Ievads: Kāpēc datu zudums Carries Real juridisko svaru Īrijā

Īrijas uzņēmumiem datu zudums vairs nav tikai IT problēma – tā ir atbildība par datu aizsardzību. Pāreja uz digitālajām operācijām nozīmē, ka klientu ieraksti, darbinieku dati, finanšu dati un patentēta uzņēmējdarbības informācija pastāvīgi ir apdraudēta kiberuzbrukumu, cilvēka kļūdu, aparatūras kļūdu vai dabas katastrofu dēļ. Tiesiskais regulējums, kas regulē datu aizsardzību Īrijā, pēdējo desmit gadu laikā ir ievērojami pasliktinājies, jo īpaši kopš 2018. gada maijā visā Eiropas Savienībā stājās spēkā Vispārīgā datu aizsardzības regula (GDPR). Jebkurš incidents, kas izraisa personas datu zudumu, iznīcināšanu vai neatļautu piekļuvi tiem, var izraisīt smagas juridiskas sekas, sākot no administratīviem sodiem līdz pat krimināltiesiskām prāvām un atsevišķos gadījumos pat kriminālvajāšanai.

Šajā pantā ir aplūkotas Īrijas uzņēmumu īpašās juridiskās sekas, kas rodas, kad dati tiek pazaudēti. Tajā ir sadalīti attiecīgie tiesību akti, izklāstīti sodi un riski un sniegti praktiski norādījumi par to, kā izveidot atbilstības sistēmu, kas var izturēt kontroli no regulatoru, klientu un tiesu puses. Zināšanas par šo juridisko realitāti ir būtiskas, lai pārvaldītu risku un saglabātu uzticību videi, kurā dati ir visvērtīgākie un visneaizsargātākie uzņēmuma aktīvi.

Izpratne par datu aizsardzības likumiem Īrijā

Īrijas uzņēmumu juridiskās saistības datu aizsardzības jomā galvenokārt nosaka VDAR (Regula (ES) 2016/679) un 2018. gada Īrijas Datu aizsardzības likums, kas papildina un konteksta kārtībā iekļauj VDAR Īrijas tiesību aktos. Šie divi instrumenti rada visaptverošu režīmu, kas regulē personas datu vākšanu, apstrādi, glabāšanu un dzēšanu. Turklāt konkrētām nozarēm īpaši noteikumi, piemēram, e-privātuma noteikumi (elektronisko sakaru jomā) un Tīklu un informācijas drošības (NIS) direktīva, ir piemērojami konkrētām nozarēm, bet VDAR joprojām ir stūrakmens.

GDPR attiecas uz jebkuru organizāciju, kas apstrādā ES dzīvojošo personu personas datus neatkarīgi no tā, kur uzņēmums atrodas. Īrijas uzņēmumiem tas nozīmē gandrīz katru uzņēmējdarbības veidu – sākot no algu pārvaldības līdz e-pasta mārketingam –, kas ietilpst VDAR pienākumos. Likumu Īrijā piemēro Datu aizsardzības komisija (DPC), kurai ir tiesības izmeklēt, sodīt un sodīt organizācijas par neatbilstību.

Galvenie VDAR noteikumi, kas tieši ietekmē datu zudumu

Vairāki VDAR panti ir īpaši svarīgi, ja dati tiek pazaudēti vai apdraudēti. 5. pantā ir izklāstīti datu apstrādes principi, tostarp integritāte un konfidencialitāte, kas nozīmē, ka jums ir jānodrošina atbilstoša personas datu drošība. 32. pantā ir noteikts, ka pārziņiem un apstrādātājiem ir jāīsteno atbilstoši tehniski un organizatoriski pasākumi, lai nodrošinātu riskam atbilstošu drošības līmeni. Nespēja to darīt ir galvenais iemesls daudziem datu zuduma gadījumiem, kas noved pie atbildības. 33. pantā ir noteikts, ka par personas datu aizsardzības pārkāpumu ir jāziņo uzraudzības iestādei 72 stundu laikā pēc tā konstatēšanas, ja vien pārkāpums nerada risku personu tiesībām un brīvībām. 34. pants ir plašāks, pieprasot, lai par pārkāpumu nekavējoties tiktu paziņots personām, ja tas var radīt augstu risku viņu tiesībām un brīvībām.

