Ndarja e të dhënave është thelbi i tregtisë moderne. Pavarësisht nëse po i bashkoheni një ofruesi të ri të shërbimeve cloud, po bashkëpunoni me një agjenci marketingu apo po integroni një sistem HR të një pale të tretë, të dhënat personale rrjedhin vazhdimisht midis organizatave. Por ja e vërteta e pakëndshme: shumica e bizneseve e nënvlerësojnë fushën e minuar ligjore që përfaqëson ndarja e të dhënave sipas Rregullores së Përgjithshme të Mbrojtjes së të Dhënave (GDPR).
Rreziqet janë reale. Gjobat mund të arrijnë në 20 milionë euro ose 4% të xhiros vjetore globale - cilado qoftë më e lartë. Përtej ndëshkimeve financiare, ju rrezikoni dëmtim të reputacionit, shqyrtim rregullator dhe kërkesa për përgjegjësi civile nga individët e prekur. Autoriteti Holandez i Mbrojtjes së të Dhënave (Autoriteit Persoonsgegevens, ose AP) e ka bërë të qartë: injoranca nuk është mbrojtje.
Ky artikull ju udhëzon përmes shtatë rreziqeve kritike të GDPR-së që lindin gjatë ndarjes së të dhënave personale. Çdo rrezik bazohet në dispozita specifike të GDPR-së, të ilustruara me pasoja të botës reale dhe të shoqëruara me udhëzime praktike për t'ju ndihmuar të qëndroni në përputhje me rregullat. Pavarësisht nëse jeni pronar biznesi, oficer përputhshmërie apo profesionist ligjor që vepron në Holandë, të kuptuarit e këtyre kurtheve është thelbësore.
1. Ndarja e të dhënave pa një bazë ligjore të vlefshme (Neni 6 i GDPR-së)
Rreziku: Ju nuk mund të ndani të dhëna personale vetëm sepse është e përshtatshme ose e dobishme. Çdo rast i ndarjes së të dhënave kërkon një bazë ligjore të vlefshme sipas Nenit 6 të GDPR-së.
Pse kompanitë gabojnë: Shumë organizata supozojnë se të kesh një arsye tregtare për të ndarë të dhëna është e mjaftueshme. Nuk është e tillë. GDPR ofron gjashtë baza ligjore për përpunimin: pëlqimin, domosdoshmërinë kontraktuale, detyrimin ligjor, interesat jetësore, detyrën publike dhe interesat legjitime. Secila prej tyre ka kërkesa dhe kufizime specifike.
Për shembull, "interesat legjitime" shpesh përdoren për të justifikuar ndarjen e të dhënave me partnerët ose ofruesit e shërbimeve. Por kjo bazë kërkon një test të kujdesshëm balancimi: interesat tuaja nuk duhet të mbizotërojnë mbi të drejtat dhe liritë e individëve, të dhënat e të cilëve po përpunoni. Dhe ju duhet ta dokumentoni këtë vlerësim.
Baza Ligjore: Neni 6 i GDPR-së përcakton listën e plotë të bazave ligjore. Neni 5(1)(a) i GDPR-së urdhëron që i gjithë përpunimi të jetë i ligjshëm, i drejtë dhe transparent.
Pasojat e botës reale: AP ka lëshuar gjoba për organizatat që kanë ndarë të dhëna të klientëve me palë të treta për qëllime marketingu pa një bazë të duhur ligjore. Edhe nëse të dhënat janë anonimizuar ose janë përmbledhur, nëse riidentifikimi është i mundur, ato mbeten të dhëna personale dhe kërkojnë një bazë ligjore.
Marrja praktike: Përpara se të ndani të dhëna personale, identifikoni dhe dokumentoni se cila bazë ligjore zbatohet. Nëse mbështeteni në interesa legjitime, kryeni dhe regjistroni një vlerësim të interesave legjitime (VLL). Nëse përdorni pëlqimin, sigurohuni që ai të jepet lirisht, specifik, i informuar dhe i qartë.
