Доклад в сайта на CNIL показва различни въздействия от спазване на регламента
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) публикува анализ на икономическото въздействие на GDPR върху киберсигурността. В своята оценка на икономическото въздействие на GDPR, CNIL отбеляза, че икономическите проучвания върху въздействието на GDPR се фокусират главно върху разходите и само незначително разглеждат ползите от него. Поради това CNIL се ангажира да проучи тези ползи и да предложи количествен анализ. Анализът използва гледната точка на киберсигурността (членове 32, 33 и 34 от GDPR), за да подчертае ползите.
В икономиката на киберсигурността, ИТ сигурността се счита за бизнес инвестиционно решение. Това инвестиционно решение следва логиката на рентабилност: инвестицията в киберсигурност се преценява спрямо нейната цена и риска от кибератака.
Това изчисление, направено от компанията, обаче не взема предвид ключов елемент – въздействието на инвестицията ѝ върху останалата част от обществото, което в икономиката се нарича външен ефект . Поради тези външни ефекти нивото на спонтанни инвестиции от страна на компаниите в осигуряването на сигурност на информационните системи не е оптимално при липса на регулация. GDPR помага за запълване на тези празнини, създавайки икономически ползи чрез задължението за сигурност.
Съществуват три основни вида външни ефекти в зависимост от засегнатия икономически субект: други компании, киберпрестъпници и клиенти/потребители.
Външни ефекти, засягащи други бизнеси
Нивото на киберсигурност на една компания зависи и от инвестициите в киберсигурност от други компании. Компютърен вирус може да се разпространява от машина на машина по същия начин, по който истински вирус се разпространява чрез заразяване. Следователно, когато една компания инвестира в киберсигурност, тя помага за изграждането на цялостна среда, която е по-устойчива на киберпрестъпления чрез механизъм, който може да се сравни с колективния имунитет: в рамките на подизпълнителските отношения, тъй като сигурността на данните на администратора на лични данни зависи от нивото на сигурност на неговия доставчик на услуги; с партньорски компании или дори конкуренти, които например могат да „се възползват“ от високото ниво на сигурност на данните в даден сектор, в логиката на „cercle vertueux“.
Компанията няма стимул да обмисля ползите, които инвестициите ѝ в киберсигурност носят на конкурентите ѝ, което ограничава инвестициите ѝ в тази област.