Ένα μέρος αυτού που ζητά ένας δημοσίου ανταγωνισμού ή ένας ασφαλιστής, μπορείτε να το προετοιμάσετε οι ίδιοι/ες: μια επισκόπηση των προσωπικών δεδομένων που επεξεργάζεστε, των εργαλείων που χρησιμοποιείτε γι' αυτό και των συμφωνιών που έχετε με τους προμηθευτές. Αυτό που είναι πιο δύσκολο να το κάνετε οι ίδιοι/ες, είναι να διατηρήσετε την επισκόπηση πλήρη και ενημερωμένη, και να τεκμηριώσετε ότι τα μέτρα που λάβατε είναι πραγματικά κατάλληλα για αυτά που επεξεργάζεστε. Το τελευταίο απαιτεί δομή που εξελίσσεται με το χρόνο, όχι ένα στιγμιότυπο.
Το αν η ίδια προετοιμασία αρκεί, εξαρτάται σε μεγάλο βαθμό από το τι ακριβώς ζητείται. Ένας ασφαλιστής που στέλνει ένα ερωτηματολόγιο για βασικά μέτρα ασφάλειας είναι διαφορετικό από μια δημοσία ανταγωνισμού που θέλει να δει ένα πλήρες μητρώο δραστηριοτήτων επεξεργασίας, συμφωνίες με επεξεργαζόμενους και μια αξιολόγηση επιπτώσεων στην προστασία δεδομένων. Όσο πιο εκτεταμένο το ερώτημα, τόσο περισσότερο κόστος έχει το να το βάλετε σε τάξη και να το διατηρήσετε.
Τι πραγματικά ζητά ένας δημοσίου ανταγωνισμού ή ένας ασφαλιστής
Το ερώτημα "αποδείξτε ότι συμμορφώνεστε με το GDPR" υπάρχει σπάνια ακριβώς έτσι στην πράξη. Συνήθως ζητούνται συγκεκριμένα έγγραφα: ένα μητρώο δραστηριοτήτων επεξεργασίας, απόδειξη συμφωνιών με επεξεργαζόμενους και προμηθευτές, περιγραφή τεχνικών και οργανωτικών μέτρων, και μερικές φορές δήλωση για το πώς αντιμετωπίζονται τα γεγονότα παραβίασης δεδομένων. Το ίδιο το GDPR υποχρεώνει τις οργανώσεις να μπορούν να λογοδοτούν για τις επεξεργασίες που πραγματοποιούν· αυτό που ζητά επιπλέον ένας ατομικός δημοσίου ανταγωνισμού ή ασφαλιστής, είναι ένα ιδίωμα και πρόσθετη απαίτηση που μπορεί να διαφέρει κατά τρόπο.
Είναι λοιπόν σημαντικό να ξεκαθαρίσετε πρώτα τι ακριβώς ζητείται, πριν αποφασίσετε πόσο κόστος έχει η ίδια δική σας προετοιμασία. Ένα σύντομο ερωτηματολόγιο μπορεί να απαντηθεί σε ένα απόγευμα έρευνας· μια πλήρης ελεγχος απαιτεί συστηματικά διατηρούμενα έγγραφα.
Τι μπορείτε να προετοιμάσετε οι ίδιοι/ες
Μια πρώτη καταγραφή είναι για τους περισσότερους επιχειρηματίες δυνατή και ίδια: ποια εργαλεία SaaS χρησιμοποιείτε, ποια από αυτά επεξεργάζονται προσωπικά δεδομένα, και έχετε από κάθε προμηθευτή μια συμφωνία επεξεργασίας. Επίσης μια γενική περιγραφή μέτρων ασφάλειας — πολιτική κωδικού πρόσβασης, ποιος έχει πρόσβαση σε ποια συστήματα, ή αν υπάρχουν αντίγραφα ασφαλείας — είναι δυνατή με κοινή λογική χωρίς εξωτερική βοήθεια. η τράπεζα γνώσης με εξηγήσεις ανά θέμα δίνει ανά περίπτωση ένα σύντομο απάντηση και τη θέση στο επίσημο κείμενο, ώστε να γνωρίζετε από πού προέρχεται μια απαίτηση πριν αρχίσετε να δουλεύετε γι' αυτήν.
