След шест години подготовка, когато на 25 май 2018 г. Общият регламент за защита на данните на ЕС влезе в сила, един от акцентите падна върху големите санкции при несъответствие, заложени в него. Максималната санкция се счита за много голяма - 4% от глобалните годишни приходи на организацията.
Някои компании обаче сякаш не вярват, че ЕС и контролните органи на държавите членки ще могат да събират подобни суми, след като регламентът започне да се прилага на практика, което ще се случи със сигурност в даден момент.
По тази или по други причини повече от един на всеки десет (11,7%) от 490 участници в допитване на Deloitte в края на юни заявяват, че техните компании приемат подхода "изчакай и виж", преди да се пригодят към правилата на GDPR. "Много хора си казаха: „4%? Това никога няма да се случи“. Тогава какъв е логичният процент – 1, 2, 3. Глобите още ще се коментират", смята Рич Вестуто, изпълнителен директор на Deloitte Risk and Financial Advisory.
Освен това, 21,2% от анкетираните заявяват, че "не знаят" или "не могат да преценят" в отговор на въпрос за съответствие с регламента. Само около една трета (34,5%) от респондентите са категорични, че отговарят на изискванията. Малко по-малко - 32,7% - са на мнение, че това ще се случи до края на годината. „Освен финансовите санкции, при неизпълнение на регламента компаниите рискуват и загуба на репутация”, отбелязва Вестуто и добавя, че изоставащите може да не се справят с мащаба на задачата.
GDPR има за цел да осигури защита на личните данни и личния живот на потребителите в Европейския съюз и в Европейското икономическо пространство. Той налага на организациите дълъг списък от правила за защита на данните и неприкосновеността на личния живот на клиенти и служители. Също така организациите са отговорни и за неспазването от трети страни, които имат достъп до данни на служителите или клиентите им.
Според онлайн проучване на Deloitte едва 13,6% от компаниите "в момента знаят какви данни имат трети страни". „Това твърдение влиза в конфликт с факта, че много по-голяма част от участниците са заявили, че могат да докажат съответствие като цяло“, посочва Вестуто.
По-конкретно, регламентът изисква от компаниите да предоставят на лицата, които ги поискат, информация за това какви лични данни дружеството притежава и за какво ги използва.
„Дори компаниите, които нямат операции в Европа, могат да бъдат изложени на риск. Например, ако една компания се занимава с бизнес с граждани на държави от ЕС и не успее да защити данните си правилно, ЕС твърди, че може да ѝ наложи глоба", отбелязва Вестуто.
Разбира се, подобно умишлено несъответствие е чисто безумие, тъй като регламентът на ЕС е само началото на вълна от подобни законодателни актове.
Калифорния вече е одобри регламент, планиран да влезе в сила на 1 януари 2020 г., "който е толкова строг, колкото и GDPR", казва Вестуто. Австралия, Канада и Нова Зеландия се очаква да последват този пример.
Междувременно правилата за поверителност на данните в Европа могат да поставят мултинационалните компании в неудобно положение по отношение на съдебните спорове. Като част от процеса на електронно издирване, съдилищата в САЩ обикновено изискват от страните по спора да предават имейли, които могат да са от значение за случая.
"Тук, в САЩ, данните на лаптопа, даден ми от Deloitte, са собственост на компанията", посочва Вестуто и добавя:
"Но в рамките на ЕС има очакване за поверителност, дори когато сте на служебния си компютър или сървър за електронна поща. Американски съд няма да се интересува, че някои нужни за дадено дело имейли идват от Италия. Ще ви заповяда да ги предадете. А италиански съд ще каже "не", не можете да използвате тези имейли, защото съдържат лични данни." Това е така, тъй като информацията, която обикновено се съдържа в електронна поща, като имейл адрес, телефонен номер и служебна позиция, се считат за лична информация в повечето европейски държави. Между ЕС и САЩ съществува конфликт по тези теми отдавна, но GDPR го засилва още повече", казва Вестуто.
