre med tilgang til personopplysninger

8) Samordning og sikring av hele systemet

• Rapportering og overvåking
• Revisjoner og vurderer ledelsen
• Synlighet av fremdrift og status til enhver tid

Implementering av GDPR-arbeidet ditt –
fra toppen og ned

Trinn 1

Ta opp og dokumentere informasjonen du har i samsvar med kravet til journalbehandling, både fra behandlingsansvarlig og behandlerrolleperspektiv.

Trinn 2

Vurder risiko og identifisere potensielle måter å beskytte informasjon på og sikre individers rettigheter til personvern er på plass.

Trinn 3

Beskriv politikk og kontroller sammen med andre sikkerhetstiltak. Du kan bruke ICO-sjekklisten igjen her, da det er en fin måte å se hvor de forventer at du skal dekkes.

Trinn 4

Vis at det å jobbe i praksis med dine operative databehandlingssystemer, ansatte, forsyningskjeden og andre interesserte parter er alle i stand til å vise forståelse og samsvar.

Trinn 5

Overvåk, gjennomgå, revider og forbedre hele systemet over tid for å levere den forpliktelsen til personvern og informasjonssikkerhet som ICO forventer.

Gå tilbake og se gjennom alle ICO-sjekklistespørsmålene og veiledningen for beste praksis. Dette vil gi deg et grunnlag for å vise at du har vurdert hvert område av GDPR.

Nærmer seg GDPR ved hjelp av ISMS.online

Vi har laget følgende video for våre kunder som beskriver hvordan du kan bruke ISMS.online plattform for å lage en rask gapanalyse, følg ICO-trinnene for å oppnå GDPR-overholdelse, og lykkes med å administrere den i årene som kommer.