2. Konfuzion mbi Rolet: Kontrolluesi kundrejt Përpunuesit (Neni 4(7)–(8) i GDPR-së)
Rreziku: GDPR bën dallimin midis kontrolluesve (të cilët përcaktojnë qëllimet dhe mjetet e përpunimit) dhe përpunuesve (të cilët përpunojnë të dhëna në emër të një kontrolluesi). Identifikimi i gabuar i rolit tuaj - ose i partnerit tuaj - krijon boshllëqe serioze në pajtueshmëri.
Pse kompanitë gabojnë: Në praktikë, rolet mund të jenë të paqarta. Nëse ndani të dhëna me një ofrues SaaS, a janë ata kontrollues apo përpunues? Po sikur të përdorin të dhënat tuaja për të përmirësuar algoritmet e tyre? Shumë biznese zakonisht e quajnë çdo shitës "përpunues" pa e analizuar siç duhet marrëdhënien.
Klasifikimi i gabuar ka rëndësi sepse kontrolluesit dhe përpunuesit kanë detyrime të ndryshme. Kontrolluesit duhet të sigurohen që përpunuesit të ofrojnë garanci të mjaftueshme përputhshmërie (Neni 28 i GDPR-së). Kontrolluesit e përbashkët duhet të bien dakord për përgjegjësitë e tyre përkatëse (Neni 26 i GDPR-së). Nëse e gaboni, mund të mbaheni përgjegjës për shkelje që as nuk i dinit se po ndodhnin.
Baza Ligjore: Neni 4(7) dhe (8) i GDPR-së përkufizon "kontrolluesin" dhe "përpunuesin". Neni 24 i GDPR-së përshkruan detyrimet e llogaridhënies së kontrolluesit.
Pasojat e botës reale: Gjykata Evropiane e Drejtësisë vendosi në ID e Modës (C-40/17) se edhe përcaktimi i pjesshëm i qëllimeve mund t'ju bëjë një kontrollues të përbashkët. Kjo do të thotë që ju mund të mbaheni përgjegjës bashkërisht për shkeljet e GDPR-së, edhe nëse një palë tjetër i ka shkaktuar ato.
Marrja praktike: Hartoni rrjedhat e të dhënave dhe përcaktoni se kush vendos pse si të dhënat përpunohen. Dokumentojeni këtë me shkrim dhe sigurohuni që secila palë të kuptojë rolin dhe detyrimet e saj.
3. Marrëveshja e Munguar ose e Papërshtatshme për Përpunimin e të Dhënave (Neni 28 i GDPR-së)
Rreziku: Nëse angazhoni një përpunues për të trajtuar të dhënat personale në emrin tuaj, jeni të detyruar ligjërisht të keni një marrëveshje me shkrim për përpunimin e të dhënave (DPA). Pa përjashtime.
Pse kompanitë gabojnë: Është joshëse të anashkalosh dokumentacionin, veçanërisht me partnerë të besuar ose të hershëm. Por pa një DPA në përputhje me rregullat, ju shkelni Nenin 28 të GDPR-së që nga dita e parë - edhe nëse nuk ndodh ndonjë dëm i vërtetë.
Një DPA e duhur duhet të përfshijë klauzola specifike të detyrueshme: objektin dhe kohëzgjatjen e përpunimit, natyrën dhe qëllimin e përpunimit, llojin e të dhënave personale, kategoritë e subjekteve të të dhënave dhe detyrimet dhe të drejtat e kontrolluesit. Ajo gjithashtu duhet të trajtojë nën-përpunimin, sigurinë e të dhënave dhe njoftimin për shkelje.
Baza Ligjore: Neni 28(3) i GDPR-së rendit përmbajtjen e detyrueshme të një DPA-je. Neni 28(4) i GDPR-së kërkon autorizim të qartë për nën-përpunuesit.
