GDPR-samsvarserklæring

 

Introduksjon

De EUs generelle personvernforordning («GDPR») trer i kraft i hele EU 25. ^th mai 2018 og bringer med seg de viktigste endringene i personvernlovgivningen på to tiår. Basert på innbygd personvern og en risikobasert tilnærming, er GDPR utformet for å møte kravene i den digitale tidsalderen.

Det 21 ^st Det 21. århundre bringer med seg bredere bruk av teknologi, nye definisjoner av hva som utgjør personopplysninger og en betydelig økning i grenseoverskridende behandling. Den nye forordningen har som mål å standardisere personvernlover og -behandling i hele EU. gi enkeltpersoner sterkere og mer ensartede rettigheter til å få tilgang til og kontrollere sin personlige informasjon.

Vår forpliktelse

FEC Consulting («vi» eller «oss» eller «vår») er forpliktet til å sikre sikkerheten og beskyttelsen av personopplysningene vi behandler, og til å tilby en kompatibel og konsekvent tilnærming til databeskyttelse. Vi har alltid hatt et robust og effektivt databeskyttelsesprogram som er i samsvar med gjeldende lov og følger prinsippene for databeskyttelse. Vi erkjenner imidlertid vår forpliktelse til å oppdatere og utvide dette programmet for å oppfylle kravene i GDPR og danske, franske, polske, tyske, portugisiske og italienske personvernlover.

FEC Consulting er dedikert til å beskytte personopplysninger under vårt mandat og til å utvikle et databeskyttelsessystem som er effektivt, egnet for formålet og viser forståelse og verdsettelse av den nye forskriften. Våre forberedelser og mål for samsvar med GDPR er oppsummert i denne erklæringen og inkluderer utvikling og implementering av nye roller, retningslinjer, prosedyrer, kontroller og tiltak for datasikkerhet for å sikre maksimal og kontinuerlig samsvar.

Slik forbereder vi oss på GDPR

FEC Consulting har Vi har allerede et konsistent nivå av databeskyttelse og -sikkerhet i hele organisasjonen vår, men målet vårt er å være fullt kompatibel med GDPR innen utgangen av året 25. mai 2018 . Våre forberedelser inkluderer: -

