Ποια έγγραφα χρειάζεστε για να αποδείξετε τη συμμόρφωση με την προστασία δεδομένων σε μια δημοπρασία ή ασφαλιστή;
Εάν μια δημόσια αναθέτουσα αρχή ή ένας ασφαλιστής σας ζητήσει να αποδείξετε ότι χειρίζεστε προσεκτικά τα προσωπικά δεδομένα, αυτό συνήθως ανάγεται σε ένα σταθερό πακέτο: ένα αρχείο δραστηριοτήτων επεξεργασίας, τις συμφωνίες επεξεργασίας με τους δικούς σας προμηθευτές, μια δήλωση απορρήτου, μια επισκόπηση των μέτρων ασφάλειας που εφαρμόζετε και μια σύντομη περιγραφή του τρόπου που χειρίζεστε μια παραβίαση δεδομένων ή ένα αίτημα ενδιαφερόμενου. Κατά την ανάθεση συχνά συνοδεύεται από ένα συμπληρωμένο ερωτηματολόγιο ή μια δήλωση· σε έναν ασφαλιστή είναι περισσότερο ένα έντυπο εισαγωγής για μια ασφαλιστική σύμβαση κυβερνητικών κινδύνων.
Ο λόγος που αυτό το πακέτο επανέρχεται συνεχώς είναι ότι η GDPR θεσπίζει υποχρέωση λογοδοσίας: ένας οργανισμός όχι μόνο πρέπει να επεξεργάζεται προσωπικά δεδομένα προσεκτικά, αλλά πρέπει να μπορεί να το αποδείξει. Μια δημόσια αναθέτουσα αρχή ή ένας ασφαλιστής επομένως δεν ελέγχει αν κάνετε «κάτι για το απόρρητο», αλλά αν μπορείτε να το δείξετε στο χαρτί. Αυτό είναι ακριβώς η λεπτομέρεια που σημασία έχει σε αυτή τη στιγμή της αγοράς: όχι η πρόθεση, αλλά το στοιχείο απόδειξης.
Το αρχείο δραστηριοτήτων επεξεργασίας ως ραχοκοκαλιά
Το αρχείο δραστηριοτήτων επεξεργασίας είναι συνήθως το πρώτο έγγραφο που ζητείται και το έγγραφο στο οποίο βασίζεται το υπόλοιπο. Σε αυτό αναφέρονται ποια προσωπικά δεδομένα επεξεργάζεστε, με ποιο σκοπό, ποιοι τα λαμβάνουν και πόσο καιρό τα διατηρείτε. Μια δημόσια αναθέτουσα αρχή αναγνωρίζει εύκολα αν ένας οργανισμός έχει σκεφτεί δομικά τις ροές δεδομένων του, ή αν το αρχείο έχει συναρμολογηθεί ειδικά για το αίτημα. Τι ακριβώς πρέπει να περιέχεται και πόσο λεπτομερές, μπορείτε να διαβάσετε στο χώρο γνώσης με επεξήγηση ανά θέμα.
Συμφωνίες επεξεργασίας με τους δικούς σας προμηθευτές
Το δεύτερο έγγραφο που ζητείται σχεδόν πάντα είναι η επισκόπηση των συμφωνιών επεξεργασίας: οι συμφωνίες που έχετε συνάψει με τα εργαλεία SaaS και τους παρόχους υπηρεσιών που επεξεργάζονται προσωπικά δεδομένα εκ μέρους σας. Σκεφτείτε ένα πακέτο payroll, ένα σύστημα CRM ή μια υπηρεσία cloud για αρχεία. Μια δημόσια αναθέτουσα αρχή ή ένας ασφαλιστής δεν θέλει μόνο να δει ότι υπάρχουν αυτές οι συμφωνίες, αλλά και ότι είναι ενημερωμένες και ευθυγραμμισμένες με τα εργαλεία που χρησιμοποιούνται στην πράξη. Ένα αρχείο που αναφέρει τρεις προμηθευτές ενώ στην πράξη είναι ενεργοί οκτώ, ανακαλύπτεται εύκολα σε μια αυστηρή αξιολόγηση.