Pasojat e botës reale: AP ka sanksionuar organizatat për angazhimin e përpunuesve pa DPA të mjaftueshme. Edhe nëse vetë përpunuesi është në përputhje me rregulloret, kontrolluesi prapëseprapë mund të gjobitet për moslidhjen e një marrëveshjeje të duhur.
Marrja praktike: Përdorni një model të standardizuar të DPA-së që mbulon të gjitha kërkesat e Nenit 28(3). Rishikoni marrëveshjet ekzistuese për t'u siguruar që ato janë në përputhje me GDPR-në. Mos pranoni asnjë përpunues të ri pa një DPA të nënshkruar.
4. Transferimi i paligjshëm në vendet e treta jashtë EEA (Nenet 44–49 GDPR & Schrems II)
Rreziku: Transferimi i të dhënave personale jashtë Zonës Ekonomike Evropiane (EEA) është shumë i kufizuar. Ju mund ta bëni këtë vetëm nëse vendi i destinacionit ofron një nivel të mjaftueshëm mbrojtjeje - ose nëse zbatoni masa mbrojtëse të përshtatshme.
Pse kompanitë gabojnë: Shumë biznese përdorin shërbime cloud, përpunues pagesash ose mjete analitike të vendosura në SHBA ose Azi pa e kuptuar se ato po aktivizojnë rregulla ndërkombëtare transferimi. Edhe nëse kontrata juaj është me një entitet të BE-së, nëse të dhënat ruhen ose aksesohen jashtë EEA-së, zbatohen rregullat e transferimit.
La Schrems II Vendimi (Rasti C-311/18) e shfuqizoi Mburojën e Privatësisë BE-SHBA dhe përforcoi se klauzolat standarde kontraktuale (KKP) vetëm nuk janë të mjaftueshme. Ju gjithashtu duhet të kryeni një vlerësim të ndikimit të transferimit (VND) për të vlerësuar nëse ligjet e vendit të destinacionit dëmtojnë mbrojtjen e garantuar nga KKP-të.
Baza Ligjore: Nenet 44–49 të GDPR-së rregullojnë transferimet ndërkombëtare. Kapitulli V i GDPR-së kërkon vendime për mjaftueshmërinë (Neni 45) ose masa mbrojtëse të përshtatshme (Neni 46), siç janë KDK-të.
Pasojat e botës reale: AP mund t'ju urdhërojë të pezulloni ose ndaloni transferimet e të dhënave në vendet e treta nëse nuk janë vendosur masa mbrojtëse të mjaftueshme. Kompanitë janë përballur me veprime zbatuese dhe dëmtim të reputacionit për transferimin e të dhënave në SHBA pa kryer një TIA pas-Schrems II.
Marrja praktike: Identifikoni të gjitha transferimet e vendeve të treta në rrjedhat tuaja të të dhënave. Kontrolloni nëse ekziston një vendim për mjaftueshmërinë. Nëse jo, zbatoni SCC-të dhe kryeni një TIA. Dokumentoni masat plotësuese nëse është e nevojshme (p.sh., enkriptimi, pseudonimizimi).
5. Moskryerja e një Vlerësimi të Ndikimit në Mbrojtjen e të Dhënave (Neni 35 i GDPR-së)
Rreziku: Një Vlerësim i Ndikimit në Mbrojtjen e të Dhënave (DPIA) është i detyrueshëm kur ndarja e të dhënave ka të ngjarë të rezultojë në një rrezik të lartë për të drejtat dhe liritë e individëve. Kjo përfshin përpunimin në shkallë të gjerë të kategorive të veçanta të të dhënave, monitorimin sistematik ose përdorimin e teknologjive të reja.
Pse kompanitë gabojnë: Shumë organizata i trajtojnë DPIA-të si opsionale ose të rëndësishme vetëm për projekte "të mëdha". Në realitet, ndarja e të dhënave shëndetësore me një platformë analitike të palës së tretë, vendosja e mjeteve të profilizimit të drejtuara nga inteligjenca artificiale ose kombinimi i grupeve të të dhënave nga burime të shumta mund të shkaktojnë kërkesën e DPIA-së.
