POPI Act: Rozsah, účel a jak dosáhnout souladu
POPI Act, neboli POPIA, je jihoafrický zákon o ochraně dat. „Protection of Personal Information Act" je obdobou GDPR EU. Odpovídá na otázky, jak, proč a kdo ...
13 Australian Privacy Principles (APPs) je základním kamenem rámce ochrany soukromí v Austrálii podle Privacy Act 1988. Pokud jste australská organizace s ročním obratem více než 3 miliony AUD, měli byste věnovat zvláštní pozornost. Porušení Australian Privacy Principles může vést nejen k regulačnímu zásahu, ale od jara 2023 také k ještě vyšším maximálním pokutám.
V tomto článku prozkoumáme 13 Privacy Principles, jejich účel, nedávnou Privacy Act Review Report, soulad a sankce.
Co jsou Australian Privacy Principles?
Stejně jako každý komplexní předpis o ochraně dat, australský Privacy Act upravuje shromažďování, používání a zveřejňování osobních údajů.
13 Privacy Principles v rámci Privacy Act podporují transparentnost, spravedlnost a respekt k soukromí jednotlivců, přičemž organizacím poskytují flexibilitu přizpůsobit své postupy nakládání s informacemi potřebám svých obchodních modelů a lidí, kterým slouží. Jsou rovněž technologicky neutrální, což znamená, že se mohou přizpůsobit měnícím se technologiím. Nechte to na Austrálii, aby vytvořila uživatelsky přívětivý bezpečnostní předpis!
Stručně řečeno, APPs zahrnují tyto oblasti ochrany dat:
- Shromažďování, používání a zveřejňování osobních údajů: APPs stanoví standardy, jak mohou organizace shromažďovat, používat a sdílet osobní údaje. Zajišťuje, že jsou osobní údaje získávány spravedlivě a používány pro legitimní účely.
- Řízení organizací a agentur: Principy zdůrazňují důležitost odpovědnosti a odpovědné správy osobních údajů organizacemi.
- Integrita a oprava osobních údajů: Jednotlivci mají právo přistupovat ke svým osobním údajům a opravovat je, aby byla zajištěna jejich přesnost a úplnost.
- Práva na přístup k osobním údajům: Jednotlivci mají právo požadovat přístup k osobním údajům, které o nich organizace drží.
Níže se podíváme na každý ze 13 principů.
Účel Australian Privacy Principles
Hlavním cílem Australian Privacy Principles je najít harmonickou rovnováhu mezi ochranou osobních údajů a poskytnutím organizacím flexibility přizpůsobit své postupy nakládání s daty obchodním potřebám. Dosažením této rovnováhy se APP zaměřuje na dva klíčové aspekty:
Posílení postavení jednotlivců: APP poskytuje jednotlivcům kontrolu nad osobními údaji, které jsou sdíleny a zpracovávány organizacemi. Toto posílení postavení podporuje transparentnost a umožňuje jednotlivcům činit informovaná rozhodnutí o tom, jak jsou jejich data používána.
Vynucování odpovědnosti: Principy stanoví jasné povinnosti pro organizace, aby byly odpovědné za své činnosti zpracování dat. Stanovením standardů pro shromažďování, používání a zveřejňování dat APP zajišťuje, že podniky nakládají s osobními údaji odpovědně a eticky. To podporuje důvěru mezi organizacemi a jejich zákazníky.
APPs jsou navrženy spíše jako principiální než nadměrně předpisové, což organizacím umožňuje přizpůsobit své postupy nakládání s osobními údaji svým specifickým obchodním modelům. Tato flexibilita zajišťuje, že předpisy o ochraně soukromí dat mohou efektivně držet krok s měnícími se technologiemi a vyvíjejícími se obchodními prostředími a zároveň jsou snadnější k dodržení.
Rozsah: Pro koho Australian Privacy Principles platí?
APPs se vztahují jak na vládní, tak na soukromé organizace v Austrálii. Aby organizace spadala pod APPs, musí mít roční obrat 3 miliony AUD nebo více.
Kromě toho jsou APPs předmětem i některé další organizace, jako jsou poskytovatelé soukromých zdravotních služeb, agentury úvěrového hodnocení a jednotlivci nakládající s informacemi o daňových identifikačních číslech.
