Ruim de helft van de organisaties (54%) in het Verenigd Koninkrijk, Frankrijk en de Benelux beseft nog niet goed wat de gevolgen van de GDPR – in Nederland de AVG – voor hen kunnen zijn. 17 procent stelt dat ze mogelijk de deuren moeten sluiten, een aantal dat stijgt naar 54 procent bij bedrijven met minder dan 50 werknemers. 39 procent van de 625 ondervraagde IT-besluitvormers stelt dat boetes ook kunnen leiden tot ontslagen.
Bedrijven in Frankrijk en de Benelux zouden vooroplopen voor wat betreft het conformeren van hun bedrijfsvoering met de GDPR, maar ook hier moet er nog veel gebeuren. Zo stelde de Autoriteit Persoonsgegevens (AP) deze week nog dat er zoveel vragen binnenkomen over de AVG dat zij ze niet allemaal individueel kan beantwoorden. De AP heeft meer budget aangevraagd om straks de AVG in de praktijk te kunnen handhaven.
Ondanks alle zorgen beschouwt slechts 6 procent van de bedrijven in het Verenigd Koninkrijk (VK) de GDPR als een topprioriteit. In Frankrijk is dit 30 procent en in de Benelux 25 procent. 20 procent van de bedrijven in het VK ziet de GDPR als een lage prioriteit tegen 8 procent in Frankrijk en 11 procent in de Benelux. Bijna één op de vijf bedrijven claimt al aan de regelgeving te voldoen(Frankrijk 19%, Benelux 18%). In het VK is dit 8 procent.
55 procent van de bedrijven is er niet volledig gerust op dat ze op de deadline aan de regelgeving kunnen voldoen (42% denkt dit wel) , waardoor ze een risico lopen op grote boetes (20 miljoen euro of tot 4% van de jaaromzet). De topprioriteiten moeten volgens Sophos qua IT-beveiliging liggen bij het verminderen van de grootste oorzaken van gegevenslekken – het hacken van endpoint-computers en het verlies van apparaten (mobiele telefoons en laptops) – en het implementeren van GDPR-compliance.
Andere conclusies:
- 42 procent van de bedrijven heeft een functionaris Gegevensbescherming aangesteld, een veel kleiner aantal dan verwacht.
- De helft van de organisaties heeft maatregelen ingevoerd om te garanderen dat de persoon van wie gegevens worden verzameld, toestemming geeft voor gegevensverzameling.
- 44 procent heeft procedures ingevoerd voor het verwijderen van persoonsgegevens in geval van een verzoek om ‘the right to be forgotten’ of als een persoon bezwaar maakt tegen het verwerken van zijn/haar gegevens.
- Minder dan de helft (45 procent) is in staat om binnen de 72 uur na ontdekking een datalek te melden.
In 70 procent van de bedrijven is het IT-team of het IT-securityteam verantwoordelijk voor het naleven van de GDPR. Slechts 4 procent van de juridische teams en 13 procent van de directeuren of het senior management is verantwoordelijk voor de implementatie. Dit legt veel druk op de IT-teams, waarbij veel IT-besluitvormers het gebrek aan bewustzijn bij belangrijke besluitvormers aangeven als reden waarom bepaalde protocollen niet zijn ingevoerd, zoals het kunnen melden van een datalek binnen de 72 uur na de ontdekking – een essentieel aspect van GDPR-compliance.
65 procent van de organisaties heeft een beleid voor gegevensbescherming ingevoerd en 98 procent van de organisaties heeft een formeel plan voor werknemers of implementeert dit momenteel. In dit plan wordt het beleid voor gegevensbescherming beschreven, evenals wat er van werknemers wordt verwacht wanneer ze omgaan met persoonsgegevens.
Ondanks de Brexit zal Brittannië nog steeds volledig moeten voldoen aan GDPR. Uit het onderzoek is echter gebleken dat veel bedrijven in het VK denken dat de brexit mogelijk inhoudt dat ze hieraan niet langer hoeven te voldoen, waarbij 26 procent van de organisaties in het VK toegeeft sinds de Brexit minder goed te weten wat er nodig is om aan de verordening te voldoen, of te denken dat ze hieraan niet hoeven te voldoen.