Një DPIA nuk është thjesht një ushtrim plotësimi kutish. Është një proces i strukturuar për të identifikuar rreziqet, për të vlerësuar ashpërsinë e tyre dhe për të përcaktuar masat për t'i zbutur ato. Nëse rreziqet e mbetura mbeten të larta, duhet të konsultoheni me AP-në përpara se të vazhdoni.
Baza Ligjore: Neni 35 i GDPR-së përcakton DPIA-në për përpunime me risk të lartë. AP-ja ka publikuar udhëzime se kur kërkohet një DPIA.
Pasojat e botës reale: Moskryerja e një DPIA-je kur kërkohet është në vetvete një shkelje e GDPR-së. AP ka gjobitur organizatat për vazhdimin e ndarjes së të dhënave me rrezik të lartë pa përfunduar një DPIA, edhe kur nuk ka ndodhur ndonjë shkelje e vërtetë e të dhënave.
Marrja praktike: Shqyrtoni të gjitha aktivitetet e ndarjes së të dhënave për shkaktarë të DPIA-s. Kur keni dyshime, kryeni një të tillë. Përfshini Zyrtarin tuaj të Mbrojtjes së të Dhënave (DPO) dhe dokumentoni procesin e vlerësimit plotësisht.
6. Informacion i pamjaftueshëm për subjektet e të dhënave (Nenet 13 dhe 14 të GDPR-së)
Rreziku: Transparenca është një gur themeli i GDPR-së. Sa herë që mbledhni ose ndani të dhëna personale, duhet t'i informoni subjektet e të dhënave se kush do t'i marrë të dhënat e tyre, për çfarë qëllimi dhe mbi çfarë baze ligjore.
Pse kompanitë gabojnë: Njoftimet e privatësisë shpesh janë të paqarta ose të vjetruara. Fraza të tilla si "ne mund të ndajmë të dhënat tuaja me partnerë të besuar" nuk mjaftojnë. Ju duhet të specifikoni kategoritë e marrësve (p.sh., "ofrues të strehimit në cloud", "agjenci marketingu") dhe, kur është e nevojshme, t'i emërtoni ata.
Kur të dhënat merren në mënyrë indirekte — për shembull, nga një ndërmjetës të dhënash ose një kontrollues tjetër — Neni 14 i GDPR-së vendos detyrime shtesë për informacion, duke përfshirë burimin e të dhënave.
Baza Ligjore: Nenet 13 dhe 14 të GDPR-së rendisin informacionin që duhet t'u ofrohet subjekteve të të dhënave. Neni 5(1)(a) i GDPR-së kërkon transparencë në të gjitha aktivitetet e përpunimit.
Pasojat e botës reale: AP ka sanksionuar kompanitë për mosinformimin e individëve se të dhënat e tyre po ndaheshin me palë të treta. Edhe nëse vetë ndarja ishte e ligjshme, transparenca e pamjaftueshme është një shkelje më vete.
Marrja praktike: Rishikoni dhe përditësoni njoftimet tuaja të privatësisë për të përshkruar qartë praktikat e ndarjes së të dhënave. Sigurohuni që njoftimet të jenë lehtësisht të arritshme dhe të shkruara në gjuhë të thjeshtë. Kur ndani të dhëna me partnerë të rinj, përditësoni njoftimet tuaja përpara se të fillojë ndarja.
7. Pseudonimizimi si një ndjenjë e rreme sigurie
Rreziku: Pseudonimizimi - zëvendësimi i identifikuesve të drejtpërdrejtë me kode ose tokena - inkurajohet sipas GDPR-së si një masë sigurie. Por kjo nuk i bën të dhënat anonime. Nëse të dhënat ende mund të lidhen përsëri me një individ, ato mbeten të dhëna personale dhe i nënshtrohen fushëveprimit të plotë të GDPR-së.
