Irabazi-asmorik gabeko irlandarrek konfiantza sakratua dute emaileekin. Opari bat egiten den bakoitzean, datu pertsonalak partekatzen dituzte, izena, helbidea, informazio finantzarioa, agian zaurgarritasuna erakusten duten xehetasunak. Datuak babestea ez da lege-laukia soilik, donorren konfiantzaren oinarria baizik. Irlandan, arriskuak handiak dira. Datuak Babesteko Erregelamendu Orokorrak (GDPR) ezartzen ditu munduko pribatutasun-arau zorrotzenak, eta irabazi-asmorik gabekoak erabat betetzen ditu. Datuen kalte-emaileek kalte-ordaina, babes- eta babes-neurri egokiak ekar ditzakete, segurtasun-neurririk onenak, segurtasun-neurriak, segurtasun-neurriak eta segurtasun-neurriak.

Lege-paisaia: GDPR eta Irlandako Datuen Babeserako Legea

Lege-esparrua ulertzea da datu-estrategia arduratsu baten abiapuntua. Irabazi-asmorik gabeko irlandarrek bi tresna nagusi bete behar dituzte: ]GDPR (EB) 2016/679 Erregelamendua eta Datuak babesteko 2018 Legea, zenbait berariazko nazional betetzen dituena. ]DPCren Babes Batzordeak (DPC) kontrol-a du Irlandan, eta aktiboki aplikatzen ditu arau horiek, sektore horietan barne.

DBEOren oinarrizko printzipioak Donor Datan

GDPR zazpi printzipiotan oinarritzen da, irabazi-asmorik gabekoek emailearen informazioa nola kudeatu behar duten zuzenean formatzeko:

  • Legegintza, zuzentasuna eta gardentasuna, legezko oinarria izan behar duzu (normalean baimena edo interes legitimoa) eta argi eta garbi azaldu datuak nola erabiltzen diren.
  • ]Purpose mugapena - Datuak helburu zehatz, esplizitu eta legitimoetarako bakarrik biltzen ditu (adibidez, dohaintza bat prozesatu eta ordainagiria bidaltzea).
  • Datuak minimizatzea, behar-beharrezkoa dena bakarrik biltzea. Galdetu: benetan behar al dugu emailearen jaiotze-data dohain bakar baterako?
  • Zehaztasun bat, donor-ek datuak eguneratu eta berehala zuzendu behar ditu eskaeraren arabera.
  • Mugaketa-muga: datuak ez dira behar baino gehiago gorde behar. Zehaztu dohaintza-erregistroetarako atxikipen-planak, komunikazio-aukerak, etab.
  • Integritatea eta konfidentzialtasuna (segurtasuna) - Erabili neurri tekniko eta antolakuntzakoak, datuak baimenik gabe atzitu, galdu edo kalteetatik babesteko.
  • xxxxx

Irlandako legepean gogoeta bereziak

Datuak Babesteko 2018 Legeak irabazi-asmorik gabekoei buruzko arau gehigarriak ematen ditu. Adibidez, 16 urterekin ezartzen du baimen digitalaren adina (GDPR-a 16 urte baino gutxiagoan, baina gutxiago onartzen da; Irlandak 16. aukeratu zuen). Irabazi-asmorik gabekoak emaile edo boluntario gazteekin lan egiten badu 16 urtetik beherakoak guraso edo tutorearen baimena behar du. Legeak DPC indar indar indar indar indar gehiago ematen dio, 20 milioi €-ko edo urteko fakturazioaren %4ko goi-mailakoa isunak igortzeko gaitasuna barne. Karitate askok aurrekontu estuetan lan egiten duten bitartean, are gutxiago finak ere, DPCtik kanpo, aldi baterako tratamendua edo debekuak ezar daitezke.

Zergatik da garrantzitsua datu-babesa irabazi-asmorik gabekoentzat: konfiantza, ospea eta arriskua

Donorrek zure misioan sinesten dutelako ematen dute. Sinesmen horren datu pertsonalen ez-bereizgarriei egindako erasoen ondorioz, sarritan, beren informazioa ez da segurua, edo okerrago, zure erakundearen aurka publikoki hitz egin dezakete.