Existují však i určité výjimky z APPs. Například politické strany, registrované charity a určité záznamy zaměstnanců organizací mohou být vyňaty z některých ustanovení APPs.
Přehled 13 Australian Privacy Principles
Takže, jaká přesně jsou ta kouzelná pravidla, která chrání osobní údaje Austrálie? Pojďme se stručně podívat na každý ze 13 APPs:
APP 1: Otevřenost a transparentnost
Organizace musí mít jasné a přístupné zásady ochrany soukromí, které vysvětlují, jak spravují osobní údaje, včetně svých postupů nakládání s daty a jak mohou jednotlivci přistupovat ke svým informacím.
APP 2: Anonymita a pseudonymita
Kdykoli je to možné, organizace by měly jednotlivcům nabídnout možnost interagovat anonymně nebo pomocí pseudonymu.
APP 3: Shromažďování vyžádaných osobních údajů
U necitlivých informací je shromažďování povoleno, pokud je rozumně nezbytné pro funkce organizace. Citlivé informace lze shromažďovat pouze tehdy, pokud s tím jednotlivec výslovně souhlasí.
APP 4: Nevyžádané osobní údaje
Pokud nejsou informace shromažďovány podle APP 3, musí být okamžitě zničeny nebo de-identifikovány, pokud je to rozumné. V opačném případě mohou být uchovány a spravovány podle jiných APPs.
APP 5: Oznámení o sběru dat
Organizace musí informovat jednotlivce o identitě organizace a účelu sběru dat. Toto musí být provedeno před nebo v době sběru, nebo co nejdříve poté, pokud to není v daném okamžiku možné.
APP 6: Použití a zveřejnění
Osobní údaje by měly být použity nebo zveřejněny pouze pro účely, pro které byly shromážděny, pokud neplatí výjimka nebo pokud jednotlivec nesouhlasí s jiným použitím nebo zveřejněním.
APP 7: Přímý marketing
Organizace jsou povinny získat souhlas jednotlivce před použitím jeho osobních údajů pro účely přímého marketingu.
APP 8: Přeshraniční zveřejnění
Před zveřejněním osobních údajů zahraničnímu příjemci musí organizace zajistit, aby příjemce dodržoval podobné standardy ochrany soukromí, nebo získat souhlas jednotlivce.
APP 9: Vládní identifikátory
Organizace by neměly přijímat vládní identifikátory (jako jsou daňová identifikační čísla) jako své vlastní identifikační systémy.
APP 10: Kvalita a zabezpečení dat
Organizace musí přijmout přiměřená opatření, aby zajistily, že osobní údaje, které shromažďují, jsou přesné, aktuální a bezpečně chráněné před neoprávněným přístupem, zneužitím nebo ztrátou.
APP 11: Přístup k osobním údajům
Jednotlivci mají právo přistupovat k osobním údajům, které o nich organizace drží, s výhradou určitých výjimek.
APP 12: Oprava osobních údajů
Pokud jsou osobní údaje jednotlivce nepřesné, neúplné nebo zastaralé, organizace musí přijmout přiměřená opatření k jejich opravě na požádání.
APP 13: Uchovávání dat
Osobní údaje by neměly být uchovávány déle, než je nezbytné pro účel, pro který byly shromážděny, pokud zákon nevyžaduje uchovávání nebo pokud jednotlivec nesouhlasí s prodlouženým uchováváním.
Privacy Act Review Report
Privacy Act Review Report, vydaná generálním prokurátorem v únoru 2023, představuje 116 návrhů zaměřených na revitalizaci Privacy Act 1988. Za tuto revizi vděčí digitální éře.
Mezi těmito návrhy je několik pozoruhodných:
- Statutární delikt soukromí. Zpráva navrhuje zavedení statutárního deliktu (právního práva), který se zabývá závažnými narušeními soukromí, i když nedojde ke skutečné škodě. Jednotlivci by mohli požadovat náhradu škody za citové utrpení a Office of the Australian Information Commissioner (OAIC) by mohl mít povoleno zasahovat do řízení.
- Přísnější lhůty pro hlášení úniků dat. Organizace budou muset hlásit úniky dat OAIC do 72 hodin od jejich zjištění a co nejdříve uvědomit postižené jednotlivce. To je významná změna oproti současné 30denní lhůtě a také to vyžaduje, aby organizace poskytly podrobné informace o své reakci na únik.