Pse kompanitë gabojnë: Bizneset shpesh supozojnë se të dhënat e pseudonimizuara janë "të sigurta" për t'u ndarë pa kufizime. Në praktikë, pseudonimizimi vetëm zvogëlon rrezikun; nuk e eliminon atë. Nëse ndani të dhëna të pseudonimizuara me një partner që ka qasje në çelës ose në grupe të tjera të të dhënave që mundësojnë riidentifikimin, ju ende po përpunoni të dhëna personale.
Baza Ligjore: Neni 4(5) i GDPR-së përcakton pseudonimizimin. Recitali 26 i GDPR-së sqaron se të dhënat e pseudonimizuara mbeten të dhëna personale përveç nëse janë vërtet të anonimizuara (domethënë, riidentifikimi nuk është më i mundur me asnjë mjet të arsyeshëm).
Pasojat e botës reale: AP ka sqaruar në udhëzime se pseudonimizimi nuk është një kartë "daljeje nga burgu pa pagesë". Nëse riidentifikimi është i realizueshëm, zbatohen të gjitha detyrimet e GDPR-së, duke përfshirë pasjen e një baze ligjore, kryerjen e DPIA-s dhe sigurimin e sigurisë së mjaftueshme.
Marrja praktike: Trajtojini të dhënat e pseudonimizuara si të dhëna personale, përveç nëse i jeni nënshtruar një procesi rigoroz anonimizimi të validuar nga ekspertët. Dokumentoni masat teknike dhe organizative në fuqi për të parandaluar riidentifikimin.
Pyetjet e bëra më shpesh
Kur lejohet ndarja e të dhënave sipas GDPR-së?
Ndarja e të dhënave është e ligjshme vetëm nëse keni një bazë të vlefshme ligjore sipas Nenit 6 të GDPR-së. Gjashtë bazat ligjore janë: pëlqimi, domosdoshmëria kontraktuale, detyrimi ligjor, interesat jetësore, detyra publike dhe interesat legjitime. Ju gjithashtu duhet të përmbushni parimet e ligjshmërisë, drejtësisë, transparencës, kufizimit të qëllimit, minimizimit të të dhënave, saktësisë, kufizimit të ruajtjes, integritetit dhe konfidencialitetit (Neni 5 i GDPR-së). Në praktikë, kjo do të thotë dokumentimi i qartë i arsyes pse po ndani të dhëna, sigurimi që qëllimi përputhet me arsyen pse i keni mbledhur ato fillimisht dhe informimi i subjekteve të të dhënave në lidhje me ndarjen.
Cili është ndryshimi midis një kontrolluesi dhe një procesori?
A kontrollues përcakton qëllimet dhe mjetet e përpunimit të të dhënave personale. A procesor përpunon të dhëna në emër të kontrolluesit sipas udhëzimeve specifike. Ky dallim ka rëndësi sepse kontrolluesit janë kryesisht përgjegjës për pajtueshmërinë me GDPR-në, ndërsa përpunuesit kanë detyrime më të kufizuara (kryesisht duke siguruar sigurinë dhe konfidencialitetin). Nëse po ndani të dhëna me një furnizues i cili i përpunon ato sipas udhëzimeve tuaja - për shembull, një ofrues pagash ose shërbim ruajtjeje në cloud - ata zakonisht janë një përpunues. Nëse ata vendosin gjithashtu se si t'i përdorin të dhënat për qëllimet e tyre, ata mund të jenë një kontrollues (i përbashkët). Identifikimi i gabuar i roleve mund të çojë në boshllëqe në llogaridhënie dhe përgjegjësi të përbashkët për shkeljet.
Kur është e detyrueshme një marrëveshje për përpunimin e të dhënave (DPA)?