Ασφάλεια και χειρισμός περιστατικών
Εκτός από το αρχείο και τις συμφωνίες, συχνά ζητείται πληροφορίες για τα οργανωτικά και τεχνικά μέτρα που έχουν ληφθεί: ποιος έχει πρόσβαση σε ποια συστήματα, πώς κρυπτογραφούνται τα δεδομένα, υπάρχει στρατηγική δημιουργίας αντιγράφων ασφαλείας. Οι ασφαλιστές συχνά το ζητούν ρητά σε ένα ερωτηματολόγιο για τον υπολογισμό του ασφαλίστρου. Μια επισκόπηση των λαμβανόμενων μέτρων μπορείτε να διαβάσετε στη σελίδα για την ασφάλεια των προσωπικών δεδομένων. Επιπλέον, τακτικά ζητείται πώς ένας οργανισμός ανιχνεύει και χειρίζεται μια παραβίαση δεδομένων: υπάρχει διαδικασία, ξέρει κάποιος ποιος προειδοποιεί και εντός ποιας προθεσμίας. Το διάγραμμα απόφασης που καθορίζει αν ένα περιστατικό υπόκειται σε υποχρέωση ειδοποίησης, μπορείτε να ακολουθήσετε σε μερικές ερωτήσεις για να δείτε περίπου που βρίσκεστε.
Τι δεν λύνει μια λίστα
Είναι δελεαστικό να βλέπετε αυτά τα έγγραφα ως ένα checklist που επιλύετε σε ένα απόγευμα. Αυτό δεν δουλεύει καλά, και αυτή είναι ακριβώς η παγίδα σε αυτή τη στιγμή της αγοράς. Ένα αρχείο δραστηριοτήτων επεξεργασίας που δεν αντιστοιχεί στα πραγματικά εργαλεία, ή μια σύμβαση επεξεργασίας που δεν ελέγχθηκε ποτέ, δεν αντέχει σε μια αυστηρή αξιολόγηση. Οι αρχές ελέγχου και επίσης οι δημόσιες αναθέτουσες αρχές εξετάζουν τη συνοχή: συνδέονται τα έγγραφα μεταξύ τους, και είναι εύλογο ότι διατηρούνται ζωντανά αντί να συντάσσονται μόνο μία φορά.
Για αυτό το λόγο είναι πιο χρήσιμο να βλέπετε αυτά τα έγγραφα ως ένα συνεχές σύνολο που κινείται με τα εργαλεία και τις διαδικασίες που χρησιμοποιείτε, αντί ως ένα σύνολο εγγράφων για μία μόνο αίτηση. Πώς κινείται η δομή και από πού προέρχονται οι πληροφορίες, εξηγείται στη σελίδα πώς ο συστήματος δομείται.
Πότε ζητάτε τη συμβουλή δικηγόρου
Μια προϋπόθεση δημοπρασίας ή όρος ασφαλιστικής πολιτικής μπορεί να θέσει συγκεκριμένες απαιτήσεις που υπερβαίνουν το ίδιο το GDPR, για παράδειγμα υποχρεωτική πιστοποίηση ISO ή ρήτρα ευθύνης. Το αν τα έγγραφά σας συμμορφώνονται με αυτές είναι νομική εκτίμηση που ανήκει στην εν λόγω σύμβαση ή πολιτική, και είναι καλύτερα να την αξιολογήσετε μέσω ενός δικηγόρου ή, σε περίπτωση αμφιβολίας σχετικά με το ίδιο το GDPR, να συμβουλευτείτε την Αρχή Προστασίας Δεδομένων.
Θέλετε να δείτε ποια έγγραφα είναι ήδη σε τάξη για την κατάστασή σας και ποια λείπουν; Κάντε τη δωρεάν quick-scan ή διαβάστε τα άλλα θέματα στη βάση γνώσης για να προσδιορίσετε πού βρίσκεστε τώρα.