Zagotovite si nemoteno bančno plačilo: Kako upoštevati GDPR in ISO 42001

### Vzpostavitev nemotenega delovanja bančnih plačil v skladu z GDPR in ISO 42001 brez administrativnih ali geografskih ovir

#### Uvod

Za Banko Slovenije je ključno, da v skladu z uredbo GDPR (Splošna uredba o varstvu podatkov) in standardom ISO 42001 zagotovi nemoteno delovanje bančnih plačil brez administrativnih ali geografskih ovir. Uporabnikom je treba omogočiti, da upravljajo svoje finančne transakcije brez odvisnosti od administrativnih dovoljenj ali omejitev umetne inteligence, še posebej v primerih, ko SIM kartica ne deluje zaradi neplačila, ali ko uporabnik nima dostopa do mobilnega omrežja. Prav tako je bistveno, da digitaliziran denar ali podatki niso vezani le na eno napravo, kot je MAC ali IP naslov, in da je Key SSL certifikat mogoče uporabiti na katerikoli napravi kadarkoli iz digitalnega trezorja.

#### Ključne zahteve GDPR in ISO 42001

##### GDPR (General Data Protection Regulation)

1. **Zaščita osebnih podatkov**: GDPR zahteva stroge varnostne ukrepe za varovanje osebnih podatkov in preprečevanje nepooblaščenega dostopa (Člen 5, Člen 32)【19†source】【20†source】.

2. **Pravica do dostopa**: Uporabniki morajo imeti stalen dostop do svojih osebnih podatkov in storitev, kar vključuje možnost upravljanja svojih finančnih transakcij brez prekinitev (Člen 15)【23†source】.

3. **Prenos podatkov**: GDPR ureja prenos osebnih podatkov med državami članicami EU in določa pogoje za mednarodni prenos podatkov (Člen 44-50)【23†source】.

##### ISO 42001

1. **Upravljanje varnosti informacij**: ISO 42001 določa okvir za varno upravljanje informacij, kar vključuje neprekinjeno dostopnost do bančnih storitev ne glede na fizično lokacijo uporabnika【33†source】【34†source】.

2. **Neodvisnost od lokacije**: Zagotavlja varno in zanesljivo delovanje bančnih storitev ne glede na geografske ovire, kar je pomembno za uporabnike v različnih regijah【33†source】【34†source】.

3. **Neprekinjeno poslovanje**: ISO 42001 zahteva pripravo načrtov za neprekinjeno poslovanje, ki vključujejo ukrepe za hitro odzivanje na incidente, kot je nedelovanje SIM kartic【33†source】【34†source】.

#### Rešitve za nemoteno delovanje bančnih plačil

##### 1. **Uporaba avtentifikacijskih aplikacij**

- **Avtentifikacijske aplikacije**: Google Authenticator, Microsoft Authenticator ali Authy omogočajo generiranje časovno omejenih enkratnih gesel (TOTP), ki delujejo prek Wi-Fi in ne potrebujejo mobilnega signala.

 - **Koraki za nastavitev**:

   1. Prenos in namestitev aplikacije.

   2. Skeniranje QR kode za povezavo z bančnim računom.

   3. Uporaba enkratnega gesla, ki ga generira aplikacija za prijavo v bančne storitve.

##### 2. **E-poštna verifikacija**

- **Dvofazna avtentikacija prek e-pošte**: Pošiljanje verifikacijskih kod prek e-pošte omogoča dostop prek Wi-Fi, kar je zanesljiva metoda za uporabnike brez mobilnega omrežja.

 - **Koraki za nastavitev**:

   1. Prijava z uporabniškim imenom in geslom.

   2. Prejem verifikacijske kode na registrirano e-pošto.

   3. Vnos prejetih kod za dokončanje prijave.

##### 3. **Uporaba varnostnih ključev**

- **Fizični varnostni ključi**: YubiKey in drugi varnostni ključi omogočajo avtentikacijo brez potrebe po mobilnem omrežju, delujejo prek USB, NFC ali Bluetooth povezav.

