Luật bảo vệ dữ liệu mới của Vương quốc Anh sẽ ảnh hưởng đến doanh nghiệp của bạn như thế nào?
Chính phủ Anh đã công bố dự luật bảo vệ dữ liệu mới được thiết kế thay thế GDPR sắp tới của EU. Dự luật này về cơ bản là bản cập nhật cho Đạo luật bảo vệ dữ liệu (DPA) hiện có, được ban hành vào năm 1998.
Tại sao Chính phủ quyết định thực hiện những thay đổi này?
Kể từ ngày 25 tháng 5 năm 2018, Quy định chung về bảo vệ dữ liệu của EU (GDPR) sẽ có hiệu lực, nhằm “hài hòa các luật về quyền riêng tư dữ liệu trên khắp châu Âu”. Trừ khi bạn đang sống trên mặt trăng, bạn có thể biết rằng nước Anh dự kiến rời EU và để đảm bảo rằng các doanh nghiệp có thể tự do chuyển dữ liệu qua lại sau khi chúng tôi rời đi, luật hiện hành của chúng tôi phải được cập nhật thành phù hợp với GDPR.
DPA, GDPR và Brexit
GDPR sẽ có hiệu lực khi Vương quốc Anh vẫn là thành viên của EU vì mặc dù Điều 50 đã được kích hoạt nhưng sẽ mất tối thiểu 2 năm để hoàn tất quá trình rời khỏi EU. Điều này có nghĩa là nó sẽ tự động áp dụng cho Vương quốc Anh cho đến thời điểm này. Khó khăn xảy ra khi Brexit đã hoàn tất, vì không chắc liệu Vương quốc Anh sẽ tiếp tục tuân thủ GDPR hay đưa ra luật riêng của mình. Dự luật bảo vệ dữ liệu mới đã được thiết kế để phản ánh GDPR theo nhiều cách nhằm đảm bảo rằng Vương quốc Anh có luật cập nhật tại chỗ bất kể điều gì xảy ra với Brexit. Điều này rất cần thiết nếu Vương quốc Anh và EU tiếp tục trao đổi dữ liệu với nhau.
Điều gì sẽ thay đổi theo DPA mới?
Quyền được lãng quên
“Quyền được lãng quên” giúp chủ thể dữ liệu có nhiều quyền kiểm soát hơn đối với cách xóa dữ liệu cá nhân của họ. Tuy nhiên, có một chút khác biệt giữa luật mới của Vương quốc Anh và GDPR, ở chỗ, các nền tảng truyền thông xã hội sẽ có nghĩa vụ xóa mọi dữ liệu cá nhân được một cá nhân gửi trước khi họ đủ 18 tuổi nếu họ yêu cầu.
Dữ liệu cá nhân
DPA cập nhật cũng như GDPR sắp ra mắt đã mở rộng định nghĩa về dữ liệu cá nhân, mặc dù dường như có một số mơ hồ về định nghĩa mới bao gồm những gì. Nói tóm lại, DPA đã được cập nhật để tạo điều kiện thuận lợi cho các loại dữ liệu cá nhân mới như địa chỉ IP, cookie, dữ liệu di truyền và sinh trắc học.
Quyền riêng tư
Theo luật mới, các tổ chức sẽ không thể thu thập dữ liệu cá nhân mà không có sự đồng ý rõ ràng của chủ thể dữ liệu. Tuyên bố chọn tham gia phải rõ ràng, cụ thể và yêu cầu một số loại hành động khẳng định. Tương tự như vậy, nếu một tổ chức có kế hoạch chia sẻ thông tin cá nhân với các công ty tiếp thị thì phải có sự đồng ý rõ ràng trước khi thực hiện việc đó.
Xử lý tự động
Đôi khi, các thuật toán được sử dụng để “lập hồ sơ” các cá nhân dựa trên dữ liệu cá nhân của họ. Hồ sơ như vậy được sử dụng để xác định các cá nhân dựa trên tình trạng sức khỏe, tình trạng việc làm, sự giàu có, v.v. DPA mới sẽ cho phép các cá nhân yêu cầu những hành động này được thực hiện bởi con người, chứ không phải máy tính.
Tính di động của dữ liệu
Luật mới sẽ mở rộng quyền của cá nhân để cho phép họ dễ dàng di chuyển, sao chép và truyền dữ liệu cá nhân của mình trên các nền tảng một cách an toàn và bảo mật. Tuy nhiên, khả năng di chuyển dữ liệu thường không được coi là một vấn đề liên quan đến bảo vệ dữ liệu mà là một yêu cầu chức năng đối với các nền tảng truyền thông xã hội và nền tảng đám mây khác nhau.
Các tổ chức có nên lo ngại về những thay đổi này không?
Như bạn mong đợi, có một số lo ngại và tranh cãi xung quanh những luật mới này. Dưới đây là một số mối quan ngại chính đã được bày tỏ theo GDPR (bao gồm cả DPA cập nhật):
- Nhiều người tuyên bố rằng các tổ chức chưa sẵn sàng tuân thủ một loạt nhiệm vụ nghiêm ngặt như vậy, đặc biệt vì hình phạt đối với việc không tuân thủ lớn hơn đáng kể so với những gì họ đưa ra trước đây.
- Theo GDPR, các tổ chức xử lý lượng lớn dữ liệu cá nhân sẽ phải chỉ định Nhân viên bảo vệ dữ liệu (DPO). Tuy nhiên, người ta đã đặt ra mối lo ngại về tình trạng thiếu chuyên gia bảo mật/quyền riêng tư hiện nay.
- Việc triển khai GDPR (DPA) có thể gây căng thẳng lớn cho các doanh nghiệp vì hầu hết các tổ chức phải thực hiện những thay đổi đáng kể đối với cách họ xử lý dữ liệu nhạy cảm. Tương tự như vậy, chi phí tiềm năng khi thuê DPO cũng có thể là một gánh nặng.
- GDPR cũng sẽ cần nhiều nguồn lực để thực thi.
Để đảm bảo rằng tổ chức của bạn sẵn sàng tuân thủ DPA cập nhật, bạn cần đảm bảo rằng bạn có thể trả lời các câu hỏi quan trọng “ai, cái gì, ở đâu và khi nào” về những thay đổi đối với dữ liệu nhạy cảm của bạn. Nền tảng bảo mật dữ liệu Lepide cung cấp cho nhóm CNTT một giải pháp toàn diện cho phép bạn phát hiện và phản hồi các tương tác với dữ liệu quan trọng, đồng thời cung cấp cảnh báo và báo cáo chi tiết theo thời gian thực; tất cả đều có thể được sử dụng để đáp ứng các yêu cầu quy định.