• Informasjonsrevisjon - gjennomføre en forretningsorientert informasjonsrevisjon for å identifisere og vurdere hvilke personopplysninger vi har, hvor de kommer fra, hvordan og hvorfor de behandles, og om og til hvem de utleveres.
• Retningslinjer og prosedyrer - implementering av nye Retningslinjer og prosedyrer for databeskyttelse for å oppfylle kravene og standardene i GDPR og relevante personvernlover, inkludert: -
  • Databeskyttelse – Vårt hovedregister for personvernregler og prosedyrer er revidert for å overholde GDPR-standarder og -krav. Ansvarlighet og styringsansvar er på plass for å sikre at vi forstår og kommuniserer og dokumenterer våre forpliktelser og ansvar på en tilstrekkelig måte; med et dedikert fokus på innbygd personvern og enkeltpersoners rettigheter.
  • Datalagring og sletting – Vi har oppdatert våre retningslinjer og planer for oppbevaring for å sikre at vi oppfyller prinsippene «dataminimering» og «lagringsbegrensning» , og at personopplysninger lagres, arkiveres og destrueres på en samsvarende og etisk korrekt måte. Vi har egne slettingsprosedyrer på plass for å imøtekomme de nye "Rett til sletting" forpliktelse og er klar over når denne og andre rettigheter som den registrerte har gjelder. sammen med eventuelle unntak, pu og varslingsansvar.
  • Dataforbrenning – våre prosedyrer for brudd på personopplysninger sikrer at vi har sikkerhetstiltak og tiltak på plass for å identifisere, vurdere, etterforske og rapportere brudd på personopplysninger så raskt som mulig. Våre prosedyrer er robuste og har blitt kommunisert til alle ansatte, slik at de er klar over rapporteringslinjene og trinnene som skal følges.
  • Internasjonale dataoverføringer og tredjepartsinformasjon - hvor FEC Consulting lagre eller overføre personopplysninger utenfor EU, har vi robuste prosedyrer og sikkerhetstiltak på plass for å sikre, kryptere og vedlikeholde dataene integritet. Våre prosedyrer inkluderer en kontinuerlig gjennomgang av land med tilstrekkelige tilstrekkelighetsvedtak, samt bestemmelser for bindende selskapsregler; standard databeskyttelsesklausuler eller godkjente atferdsregler for disse landene uten. Vi utfører grundige aktsomhetskontroller med alle mottakere av personopplysninger for å vurdere og bekrefte at de har tilstrekkelige sikkerhetstiltak på plass for å beskytte informasjonen, sikre håndhevbare rettigheter for den registrerte og ha effektive rettsmidler for de registrerte der det er aktuelt.
  • Forespørsel om innsyn (SAR) – Vi har revidert våre SAR-prosedyrer for å imøtekomme den reviderte 30-dagers tidsrammen for å gi den forespurte informasjonen, og for å gjøre denne leveringen gratis. Våre nye prosedyrer beskriver hvordan man verifiserer den registrerte, hvilke skritt som må tas for å behandle en innsynsforespørsel, hvilke unntak som gjelder, og en rekke svarmaler for å sikre at kommunikasjonen med de registrerte er i samsvar med regelverket, konsekvent og passende.
• Rettslig grunnlag for behandling – Vi gjennomgår alle behandlingsaktiviteter for å identifisere det juridiske grunnlaget for behandlingen og sørger for at hvert grunnlag er passende for aktiviteten det gjelder. Der det er aktuelt, fører vi også registre over våre behandlingsaktiviteter som sikrer at våre forpliktelser i henhold til artikkel 30 i GDPR og vedlegg 1 i personvernloven er oppfylt.
• Personvernerklæring - Vi har revidert vår(e) personvernerklæring(er) for å overholde GDPR, og sikrer at alle personer hvis personopplysninger vi behandler har blitt informert om hvorfor vi trenger dem, hvordan de brukes, hva deres rettigheter er, hvem informasjonen er beskrevet til og hvilke sikkerhetstiltak som er iverksatt for å beskytte informasjonen deres.
• Innhenting av samtykke - Vi har revidert våre samarbeidsmekanismer for innsamling av personopplysninger og for å sikre at enkeltpersoner forstår hva de oppgir, hvorfor og hvordan vi bruker det, og for å gi klare og definerte måter å samtykke til vår behandling av deres informasjon. Vi har utviklet strenge prosesser for registrering av samtykke, som sikrer at vi kan bevise et bekreftende samtykke sammen med registreringer av klokkeslett og dato; og det er enkelt å se og få tilgang til en måte å trekke tilbake samtykket på når som helst.
• Direkte markedsføring - Vi har revidert ordlyden og prosessene for direkte markedsføring, inkludert tydelige påmeldingsmekanismer for markedsføring av abonnementer; et tydelig budskap og en metode for å velge å delta og tilby funksjoner for å velge bort deltakelse i alt påfølgende markedsføringsmateriell.
• Konsekvensutredninger for data (DPIA) - der vi behandler personopplysninger som anses som høyrisiko, involverer behandling i stor skala eller inneholder spesielle kategorier/kriminalitetsdata; Vi har utviklet strenge prosedyrer og vurderingsmaler for å gjennomføre konsekvensutredninger som fullt ut overholder kravene i GDPR artikkel 35. Vi har implementert dokumentasjonsprosesser som registrerer hver vurdering, slik at vi kan vurdere risikoen i behandlingsaktiviteten og iverksette avbøtende tiltak for å redusere risikoen for den registrerte.
• Databehandleravtaler - der vi bruker en tredjepart til å behandle personopplysninger på våre vegne ( dvs. lønn, rekruttering, hosting osv. ), Vi har utviklet kompatible databehandleravtaler og prosedyrer for due diligence for å sikre at de ( så vel som vi ) oppfyller og forstår sine/våre GDPR-forpliktelser. Disse tiltakene omfatter innledende og løpende vurderinger av den leverte tjenesten, nødvendigheten av behandlingen, de tekniske og organisatoriske tiltakene og samsvar med GDPR.
• Spesielle kategorier Data - Der vi samler inn og behandler informasjon av spesielle kategorier, gjør vi det i full overensstemmelse med kravene i artikkel 9, og vi har kryptering og beskyttelse på høyt nivå på plass for alle slike data. Spesifikke kategorier av data behandles kun der det er nødvendig, og kun der vi først har identifisert den relevante betingelsen i henhold til artikkel 9(2) eller personvernordningens liste 1. Der vi er avhengige av samtykke for behandling, er dette eksplisitt og bekreftet med en signatur, med retten til å endre eller trekke tilbake samtykket tydelig skiltet.