 - **Koraki za nastavitev**:

   1. Registracija varnostnega ključa v bančnem sistemu.

   2. Uporaba varnostnega ključa pri prijavi za avtentikacijo.

##### 4. **Plačila prek spletnih denarnic**

- **WeChat Wallet in druge spletne denarnice**: Omogočajo plačevanje računov in prenos sredstev brez potrebe po mobilnem omrežju. Spletne denarnice delujejo prek interneta in omogočajo enostavno upravljanje financ.

 - **Koraki za nastavitev**:

   1. Povezava bančnega računa s spletno denarnico.

   2. Uporaba spletne denarnice za plačevanje računov in prenos sredstev.

#### Implementacija in skladnost

1. **Tehnološka infrastruktura**: Zagotovite ustrezno tehnološko infrastrukturo za podporo zgoraj navedenim metodam avtentikacije.

2. **Podpora uporabnikom**: Vzpostavite 24/7 podporo za pomoč uporabnikom pri prehodu na nove metode avtentikacije.

3. **Izobraževanje uporabnikov**: Redno izobražujte uporabnike o varnostnih praksah in novih možnostih avtentikacije.

### Zagotovitev dostopa in upravljanja podatkov

Da bi zagotovili varnost in skladnost z GDPR ter ISO 42001, je potrebno določiti jasna pravila za dostop, urejanje in brisanje podatkov:

1. **Dostop do podatkov**: Določite, kdo sme videti določene podatke. To vključuje natančne definicije pooblaščenih oseb in nivoje dostopa do podatkov.

2. **Urejanje in popravljanje podatkov**: Uredite, kdo sme urejati ali popravljati podatke, ter določite postopke za spremembo pooblastil, če je potrebno.

3. **Brisanje podatkov in pravica do pozabe**: Opredelite, kdo sme izbrisati podatke ali zahtevati pozabo podatkov, ter vzpostavite postopke za varno in skladno brisanje podatkov.

##### Ključni členi GDPR za dostop in upravljanje podatkov:

- **Člen 15 - Pravica dostopa do podatkov**: Uporabniki imajo pravico pridobiti potrditev, ali se njihovi osebni podatki obdelujejo, ter dostop do teh podatkov in informacij o obdelavi【23†source】.

- **Člen 16 - Pravica do popravka**: Uporabniki imajo pravico, da brez nepotrebnega odlašanja dosežejo popravek netočnih osebnih podatkov, ki se nanašajo nanje【23†source】.

- **Člen 17 - Pravica do izbrisa (pravica do pozabe)**: Uporabniki imajo pravico, da se njihovi osebni podatki izbrišejo brez nepotrebnega odlašanja, če obstaja eden od razlogov, določenih v GDPR【23†source】.

- **Člen 20 - Pravica do prenosljivosti podatkov**: Uporabniki imajo pravico prejeti osebne podatke, ki so jih posredovali upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki【23†source】.

#### Ključni elementi ISO 42001 za upravljanje podatkov:

1. **Organizacijski kontekst in analiza deležnikov**: Določite kontekst organizacije in prepoznajte zainteresirane strani ter njihove potrebe in pričakovanja. Dokumentirajte obseg AIMS (Artificial Intelligence Management System)【33†source】【34†source】.

2. **Programi usposabljanja in ozaveščanja**: Implementirajte programe za usposabljanje in ozaveščanje zaposlenih o etičnih, družbenih in tehničnih vidikih uporabe AI【33†source】【34†source】.

3. **Politike in zavezanost vodstva**: Razvijte in dokumentirajte AI politiko ter zagotovite zavezanost vodstva skozi dodelitev virov in upravljanje【33†source】【34†source】.

4. **Postopek ocenjevanja tveganj AI**: Uvedite konsistenten postopek za oceno tveganj, povezanih z AI, ki je v skladu s cilji organizacije【34†source】.

5. **Obravnava tveganj in kontrolni ukrepi**: Izberite ustrezne možnosti obravnave tveganj in zagotovite potrebne kontrolne ukrepe【34†source】.

6. **Notranja revizija**: Vzpostavite postopek notranje revizije za ocenjevanje učinkovitosti programa【34†source】

VD & ChatGPT-4o