- Změna definice souhlasu. Návrh objasňuje, že souhlas musí být dobrovolný, informovaný, aktuální, specifický a jednoznačný. OAIC může nabídnout pokyny, jak by online služby měly žádat o souhlas, což by mohlo vést k případným redesignům UX.
- Regulace cílené reklamy. Zpráva navrhuje zákazy používání informací jednotlivců, včetně osobních, de-identifikovaných a neidentifikovaných dat (jako je historie sledování na internetu), pro cílenou reklamu, zejména pokud jde o děti. Jednotlivci by měli právo se odhlásit.
- Povinná posouzení dopadů na soukromí (PIA) jsou navrhována pro činnosti s vysokým rizikem pro soukromí. PIA budou hodnotit potenciální dopady na soukromí a způsoby, jak tyto dopady zmírnit.
Privacy Act Review Report rovněž navrhuje posílit vymáhání zavedením nových občanských sankcí a rozšířením pravomocí OAIC. Zejména maximální sankce za závažné nebo opakované zásahy do soukromí byly zvýšeny, s potenciálem dosáhnout sankcí až 50 milionů AUD nebo více. Jedná se o krok, který má zvýšit odpovědnost a zajistit, aby organizace braly ochranu soukromí vážně.
Australian Privacy Principles: Jak dosáhnout souladu
Pokud jste zjistili, že vaše organizace spadá do oblasti působnosti APP, zvažte tyto kroky k zajištění souladu:
- Vyvinout jasné zásady ochrany soukromí, vysvětlující praktiky nakládání s daty zákazníkům.
- Implementovat opatření k detekci a zmírnění interních hrozeb , které by mohly vést k únikům dat nebo neoprávněnému přístupu k datům. Zvažte nebezpečí, jako jsou phishingové kampaně a rizika spojená se vzdálenými zaměstnanci.
- Získat informovaný a konkrétní souhlas se sběrem dat, zejména pro citlivé informace.
- Vhodně nakládat s nevyžádanými osobními údaji, buď je zničit, nebo je v případě potřeby de-identifikovat.
- Implementovat robustní bezpečnostní opatření k ochraně dat před úniky a neoprávněným přístupem. Software pro ochranu před úniky dat, jako je Safetica, je jedním ze způsobů, jak to usnadnit.
- Provádět posouzení dopadů na soukromí pro vysoce rizikové činnosti.
- Poskytovat oznámení o ochraně soukromí k informování jednotlivců o sběru dat.
- Reagovat rychle na úniky dat, informovat postižené strany a OAIC.
- Školit zaměstnance v ochraně dat a postupech ochrany soukromí.
- Jmenovat pověřence pro ochranu soukromí, který bude dohlížet na soulad a otázky ochrany dat.
Dodržováním těchto kroků a pravidelnou kontrolou postupů ochrany soukromí můžete zlepšit soulad vaší organizace s APPs a budovat důvěru se svými zákazníky. Pokud se vám to zdá zdrcující na samostatné řešení, zvažte využití funkcí softwaru pro prevenci úniku dat. Což nás vede k...
Jak DLP řešení Safetica mohou pomoci se souladem s APP
Mít zkušeného partnera vám může poskytnout klid. Použití robustního DLP řešení usnadní, zefektivní a zkrátí čas na řešení ochrany před úniky dat. Safetica má nástroje pro šifrování dat, kontrolu přístupu a monitorování pohybu dat, aby zabránila neoprávněnému přístupu k citlivým informacím. Konkrétněji:
- Organizace mohou efektivně chránit citlivé informace pomocí šifrování dat a kontroly přístupu.
- Monitorování dat a výstrahy v reálném čase pomáhají při detekci potenciálních úniků dat a rychlé reakci na incidenty.
- Posouzení dopadů na soukromí lze provádět efektivně s funkcemi monitorování a analýzy dat Safetica.
- Podpora školení zaměstnanců Safetica pomáhá zvyšovat povědomí o ochraně dat a osvědčených postupech ochrany soukromí.
- Funkce detekce interních hrozeb pomáhají identifikovat a předcházet potenciálním interním rizikům.
S DLP řešeními Safetica mohou organizace zlepšit zabezpečení svých dat, zmírnit rizika ochrany soukromí, udržovat soulad s APPs a chránit soukromí osobních údajů jednotlivců.