Nëse biznesi juaj trajton të dhëna personale të klientëve në BE - edhe nëse jeni me bazë në Shqipëri - detyrimet e GDPR-së mund të zbatohen për ju. Kjo befason shumë pronarë biznesesh, që mendojnë se është thjesht një rregullore e brendshme e BE-së. Në praktikë, dyqanet e-commerce, produktet SaaS, dhe bizneset e shërbimit me klientë evropianë shpesh bien nën të.
GDPR s'është kryesisht një ligj teknologjik, por Neni 32 kërkon shprehimisht 'masa teknike dhe organizative të përshtatshme' për të mbrojtur të dhënat personale - që do të thotë enkriptim, kontroll aksesi, testim i rregullt i masave tuaja të sigurisë, dhe aftësi për të zbuluar dhe raportuar një shkelje brenda 72 orësh. Me fjalë të tjera, përputhshmëria dhe siguria kibernetike s'janë projekte të veçanta; një shkelje serioze e të dhënave shpesh është njëkohësisht edhe shkelje e GDPR-së.
Në praktikë, kjo nënkupton disa gjëra konkrete për shumicën e bizneseve: të dini saktësisht çfarë të dhënash personale mbledhni dhe ku ruhen, të kufizoni aksesin vetëm te njerëzit që kanë vërtet nevojë, të enkriptoni të dhënat e ndjeshme si gjatë ruajtjes ashtu edhe gjatë transmetimit, dhe të keni një plan të dokumentuar përgjigjeje ndaj incidenteve gati përpara se t'ju duhet - jo të shkruar në panik pas një shkeljeje.
Kjo nënkupton edhe se furnitorët dhe përpunuesit tuaj kanë rëndësi. Nëse një shërbim i palës së tretë që përdorni pëson një shkelje që përfshin të dhëna për të cilat jeni përgjegjës, prapë mund të mbani përgjegjësi. Rishikimi i praktikave të sigurisë të mjeteve dhe furnitorëve nga të cilët varet biznesi juaj tani është pjesë e punës, jo një mendim shtesë.
Lajmi i mirë është që shumica e asaj që kërkon GDPR mbivendoset shumë me praktikat bazike të mira të sigurisë - të njëjtat auditime, kontrolle aksesi, dhe planifikim përgjigjeje ndaj incidenteve që mbrojnë biznesin tuaj nga sulmuesit ndihmojnë shumë edhe për përputhshmërinë. T'i trajtoni si një projekt të vetëm në vend të dy kursen edhe para edhe dhimbje koke.