Jaké dokumenty potřebujete, aby jste prokázali ochranu osobních údajů při zadávání zakázek nebo pojišťovně?
Pokud vás objednávající subjekt nebo pojišťovna požádá, abyste prokázali, že opatrně nakládáte s osobními údaji, obvykle to znamená pevný balíček: registr činností zpracování, smlouvy o zpracování údajů s vašimi vlastními dodavateli, prohlášení o ochraně osobních údajů, přehled bezpečnostních opatření, která uplatňujete, a krátký popis toho, jak se vypořádáte s narušením bezpečnosti údajů nebo s žádostí subjektu údajů. V případě veřejné soutěže je to často doplněno vyplněným dotazníkem nebo prohlášením; u pojišťovny jde spíše o vstupní formulář pro pojistku počítačové bezpečnosti.
Důvodem, proč se tento balíček neustále vrací, je, že GDPR zavádí povinnost odpovědnosti: organizace musí nejen opatrně zpracovávat osobní údaje, ale také to dokázat. Objednávající subjekt nebo pojišťovna tedy netestuje, zda si "troufáte na ochranu osobních údajů", ale zda to můžete prokázat na papíře. Právě v tomto detailu spočívá podstata tohoto nákupního okamžiku: ne v záměru, ale v důkazu.
Registr činností zpracování jako páteř
Registr činností zpracování je obvykle prvním dokumentem, který je požadován, a také prvním dokumentem, na kterém vychází zbytek. Obsahuje informace o tom, které osobní údaje zpracováváte, s jakým účelem, kdo je obdrží a jak dlouho je uchovávat. Objednávající subjekt si v něm rychle všimne, zda organizace systematicky uvažovala o svých tocích údajů, či zda byl registr vytvořen speciálně pro tuto žádost. Co přesně musí být obsaženo a jak podrobné to má být, se dozvíte v znalostní bázi s vysvětlením podle tématu.
Smlouvy o zpracování údajů s vašimi vlastními dodavateli
Druhý dokument, který je téměř vždy požadován, je přehled smluv o zpracování údajů: smlouvy, které jste sami uzavřeli s nástroji SaaS a poskytovateli služeb, kteří zpracovávají osobní údaje vaším jménem. Mysleme na software pro účetnictví a výplaty, systém CRM nebo cloudovou službu pro soubory. Objednávající subjekt nebo pojišťovna si zde nechtějí jen ověřit, že tyto smlouvy existují, ale také že jsou aktuální a odpovídají nástrojům, které se skutečně používají. Registr, který zmiňuje tři poskytovatele, zatímco v praxi je aktivních osm, se při důkladném testu snadno odhalí.
Bezpečnost a zpracování incidentů
Kromě registru a smluv se často žádá o organizační a technická opatření, která byla přijata: kdo má přístup k jakým systémům, jak jsou údaje šifrovány, je-li k dispozici strategie zálohování. Pojišťovny o to často výslovně žádají v dotazníku pro výpočet pojistného. Přehled přijatých opatření najdete na stránce o bezpečnosti osobních údajů. Mimo to se pravidelně ptají, jak organizace rozpozná a řeší narušení bezpečnosti údajů: existuje postup, ví někdo, kdo varuje a v jaké lhůtě. Rozhodovací strom, který určuje, zda je incident oznamovací povinností, můžete prostřednictvím několika otázek projít a zjistit, kde přibližně jste.
Co seznam nevyřeší
Je lákavé vidět tyto dokumenty jako kontrolní seznam, který si v jednom odpoledni zaškrtáte. To nefunguje dobře, a to je ihned úskalí v tomto nákupním okamžiku. Registr činností zpracování, který není v souladu se skutečně používanými nástroji, nebo smlouva o zpracování údajů, která nikdy nebyla přečtena, neobstojí při důkladném posouzení. Orgány dohledu a také objednávající subjekty se podívají na soudržnost: jsou si dokumenty navzájem v souladu a je pravděpodobné, že budou průběžně aktualizovány místo toho, aby byly jednorázově vytvořeny.
Proto je užitečnější vidět tyto dokumenty jako průběžný celek, který se vyvíjí spolu s nástroji a procesy, které používáte, místo toho, abyste je považovali za jednorázový soubor papírů pro jednu žádost. Jak taková struktura vypadá a odkud informace pocházejí, je vysvětleno na stránce jak je systém nastaven.
Kdy si vezmeš právníka
Podmínka zadávací soutěže nebo pojistná podmínka mohou stanovit specifické požadavky, které jdou dále než samotné GDPR, například povinné certifikace ISO nebo klauzuli o odpovědnosti. Zda vaše dokumenty těmto požadavkům vyhovují, je právní posouzení, které náleží příslušné zakázce nebo pojistce, a nejlépe jej nechte posoudit právníka nebo, pokud máte pochybnosti o samotném GDPR, poraďte si s Úřadem na ochranu osobních údajů.
Chcete vidět, které dokumenty jsou pro vaši situaci již v pořádku a které ještě chybí? Proveďte bezplatnou rychlou kontrolu nebo si přečtěte další témata v naší znalostní bázi, abyste určili, kde se právě nacházíte.