Ποιος αμφιβάλλει αν ένα αναφερθέν γεγονός παραβίασης δεδομένων από το παρελθόν θα έπρεπε να αναφερθεί, μπορεί να το ελέγξει και αυτό ίδιος/α: σε λίγες ερωτήσεις δείτε που περίπου είστε δίνει μια πρώτη ένδειξη, ανεξάρτητα από το αν εκείνη η συγκεκριμένη περίπτωση αναφερθεί ή όχι τότε.
Όπου η ίδια προετοιμασία γίνεται δύσκολη
Η πολυπλοκότητα συνήθως δεν βρίσκεται σε ένα έγγραφο, αλλά στη σχέση και την ενημέρωσή του. Ένα μητρώο δραστηριοτήτων επεξεργασίας που καταρτίστηκε πριν ένα χρόνο και δεν έχει ενημερωθεί από τότε, είναι ήδη ξεπερασμένο με ένα νέο εργαλείο SaaS ή έναν τροποποιημένο προμηθευτή. Συμφωνίες επεξεργασίας που υπογράψατε κάποτε, πρέπει να ταιριάζουν με αυτό που κάνετε τώρα πραγματικά με αυτόν τον προμηθευτή. Και ένας ασφαλιστής ή ένας δημοσίου ανταγωνισμού συχνά ζητάει όχι μόνο την ύπαρξη εγγράφων, αλλά μια συνεπή ιστορία: μητρώο, συμφωνίες και μέτρα που λογικά ταιριάζουν μεταξύ τους.
Ακριβώς αυτή η συντήρηση είναι εκεί που η ίδια διατήρηση κοστίζει χρόνο που δεν υπάρχει για πολλές μικρές και μεσαίες επιχειρήσεις. Ένα σύστημα που γεμίζει το μητρώο από μια βιβλιοθήκη γνωστών εργαλείων και που παρακολουθεί αν οι συμφωνίες επεξεργασίας είναι ακόμα σωστές, παίρνει αυτή τη συντήρηση από τα χέρια σας χωρίς να γίνετε σας ίδιοι/ες νομικός/ή συμβουλος.
Τι παραμένει, ακόμα κι αν το αναλαμβάνετε οι ίδιοι/ες
Κανένα εργαλείο δεν αναλαμβάνει την τελική αξιολόγησή σας: εσείς αποφασίζετε μόνοι σας τι κοινοποιείτε σε έναν ανάδοχο ή ασφαλιστή και εάν αυτό επαρκεί για την τθέσεις απαίτηση. Η δομή και η ερμηνεία μπορούν να διευκολύνουν σημαντικά τη δουλειά. Σε τη σελίδα όπου προέρχονται οι πληροφορίες εξηγείται πώς η gdpria.eu βασίζει το περιεχόμενό της στον ίδιο τον GDPR και στις κατευθυντήριες οδηγίες του EDPB και της Ελληνικής Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την πηγή να αναφέρεται, ώστε να μην χρειάζεται να μας πιστεύσετε αλλά να μπορείτε να ελέγξετε την πηγή μόνοι σας.
Το όριο στην πράξη
Ως κανόνας ισχύει: ένα μοναδικό, περιορισμένο ερώτημα συχνά μπορεί να απαντηθεί μόνο με μία ημέρα έρευνας. Μόλις πρόκειται για ένα συνεχές αρχείο, πολλούς προμηθευτές με διαφορετικές συμφωνίες επεξεργασίας ή επαναλαμβανόμενα ερωτήματα από πολλούς ανάδοχους, η συντήρηση γίνεται το σημείο συμφόρησης, όχι η πρώτη φορά που θα το προετοιμάσετε. Σε εκείνο το σημείο, η εξωτερική ανάθεση σε ένα σύστημα ή σε έναν σύμβουλο είναι συχνά λιγότερο ένα πολυτέλεια και περισσότερο ένας τρόπος να κερδίσετε χρόνο πίσω.
Είστε περίεργοι τι θα σας έκανε καλό στην κατάστασή σας; Κάντε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε τις συχνές ερωτήσεις για αυτό το θέμα για να δείτε ποιο βήμα θα σας βοηθούσε περισσότερο.