GDPR یا مقررات عمومی حفاظت از داده چیست؟ و ارتباط آن با ISO/IEC27001 چیست؟
GDPR مخفف عبارت General Data Protection Regulation (مقررات عمومی حفاظت از داده) است که در 25 می 2018 در سراسر اتحادیه اروپا به اجرا درآمد.
این مقررات مجموعه ای از قوانین است که نحوه جمع آوری، استفاده و محافظت از داده های شخصی افراد توسط سازمان ها را در اتحادیه اروپا تنظیم می کند.
هدف GDPR اعطای کنترل بیشتر به افراد بر داده های شخصی خود و محافظت از آنها در برابر سوء استفاده است.
برخی از الزامات کلیدی GDPR عبارتند از:
رضایت: سازمان ها باید قبل از جمع آوری یا استفاده از داده های شخصی افراد، رضایت صریح و آگاهانه آنها را کسب کنند.
حق دسترسی: افراد حق دارند به داده های شخصی خود که توسط سازمان ها نگهداری می شود دسترسی داشته باشند و یک نسخه از آنها را دریافت کنند.
حق اصلاح: افراد حق دارند هرگونه اطلاعات نادرست یا ناقص در مورد داده های شخصی خود را اصلاح کنند.
حق فراموشی: افراد حق دارند از سازمان ها بخواهند که داده های شخصی آنها را در صورت عدم نیاز به آنها برای اهداف پردازش حذف کنند.
حق محدودیت پردازش: افراد حق دارند پردازش داده های شخصی خود را توسط سازمان ها محدود کنند.
حق انتقال داده ها: افراد حق دارند داده های شخصی خود را در قالب ساختاریافته، متداول و قابل خواندن توسط ماشین دریافت کنند و آنها را به یک کنترل کننده دیگر منتقل کنند.
امنیت داده ها: سازمان ها باید اقدامات امنیتی مناسب را برای محافظت از داده های شخصی در برابر دسترسی غیرمجاز، افشا، سوء استفاده، از دست دادن، آسیب و تخریب اتخاذ کنند.
GDPR برای سازمان هایی که در اتحادیه اروپا فعالیت می کنند یا داده های افراد در اتحادیه اروپا را پردازش می کنند، الزام آور است.
عدم رعایت GDPR می تواند منجر به جریمه های سنگینی تا 4٪ از گردش سالانه جهانی یک سازمان یا 20 میلیون یورو، هر کدام که بیشتر باشد، شود.
علاوه بر الزامات قانونی، GDPR مزایای متعددی برای سازمان ها نیز به ارمغان می آورد، از جمله:
اعتماد مشتری را افزایش می دهد: نشان دادن تعهد به GDPR می تواند به ایجاد اعتماد با مشتریان و شرکا کمک کند.
خطر نقض داده ها را کاهش می دهد: پیاده سازی کنترل های امنیتی مورد نیاز GDPR می تواند به کاهش خطر نقض داده ها کمک کند.
کارایی عملیاتی را بهبود می بخشد: یک فرآیند مدیریت داده های منظم و مطابق با GDPR می تواند به بهبود کارایی عملیاتی کمک کند.
ارزش برند را افزایش می دهد: به عنوان یک سازمان مسئولانه و متعهد به حریم خصوصی اطلاعات شناخته شدن، می تواند به افزایش ارزش برند کمک کند.
GDPR و ISO/IEC 27001 هر دو به دنبال ارتقای امنیت اطلاعات و حریم خصوصی داده ها هستند، اما با تمرکز و رویکردهای متفاوت:
GDPR:
تمرکز: بر حقوق افراد در مورد داده های شخصی آنها تمرکز دارد.
الزامات: الزامات خاص و الزام آور را برای نحوه جمع آوری، استفاده و محافظت از داده های شخصی توسط سازمان ها تعیین می کند.
اجرا: توسط مقامات نظارتی در هر کشور عضو اتحادیه اروپا اجرا می شود.
هدف: اعطای کنترل بیشتر به افراد بر داده های خود و محافظت از آنها در برابر سوء استفاده است.
ISO 27001:
تمرکز: بر ایجاد و حفظ یک سیستم مدیریت امنیت اطلاعات (ISMS) برای محافظت از همه اطلاعات یک سازمان تمرکز دارد.
الزامات: یک چارچوب کلی را برای مدیریت خطرات امنیتی اطلاعات ارائه می دهد.
اجرا: توسط یک نهاد صدور گواهینامه مستقل اجرا می شود.
هدف: کمک به سازمان ها برای کاهش خطر نقض داده ها و بهبود انطباق با مقررات است.
اگرچه GDPR و ISO 27001 اهداف متفاوتی دارند، اما همپوشانی قابل توجهی نیز دارند:
بسیاری از الزامات ISO 27001 با الزامات GDPR برای محافظت از داده های شخصی مرتبط است.
سازمان هایی که با ISO 27001 مطابقت دارند، احتمالاً در مسیر انطباق با GDPR نیز قرار دارند.
ISO 27001 می تواند به سازمان ها در پیاده سازی الزامات GDPR و دستیابی به انطباق کمک کند.
با این حال، مهم است که توجه داشته باشید که ISO 27001 تمام الزامات GDPR را پوشش نمی دهد.
سازمان ها برای اطمینان از انطباق کامل با GDPR، باید الزامات مقررات را به دقت بررسی کنند و اقدامات لازم را برای رفع هرگونه شکاف انجام دهند.
شرکت بین المللی مهندسی هیوا مجری و مشاور استانداردهای بین المللی ایزو در ایران است و الزامات استانداردISO/IEC27001 را در سازمانها و صنایع استقرار داده و تا پایان دریافت گواهینامه ایزو همراه شماست.
در اینجا چند نمونه از نحوه کمک ISO 27001 به سازمان ها در انطباق با GDPR آورده شده است:
مدیریت ریسک: ISO 27001 به سازمان ها کمک می کند تا خطرات امنیتی اطلاعات خود را شناسایی و ارزیابی کنند و کنترل هایی را برای کاهش این خطرات پیاده سازی کنند. این امر می تواند به کاهش خطر نقض داده ها که یکی از نگرانی های اصلی GDPR است کمک کند.
کنترل دسترسی: ISO 27001 به سازمان ها کمک می کند تا کنترل های دسترسی را برای اطمینان از اینکه فقط افراد مجاز می توانند به داده های شخصی دسترسی داشته باشند، پیاده سازی کنند. این امر با الزام GDPR برای محدود کردن پردازش داده های شخصی مطابقت دارد.
امنیت داده ها: ISO 27001 به سازمان ها کمک می کند تا اقدامات امنیتی فنی و سازمانی را برای محافظت از داده های شخصی در برابر دسترسی غیرمجاز، افشا، سوء استفاده، از دست دادن، آسیب و تخریب اتخاذ کنند. این امر با الزام GDPR برای محافظت از داده های شخصی مطابقت دارد.
مدیریت حادثه: ISO 27001 به سازمان ها کمک می کند تا فرآیندی برای مدیریت نقض داده ها و سایر حوادث امنیتی اطلاعات داشته باشند. این امر با الزام GDPR برای گزارش نقض داده ها به مقامات نظارتی و افراد ذینفع مطابقت دارد.