Citi kritiskie noteikumi ir 5. panta 1. punkta e) apakšpunkts par glabāšanas ierobežojumiem (datus nedrīkst glabāt ilgāk, nekā nepieciešams), kas var kļūt par problēmu, ja pazaudētie dati ietver novecojušus ierakstus, kas būtu jāsvītro. 17. pants dod personām „tiesības uz dzēšanu” (tiesības tikt aizmirstam), ko var apdraudēt, ja dati tiek zaudēti neatgriezeniski pirms dzēšanas pieprasījuma izpildes.

2018. gada Īrijas Datu aizsardzības likums

Šis valsts tiesību akts paredz vairāk nekā tikai pieņemt VDAR. Ar to izveido DPC kā neatkarīgu valsts uzraudzības iestādi un paredz īpašus noteikumus par īpašu kategoriju personas datu (piemēram, veselības, biometrisko vai ģenētisko datu) apstrādi. Ar to arī Īrijā ievieš noteiktus noziedzīgus nodarījumus par personas datu apzinātu vai neapdomīgu neatļautu piekļuvi, iznīcināšanu vai izpaušanu. Saskaņā ar Akta 141. pantu personai, kas apzināti vai neapdomīgi, bez likumīgas varas, iegūst, atklāj vai atļauj izpaust personas datus, var uzlikt naudas sodu līdz 50 000 eiro un/vai brīvības atņemšanu līdz pieciem gadiem. Lai gan tas ir paredzēts individuāla pārkāpuma gadījumā, uzņēmuma direktorus un amatpersonas var saukt pie atbildības arī saskaņā ar korporatīvās kriminālatbildības principiem, ja pārkāpums izdarīts ar viņu piekrišanu vai nolaidību.

2018. gada likumā ir arī paredzēts, ka datu aizsardzības inspektoram (DPO) obligāti jāieceļ valsts iestādēs un privātos uzņēmumos, kuru pamatdarbība ietver indivīdu liela mēroga sistemātisku uzraudzību vai īpašu kategoriju datu liela mēroga apstrādi. DAI ir galvenā loma atbilstības nodrošināšanā un atbildē uz pārkāpumiem, un nespēja vajadzības gadījumā iecelt vienu personu var būt atsevišķs pārkāpums.

Plašāks juridiskais konteksts: līgumtiesības un Tort

Papildus datu aizsardzības tiesību aktiem Īrijas uzņēmumi saskaras ar juridiskām sekām, kas izriet no līgumtiesībām un kopējām tiesībām, kas liedz nolaidību. Ja uzņēmums zaudē klientam piederošus datus un var pierādīt, ka tie nav pildījuši savu pienākumu rūpēties, piemēram, nešifrējot datus, klients var iesūdzēt prasību par zaudējumu atlīdzību. Tāpat daudzos komerclīgumos ir iekļautas īpašas datu drošības un konfidencialitātes klauzulas. Datu zaudējuma incidents var būt līguma pārkāpums, kas darījuma partnerim dod tiesības izbeigt līgumu vai pieprasīt zaudējumus. Apdrošināšanas polises var būt arī ietekmētas: datu aizsardzības tiesību aktu neievērošana var atcelt kiberapdrošināšanu, atstājot uzņēmumu pilnā mērā pakļautas pārkāpuma izmaksām.

Datu zuduma juridiskās sekas

Ja rodas datu zudums, sekas var rasties vairākās jomās vienlaicīgi: reglamentējoša darbība, civillietas, kriminālizmeklēšana, reputācijas bojājumi un darbības traucējumi. Smagums ir atkarīgs no tādiem faktoriem kā datu veids, skarto indivīdu skaits, zaudējumu cēlonis un uzņēmuma reakcija.

DAK uzliktie administratīvie sodi un to izpilde

Visneatliekamākais juridiskais apdraudējums ir DPC pilnvaras uzlikt administratīvos sodus. Saskaņā ar VDAR 83. pantu soda naudas ir diferencētas: zemākais līmenis (līdz 10 miljoniem eiro jeb 2 % no gada kopējā apgrozījuma, atkarībā no tā, kurš no tiem ir lielāks) attiecas uz datu drošības pienākumu pārkāpumiem, paziņojumu par pārkāpumiem, datu aizsardzības ietekmes novērtējumu un DAI iecelšanu. Augstākais līmenis (līdz 20 miljoniem eiro jeb 4 % no gada kopējā apgrozījuma, atkarībā no tā, kurš no tiem ir lielāks) attiecas uz apstrādes pamatprincipu pārkāpumiem, datu subjektu tiesībām, starptautiskās pārsūtīšanas ierobežojumiem un neatbilstību DPC rīkojumam.