Një DPA është e detyrueshme sa herë që angazhoni një përpunues për të trajtuar të dhëna personale në emrin tuaj (Neni 28 i GDPR-së). Kjo vlen pavarësisht nga madhësia e organizatës suaj ose vëllimi i të dhënave të përfshira. DPA duhet të jetë me shkrim dhe të përfshijë klauzola specifike të detyrueshme, të tilla si lënda dhe kohëzgjatja e përpunimit, natyra dhe qëllimi, llojet e të dhënave dhe kategoritë e subjekteve të të dhënave, si dhe detyrimet e të dyja palëve në lidhje me sigurinë, njoftimin e shkeljeve dhe nën-përpunimin. Pa një DPA në përputhje me rregullat, ju jeni në shkelje që nga momenti që përpunuesi fillon përpunimin, edhe nëse nuk ndodh ndonjë dëm.
A mund t’i ndaj të dhënat e klientëve me një palë jashtë BE-së?
Po, por vetëm nëse përmbushen kushte të rrepta. Sipas neneve 44–49 të GDPR-së, ju mund të transferoni të dhëna në një vend të tretë nëse: (a) Komisioni Evropian ka lëshuar një vendim mjaftueshmërie për atë vend, ose (b) keni vendosur masa mbrojtëse të përshtatshme, të tilla si klauzolat standarde kontraktuale (KKK). Pas Schrems II Në bazë të vendimit gjyqësor, duhet të kryeni edhe një vlerësim të ndikimit të transferimit (VNT) për të vlerësuar nëse ligjet e vendit të destinacionit (p.sh., mbikëqyrja qeveritare) dëmtojnë mbrojtjen e garantuar nga SCC-të. Nëse rreziqet mbeten, duhet të zbatoni masa plotësuese, të tilla si enkriptimi ose minimizimi i të dhënave. Transferimet pa mbrojtje të mjaftueshme mund të rezultojnë në veprime zbatuese nga AP-ja, duke përfshirë pezullimin e transferimit.
Kur kërkohet një DPIA për ndarjen e të dhënave?
Një DPIA është e detyrueshme sipas Nenit 35 të GDPR-së kur përpunimi ka të ngjarë të rezultojë në një rrezik të lartë për të drejtat dhe liritë e individëve. Kjo përfshin: përpunimin në shkallë të gjerë të kategorive të veçanta të të dhënave (p.sh., të dhënat shëndetësore, biometrike, gjenetike), monitorimin sistematik të zonave të aksesueshme publikisht, vendimmarrjen e automatizuar me efekte ligjore ose të ngjashme të rëndësishme, dhe përdorimin e teknologjive të reja. Kur ndani të dhëna, një DPIA shpesh kërkohet nëse kombinoni grupe të dhënash, ndani informacione të ndjeshme ose përdorni të dhënat për profilizim ose analiza të drejtuara nga inteligjenca artificiale. AP ka publikuar një listë të operacioneve të përpunimit që kërkojnë një DPIA. Nëse keni dyshime, kryeni një - është më mirë të jeni të sigurt sesa të pendoheni.
Me çfarë gjoba mund të përballen kompanitë për shkelje të GDPR-së?
GDPR parashikon dy nivele gjobash. Niveli më i ulët - deri në 10 milionë euro ose 2% e xhiros vjetore globale - zbatohet për shkelje të tilla si moszbatimi i masave të duhura të sigurisë ose moskryerja e një DPIA kur kërkohet. Niveli më i lartë - deri në 20 milionë euro ose 4% e xhiros vjetore globale - zbatohet për shkelje më serioze, duke përfshirë mungesën e një baze ligjore për përpunim, transferime të paligjshme ndërkombëtare ose shkelje të të drejtave të subjekteve të të dhënave. AP përcakton shumën e gjobës bazuar në faktorë duke përfshirë natyrën dhe ashpërsinë e shkeljes, nëse ishte e qëllimshme apo neglizhente, numrin e individëve të prekur dhe çdo veprim lehtësues të ndërmarrë. Zbatimi i kohëve të fundit tregon se AP është i gatshëm të vendosë gjoba të konsiderueshme, veçanërisht për shkelje sistemike ose të qëllimshme.
