Već smo se pomirili s idejom da je privatnost na Internetu izgubljena stvar, cena koju plaćamo za privilegiju da budemo povezani sa svetom. Neko je najzad odlučio da preduzme ozbiljne korake kako bi zaštitio privatnost građana - Evropska unija je donela GDPR regulativu koja stupa na snagu za jedva tri meseca. I onda su se svi uhvatili za glavu, zbog posla koji treba uraditi, a pre svega zbog predviđenih kazni. Da li će GDPR biti korak napred, birokratski haos ili mrtvo slovo na papiru?
Pripremajući se za BIZIT seminar „GDPR – Digitalna prava i obaveze“, koji PC Press organizuje 14. marta, razgovarao sam s puno ljudi i čuo puno zanimljivih mišljenja o GDPR regulativi, uglavnom izrazito negativnih. Ako treba da ih sumiram u jednoj rečenici, ta rečenica glasi: „A da li će NSA platiti kaznu ako nam ne dopusti da pogledamo podatke koje o nama čuvaju i ne pruži mogućnost da te podatke izbrišemo?“. Da li je glavna pretnja privatnosti što sajt na kome smo se registrovali čuva naše ime i e-mail adresu, ili što se kompletna Internet komunikacija snima, skladišti i analizira u zgradi bez prozora u Fort Meade-u, kao i u sličnim evropskim zdanjima?
Gledano s druge strane, realne opasnosti od krađe digitalnog identiteta zaista i dolaze s komercijalnih sajtova – ne očekuje se da podaci koje čuva NSA budu hakovani (mada... ko zna?), a svakodnevno čitamo o curenju podataka s raznih komercijalnih sistema, često i onih velikih i moćnih. Možda vam se već dešavalo da vas banka pozove i kaže da će zameniti vašu karticu jer je ona ilegalno korišćena u Indiji, Meksiku ili Bugarskoj. Hoće li nas GDPR regulativa spasiti od takvih stvari? Verovatno neće, ali će barem biti više nade da o njima budemo na vreme obavešteni i da brzom reakcijom umanjimo štetu – ako ste mislili da banke tek tako vraćaju novac ukraden s kartica... pa, uživajte u zemlji bajki.
Evropska unija je grandiozan projekat koji je učinio mnogo za bolji život ljudi i uspešnije poslovanje, ali ima i svoju tamnu stranu u vidu najveće svetske birokratije. Zato će se za zaštitu podataka boriti metodama koji joj najviše leže, dakle birokratski. Biće tu obrazaca koje treba popuniti, dokumenata koje treba napisati, procedura koje treba formulisati, ljudi koje treba sertifikovati, platiti, angažovati ili zaposliti, a sve to pod pretnjom drakonskih kazni. Regulativa će pogoditi male firme, koje ne mogu da izađu na kraj s tolikom papirologijom i koje će odustajati od poslovanja na Internetu ili će seliti to poslovanje ko zna kuda. Čuo sam čak i tezu da je GDPR formulisan tako da samo velike Nemačke i Francuske firme opstanu, a da sva konkurencija bude oduvana s tržišta ili da živi s Damoklovim mačem nad glavom.
Šta sve ovo znači za firme čije sedište nije u EU? Ako neko prikuplja podatke građana EU, za njega važi GDPR regulativa, pod uslovom da su ti ljudi u EU u trenutku prikupljanja podataka; ako neki građanin EU posluje preko srpskog sajta dok je u Srbiji, GDPR „nije nadležan“. Da bi regulativa važila, prikupljanje podataka mora da bude usmereno prema EU – sajt koji se generalno bavi marketingom firme prema čitavom svetu nema novih obaveza. Čak i kada nije sasvim jasno da li GDPR regulativa važi za vas, dobro je da se držite novih pravila jer ona unapređuju sigurnost i funkcionalnost vašeg poslovanja. Najzad, ako ste se već prilagodili PCI DSS, ISO 27001 ili NIST preporukama, primena GDPR-a neće biti posebno komplikovana – uz dobre informacije ćete se svakako snaći. Najzad, nije to neka kosmička nauka – ima i mnogo težih stvari. Recimo, izabrati upravnika zgrade...