Tā kā datu zudums bieži vien ir neatbilstošu drošības pasākumu rezultāts, tas parasti izraisa augstāku līmeni, ja neveiksme bija nopietna vai sistēmiska. DPC ir bijis arvien aktīvāks, izdodot ievērojamas soda naudas Īrijas uzņēmumiem. Piemēram, Twitter (tagad X) 2022. gadā DPC tika sodīts ar 450 miljoniem eiro par datu aizsardzības pārkāpumiem, lai gan šī lieta bija saistīta ar pārredzamību, nevis datu zudumu per se. 2023. gadā DPC soda Meta 1,2 miljardus eiro par nelikumīgu datu pārsūtīšanu, atkal nevis datu zaudējuma gadījumu, bet apjoms liecina, ka DPC ir gatavs izdot lielus sodus. Konkrēti, datu zuduma gadījumā DPC 2021. gadā par atbilstošu drošības pasākumu neīstenošanu, kā rezultātā tika pārkāpti vairāk nekā 200 klientu. Naudas sods bija zemajos sešos skaitļos, bet reputācijas un uzņēmējdarbības izmaksas bija daudz augstākas.

Papildus soda naudai DAK var izdot rājienus, rīkojumus uz laiku vai pastāvīgi aizliegt apstrādi un rīkojumus labot, dzēst vai ierobežot datus. Par pastāvīgu neatbilstību DAK var veikt izpildes nodrošināšanas pasākumus ar tiesu starpniecību, tostarp pieprasot diskvalificēt direktorus.

Civiltiesvedība un klašu darbības

Personas, kuru personas dati ir pazaudēti vai pārkāpti, ir tieši tiesīgas saņemt kompensāciju saskaņā ar VDAR 82. pantu. Tas ietver kompensāciju gan par materiālo kaitējumu (piemēram, par finansiālajiem zaudējumiem identitātes zādzībās), gan par nemateriālajiem zaudējumiem (piemēram, par diskomfortu, raizēm, par personas datu kontroles zudumu). Īrijas tiesas ir izrādījušas vēlmi atlīdzināt zaudējumus par nemateriālo kaitējumu datu pārkāpumu lietās. McDonagh/Svētdien Newspapers Ltd (2015) nozīmīgajā lietā Augstā tiesa piešķīra 20 000 eiro par privātās informācijas publicēšanas izraisītu kaitējumu. Lai gan tā bija lieta par privātumu, princips attiecas uz datu zudumu.

Nesen Īrijas tiesas ir ļāvušas grupu prasības (klases prasības) izskatīt lielu grupu skarto personu vārdā. 2023. gadā Augstā tiesa piešķīra atļauju iesniegt pārstāvības prasību pret daudznacionālu mazumtirgotāju pēc datu pārkāpuma, kas skāra simtiem tūkstošu klientu. Šāda veida tiesvedība var izraisīt izlīgumus vai spriedumus miljonu vērtībā, pat pirms regulatīviem sodiem. Juridiskās izmaksas vien var būt kropļojošas maziem un vidējiem uzņēmumiem. Uzņēmumiem arī jāapzinās, ka trešās puses, piemēram, bankas, kredītu aģentūras un uzņēmējdarbības partneri, var celt savas prasības par zaudējumu atlīdzību, ja datu zaudējumi tiem rada kaitējumu.

Kriminālatbildība saskaņā ar Īrijas tiesību aktiem

Kā norādīts 2018. gada Datu aizsardzības likuma 141. pantā, tiek radīti īpaši noziedzīgi nodarījumi saistībā ar neatļautu piekļuvi personas datiem, to iznīcināšanu vai izpaušanu. Lai gan tie visticamāk tiek saukti pie atbildības pret negodīgiem darbiniekiem vai ārējiem hakeriem, uzņēmumu var saukt pie atbildības par darbinieku darbībām, kas veiktas nodarbinātības laikā. Ja ir pierādīts, ka uzņēmuma augstākā vadība ir piekritusi vai ir nodevusi personas datu iznīcināšanu vai izpaušanu (piemēram, apzināti dzēšot datus, lai izvairītos no piekļuves pieprasījuma subjektam), gan uzņēmumam, gan privātpersonām var piemērot kriminālsankcijas. Iespējas tikt apcietinātas līdz pieciem gadiem, uzsver, cik lielā mērā Īrijas tiesību akti attiecas uz tīšiem datu zudumiem.