Irabazi-asmorik gabeko irlandarrek ere Charities Erreguladorearen azterketa egiten dute, gobernu egokia espero duena. Datu-aurkako eraso batek ikerketa bat eragin dezake DPCk bakarrik, baita erregulatzaileak ere, zure karitatearen erregistro-egoera eta konfiantza publikoa kaltetuz. Borondate onez eraikitako sektore batean, datuen kudeaketa arduratsua ez da hautazkoa; misioaren erdigunea da.

Gainera, ezbeharraren kostua isunetatik haratago doa, kaltetuei jakinarazi, kredituen kontrol-zerbitzuetan inbertitu, auzitegiko adituak kontratatu eta ordu batzuk eman harreman publikoak kudeatzen. Irabazi-asmorik gabeko irabazi-asmorik gabeko txiki batek, bestela kausa babestuko luketen baliabideak hustu ditzake. Babes aktiboa askoz ere kostu handiagoa da krisi erreaktiboaren kudeaketa baino.

Donor-en datuak babesteko jardunbiderik onenak

Eguneroko eragiketetan legezko betebeharrak betetzeak ekintza zehatzak eskatzen ditu. Hona hemen oinarrizko jardunbiderik onenak, bakoitza irabazi-asmorik gabeko irlandarrentzat praktikoki hedatua.

1. Datuen bilduma behar den gutxienekora mugatzea

Datuen minimizazioa da oraindik ahaztuen dagoen printzipiorik sinpleenetako bat. Zure dohaintza-inprimakiari eremu bat gehitu aurretik, galdetu: "Benetan behar al dugu hau opari-harremanak prozesatzeko eta donor-harremanak mantentzeko?" Adibidez, ez duzu donor baten lanbide edo urteko errentarik behar ordainagiria bidaltzeko. Bildu bakarrik:

  • Izena eta harremanetarako datuak (posta elektronikoa, telefonoa, posta helbidea behar bezala).
  • Ordainketa-informazioa (PCI-rekin bateragarria den atebide baten bidez prozesatua; ez gorde txartel-zenbaki osoa).
  • Opariaren zenbatekoa eta data.
  • Beharrezko komunikazio-hobespen guztiak (adibidez, buletinen aukera).

Datuak erabili nahi badituzu profil edo aberastasunaren proiekziorako, baimen esplizitua eduki behar duzu eta justifikazio argia eman. Saihestu datuak gordetzeko tentazioa "kasuan" baino gutxiago izateak arrisku gutxiago dakar.

2. Datuen biltegiratzea eta transmisioa

Datu-emaileak bizi diren tokian. Zerbitzari seguruetan gordetako datu-base enkriptatuak erabili, Europako Esparru Ekonomikoaren barruan (EEA) mugaz haraindiko betetasuna errazteko. Hodeiko soluzioak (adibidez, Salesforce, Mailchimp edo CRM) erabiltzen badituzu, egiaztatu hornitzaile hori GDPR‐rekin bateragarria dela eta datuak prozesatzeko akordioak dituela.

Enkriptatzeak bi egoera estali behar ditu:

  • Datu-baseetan, babeskopian eta artxiboetan gordetako datuak.
  • Informazio-transferentziak, emaileen gailuen, webgunearen eta barneko sistemen artean. Erabili beti HTTPS (SSL/TLS) eta posta elektroniko enkriptatua edo fitxategi-transferentzia segurua dokumentu sentikorretarako.

Datuen berri emateko datuak aztertu behar direnean, pseudonimoak erabil ditzakezu. Adibidez, izen emaileak identifikazio esklusiboekin ordezka ditzakezu zure datu-multzo analitikan, eta horrela, informazioek ez dituzte identitateak azaltzen.

3. Inplementatu sarbide-kontrol zorrotzak

Erakundeko guztiek ez dute donor erregistroak ikusi behar. Erabili rolen araberako sarbide-kontrola (RBAC) lan-beharreko langileei bakarrik baimenak emateko. Adibidez:

  • Fundraising taldeak kontaktuen xehetasunak eta dohaintzaren historia ikusi beharko ditu harremanak lantzeko.
  • Finance taldeak, opari-kopuruak eta datak behar ditu, baina ez nahitaez kontaktu pertsonalak.
  • Marketing taldeak helbide elektronikoak behar ditu kanpainetarako, baina ez emailearen helbide osoa edo telefono zenbakia.

