Část toho, co se od vás požaduje, si můžete připravit sami: přehled osobních údajů, které zpracováváte, nástroje, které k tomu používáte, a dohody, které máte se svými dodavateli. To, co je těžší si přípravit sami, je udržovat přehled kompletní a aktuální a zdůvodňovat, že přijatá opatření jsou skutečně vhodná pro to, co zpracováváte. To druhé vyžaduje strukturu, která se vyvíjí v čase, ne jen snímek v daném okamžiku.
To, zda si sami vystačíte, závisí do značné míry na tom, přesně co se od vás žádá. Pojišťovna, která vám pošle dotazník o základních bezpečnostních opatřeních, je něco jiného než zadavatelský subjekt, který chce vidět úplný registr činností zpracování, smlouvy se zpracovateli a DPIA (posouzení vlivu na ochranu údajů). Čím je dotaz rozsáhlejší, tím více práce to stojí, abyste si to sami uspořádali a udržovali.
Co se zadavatelský subjekt nebo pojišťovna vlastně ptají
Otázka "prokažte, že splňujete GDPR" v praxi existuje jen zřídka doslova v takové podobě. Nejčastěji se ptají na konkrétní dokumenty: registr činností zpracování, důkaz o smlouvách se zpracovateli pro dodavatele, popis technických a organizačních opatření a někdy i prohlášení o postupu při narušení dat. Samotný GDPR zavazuje organizace být schopny odpovědět za zpracování, které provádějí; to, co dodatečně požadují jednotliví zadavatelé nebo pojišťovny, je vlastní dodatečný požadavek, který se může lišit podle strany.
Je tedy důležité nejdříve jasně si ujasнit, co se přesně požaduje, než se rozhodnete, kolik práce si vezmeete na sebe. Krátký seznam otázek lze zodpovědět během jednoho odpoledne; úplný audit vyžaduje systematicky vedenu dokumentaci.
Co si sami můžete připravit
Prvotní inventarizaci si mohou provést sami většina podnikatelů: které SaaS nástroje používáte, které z nich zpracovávají osobní údaje a máte od každého dodavatele smlouvu se zpracovatelem. I obecný popis bezpečnostních opatření — politika hesel, kdo má přístup k jakým systémům, zda existují zálohy — lze vytvořit zdravým rozumem bez externí pomoci. znalostní base s vysvětlením pro jednotlivá témata poskytuje krátkou odpověď pro každou situaci a odkaz na relevantní místo v oficiálním textu, abyste věděli, kde daný požadavek pochází, dříve než se do něj pustíte.
Pokud si nejste jisti, zda bylo únikem údajů hlášeným v minulosti potřeba hlášení, můžete si to ověřit také sami: na několika otázkách vidět, kde se přibližně nacházíte poskytuje první indikaci, nezávisle na otázce, zda se tento konkrétní případ měl nebo neměl v danou dobu hlásit.
Kde se samostatná práce stává obtížnější
Složitost obvykle není v jednom dokumentu, ale v jeho vzájemné souvislosti a aktualnosti. Register činností zpracování, který byl sestaven před rokem a od té doby nebyl aktualizován, je již překonaný, když přijde nový nástroj SaaS nebo se změní dodavatel. Smlouvy o zpracování, které jste kdysi podepsali, musí odpovídat tomu, co s tímto dodavatelem skutečně nyní děláte. A pojišťovna nebo zadavatel často nepožaduje jen existenci dokumentů, ale konzistentní vypravování: register, smlouvy a opatření, která logicky na sebe navazují.
Právě tato údržba je místo, kde si správu vlastních údajů vezme čas, který mnoho malých a středních podniků nemá. Systém, který plní register z knihovny známých nástrojů a sleduje, zda smlouvy o zpracování stále platí, převezme tuto údržbu bez toho, aniž byste se sami stali právníkem.
Co zůstane, i když se do toho pustíte sami
Žádný nástroj vás nezbavuje konečného rozhodnutí: sami určujete, co objednavateli nebo pojišťovně předáte a zda to stačí pro stanovenou podmínku. Struktura a vysvětlení vám práci mohou značně usnadnit. Na stránce, kde informace pocházejí je vysvětleno, jak gdpria.eu opírá obsah o samotné GDPR a o pokyny EDPB a Úřadu pro ochranu osobních údajů, včetně místa nálezu, takže se nemusíte spoléhat na naše slovo, ale zdroj si sami můžete prostudovat.
Hranice v praxi
Jako praktické pravidlo platí: jedinečná, omezená otázka je často řešitelná vlastními silami jednodenním zkoumáním. Jakmile jde o průběžný registr, více dodavatelů s měnícími se smlouvami o zpracování nebo opakované otázky od více objednávatelů, stává se údržba kritickým místem, nikoli první vytvoření. V tom bodě je předání systému nebo poradci často spíše způsob, jak si vrátit čas, než luxus.
Zajímá vás, jakou roli by to v jeho situaci sehrála? Proveďte bezplatné rychlé prověření nebo si prohlédněte často kladené otázky k tomuto tématu abyste viděli, který krok by pro vás byl nejpřirozenější.