Какви документи трябва да имате, за да докажете съответствие с правилата за защита на данните при обществена поръчка или застраховател?
Когато един орган по обществени поръчки или застраховател ви попросят да докажете, че отговорно се справяте с личните данни, това обикновено се свежда до фиксиран пакет: регистър на дейностите по обработка, споразуменията за обработка на данни със собствените си доставчици, политика за личните данни, преглед на мерките за сигурност, които прилагате, и кратко описание на вашия начин на справяне с нарушение или с искане на субект на данни. При обществена поръчка често се прилагат попълнена анкета или декларация; при застраховател това е по-скоро формуляр за включване на цибер полица.
Причината този пакет да се повтаря постоянно е, че GDPR предвижда задължение за отчетност: организация трябва не само да обработва личните данни отговорно, но и да може да го докаже. Орган по обществени поръчки или застраховател така проверяват не дали вие "нещо правите по отношение на личните данни", а дали можете да го покажете на хартия. Това е точно детайлът, който е фокусът на този момент от покупката: не намерението, а доказателството.
Регистърът на дейностите по обработка като основа
Регистърът на дейностите по обработка е обикновено първото нещо, което се изисква, и също най-важното, на което се гради останалото. В него е посочено кои лични данни обработвате, с каква цел, кой ги получава и как дълго ги съхранявате. Орган по обществени поръчки бързо разпознава дали една организация систематично е обмислила своите потоци на данни, или регистърът е направен специално за искането. Какво точно трябва да стои в него и колко детайлно, можете да прочетете в базата от знания с обяснение по всяка тема.
Споразумения за обработка на данни със собствените си доставчици
Второто нещо, което почти винаги се изисква, е преглед на споразуменията за обработка на данни: договорите, които сте сключили със SaaS инструменти и доставчици на услуги, които обработват лични данни в ваше име. Помислете за пакет за администрация на заплати, CRM система или облачна услуга за файлове. Орган по обществени поръчки или застраховател не искат само да видят, че тези споразумения съществуват, но и че са актуални и съответстват на инструментите, които наистина се използват. Регистър, който посочва трима доставчици, докато на практика осем са активни, бързо привлича внимание при задълбочена проверка.
Сигурност и справяне с инциденти
Освен регистъра и споразуменията, често се изискват организационни и технически мерки, които са предприети: кой има достъп до кои системи, как се криптират данните, има ли стратегия за резервни копия. Застрахователите често изискват това изрично в анкета за изчисляване на премия. Преглед на предприетите мерки можете да видите на страницата за защита на личните данни. Освен това редовно се изисква как една организация идентифицира и справя нарушение: има ли процедура, знае ли някой кой предупреждава и в какъв срок. Дърветото на решенията, което определя дали един инцидент трябва да бъде докладван, можете да преминете в няколко въпроса за да видите къде стойте приблизително.
Какво един списък не решава
Заблудително е да се разглеждат тези документи като контролен списък, който ще отметнете в един следобед. Това не работи добре и това е именно препятствието при този момент от покупката. Регистър на дейностите по обработка, който не съответства на действителните инструменти, или споразумение за обработка на данни, което никога не е било преразглеждано, не издържа на задълбочена оценка. Органите по надзор и също органите по обществени поръчки гледат на съответствието: свързват ли се документите един с друг и е ли вероятно те да бъдат поддържани живо вместо да бъдат изготвени еднократно.
Затова е по-полезно да разглеждате тези документи като постоянен комплект, който се движи заедно с инструментите и процесите, които използвате, вместо като еднократен набор от хартии за едно искане. Как изглежда тази структура и откъде идва информацията, е обяснено на страницата как е построена системата.
Кога включвате юрист
Условие на обществено възложване или условие на полица може да постави специфични изисквания, които надвишават самата GDPR, например задължителна ISO сертификация или клаузула за отговорност. Дали вашите документи отговарят на тези изисквания, е юридическо преценяване, което е свързано със съответния договор или полица, и най-добре е да го направите оценено от юрист или, в случай на съмнение относно самата GDPR, чрез консултация с Компетентния орган за защита на данните.
Желаете ли да видите кои документи вече са в ред за вашата ситуация и кои все още липсват? Направете безплатното бързо сканиране или прочетете другите теми в базата знания, за да определите къде се намирате в момента.