Erabili pasahitz sendoak, faktore anitzeko autentifikazioa (MFA) eta erregistro sentikorretarako sarbide guztiak erregistratu. Baimenak erregularki berrikusten dira, batez ere langileak joan eta rol-aldaketak egin ondoren.

4. Langileen prestakuntza eta kontzientzia erregularra

Teknologia erabiltzen duten pertsonak bezain indartsua da. Urteko datuen babeserako prestakuntzan inbertitzen dute emaileen datuak kudeatzen dituzten langile eta boluntario guztientzat.

  • Phishing-saiakerak nola hauteman (s ransomwarerako sarrera puntuak).
  • Eskurapen-emaileen zerrendak modu seguruan kudeatzea (ez utzi inoiz idazmahaietan edo espazio publikoetan).
  • Datu-hauste susmagarri baten berri emateko prozedurak (berehala, ez "bulegora itzultzen zarenean").
  • Datuen minimizazioaren garrantzia eta mezu azkar bat bidaltzeko arriskua To eremuan hartzaile askorekin (erabili BCC edo posta elektronikoko tresna masiboak).

Gobernu-kontrola datu-babesera hedatzen da, eta batzordeko kideek beren erantzukizunak ulertu behar dituzte.

5. Datuen zehaztasuna eta garbiketa erregularra mantentzea

Donor datuak denborarekin desintegratzen dira. Pertsonak mugitzen dira, helbide elektronikoak aldatzen dituzte edo pasatzen dira. Antolatu datu-auditoria erregularrak (adibidez, hiruhilekoan edo bi-urtero) erregistro zaharkituak, okerrak edo bikoiztuak identifikatzeko. Erabili datuak garbitzeko tresnak edo zerbitzuak helbideak estandarizatzeko eta bikoiztuak kentzeko. Zehaztasunak biltegiratze-arriskuak murrizteaz gain, zure komunikazioak pertsona egokietara ere iristen direla ziurtatzen du, hil den norbaiti dohaintza-eskaera bidaltzeko lotsarik gabe.

Ezarri saltzailea eta hirugarren alderdiko ikuspegia

Irabazi-asmorik gabekoak, askotan, kanpoko saltzaileen mende egoten dira ordainketa-tratamendurako, posta-marketinerako, CRM hostingerako edo analitiketarako. Hirugarrenak datu-prozesadore bihurtzen dira, eta GDPRk kontratu idatzi bat eskatzen du haiekin, beren erantzukizunak zehazten dituena.

  • Hornitzailearen segurtasun-ziurtagiriak balioztatu (adibidez, ISO 27001, SOC2).
  • Berrikusi haien datuen prozesamendu-kontratua (DPA) eta ziurtatu Irlandako estandarrak betetzen dituela.
  • Datuak non gordeko diren zehazten du saltzaileak EEEtik kanpo datuak transferitzen baditu, transferentzia-mekanismo egokia egon behar du (adibidez, Erresuma Batua-EB-rako egokitasun-erabakia Erresuma Batuko prozesadoreentzat, edo Kontratu-klausula estandarrak besteentzat).

Ez ezazu uste tresna ezagun bat automatikoki betetzen denik. Adibidez, AEBko CRM plataforma batzuek ezin dute datu babes maila bera eskaini EBko legeak eskatzen duena GDPR errespetatzen duen DPA bat sinatzen ez baduzu. Beti berrikusi zure saltzaileen zerrenda eta ezabatu zure eskakizunak betetzen ez dituen edozein.

7. Sortu datuen bilketaren erantzun-plana

Babes sendoekin ere, ez da ezer gertatzen: ordenagailu eramangarri galdu bat, phishing-a, errore sarkorra, eta erantzun prestatu batek kalteak gutxitu eta kontuak erakutsi ditzake.

  • ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
  • Barneko jakinarazpena , komando-kate garbia: nork jakin behar du? (Datuak Babesteko Ordezkaria, CEOa, taula)
  • Zenbat emailek izan dute eragina? Arriskua handia da?
  • ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
  • ]Komunitate-txantiloiak, emaile, arautzaile eta publikoentzako aurrez egindako adierazpenak (pertsonalizatzeko prest).
  • Post-incident review - zuzendu azpiko kausa, eguneraketa eta langile erretrentak.

Proba ezazu zure plana urtero mahai gaineko ariketarekin. Tiradera batean geratzen den plana ez da plan bat, desira bat baizik.

Datuen babesaren kultura eraikitzea

DPCk espero du erakundeek datuak babestea beren kulturan txertatzea. Horrek esan nahi du lidergoaren konpromisoa: batzordeak eta CEOak datu-praktika arduratsuak defendatu behar dituzte, ez bakarrik IT kudeatzaile bati delegatzea. Datuak Babesteko Ordezkari bat (DPO) izendatzea, behar izanez gero, GDPRk bat agintzen du kategoria bereziko datu kopuru handiak prozesatzen dituzten erakundeentzat (osasun-informazioa edo iritzi politikoak, adibidez).

Barne-politikak sortzea, eskuragarriak eta ulergarriak: datuak babesteko politika, datuak gordetzeko antolaketa, pribatutasun-oharra (datu-bilketaren unean emaileei eman behar zaiena) eta gorabeherak erantzuteko prozedura. Berrikusi politika hauek urtero eta eragiketetan aldaketa esanguratsuren bat egin ondoren. Azkenik, GDPRren 30. artikuluak eskatzen duen moduan, tratamenduaren jardueren erregistroak gorde behar dira. ROPAk gordetzen ditu datu pertsonalak, zergatik gordetzen dituzun, nondik datozen eta norekin partekatzen duzun. DPCk ikuskaritza batean eskatuko duen lehen dokumentua da.

Gardentasuna eta Donor-en eskubideak errespetatzea

DBEOren pean eskubide indartsuak dituzte eta horiek errespetatzeak konfiantza sortzen du. Zure pribatutasun-oharrak argi eta garbi azaldu behar du nola erabili eskubide hauek:

  • Jakin-mina izateko eskubidea duzu, zure pribatutasun-oharraren bidez asebeteta.
  • Sarbide-eskubidea, emaileek hilabete bateko epean eska dezakete beren datuen kopia (kargarik gabe).
  • Zuzentzeko eskubidea, datu okerrak zuzentzeko.
  • Ezabatzeko eskubidea ( ahazteko eskubidea) - emaileek beren datuak ezabatzea eska dezakete, salbuespen batzuen mende (adibidez, legezko betebeharra gordetzeko).
  • Tratamendua mugatzeko eskubidea, emaileek beren datuak nola erabiltzen dituzten mugatu dezakete gatazka bat ebazteko.
  • Datuak eramateko eskubidea, datuak makina bidez irakurtzeko moduan jaso ditzakete.
  • Aurka egiteko eskubidea, emaileek uko egin diezaiokete zuzeneko marketinaren (berehala gelditu behar duzu) edo profilaren tratamenduari.

Eskariei azkar erantzun eta zure erantzunak dokumentatu. Trebatu hitz-eskaerak (adibidez, gertaera batean) jaso ditzaketen lehen mailako langileak DPOra edo kontaktu izendatura igotzeko.

Ondorioa: Datuen babesa emaile-harreman gisa indartzea

Donor-en datuak arduraz babestea ez da soilik betetze-karga bat, abantaila estrategikoa da. Beren informazioa seguru dagoela uste duten emaileek behin eta berriz eman dezakete, partekatu eta haien babesa. Irlandako irabazi-asmorik gabeko irlandarrek arau-ingurune zorrotz baina bidezko batean funtzionatzen dute. GDPR eta Irlandako legea ulertzean, babes praktikoak ezartzea, pribatutasun-kultura sustatzea eta donor-eskubideak errespetatzea, datuak emaile-fidentziaren zutabe bihur ditzakezu. Hasteko, berrikusi zure datuak biltzeko moduak, zure prestakuntza eta zure prestakuntza-betebeharrak, zure ustez, zure lekua prest dago, zure ustez, zure lekua eta zure lekua babesteko.