Ietekme uz uzņēmējdarbības līgumiem un apdrošināšanu

Daudzi komercnolīgumi tagad ietver klauzulas, kas paredz „atbilstošu tehnisku un organizatorisku pasākumu” saglabāšanu datu aizsardzībai. Šo noteikumu pārkāpums var dot tiesības otrai pusei izbeigt līgumu vai pieprasīt zaudējumu atlīdzību. Smagi regulētās nozarēs, piemēram, finanšu un veselības aprūpes nozarē, datu zaudēšana var arī radīt obligātus ziņojumus nozares regulatoriem (piemēram, Īrijas Centrālajai bankai, Veselības informācijas un kvalitātes iestādei), kas var noteikt papildu naudas sodus vai sankcijas.

Apdrošināšana par datu zudumu nav automātiska. Kiberapdrošināšanas polises bieži pieprasa apdrošinātajam pierādīt, ka tās atbilst datu aizsardzības tiesību aktiem pirms incidenta. Ja DPC konstatē, ka uzņēmumam nebija atbilstošu drošības pasākumu, apdrošinātājs var liegt apdrošināšanu, atstājot uzņēmumam pilnu finansiālo slogu, ko rada atbildes uz pārkāpumu, paziņošanas izmaksas, juridiskās maksas un jebkādi regulatīvie naudas sodi (kas bieži vien nav neapdrošināmi jebkurā gadījumā saskaņā ar Īrijas tiesību aktiem, jo soda naudas ir soda naudas).

Juridisko jautājumu novēršana, izmantojot pareizu datu pārvaldību

Labākā aizsardzība pret datu zuduma juridiskajām sekām ir proaktīva, iegulta datu aizsardzības kultūra. Īrijas uzņēmumiem GDPR prasību ievērošana būtu jāuztver nevis kā vienreizējs pasākums, bet gan kā pastāvīgs pienākums, kam nepieciešami īpaši resursi, regulāras revīzijas un padomes līmeņa uzraudzība.

Veikt regulārus datu aizsardzības ietekmes novērtējumus (DPIA)

DPIA ir strukturēts process, lai noteiktu un samazinātu datu aizsardzības riskus projektam vai sistēmai. Saskaņā ar GDPR 35. pantu DPIA ir obligāta, ja apstrāde, visticamāk, radīs lielu risku indivīdiem, piemēram, plaša mēroga profilēšanu, publisku pieejamu teritoriju sistemātisku uzraudzību vai īpašu kategoriju datu apstrādi. Pat ja tas nav stingri obligāts, DPIA ieviešana jaunu tehnoloģiju ieviešanai vai būtiskas izmaiņas datu apstrādes praksē var palīdzēt identificēt neaizsargātību, pirms tā noved pie datu zuduma. DPC sniedz sarakstu ar apstrādes darbībām, kas prasa DPIA, kuru Īrijas uzņēmumiem regulāri jāpārskata.

Iecelšana amatā un pilnvarošana datu aizsardzības inspektoru

Lai gan ne katram uzņēmumam ir nepieciešams DAI, kam ir viens – pat brīvprātīgi – spēcīgs rādītājs par apņemšanos ievērot noteikumus. DAI būtu jāiesaistās visos datu aizsardzības jautājumos, sākot ar iekšējām revīzijām un beidzot ar reaģēšanu uz negadījumiem. DAI darbojas kā kontaktpunkts ar DPC un var palīdzēt nodrošināt, ka paziņojumi par datu zudumu tiek sniegti pareizi un 72 stundu laikā. Saskaņā ar 2018. gada Datu aizsardzības likuma 84. iedaļu DAI var būt darbinieks vai ārējais pakalpojumu sniedzējs, bet tai jādarbojas neatkarīgi un jāziņo tieši uz augstākā līmeņa vadību.

Īstenot tehniskos un organizatoriskos pasākumus

32. pantā noteikts, ka uzņēmumiem jāīsteno riskam atbilstoši pasākumi, tostarp:

