GDPR är en bra sak som hindras av en dålig idé

Den senaste veckan var viktig för dig och din personliga information, oavsett om du bor i EU eller inte.

GDPR, den allmänna dataskyddsförordningen som anger riktlinjer för hur personlig information om EU-medborgare samlas in och behandlas, är nu officiell. Det är en bra idé - enhetliga regler om hur din information samlas in, hur den lagras och hur du kan ta tillbaka den är försenad. Det har varit (och kommer att fortsätta att vara) mycket diskussion om vad som är bra, dåligt och fult med GDPR, men de flesta som arbetar i informationssäkerhet är överens om att målen är välmenande och kommer att ge den typ av skydd vi alla behöver under den 21: a århundrade.

En massa populära webbplatser är bara inte tillgängliga för europeiska besökare eftersom du inte följer GDPR.

De enskilda artiklarna i GDPR är dock inte så berömda. Efter att ha trätt i kraft fredagen den 25 maj ser vi redan nedfall: New York Daily News, Chicago Tribune, LA Times och andra högprofilerade webbplatser är nu inte tillgängliga

i länder som omfattas av GDPR-regler eftersom de inte var redo för de nya reglerna. Många andra webbplatser och onlinetjänster har bombarderat användare med nya villkor att acceptera, och klagomål har redan lämnats in mot anmärkningsvärda tekniska jättar Google och Facebook eftersom de inte erbjuder gratis tjänster utan att tillåta användare att välja bort datainsamling.

Mer: Google gör det lättare att förstå och hantera användardata som samlas in {.cta .large}

Frågor som dessa är inte förvånande. Inte heller är känslan att molnbaserade tjänster kommer att förlora intäkter och tvingas höja priserna till följd av GDPR, vilket hälften av deltagarna i Infosecurity Europe 2018 tror kommer snart att hända. De anser också att GDPR kommer att kväva innovation eftersom små organisationer inte har råd med den nödvändiga infrastrukturen för att vara kompatibel. Detta är en bra diskussion av de människor som behöver diskutera det. Bättre integritet är värt de timmar fram och tillbaka som behövs för att få det rätt.

Men det finns en del av GDPR som jag tror kommer att göra mer skada än nytta - artikel 33: s 72-timmars rapporteringsregel. Du kan läsa hela texten här, men kärnan i det är att ett företag som håller personlig identifiering av EU-medborgare är fullt ansvarigt för alla säkerhetsbrott, oavsett orsaken, och måste tillhandahålla fullständig information till en övervakningskommitté inom 72 timmar efter en brott. Det finns inget bra med denna regel, men två delar kommer att leda till att tjänsteleverantörer täcker dataintrång snarare än att ansvarsfullt rapportera dem.

Den första är övervakningskommittén. Olika länder har olika sätt att styra sina medborgare, men en sak som alla har gemensamt är förmånsbehandling när det gäller att skapa och bemanna en officiell kommitté. En vän till en vän eller den tredje kusinen som inte kan sluta be om en utdelning är främsta kandidater för alla utskottets säte, och när det primära målet är att skydda användardata, bör endast de mest kvalificerade personerna vara det anses vara. Låt oss hoppas att det är precis vad som görs här och regler kan anpassas och tillämpas av människor som har våra bästa intressen och är kvalificerade.

Små företag utan de resurser som krävs för att göra en fullständig utredningsundersökning kan välja att täcka över dem.

En större fråga är den tvingade 72-timmarsrapporteringen. Till och med en fullt bemannad Fortune 500-organisation kommer inte att veta tillräckligt om ett dataintrång för att börja lämna in rapporter till en myndighet. Med tanke på en så kort tid, förvänta dig lite mer än att ett företags informationssäkerhetschef säger att det var ett brott och vi är ännu inte säkra på några detaljer. Det är lite mer än slöseri med tid för alla inblandade, och jag skulle hellre ägna den tiden åt att försöka ta reda på varför, hur, när och vem som omger någon typ av dataintrång.

Ett mindre företag som kanske redan kämpar för att uppfylla GDPR-överensstämmelse kommer att frestas att undersöka om det kan innehålla överträdelsen och mildra skadorna på egen hand utan några rapporter. När du är under press och underbemannad kan en cover-up låta som rätt alternativ.

Det är uppenbart att det aldrig är det. Men stora och små företag har varit kända för välj fel alternativ gång på gång när det kommer till ledningen. Alla regler som är utformade för att skydda användare från företag som fattar dåliga beslut är bättre utan en regel som kan tvinga dem att göra just det.

Ansvarig och snabb rapportering av en datahistans är ett måste. Att tvinga företag som skördar och håller våra uppgifter att göra rätt sak är inte till stor nytta utan den. Skapa rätt tillsynskommitté fylld med rätt personer för att se över hur inbrott behandlas - eller till och med att erbjuda hjälp när de händer - skulle göra långt för att göra GDPR till en mall för resten av världen Följ.

Jerry Hildenbrand

Jerry är Mobile Nation's bosatta nörd och stolt över det. Det finns inget han inte kan ta isär, men många saker som han inte kan montera om. Du hittar honom över Mobile Nations-nätverket och du kan slog honom på Twitter om du vill säga hej.