Kulutusvastutuskindlustuse poliisi pakkuv kindlustusfirma nõuab tavaliselt dokumentide kombinatsiooni: ülevaade sellest, milliseid isikuandmeid te töötlete ja milleks, kirjeldus teie tehnilistest ja organisatoorsetest turvameetmetest, tõendid selle kohta, et teil on kokkuleppeid tarnijatega, kes teie nimel andmeid töötlevad, ja protokoll juhuks, kui midagi läheb valesti. Mõned kindlustusfirmad nõuavad neid lahus, teised töötlevad neid ühes digitaalses küsimustikus.
Kulutusvastutuskindlustuse dokumentide nimekirja ei ole seadusega ette kirjutatud. AVG ise kehtestab arvestuspflicht: organisatsioon peab suutma näidata, et ta mõtleb isikuandmete kaitsele ja et tal on see korrastatud. Kuidas selline vastutusvõime välja näeb, määrab kindlustusfirma ise, mitte seadus. Just see detail jääb selle ostu hetkel kõige sagedamini märkamata: ettevõtjad otsivad vormi või sertifikaati, mis piisaks, samas kui kindlustusfirmad tahavad praktikas peamiselt näha, et olemas on sidus tervik.
Mida kindlustusfirma tavaliselt näha soovib
Enamiku küsimustike tuum on andmetöötlustegevuste register: ülevaade sellest, milliseid isikuandmeid te töötlete, mis eesmärgil, kui kaua te neid säilitate ja kellel on nendele juurdepääs. Lisaks küsitakse sageli andmetöötlustoimingute lepinguid pooltega, kes teie nimel andmeid töötlevad, näiteks teie raamatupidamispaketi, HR-süsteemi või turundusriista. Kolmas regulaarne komponent on andmelekke protokoll: kuidas tunnete te intsidenti ära, kelle teavitate te oma organisatsiooni siseselt ja kuidas hindates, kas teate Andmekaitse Inspektsioonile avaldamine on vajalik. Kes kahtleb, kas see juhus sinna kuulub, saab seda näha paari küsimusega, kus olukord kuskil seisab.
Kindlustusfirmad vaatavad tavaliselt ka kaugemale kui ainult AVG. Küsimused varukoopiates, paroolide juhtimisest, kaheosaline verifikatsioon ja see, kellel on ettevõttes juurdepääs millistel süsteemidel, kuuluvad infosüsteemide turvalisusesse laiemas mõttes. See kattub privaatsusega, kuid pole sellega samaväärne: ettevõttel võib olla korralik andmetöötlustegevuste register ja samal ajal nõrgad tehnilistest turvameetmed, või vastupidi. Ülevaade meetmetest, mida teil juba on võetud, aitab neid kahte omavahel ühendada; vt ka kuidas neid vaadatakse andmete ja privaatsuse hindamisel.
Miks vastutusvõime on erinev keurmärgist
Sageli kuuldud küsimus on, kas ISO-sertifikaat või muu keurmärk asendab tõendeid, mida kindlustusfirma otsib. Sertifikaat võib raskust omada, kuid harva asendab ta küsimust enda olukorra kohta: milliseid andmeid just see ettevõte töötleb, milliste tarnijatega see töötab ja mis juhtub, kui midagi läheb valesti. Järelevalveorganisatsioonid ja kindlustusfirmad vaatavad selles punktis sarnaseid asju, kuid erineva eesmärgiga: järelevalveorgan hindab seaduse järgimist, kindlustusfirma hindab riski enne poliisi väljastamist. See erinevus seletab, miks kaks kindlustusfirmat paluvad mõnikord natukene teistsuguseid dokumente, kuigi aluseks on alati sama — register, lepingud, protokoll.
Mida saate juba ette valmistada
Mõistlik on alustada sellega, mis juba olemas on: millist tarkvara ja milliste tarnijatega teie ettevõte töötab ning kas nende vastu on andmetöötlustoimingu leping. Seejärel tuleb kokku panna, mis tegelikult juhtub: milliseid andmeid kus asuvad, kellel on nendele juurdepääs ja kui kaua neid säilitatakse. Ettevõtetele, kes seda esimest korda kaardistama hakkavad, on hästi struktureeritud vastuste kogumik tavalisematele küsimustele hea alguspunkt; vt vastused küsimustele, mis selle tüüpi taotlustes sageli tagasi tulevad.
Kes soovib enne aru saada, kuidas selline dokumentide loend on üles ehitatud ja millel teave põhineb, võib seda lugeda teadmusbaasist. Seal on iga teema kohta lühike vastus koos viitega ametlikule tekstile, nii et saate ise kontrollida, kust nõue pärineb; vaadake näiteks teemakaupa selgitavast teadmusbaasist enne kui asute kindlustajaga vestelema.
Lahusolevate dokumentide juurest pideva registrini
Kõige keerulisem selle otsuse hetkel on mitte ühe dokumendi koostamine, vaid selle ajakohaseks hoidmine. Aasta tagasi koostatud andmetöötluse register, mida siis ei ole uuendatud, ei vasta sageli enam tööriistadele, mida ettevõte siinseiskohal kasutab. Süsteem, mis laseb registril kasvada koos tegelikult kasutatava tarkvaraga ja jälgib, millised andmetöötlusleping veel puuduvad, on abiks hetkel, kui kindlustusmaksjal sellest järsku tekkis huvi.
Kas see teie ettevõtte jaoks just nüüd aktuaalne on ja milliseid dokumente teil konkreetselt vaja on, on asi, mida on parim arutada kindlustajaga endaga või nõustajaga; see artikkel annab selgitusi, mitte õiguslikku nõu teie konkreetse poliibi kohta.
Kas soovite esmalt ise näha, kus teie ettevõte umbkaudu seisab? Tasuta kiirülevaade annab paari küsimuse jäl juhise ning teadmusbaasis leiate iga teema kohta lühikese vastuse koos viitega. Kas soovite seejärel registrit ja jälgimist pidevalt hoida, lugege mis maksab süsteem selle ümber mida see kaasab.