  • Personas datu šifrēšana miera stāvoklī un tranzītā, izmantojot spēcīgus algoritmus un atslēgu pārvaldības praksi. Šifrēšana ar pazaudētu atslēgu joprojām ir pārkāpums, bet neatļauta piekļuve ir samazināta līdz minimumam.
  • Piekļuves kontrole, pamatojoties uz vismazāko privilēģiju principu. Nodrošināt, ka darbiniekiem ir pieejami tikai tie dati, kas nepieciešami, lai veiktu savu darbu. Izmantot vairāku faktoru autentifikāciju jutīgām sistēmām.
  • Krāpošu datu regulārajiem dublējumiem, kas tiek glabāti drošā vietā ārpus objekta. Testu atjaunošanas procedūras periodiski, lai nodrošinātu, ka rezerves kopijas nav bojātas vai nepieejamas, ir kopīgs iemesls pastāvīgai datu pazaudēšanai.
  • Līdz šim brīdim drošības programmatūra un ielāpu pārvaldība. Rensomware uzbrukumi ir galvenais datu zuduma cēlonis; lāpīšana zināmo ievainojamību ievērojami samazina risku.
  • Tīkla segmentācija un galapunktu aizsardzība, lai ierobežotu ļaunprogrammatūras izplatīšanos.
  • Datu zudumu novēršanas (DLP) rīki, kas uzrauga un bloķē neatļautus mēģinājumus kopēt vai pārsūtīt sensitīvus datus.

Šie pasākumi jādokumentē datu drošības politikā, kas tiek pārskatīta un atjaunināta katru gadu. Politikai būtu jāattiecas arī uz fizisko drošību (piemēram, bloķētām serveru telpām, drošu aparatūras iznīcināšanu) un mobilo ierīču pārvaldību.

Izstrādāt un pārbaudīt incidentu reaģēšanas plānu

Katram Īrijas uzņēmumam ir jābūt rakstiskam negadījuma reaģēšanas plānam, kurā ir izklāstīti pasākumi, kas jāveic, ja tiek atklāts datu zuduma gadījums. Plānā jāiekļauj:

  • Lomas un pienākumi (piemēram, kurš nolemj paziņot DPC, kurš sazinās ar skartajām personām, kas iesaistās juridiskajā padomdevējā un kriminālistikā).
  • Apturēšanas un pierādījumu saglabāšanas procedūras (neizslēgt sistēmas bez tiesu medicīnas norādījumiem).
  • Kritēriji, lai novērtētu risku privātpersonām (lai noteiktu, vai ir nepieciešams paziņojums).
  • Saziņas veidnes iekšējai un ārējai izmantošanai.
  • Eskalācijas procedūras, tostarp kuģa paziņošana.

Praktiski plāns, izmantojot tableop mācības vismaz reizi gadā. Labi izmēģināta atbilde var nozīmēt atšķirību starp pārvaldīts incidentu un pilna juridiska krīze.

Nodrošināt pastāvīgu personāla apmācību un informētību

Cilvēka kļūda ir galvenais cēlonis lielākajai daļai datu zuduma gadījumu – vai nu ar pikšķerēšanu, nepareizu konfigurēšanu, nejaušu dzēšanu, vai atstājot klēpjdatoru vilcienā. Īrijas uzņēmumiem būtu jāiegulda regulārā, lomai specifiskā datu aizsardzības apmācībā. Visiem darbiniekiem būtu jāsaprot VDAR pamati, kā atpazīt drošības incidentu, un ar ko sazināties. Uzlabotas apmācības IT personālam, juridiskām un ar klientiem vērstām komandām var attiekties uz ziņošanas pienākumu pārkāpumiem un pierādījumu saglabāšanas nozīmi. Mācību ieraksti būtu jāsaglabā kā pierādījums par atbilstību izmeklēšanas laikā.

Regulāri auditi un atbilstības pārbaudes

Iekšējās vai ārējās datu apstrādes darbību revīzijas var atklāt nepilnības drošībā un datu aizsardzībā. Auditiem būtu jānovērtē atbilstība uzņēmuma politikai, VDAR prasībām un 2018. gada Datu aizsardzības likuma konkrētajiem pienākumiem. DAK ir tiesības bez iepriekšēja brīdinājuma veikt pārbaudes, bet spēja pierādīt pastāvīgu atbilstību ar revīzijas ziņojumu palīdzību var mazināt sodus, ja pārkāpums notiek.

Kiberapdrošināšanas un tiesiskās sagatavotības nozīme

Kiberapdrošināšana neaizstāj atbilstību, bet tā var būt finanšu riska pārvaldības kritiska daļa. Izvēloties politiku, Īrijas uzņēmumiem jānodrošina, ka tā sedz juridiskās izmaksas, kriminālistikas izmeklēšanu, paziņošanas izmaksas un sabiedrisko attiecību atbalstu. Tomēr uzņēmumiem jāapzinās, ka lielākā daļa politiku neietver naudas sodus un sodus, un ka segums var būt spēkā neesošs, ja uzņēmums negadījuma laikā neatbilda datu aizsardzības likumiem. Ir ieteicams strādāt ar starpnieku, kas specializējas kiberriskā un rūpīgi pārskatīt politikas noteikumus, jo īpaši nosacījumus, kas attiecas uz reaģēšanu uz pārkāpumiem un paziņošanu.

