RGCS agus an tAcht IS: oibleagáidí atá ag forluí

Samhlaigh an cás seo: is oifigeach comhlíonta thú i gcuideachta scale-up fintech nó SaaS atá lonnaithe i mBaile Átha Cliath. Tá do chlár RGCS ag feidhmiú go paiteanta le blianta fada - Oifigeach Cosanta Sonraí ceaptha agat, Measúnuithe Tionchair ar Chosaint Sonraí (MTCS) déanta agat ar na próisis is riosca, comhaontuithe próiseála sonraí sínithe le gach soláthraí, agus nós imeachta bainistithe sáraithe i bhfeidhm ó 2018 i leith. D'fhreagair sibh gach ceistneoir dícheall chuí ó chustaiméirí agus ó infheisteoirí gan mórán stró. Ansin tagann an ceistneoir is déanaí, agus tá alt nua ann: an tAcht Intleachta Saorga (an tAcht IS). Tá bosca ann ag iarraidh cruthúnas ar mheasúnú riosca an Achta IS, ar rialú maoirseachta daonna, ar chóras bainistíochta riosca don chóras scórála creidmheasa nó don inneall braite calaoise a d'fhorbair sibh. Agus tagann an cheist chrua chun cinn: an gcumhdaíonn an obair RGCS a rinne sibh cheana an méid seo go léir? An freagra gairid: cuid de, ach ní gach cuid de.

Cá bhfuil an forluí idir RGCS agus an tAcht IS?

Tagann an dá reachtaíocht i bhfeidhm ag an bpointe céanna: nuair a phróiseálann do chóras IS sonraí pearsanta. I gcás fhormhór na gcóras scórála creidmheasa, braite calaoise nó fíordheimhnithe custaiméara (KYC) atá coitianta in earnáil fintech agus SaaS na hÉireann, is amhlaidh atá beagnach i gcónaí. Tá an Rialachán Ginearálta maidir le Cosaint Sonraí (RGCS) i bhfeidhm go huathoibríoch, gan beann ar cé acu an aicmítear an córas mar chóras ardriosca faoin Acht IS nó nach n-aicmítear. Tá an dá chreat bunaithe ar chur chuige riosca-bhunaithe, agus éilíonn an bheirt acu go gcruthófá comhlíonadh le doiciméadú inrianaithe, seachas le ráiteas ó bhéal amháin. Sin an fáth a bhfuil sé chomh héasca sin talamh slán a dhéanamh de gur dhá leagan den rud céanna iad an dá cheanglas. Ní hea - agus is é an t-alt seo an áit a mhíníonn cén fáth.

Cá dtéann d'obair RGCS chun cinn cheana féin

Má tá clár RGCS aibí agaibh cheana, níl sibh ag tosú ó nialas leis an Acht IS. Cuidíonn cuid mhaith den bhonnobair a rinne sibh ar mhaithe le RGCS go díreach le riachtanais an Achta IS, ach ní ar bhealach uathoibríoch - caithfear é a leathnú, ní a athúsáid gan athbhreithniú:

• Tugann MTCS RGCS faoi Airteagal 35 struchtúr agus modheolaíocht atá an-chosúil leis an measúnú riosca a éilíonn an tAcht IS ar chórais ardriosca - ní gá tosú as an nua, ach leathnú a dhéanamh air.
• Deir Airteagal 27(4) den Acht IS go sonrach gur féidir leis an Measúnú Tionchair ar Chearta Bunúsacha (MTCB), atá riachtanach do chórais ardriosca, dul i muinín MTCS atá déanta cheana faoi Airteagal 35 RGCS, seachas próiseas iomlán nua a thosú.
• Is bunachar maith é do Chlár Gníomhaíochtaí Próiseála faoi Airteagal 30 RGCS chun tosú ag comhlánú an fhardail córas IS a éilíonn an tAcht IS - ach ní chuimsíonn sé córais nach bpróiseálann sonraí pearsanta ar chor ar bith, agus caithfear iad sin a shainaithint ar leithligh.
• Tá an dícheall chuí ar sholáthraithe a rinne sibh cheana faoi chomhaontuithe próiseála sonraí (Airteagal 28 RGCS) úsáideach chun na róil de sholáthraí agus d'úsáideoir gairmiúil (deployer) a shainiú faoin Acht IS - ach ní hionann an dá róladóireacht, agus caithfear iad a mhapáil arís go sonrach do gach córas.

Cá scarann RGCS agus an tAcht IS óna chéile

Anseo a thagann an baol is mó: ag glacadh leis go bhfuil an obair RGCS ina hionadach iomlán ar cheanglais an Achta IS. Níl. Tá gnéithe den Acht IS nach bhfuil coibhéis ar bith acu sa RGCS, toisc gur reachtaíocht de chineál sábháilteachta táirge é an tAcht IS i gcás córas ardriosca, seachas reachtaíocht cosanta sonraí amháin.

