Osa siitä, mitä tilaaja tai vakuutusyhtiö pyytää, voit valmistella itse: yhteenveto siitä, mitä henkilötietoja käsittelet, mitä työkaluja siihen käytät ja mitä sopimuksia toimittajien kanssa sinulla on. Mitä vaikeampaa itse tehdä on, on yhteenvedon pitäminen täydellisenä ja ajan tasalla sekä sen osoittaminen, että toteutetut toimenpiteet ovat todellakin sopivia siihen, mitä käsittelet. Jälkimmäinen edellyttää rakenteen, joka kasvaa ajan myötä, ei hetkennäkymää.
Se, riittääkö itse tekeminen, riippuu suuresti siitä, mitä tarkalleen pyydetään. Vakuutusyhtiö, joka lähettää kysymyslistan perusturvatoimista, on eri asia kuin hankintataho, joka haluaa nähdä täydellisen käsittelyrekisterin, käsittelysopimukset ja DPIA:n (data protection impact assessment). Mitä laajempi pyyntö, sitä enemmän työtä se vaatii saadakseen sen itse järjestykseen ja pitämään sen yllä.
Mitä tilaaja tai vakuutusyhtiö oikeastaan pyytää
Kysymys "osoita, että noudatat GDPR:ää" on käytännössä harvoin sanamuodoltaan juuri näin. Yleensä pyydetään konkreettisia asiakirjoja: käsittelyrekisteriä, todisteita käsittelysopimuksista toimittajien kanssa, kuvausta teknis-organisatorisista toimenpiteistä ja joskus selvitystä siitä, miten tietomurtoja käsitellään. GDPR itse velvoittaa organisaatioita pystyä antamaan selvityksen niistä käsittelyistä, joita ne suorittavat; mitä yksittäinen tilaaja tai vakuutusyhtiö pyytää sen lisäksi, on oma, lisävaatimus, joka voi vaihdella osapuolittain.
On siis tärkeää ensin selventää tarkasti, mitä pyydetään, ennen kuin päätät, kuinka paljon työtä itse tekeminen vie. Lyhyt kysymyslista voidaan vastata päivän mittaisella tutkimistyöllä; täydellinen tarkastus vaatii rakenteellisesti säilytettyjä asiakirjoja.
Mitä voit itse valmistella
Ensimmäinen inventaario on useimmille yrittäjille itse tekemisen arvoista: mitä SaaS-työkaluja käytät, mitkä niistä käsittelevät henkilötietoja ja onko sinulla jokaiselta toimittajalta käsittelysopimus. Myös yleinen kuvaus turvatoimista — salasanakäytäntö, kuka saa pääsyn mihin järjestelmiin, ovatko varmuuskopiot olemassa — voidaan tehdä terveen järjen avulla ilman ulkopuolista apua. tietopankissa kunkin aiheen selityksineen antaa jokaisen tilanteen osalta lyhyen vastauksen ja viitteen viralliseen tekstiin, jotta tiedät, mistä vaatimus tulee ennen kuin aloitat työn.
Jokainen, joka epäilee, oliko ilmoitettu tietomurto pitänyt ilmoittaa aikaisemmin, voi tarkastaa sen itse: näe muutamassa kysymyksessä suunnilleen missä olet antaa ensimmäisen indikaation riippumatta siitä, oliko kyseinen tapaus tuolloin ilmoitettava vai ei.
Missä itse tekeminen vaikeutuu
Monimutkaisuus ei yleensä ole yhdessä asiakirjassa, vaan niiden yhteensovituksessa ja ajantasaisuudessa. Käsittelyrekisteri, joka on laadittu vuosi sitten eikä ole päivitetty sen jälkeen, on jo vanhentunut uuden SaaS-työkalun tai muuttuneen toimittajan kohdalla. Käsittelysopimukset, jotka olet joskus allekirjoittanut, on sovitettava siihen, mitä teet nyt kyseisen toimittajan kanssa. Ja vakuutusyhtiö tai hankintataho pyytää usein ei vain asiakirjojen olemassaolosta, vaan johdonmukaisesta tarinasta: rekisteristä, sopimuksista ja toimenpiteistä, jotka sopivat loogisesti yhteen.
Juuri tämä ylläpito on se, jossa itse pitäminen vie monille pienille ja keskisuurille yrityksille aikaa, jota ei ole. Järjestelmä, joka täyttää rekisterin tunnettujen työkalujen kirjaston perusteella ja valvoo, ovatko käsittelysopimukset edelleen voimassa, ottaa tämän ylläpidon pois ilman että sinusta tulee itse juristti.
Mitä jää jäljelle, vaikka ottaisit sen itse hoitaaksesi
Mikään työkalu ei ota lopullista arviointia puolestanne: te päätätte itse, mitä luovutatte tilaajalle tai vakuutusyhtiölle ja riittääkö se asetettuun vaatimukseen. Rakenne ja selvennys voivat kuitenkin helpottaa työtä huomattavasti. sivulla, jolta tieto on peräisin on selvitetty, kuinka gdpria.eu perustaa sisällön GDPR:ään itseensä ja EDPB:n sekä Tietosuojaviranomaisen ohjeisiin sekä niiden lähteisiin, jotta ette joudu luottamaan meihin vaan voitte lukea lähteen itse.
Käytännön raja
Peukalosääntönä pätee: kertakertainen, rajattu kysymys on usein ratkaistavissa itse päivän tutkimistyöllä. Heti kun kyse on jatkuvasta rekisteristä, useista toimittajista vaihtelevine tiedonkäsittelysopimuksineen tai useilta tilaajilta toistuvia kysymyksiä, ylläpito muuttuu pullonkaulaksi, eikä ensimmäinen laatiminen. Tuolloin tietyn järjestelmän tai neuvonantajan käyttöön antaminen on usein vähemmän ylellisyyttä ja enemmän tapa voittaa aika takaisin.
Oletteko utelias, mitä se muuttaisi tilanteessanne? Suorittakaa ilmainen quick-scan tai selailkaa usein kysyttyjä kysymyksiä tästä aiheesta nähdäksenne, mikä askel on teille sopivain.