Likumīga sagatavotība nozīmē arī attiecības ar advokātu, kurš specializējas datu aizsardzības tiesību aktos, vēlams, ar to, kurš pārzina DPC praksi. Iepriekš vienojoties par juridisko turētāju, var paātrināt atbildes laiku, kad katra stunda ir 72 stundu paziņošanas termiņa priekšā.

Gadījumu izpēte. Hipotētisks scenārijs, kas ilustrē stakus

Apsveriet Īrijas MVU, kas sniedz algas pakalpojumus 50 maziem uzņēmumiem, apstrādājot personas datus par 10 000 darbiniekiem, tostarp bankas konta datus, PPS numurus un algu informāciju. Uzņēmums izmanto mākoņdatošanas platformu, bet neīsteno vairāku faktoru autentifikāciju (MFA). Darbinieks krīt uz pikšķēšanas e-pastu, un uzbrucējs iegūst piekļuvi datu bāzei, exfiltrates datus, un tad tur to par izpirkuma maksu. Uzņēmums, bez bezsaistes dublējumu, zaudē datus uz visiem laikiem, kad izpirkuma termiņš beidzas. Tiem nav incidentu reaģēšanas plāna, un tie paziņo DPC pēc 10 dienām, jo tie mēģināja atgūt datus paši. DPC izmeklē un konstatē, ka uzņēmums pārkāpa 32. pantu (neatbilstošas drošības ieviešana) un 33. pantu (neatbilstoša ziņošana nav iespējama). DPC nenosaka soda naudu EUR 150 000 apmērā. Tikmēr ietekmētie darbinieki veic klases rīcību saskaņā ar 82. pantu par grūtībām un krāpšanas risku, pieprasot kopējo summu EUR 2 miljoni. Uzņēmuma kiberdrošības apdrošinātājs denies segums ir neprecīzs un tāpēc, ka uzņēmums nav nonācis no MFA, bet ir bijis mazākuma.

Lai novērstu šādu rezultātu, uzņēmumam vajadzēja ieviest MFA, veikt DPIA mākoņa platformai, uzturēt šifrētus dublējumus atsevišķā vietā, izstrādāt incidentu reaģēšanas plānu, apmācīt personālu pikšķerēšanā un iecelt DAI vai ārēju datu aizsardzības konsultantu. Šo pasākumu izmaksas ir daļa no iespējamiem zaudējumiem.

Ārējie resursi Īrijas uzņēmumiem

Īrijas uzņēmumi var piekļūt oficiālām vadlīnijām un atbalstam, lai stiprinātu savu datu aizsardzības stāvokli.

Šīs saites sniedz autoritatīvu informāciju par atbilstības nodrošināšanas pienākumiem, pārkāpumu paziņošanas procedūrām un datu drošības paraugpraksi. Uzņēmumi tiek aicināti tos iegrāmatot grāmatvedībā un regulāri atsaukties uz tiem kā daļu no to pārvaldības kārtības.

Secinājums: tiesiskā aizsardzība sākas ilgi pirms pārkāpuma

Datu zuduma juridiskās sekas Īrijas uzņēmumiem ir tālejošas un potenciāli eksistenciālas. 2018. gada VDAR un Datu aizsardzības likums uzliek stingras saistības, kas tiek īstenotas ar arvien smagākiem sodiem un izpildes pasākumiem. Papildus regulējošiem sodiem uzņēmumi saskaras ar civiltiesvedību, kriminālatbildību, līguma pārkāpumiem un reputācijas kaitējumu, kas var sagraut klientu uzticību un ieguldītāju uzticību.

Galvenais uzdevums ir nodrošināt, lai tiesiskā aizsardzība tiktu veidota proaktīvi. Tam ir vajadzīgi reāli ieguldījumi datu drošībā, pastāvīgā apmācībā, atbilstības nodrošināšanas kultūrā un labi pārdomātā incidentu reaģēšanas plānā. Uzņēmumi, kas datu aizsardzību uzskata par juridisku prioritāti, nevis IT kontrolpaketi, būs daudz labāk piemēroti, lai pārvaldītu datu zuduma riskus un aizsargātu sevi, kad incidenti neizbēgami notiek. Digitālā ekonomikā datu noturība nav tikai laba prakse, bet tā ir juridiska nepieciešamība.