Част от това, което възложител или застраховател поиска, можете да подготвите сам: преглед на това кои лични данни обработвате, кои инструменти използвате за това и какви договори имате със своите доставчици. Което е по-трудно да направите сам, е да държите прегледа пълен и актуален, и да докажете, че предприетите мерки наистина са подходящи за това, което обработвате. Последното изисква структура, която се развива с времето, а не моментален снимък.
Дали саморъчното справяне е достатъчно, зависи до голяма степен от това, което точно се поисква. Застраховател, който изпраща въпросник за елементарни мерки по защита, е нещо съвсем различно от възложител при обществена поръчка, който желае да види пълен регистър на обработката, договори с обработвател и DPIA (оценка на влиянието върху защитата на данните). Колкото по-обширна е заявката, толкова повече работа е необходима, за да привести всичко в ред и да го поддържаш.
Което всъщност поисква възложител или застраховател
Заявката «докажи, че спазваш Регламента» почти никога не съществува буквално така на практика. Обикновено се поисква конкретна документация: регистър на обработката, доказателства за договори с обработвател със своите доставчици, описание на технически и организационни мерки, и понякога декларация за начина на справяне с нарушения в защитата на данните. Самият Регламент задължава организациите да могат да отчетат обработките, които извършват; което допълнително поисква отделен възложител или застраховател, е собствено, допълнително изискване, което може да се различава в зависимост от партньора.
Поради това е важно първо да уточните точно какво се поисква, преди да решите колко работа струва да поемете сам. Кратък въпросник може да бъде отговорен с половин ден работа; пълен одит изисква структурирана документация, която да се пази в ход на времето.
Което можете да подготвите сам
Начална инвентаризация могат повечето предприемачи да направят сам: кои SaaS-инструменти използвате, кои от тях обработват лични данни, и имате ли договор с обработвател от всеки доставчик. Също така глобално описание на мерки по защита — политика за пароли, кой има достъп до кои системи, има ли резервни копия — е възможно да направите с здравия разум, без външна помощ. уроци с обяснение по тема дава за всяка ситуация кратък отговор и указание за където точно се намират тези условия в официалния текст, така че да знаете откъде идва едното изискване, преди да започнете работа по него.
Който се съмнява дали докладвано преди нарушение в защитата на данните е трябвало да бъде докладвано, може да провери и сам: вижте в няколко вопроса приблизително където сте дава прелиминарна преценка, независимо от въпроса дали конкретният случай е трябвало или не да бъде докладван по онова време.
Където саморъчното справяне е по-трудно
Сложността обикновено не е в един документ, а в съвместимостта и актуалността на всички. Регистър на обработката, изготвен преди година и не преглеждан от тогава, е вече остарял при нов SaaS-инструмент или промяна на доставчик. Договори с обработвател, които някога сте подписали, трябва да отговарят на това, което наистина правите сега с този доставчик. И застраховател или възложител при обществена поръчка често поисква не само съществуването на документи, а последователна история: регистър, договори и мерки, които логично се свързват.
Именно това поддържане е място, където самостойното пазене на документи за много МСП отнема време, което нямат. Система, която попълва регистъра от библиотека на познати инструменти и която проверява дали договорите с обработвател все още са уместни, отнема това поддържане от плещите ви без да ставате юрист.
Което остава, дори ако поемете сам
Никой инструмент не замества вашето окончателното преценяване: вие сами решавате какво предоставяте на възложител или застраховател и дали това отговаря на поставеното изискване. Структурата и обясненията могат да облегчат работата значително. На страницата, откъдето идва информацията е обяснено как gdpria.eu основава съдържанието си на самия GDPR и на насоки на EDPB и Органа по защита на данните, с указание на източника, така че не трябва да ни вярвате на дума, а можете сами да проверите източника.
Границата на практика
Като правило важи следното: еднократен, ограничен въпрос често можете сами да отговорите с един ден проучване. Когато се касае на текущ регистър, множество доставчици с различни договори с обработвачи на данни, или повтарящи се въпроси от множество възложители, поддръжката става тесното място, а не първоначалното подготвяне. В този момент изнасяне на система или консултант често не е луксус, а начин да спечелите време.
Любопитни ли сте какво би направило разлика в вашата ситуация? Направете безплатното бързо сканиране или прегледайте често задаваните въпроси по тази тема за да видите кой етап е най-уместен за вас.