מהי התקנה הכללית להגנת נתונים (GDPR)?
תקנת הגנת המידע הכללית (GDPR) היא מסגרת משפטית הקובעת הנחיות לאיסוף ועיבוד מידע אישי מאנשים הגרים באיחוד האירופי. מכיוון שהתקנה חלה ללא קשר למיקומם באתרי האינטרנט, עליה לכלול את האתרים שמושכים מבקרים אירופיים, גם אם הם לא משווקים מוצרים או שירותים ספציפיים לתושבי האיחוד האירופי.
ה- GDPR מחייב למסור למבקרי האיחוד האירופי מספר חשיפות נתונים. על האתר לנקוט צעדים גם כדי להקל על זכויות צרכנים כאלה באיחוד האירופי כהודעה בזמן במקרה של הפרת נתונים אישיים. התקנה, שאומצה באפריל 2016, נכנסה לתוקפה במלואה במאי 2018, לאחר תקופת מעבר של שנתיים.
דרישות שירות לקוחות של ה- GDPR
על פי הכללים, יש ליידע את המבקרים על הנתונים שהאתר אוסף מהם ולהסכים במפורש לאיסוף המידע הזה, על ידי לחיצה על כפתור מסכים או פעולה אחרת. (דרישה זו מסבירה במידה רבה את הנוכחות בכל מקום של חשיפות שאתרים אוספים "עוגיות" - קבצים קטנים המחזיקים במידע אישי כגון הגדרות אתר והעדפות.)
על אתרים גם להודיע למבקרים במועד אם כל הפרטים האישיים שלהם המוחזקים באתר מופרים. דרישות האיחוד האירופי עשויות להיות מחמירות יותר מאלה הנדרשות בתחום השיפוט בו האתר נמצא.
כן נדרשת הערכה של אבטחת המידע באתר והאם יש לשכור קצין ייעודי להגנה על נתונים (DPO) או שמא עובד קיים יוכל לבצע פונקציה זו.
מידע על יצירת קשר עם משרד התפקידים ועובדים רלוונטיים אחרים חייב להיות נגיש, כך שהמבקרים עשויים לממש את זכויות הנתונים שלהם באיחוד האירופי, הכוללים גם את היכולת למחוק את נוכחותם באתר, בין אמצעים אחרים. (באופן טבעי, על האתר להוסיף צוות עובדים ומשאבים אחרים כדי להיות מסוגלים לבצע בקשות כאלה.)
כללים ומנדטים אחרים של התקנה הכללית להגנת מידע (GDPR)
כהגנה נוספת על הצרכנים, ה- GDPR קורא לכל מידע המאפשר זיהוי אישי (PII) שאתרים אוספים להיות אנונימיים (יועברו אנונימיים, כפי שמונח המונח) או שמות בדוי (עם זהותו של הצרכן מוחלף בשם בדוי). שם הבדוי של נתונים מאפשר לחברות לבצע ניתוח נתונים נרחב יותר, כמו הערכת יחסי חוב ממוצעים של לקוחותיה באזור מסוים - חישוב שעשוי להיות מעבר למטרות המקוריות של נתונים שנאספו לצורך הערכת ערך האשראי של הלוואה.
ה- GDPR משפיע על נתונים מעבר לזה שנאסף מלקוחות. הבולט ביותר, אולי, התקנה חלה על רישומי משאבי האנוש של העובדים.
מחלוקות הקשורות ב- GDPR
ה- GDPR עורר ביקורת בכמה רבעים. הדרישה למנות מינהל"רים, או פשוט להעריך את הצורך בהם, יש אומרים, מטילה על חברות מסוימות נטל ניהולי מופרז. יש שמתלוננים גם כי ההנחיות מעורפלות מדי כיצד להתמודד בצורה הטובה ביותר עם נתוני עובדים.
בנוסף, לא ניתן להעביר נתונים למדינה אחרת שמחוץ לאיחוד האירופי, אלא אם החברה הקולטת מתחייבת באותה מידה של הגנה כמו שהאיחוד האירופי דורש. זה הוביל לתלונות על הפרעה יקרה בפרקטיקות העסקיות.
קיים חשש נוסף לכך שהעלויות הקשורות ל- GDPR יעלו עם הזמן, בין היתר בגלל הצורך ההולך וגובר לחינוך לקוחות ועובדים כאחד בנוגע לאיומים וסעדים להגנה על נתונים. קיימת גם ספקנות באשר לאופן הגורם שמשרדי הגנה על נתונים בכל האיחוד האירופי ומחוצה לו יכולים ליישר את האכיפה והפרשנות שלהם לתקנות, וכך להבטיח מישור משחקי מידת ההפעלה של ה- GDPR.