A janë të dhënat e pseudonimizuara gjithmonë të sigurta për t'u ndarë?
Jo. Pseudonimizimi zvogëlon rrezikun, por nuk e eliminon atë. Sipas Nenit 4(5) të GDPR-së, pseudonimizimi do të thotë zëvendësimi i identifikuesve të drejtpërdrejtë (si emrat) me kode ose pseudonime. Megjithatë, nëse të dhënat ende mund të lidhen me një individ - për shembull, duke përdorur informacion shtesë të mbajtur nga ju ose marrësi - ato mbeten të dhëna personale dhe i nënshtrohen plotësisht GDPR-së. Kjo do të thotë që ju ende keni nevojë për një bazë ligjore, duhet të informoni subjektet e të dhënave dhe duhet të siguroni siguri të mjaftueshme. Vetëm anonimizimi i vërtetë - kur riidentifikimi nuk është më i mundur me ndonjë mjet të arsyeshëm - i heq të dhënat nga fushëveprimi i GDPR-së. Në praktikë, arritja e anonimizimit të vërtetë është e vështirë dhe kërkon validim nga ekspertët.
Çfarë duhet të bëj nëse biznesi im ka një shkelje të të dhënave për shkak të ndarjes së paligjshme të të dhënave?
Nëse zbuloni një shkelje të të dhënave personale - përfshirë një të shkaktuar nga ndarja e paligjshme e të dhënave - ju duhet orë 72 të njoftoni AP-në sipas Nenit 33 të GDPR-së (përveç nëse shkelja nuk ka gjasa të rezultojë në rrezik për të drejtat dhe liritë e individëve). Ju gjithashtu duhet të njoftoni individët e prekur pa vonesë të panevojshme nëse shkelja ka të ngjarë të rezultojë në një rrezik të lartë për ta (Neni 34 i GDPR-së). Hapat e menjëhershëm përfshijnë: përmbajtjen e shkeljes, vlerësimin e fushëveprimit dhe ndikimit të saj, dokumentimin e asaj që ka ndodhur dhe atë që po bëni në lidhje me të, dhe njoftimin e AP-së përmes portalit të tyre online. Mosnjoftimi mund të rezultojë në një gjobë të veçantë. AP-ja do të vlerësojë nëse veprimet zbatuese janë të justifikuara bazuar në ashpërsinë e shkeljes dhe përgjigjen tuaj.
Mbroni biznesin tuaj—Merrni udhëzime ligjore nga ekspertët
Ndarja e të dhënave është e pashmangshme, por shkeljet e GDPR-së nuk duhet të jenë domosdoshmërisht të tilla. Shtatë rreziqet e përshkruara më sipër nuk janë teorike - ato nxirren nga raste reale të zbatimit të ligjit, vendime gjyqësore dhe udhëzime rregullatore. Secili prej tyre mund të rezultojë në gjoba, pretendime për përgjegjësi dhe dëmtim të reputacionit.
Lajmi i mirë? Me kuadrin e duhur ligjor, dokumentacionin e qartë dhe masat proaktive të pajtueshmërisë, ju mund të ndani të dhëna me besim dhe ligjërisht. Por, për ta bërë siç duhet, kërkohet më shumë sesa këshilla të përgjithshme - kërkohet mbështetje ligjore e përshtatur që e kupton biznesin tuaj, rrjedhën e të dhënave tuaja dhe rreziqet specifike me të cilat përballeni.
Mos prisni që AP të trokasë në derë. Nëse nuk jeni të sigurt nëse praktikat tuaja të ndarjes së të dhënave janë në përputhje me GDPR-në, ose nëse keni nevojë për ndihmë në hartimin e DPA-ve, kryerjen e DPIA-ve ose menaxhimin e transfertave ndërkombëtare, kontaktoni një avokat specialist për privatësinë. Biznesi juaj - dhe klientët tuaj - nuk meritojnë asgjë më pak.