Rettigheter for den registrerte

I tillegg til ovennevnte retningslinjer og prosedyrer som sikrer at enkeltpersoner kan håndheve sine databeskyttelsesrettigheter, tilbyr vi enkel tilgang til informasjon via nettsiden vår om den enkeltes rett til innsyn i personopplysninger, som for eksempel FEC Consulting behandler dem og å be om informasjon om: -

• Hvilke personopplysninger har vi om dem?
• Formålet med behandlingen
• De aktuelle personopplysningene
• Mottakere som personopplysningene blir/vil bli utlevert til
• Hvor lenge har vi tenkt å lagre dine personopplysninger?
• Hvis vi ikke samlet inn data direkte fra dem, informasjon om kilden
• Retten til å få ufullstendige eller unøyaktige opplysninger om dem korrigert eller fullstendig, og prosessen for å be om dette
• Retten til å be om sletting av personopplysninger ( hvis aktuelt ) eller å begrense behandlingen i samsvar med personvernlovgivningen, samt å protestere mot direkte markedsføring fra oss og å bli informert om eventuell automatisert beslutningstaking som vi bruker
• Retten til å klage eller søke rettshjelp og hvem man skal kontakte i slike tilfeller

Informasjonssikkerhet og tekniske og organisatoriske tiltak

FEC Consulting tar personvernet og sikkerheten til enkeltpersoner og deres personopplysninger svært alvorlig og tar alle rimelige forholdsregler og forholdsregler for å beskytte og sikre personopplysningene vi behandler. Vi har robuste retningslinjer og prosedyrer for informasjonssikkerhet på plass for å beskytte personopplysninger mot uautorisert tilgang, endring, avsløring eller ødeleggelse, og har flere lag med sikkerhetstiltak på plass, inkludert: -

SSL-sertifikat på våre nettsider, passordpolicy, kryptering, autentisering osv.

 

GDPR-roller og ansatte

FEC Consulting har utnevnt Erik Bjeld som vår personvernombud (DPO) å utvikle og implementere vår plan for å overholde den nye personvernforordningen. Vår personvernombud er ansvarlig for å fremme bevissthet om GDPR i hele organisasjonen, vurdere vår GDPR-beredskap, identifisere eventuelle mangler og implementere de nye retningslinjene, prosedyrene og tiltakene.

 

FEC Consulting forstår at kontinuerlig bevissthet og forståelse blant ansatte er avgjørende for fortsatt samsvar med GDPR, og har involvert våre ansatte i forberedelsesplanene våre. Vi har implementert et spesifikt opplæringsprogram for ansatte som må tilbys alle ansatte innen den 25. ^mai 2018, og er en del av vårt introduksjons- og årlige opplæringsprogram.

Hvis du har spørsmål om våre forberedelser til GDPR, kan du kontakte Erik Bjeld.