Zoals iedereen weet, kan niet-naleving van de GDPR-vereisten in de wereld van vandaag leiden tot administratieve, financiële en strafrechtelijke sancties. En het bedrag van de opgelopen sancties voor GDPR-overtredingen is genoeg om bedrijven de stuipen op het lijf te jagen.
In dit artikel belichten we de meest voorkomende overtredingen om de oorzaken aan het licht te brengen en vooral de acties die moeten worden uitgevoerd als dat nog niet is gebeurd.
De top 3 GDPR-overtredingen in Europa:
- Onvoldoende rechtsgrondslag voor gegevensverwerking –[GDPR, art. 6] – (38% van het totale aantal boetes)
- Onvoldoende technische en organisatorische maatregelen om informatiebeveiliging te garanderen –[GDPR, art. 32] – (21% van het totale aantal boetes].
- Niet-naleving van de algemene beginselen voor gegevensverwerking –[GDPR, art. 5] – (16% van het totale aantal boetes)
Elke regeling heeft een positieve kant!
Wat als GDPR een manier was om een sterkere identiteit op te bouwen die je aan je werknemers, klanten en partners kunt presenteren?
Naast de boetes die worden opgelegd door nationale gegevensbeschermingsautoriteiten, staat ook de reputatie van het bedrijf op het spel. En alsof dat nog niet genoeg is, kan de blootstelling aan cyberrisico’s worden verhoogd, met alle gevolgen van dien.
GDPR moet niet worden gezien als een beperking, maar als een instrument waarmee het informatiekapitaal van 2.0-bedrijven naar behoren kan worden gewaardeerd en beschermd en hun duurzame digitale traject kan worden gegarandeerd.
Meer dan ooit is tijd voor een herziening essentieel om de identiteit van je organisatie en de interactiviteit met marktspelers te versterken en je verplichtingen in het digitale tijdperk contractueel vast te leggen.
Goed om te weten:
Voor de periode van 25/05/2019 tot 20/05/2020 ontving de Gegevensbeschermingsautoriteit (APD) 937 meldingen van datalekken (bijv. verloren, gestolen of gehackte gegevens), en 351 klachten en verzoeken (dit cijfer combineert het aantal bemiddelingsverzoeken en/of klachten).
Voorbeelden van sancties en redenen gepubliceerd op de APD-website:
- Illegale verwerking van beelden van bewakingscamera’s
- Niet-naleving van het recht op vergetelheid
- Datalekken
- Onevenredig gebruik van eID voor het aanmaken van een klantenkaart
- Niet-naleving van de regels inzake cookies
Het is een veilige gok dat sommige onderwerpen zullen verschijnen of zich zullen ontwikkelen, zoals:
- Beheer van toestemming en cookies
- Verwerking van webcambeelden tijdens teleconferenties
- “Schrems II” en de praktische en organisatorische gevolgen ervan
- Gegevensbeheer via de cloud
- Net als de redenen die worden genoemd in de top 3 van Europese sancties.
Onze aanbevelingen om deze risico’s te minimaliseren en vooral je reputatie te consolideren:
- Waakzaamheid moet deel uitmaken van een programma voor voortdurende verbetering, zodat uw personeel begrijpt wat hun verantwoordelijkheden zijn en hoe hun acties bijdragen aan het bereiken van de doelstellingen van uw organisatie.
- Training stelt uw werknemers in staat om knowhow te begrijpen en toe te passen, gecombineerd met hun ervaring om hun rollen en verantwoordelijkheden op zich te nemen.
- Een regelmatige beoordeling stelt je in staat om het GDPR-volwassenheidsniveau van je organisatie te beoordelen en een actieplan op te stellen en uit te voeren als onderdeel van een continu verbeteringsproces.
- Een audit maakt het mogelijk om diep in te gaan op onderwerpen die als gevoelig worden beschouwd en kan problemen aan het licht brengen die, als ze eenmaal zijn aangepakt, een bepalende differentiatiefactor in de markt kunnen vormen.
- Zichtbaarheid op technologische beveiliging wordt centraal om uw informatiekapitaal te beschermen en te voldoen aan de vereisten van de GDPR
- 360° communicatie is erop gericht om de verplichtingen van je organisatie bekend te maken bij alle belanghebbenden, intern en extern, en om blijvend vertrouwen op te bouwen door goed informatiebeheer.
“Wat niet bekend is, wordt niet beheerd!”
Wat als je geen DPO of CISO hebt?
Veel organisaties hebben besloten om het beheer van hun informatiekapitaal toe te vertrouwen aan een partner die rekening kan houden met de juridische, technische en organisatorische vereisten die specifiek zijn voor de context van de klant.
Je partner zal je een dienst kunnen aanbieden in overeenstemming met de gewenste doelstellingen en perspectieven, zowel door advies als door de implementatie van je naleving van de GDPR.
Kortom, VERTROUWEN, een goed ONDERBOUWEN van je bedrijf en een goede SAMENWERKING met je partner zijn de garantie voor een duurzame relatie.
Geschreven door onze Privacy Consultants: Olivier Dupont & Alain Brisy
Bronnen:
https://www.autoriteprotectiondonnees.be/professionnel
https://www.cnil.fr/professionnel
https://www.enisa.europa.eu/
https://www.cybersecuritycoalition.be/
https://www.enforcementtracker.com/
