Milliseid dokumente peate näitama, et tõendada privaatsuskohustusi hanke- või kindlustustaotluse korral?
Kui hankintoorganisatsioon või kindlustusfirma soovib näidata, et te käitletepersooniandmeid hoolikalt, tähendab see tavaliselt fikseeritud komplekti: isikuandmete töötlemise register, andmetöötlejatega sõlmitud lepingud teie tarnijatega, privaatsusavaldus, ülevaade rakendatavate turvameetmete kohta ja lühike kirjeldus, kuidas te käitleteandmete rikkumist või andmesubjekti taotlust. Hankimisel on sageli kaasas täidetud küsimustik või kinnitus; kindlustusfirma korral on see pigem küberpoliisi vastuvõtuvorm.
Põhjus, miks see komplekt pidevalt kordub, on see, et GDPR-il on arvestuslikult vastutuse nõue: organisatsioon peab mitte ainult hoolikalt isikuandmeid töödelema, vaid suutma ka seda tõendada. Hankintoorganisatsioon või kindlustusfirma ei testi seega, kas te "midagi privaatsusega teete", vaid kas saate seda paberil näidata. See on täpselt see detail, mis selle ostuhetkel on oluline: mitte soov, vaid tõend.
Isikuandmete töötlemise register kui selgroog
Isikuandmete töötlemise register on tavaliselt esimene dokument, mida nõutakse, ja ka dokument, millele ülejäänu tugineb. Selles on loetletud, milliseid isikuandmeid te töötlete, millise eesmärgiga, kes neid saab ja kui kaua te neid säilitate. Hankintoorganisatsioon näeb kiiresti, kas organisatsioon on põhimõtteliselt mõelnud oma andmevoolude üle või kas register on koostatud spetsiaalselt taotluse jaoks. Mida täpselt sinna peab kirjutama ja kui üksikasjalik see peaks olema, leiate teadmusandmikust koos selgitusega teemanumbrite kaupa.
Andmetöötlejatega sõlmitud lepingud teie tarnijatega
Teine dokument, mida peaaegu alati nõutakse, on andmetöötlejatega sõlmitud lepingute ülevaade: lepingud, mille olete sõlminud SaaS-tarkvaraga ja teenusepakkujatega, kes teie nimel isikuandmeid töötlevad. Mõelge palgahalduspaketile, CRM-süsteemile või pilveandmete salvestamise teenusele. Hankintoorganisatsioon või kindlustusfirma soovib näha mitte ainult seda, et need lepingud on olemas, vaid ka seda, et need on ajakohased ja vastavad tegelikult kasutusel olevatele tarkvarale. Register, mis loetleb kolm tarnijat, kui praktikas on aktiivsena kaheksa, jääb hoolikale kontrollile kiiresti silma.
Turvameetmed ja juhtumitega käitsemine
Lisaks registrile ja lepingutele küsitakse sageli organisatsiooniliste ja tehniliste meetmete kohta, mis on võetud: kellel on juurdepääs millisele süsteemile, kuidas andmeid krüpeeritakse, kas on varundamise strateegia. Kindlustusfirma küsivad seda sageli selgesõnaliselt premiumikalkulatsiooni küsimustikus. Võetud meetmete ülevaate leiate isikuandmete turvalisuse lehelt. Seejärel küsitakse regulaarselt, kuidas organisatsioon andmete rikkumist tuvastab ja käsitleb: kas on protseduur, kas keegi teab, kes teavitab ja millise tähtaja jooksul. Otsustamispuu, mis määrab, kas juhtum on teatamiskohustusliku, saate läbi minna paari küsimusega et näha, kuhu te ligikaudu jõuate.
Mida nimekiri ei lahenda
On kiusav vaadata neid dokumente kui kontrollnimekirja, mida saate ühe paari tunniga märkida. See ei tööta hästi, ja see on kohe lõks selle ostuhetkel. Register, mis ei sobi tegelike tarkvarade kasutamisega, või leping andmetöötlejaga, mida kunagi uuesti ei vaadatud, ei peab hoolikale hindamisele vastu. Järelevalveasutused ja ka hankintoorganisatsioonid vaatavad sidusust: kas dokumendid üksteisele sobivad ja kas on usaldusväärselt, et neid uuendatakse pidevalt, mitte et need on loodud ühekordse koostööna.
Seepärast on kasulikum vaadata neid dokumente kui jätkuvat tervikut, mis liigub koos teie kasutatavate tarkvarade ja protsessidega, mitte kui ühekordne dokumentide komplekt ühele taotlusele. Kuidas see ehitus välja näeb ja kust informatsioon pärineb, on selgitatud lehel kuidas süsteem on üles ehitatud.
Millal palgata jurist
Hanke tingimus või poliisi tingimus võib seada konkreetseid nõudeid, mis lähevad kaugemale kui GDPR ise, näiteks kohustusliku ISO-sertifitseerimise või vastutusklausli. See, kas teie dokumendid neile vastavad, on õiguslik hinnang, mis kuulub asjaomase hanke või poliiside juurde, ja seda on parim viis lasta hinnata juristil või, kui teil on kahtlusi GDPR-i enda kohta, küsida nõu Andmekaitse Inspektsioonilt.
Kas soovite näha, millised dokumendid teie olukorra jaoks juba korras on ja millised veel puuduvad? Tehke tasuta kiirülevaatus või lugege muud teemad teadmiste andmebaasist, et määrata oma praegune seis.