• Is measúnú níos leithne é an MTCB (Airteagal 27) ná an MTCS - féachann sé ar dhochar nach mbaineann le sonraí pearsanta ar chor ar bith, mar shampla idirdhealú i rochtain ar sheirbhísí airgeadais nó cinneadh mícheart a dhéanann dochar eacnamaíoch don chustaiméir.
• Éilíonn an tAcht IS doiciméadú teicniúil (Iarscríbhinn IV) faoi chruinneas, stóinseacht agus slándáil chibearneach an mhúnla - ceanglas nach raibh riamh ann faoi RGCS.
• Éilíonn córais ardriosca meastóireacht chomhréireachta foirmiúil (Airteagal 43) agus, i go leor cásanna, clárú i mbunachar sonraí AE (Airteagal 71) sula gcuirtear ar an margadh iad - próiseas cosúil leis an gcaoi a rialaítear trealamh leighis, agus gan aon chomhchosúlacht leis an gcaoi a rialaítear RGCS.
• Cruthaíonn Airteagal 10(5) den Acht IS bunús dlíthiúil cúng chun catagóirí speisialta sonraí a phróiseáil - rud a chuireann Airteagal 9 RGCS cosc air go ginearálta - chun claontacht i gcórais ardriosca a bhrath agus a cheartú, faoi choinníollacha docht amháin.

Cad a chosnaíonn sé má chaitear leo mar rud amháin

Sa chleachtas, feicimid trí chostas choitianta i measc chuideachtaí fintech agus SaaS in Éirinn a bhí aibí go maith ó thaobh RGCS de ach a ghlac leis go raibh siad réidh don Acht IS gan súil ghéire a chaitheamh air. Ar dtús, aimsíonn iniúchóirí infheisteoirí nó custaiméirí bearna sa dícheall chuí: MTCS ann, ach gan tagairt do rialú maoirseachta daonna nó do dhoiciméadú teicniúil an mhúnla, rud a chuireann moill ar shíniú conartha nó ar bhabhta maoinithe. Sa dara háit, osclaíonn an Coimisiún um Chosaint Sonraí (DPC) imscrúdú faoi RGCS de dheasca gearán a bhaineann le cinnteoireacht uathoibrithe, agus nochtar nár measúnaíodh an córas riamh i gceart faoin Acht IS ach an oiread - rud a dhéanann fadhb amháin ina dhá cheann. Sa tríú háit, tá an costas is simplí ar fad ann: dúbailt oibre, nuair a thosaíonn foireann chomhlíonta an obair Acht IS ó nialas in ionad tógáil ar an mbonnobair RGCS atá acu cheana.

Cad ba chóir duit a sheiceáil ar dtús

• An bhfuil na córais IS uile atá in úsáid agaibh - iad siúd a forbraíodh go hinmheánach agus iad siúd atá leabaithe i mbogearraí SaaS tríú páirtí araon - liostaithe in aon fhardal amháin, agus nasctha go soiléir leis na taifid phróiseála RGCS ábhartha?
• I gcás gach córais ardriosca, an bhfuil measúnú ar leith déanta faoin Acht IS atá ag tógáil ar an MTCS RGCS ach nach bhfuil teoranta dó?
• Cé atá freagrach go hinmheánach as an MTCB a chur i gcrích agus a choinneáil cothrom le dáta, agus an bhfuil an fhreagracht sin scartha go soiléir ón Oifigeach Cosanta Sonraí, nó comhtháite go foirmiúil léi?
• An bhfuil na róil de sholáthraí agus d'úsáideoir gairmiúil (deployer) sainithe go soiléir i ngach conradh soláthraí IS, ionas nach mbeidh débhrí ann faoi cé atá freagrach as an meastóireacht chomhréireachta?

Faisnéis ghinearálta atá san alt seo, ní comhairle dhlíthiúil í do chás ar bith - braitheann feidhmiú beacht an Achta IS agus RGCS ar shonraí do chórais agus ar an gcomhthéacs ina bhfeidhmíonn siad. Sonraíonn Komplya go soiléir stádas gach píosa ábhair - idir ábhar atá athbhreithnithe ag saineolaí dlí agus ábhar atá fós ina dhréacht - sula mbraitheann tú air le haghaidh cinnteoireachta.

Mura bhfuil tú cinnte cé mhéad de d'obair RGCS atá ag cumhdach cheana ceanglais an Achta IS, agus cén bhearna atá fágtha, an chéad chéim is tapúla ná ceistneoir infheidhmeachta gairid Komplya a líonadh isteach. Tógann sé cúpla nóiméad, agus tugann sé léarscáil shoiléir duit de na bearnaí is práinní idir an dá réimeas, sula gcaitheann tú tuilleadh ama ag obair as an nua ar rud atá déanta agat cheana.