GDPR-efterlevnadspolicy

 

Introduktion

De EU:s allmänna dataskyddsförordning (”GDPR”) träder i kraft i hela EU den 25. ^e maj 2018 och medför de mest betydande förändringarna av dataskyddslagstiftningen på två decennier. Baserat på inbyggd integritet och ett riskbaserat tillvägagångssätt är GDPR utformat för att möta den digitala tidsålderns krav.

Den 21:a ^st 2000-talet medför en bredare användning av teknik, nya definitioner av vad som utgör personuppgifter och en kraftig ökning av gränsöverskridande behandling. Den nya förordningen syftar till att standardisera dataskyddslagar och databehandling i hela EU. ge individer starkare och mer konsekventa rättigheter att få tillgång till och kontrollera sin personliga information.

Vårt engagemang

FEC Consulting ('vi' eller 'oss' eller 'vår') har åtagit sig att säkerställa säkerheten och skyddet av den personliga information vi behandlar och att tillhandahålla en kompatibel och konsekvent strategi för dataskydd. Vi har alltid haft ett robust och effektivt dataskyddsprogram som följer gällande lag och principer för dataskydd. Vi är dock medvetna om vår skyldighet att uppdatera och utöka detta program för att uppfylla kraven i GDPR och danska, franska, polska, tyska, portugisiska och italienska dataskyddslagar.

FEC Consulting är dedikerade till att skydda den personliga information som omfattas av vårt mandat och till att utveckla ett dataskyddssystem som är effektivt, ändamålsenligt och visar förståelse och uppskattning för den nya förordningen. Våra förberedelser och mål för GDPR-efterlevnad sammanfattas i detta uttalande och inkluderar utveckling och implementering av nya roller, policyer, procedurer, kontroller och åtgärder inom datasäkerhet för att säkerställa maximal och kontinuerlig efterlevnad.

Så här förbereder vi oss för GDPR

FEC Consulting har Vi har redan en konsekvent nivå av dataskydd och säkerhet i hela vår organisation, men vårt mål är att vara helt efterlevande GDPR senast 25 maj 2018 . Våra förberedelser inkluderar: -

• Informationsrevision - genomföra en affärsinriktad informationsgranskning för att identifiera och bedöma vilka personuppgifter vi har, varifrån de kommer, hur och varför de behandlas samt om och till vem de lämnas ut.
• Policyer och rutiner - implementering av nya Dataskyddspolicyer och -förfaranden för att uppfylla kraven och standarderna i GDPR och alla relevanta dataskyddslagar, inklusive: -
  • Dataskydd - vår huvudsakliga dataskyddspolicy och vårt register över förfaranden har reviderats för att följa GDPR-standarder och krav. Ansvarsskyldighet och styrningsansvar finns på plats för att säkerställa att vi förstår och på ett adekvat sätt kommunicerar och dokumenterar våra skyldigheter och ansvar; med ett särskilt fokus på inbyggd integritet och individers rättigheter.
  • Datalagring och radering - Vi har uppdaterat vår policy och planering för att säkerställa att vi uppfyller principerna 'dataminimering' och lagringsbegränsning , och att personuppgifter lagras, arkiveras och förstörs på ett korrekt och etiskt korrekt sätt. Vi har särskilda borttagningsrutiner på plats för att hantera de nya "Rätt till radering" skyldighet och är medveten om när denna och andra rättigheter som den registrerade gäller. tillsammans med eventuella undantag, pu och anmälningsansvar.
  • Dataförbränning - våra rutiner för dataintrång säkerställer att vi har skyddsåtgärder och åtgärder på plats för att identifiera, bedöma, utreda och rapportera personuppgiftsintrång så snabbt som möjligt. Våra rutiner är robusta och har kommunicerats till alla anställda, vilket gör dem medvetna om rapporteringsvägarna och de steg som ska följas.
  • Internationella dataöverföringar och information från tredje part - var FEC Consulting lagra eller överföra personuppgifter utanför EU har vi robusta rutiner och skyddsåtgärder på plats för att säkra, kryptera och underhålla data integritet. Våra rutiner inkluderar en kontinuerlig granskning av länder med tillräckliga beslut om adekvat skydd, samt bestämmelser om bindande företagsregler; standardklausuler om dataskydd eller godkända uppförandekoder för dessa länder utan. Vi utför rigorösa due diligence-kontroller av alla mottagare av personuppgifter för att bedöma och verifiera att de har lämpliga skyddsåtgärder på plats för att skydda informationen, säkerställa verkställbara rättigheter för registrerade och har effektiva rättsmedel för registrerade där så är tillämpligt.
  • Begäran om tillgång till uppgifter (SAR) - Vi har reviderat våra SAR-rutiner för att anpassa oss till den reviderade 30-dagarsfristen för att tillhandahålla den begärda informationen och för att göra denna tillhandahållande kostnadsfri. Våra nya rutiner beskriver hur man verifierar den registrerade, vilka steg som behöver vidtas för att behandla en åtkomstbegäran, vilka undantag som gäller och en rad svarsmallar för att säkerställa att kommunikationen med registrerade är kompatibel, konsekvent och lämplig.
• Rättslig grund för behandling - Vi granskar alla behandlingsaktiviteter för att identifiera den rättsliga grunden för behandlingen och säkerställer att varje grund är lämplig för den aktivitet den avser. I tillämpliga fall för vi även register över våra behandlingsaktiviteter som säkerställer att våra skyldigheter enligt artikel 30 i GDPR och bilaga 1 till dataskyddslagen uppfylls.
• Integritetspolicy - Vi har reviderat vår(a) integritetspolicy(er) för att följa GDPR, och säkerställer att alla individer vars personuppgifter vi behandlar har informerats om varför vi behöver dem, hur de används, vilka deras rättigheter är, vem informationen beskrivs för och vilka skyddsåtgärder som har vidtagits för att skydda deras information.
• Inhämtning av samtycke - Vi har reviderat våra samarbetsmekanismer för att samla in personuppgifter och säkerställa att individer förstår vad de tillhandahåller, varför och hur vi använder det och tillhandahålla tydliga, definierade sätt att samtycka till vår behandling av deras information. Vi har utvecklat strikta processer för att registrera samtycke, vilket säkerställer att vi kan bevisa ett bekräftande samtycke tillsammans med tid- och datumregistreringar och det är enkelt att se och få tillgång till ett sätt att återkalla samtycke när som helst.
• Direktmarknadsföring - Vi har reviderat formuleringarna och processerna för direktmarknadsföring, inklusive tydliga mekanismer för att delta i marknadsföringsprenumerationer; ett tydligt budskap och en metod för att välja att delta och tillhandahålla funktioner för att välja bort deltagarna i allt efterföljande marknadsföringsmaterial.
• Konsekvensbedömningar av data (DPIA) - där vi behandlar personuppgifter som anses vara högrisk, innefattar storskalig behandling eller innehåller särskilda kategorier/brottsuppgifter; Vi har utvecklat rigorösa rutiner och bedömningsmallar för att genomföra konsekvensbedömningar som helt uppfyller kraven i artikel 35 i GDPR. Vi har implementerat dokumentationsprocesser som registrerar varje bedömning, vilket gör det möjligt för oss att bedöma risken i behandlingsaktiviteten och implementera riskreducerande åtgärder för att minska risken för den registrerade.
• Behandlingsavtal - där vi använder en tredje part för att behandla personuppgifter för vår räkning ( d.v.s. lönehantering, rekrytering, hosting etc. ), Vi har utvecklat kompatibla personuppgiftsbiträdesavtal och rutiner för due diligence för att säkerställa att de ( liksom vi ) uppfyller och förstår sina/våra GDPR-skyldigheter. Dessa åtgärder omfattar inledande och löpande granskningar av den tillhandahållna tjänsten, nödvändigheten av behandling, de tekniska och organisatoriska åtgärderna samt efterlevnad av GDPR.
• Data för specialkategorier - När vi samlar in och behandlar information av särskilda kategorier gör vi det i full överensstämmelse med kraven i artikel 9 och har högnivåkryptering och skydd på plats för alla sådana uppgifter. Specifika kategorier av uppgifter behandlas endast där det är nödvändigt och endast om vi först har identifierat det relevanta villkoret enligt artikel 9(2) eller dataskyddsordningens lista 1. I de fall vi förlitar oss på samtycke för behandling är detta uttryckligt och bekräftas med en underskrift, med rätten att ändra eller återkalla samtycke tydligt angiven.

Rättigheter för den registrerade

Utöver ovanstående policyer och rutiner som säkerställer att individer kan hävda sina dataskyddsrättigheter, erbjuder vi enkel åtkomst till information via vår webbplats om individens rätt att få tillgång till personuppgifter, såsom FEC Consulting behandlar dem och att begära information om: -

• Vilka personuppgifter har vi om dem?
• Syftet med behandlingen
• De personuppgifter det gäller
• Mottagare till vilka personuppgifterna lämnas ut/kommer att lämnas ut
• Hur länge avser vi att lagra dina personuppgifter?
• Om vi ​​inte samlade in data direkt från dem, information om källan
• Rätten att få ofullständiga eller felaktiga uppgifter om dem korrigerade eller kompletterade och processen för att begära detta
• Rätten att begära radering av personuppgifter ( om tillämpligt ) eller att begränsa behandlingen i enlighet med dataskyddslagstiftningen, samt att invända mot all direktmarknadsföring från oss och att bli informerad om allt automatiserat beslutsfattande som vi använder
• Rätten att lämna in ett klagomål eller söka rättslig prövning och vem man ska kontakta i sådana fall

Informationssäkerhet och tekniska och organisatoriska åtgärder

FEC Consulting tar individers integritet och säkerhet och deras personuppgifter på största allvar och vidtar alla rimliga försiktighetsåtgärder och försiktighetsåtgärder för att skydda och säkra de personuppgifter som vi behandlar. Vi har robusta informationssäkerhetspolicyer och -rutiner på plats för att skydda personlig information från obehörig åtkomst, ändring, avslöjande eller förstörelse och har flera lager av säkerhetsåtgärder på plats, inklusive: -

SSL-certifikat på våra webbplatser, lösenordspolicy, kryptering, autentisering etc.

 

GDPR-roller och anställda

FEC Consulting har utsett Erik Bjeld som vår dataskyddsombud (DPO) att utveckla och implementera vår färdplan för att följa den nya dataskyddsförordningen. Vårt dataskyddsombud ansvarar för att öka medvetenheten om GDPR i hela organisationen, bedöma vår GDPR-beredskap, identifiera eventuella brister och implementera de nya policyerna, rutinerna och åtgärderna.

 

FEC Consulting förstår att kontinuerlig medarbetarnas medvetenhet och förståelse är avgörande för fortsatt efterlevnad av GDPR och har involverat våra anställda i våra förberedelseplaner. Vi har implementerat ett specifikt utbildningsprogram för anställda som måste tillhandahållas alla anställda senast den 25:e. ^Maj 2018, och är en del av vårt introduktions- och årliga utbildningsprogram.

Om du har några frågor om våra förberedelser inför GDPR, vänligen kontakta Erik Bjeld.