Mitä asiakirjoja tarvitset osoittaaksesi tietosuojaa hankinnassa tai vakuutusyhtiölle?
Kun hankintalaitoksen tai vakuutuksenantajan pyytää osoittamaan, että käsittelette henkilötietoja huolellisesti, se tarkoittaa yleensä kiinteää pakettia: käsittelyrekisteri, rekisterinpitäjän ja omien toimittajien väliset käsittelysopimukset, tietosuojalausunto, yleiskatsaus soveltamiinne turvatoimiin ja lyhyt kuvaus siitä, miten käsittelette tietomurtoa tai rekisteröidyn pyyntöä. Hankinnassa on usein mukana täytetty kyselylomake tai lausunto; vakuutuksenantajan kohdalla kyse on pikemminkin kybervakuutuksen vastaanottolomakkeesta.
Syy siihen, että tämä paketti toistuu jatkuvasti, on se, että GDPR sisältää vastuullisuusvelvoitteen: organisaation ei tarvitse vain käsitellä henkilötietoja huolellisesti, vaan myös pystyttävä osoittamaan sen. Hankintalaitoksen tai vakuutuksenantajan tarkastuksena ei ole siis sillä, että teette "jotakin tietosuojan parissa", vaan voitteko osoittaa sen paperilla. Tämä on täsmälleen se yksityiskohta, joka ratkaisee tässä ostohetkellä: ei aikomus, vaan todiste.
Käsittelyrekisteri selkärankana
Käsittelyrekisteri on yleensä ensimmäinen asiakirja, josta kysytään, ja se on myös asiakirja, johon muu rakentuu. Siinä mainitaan, mitä henkilötietoja käsittelette, mihin tarkoitukseen, kuka ne vastaanottaa ja kuinka kauan ne säilytätte. Hankintalaitoksen edustaja tunnistaa siitä nopeasti, onko organisaatio rakenteellisesti ajatellut tietovirtojaan vai onko rekisteri koottu erityisesti tätä pyyntöä varten. Mitä siinä tarkalleen ottaen tulee olla ja kuinka yksityiskohtaista sen tulee olla, luette tietopankista, jossa on selitys aihealueittain.
Käsittelysopimukset omien toimittajien kanssa
Toinen asiakirja, josta lähes aina kysytään, on käsittelysopimuksien yleiskatsaus: sopimukset, jotka olette tekemisen omien SaaS-työkalujen ja palveluntarjoajien kanssa, jotka käsittelevät henkilötietoja puolestanne. Ajattele palkkalaskentajärjestelmää, CRM-järjestelmää tai pilvitallennuspalvelua. Hankintalaitoksen tai vakuutuksenantajan ei halua vain nähdä niitä, että nämä sopimukset ovat olemassa, vaan että ne ovat ajankohtaisia ja soveltuvat todella käytettyihin työkaluihin. Rekisteri, jossa mainitaan kolme toimittajaa, mutta käytännössä kahdeksan on aktiivisia, herättää huomion perusteellisessa tarkastuksessa.
Tietoturva ja poikkeamien käsittely
Rekisterin ja sopimusten ohella usein kysytään organisaatioista ja teknisistä toimenpiteistä, jotka on tehty: kenellä on pääsy mihin järjestelmiin, miten tiedot salataan, onko varmuuskopiointistrategia. Vakuutuksenantajat usein kysyvät tätä nimenomaisesti kyselylomakkeessa preemioiden laskentaa varten. Yleiskatsaus tehdyistä toimenpiteistä löytyy sivulta, joka käsittelee henkilötietojen suojausta. Lisäksi usein kysytään, miten organisaatio havaitsee tietoturvan vaarantamisen ja käsittelee sen: onko menettelytapa, tietääkö joku kuka varoittaa ja mihin aikarajaan mennessä. Päätöspuun, joka määrittää, ovatko tapahtumat ilmoitusvelvollisuuden alaisia, voit käydä läpi muutamassa kysymyksessä nähdäksesi, missä suunnilleen olette.
Mitä luettelo ei ratkaise
On houkuttelevaa nähdä nämä asiakirjat tarkistuslistana, jonka ruksette yhdellä iltapäivällä. Se ei toimi hyvin, ja se on heti tämän ostohetkellä oleva sudenkuoppa. Käsittelyrekisteri, joka ei vastaa todellisia työkaluja, tai käsittelysopimus, jota ei koskaan ole uudelleen tarkistettu, ei kestä perusteellisen arvioinnin alaisena. Valvontaviranomaiset ja myös hankintalaitokset katsovat johdonmukaisuutta: ovatko asiakirjat yhteensopivia, ja onko uskottavaa, että niitä päivitetään jatkuvasti sen sijaan, että ne laadittaisiin kerran.
Siksi on hyödyllisempää nähdä nämä asiakirjat jatkuvaksi kokonaisuudeksi, joka muuttuu yhdessä käyttämiinne työkalujen ja prosessien kanssa, sen sijaan että ne olisivat kertaluontoisesti koottu paperisarja yhtä pyyntöä varten. Miten rakentaminen näyttää ja mistä tieto tulee, on selitetty sivulla kuinka järjestelmä on rakennettu.
Milloin palkkaat lakimiehen
Hankintaehto tai vakuutusehto voi asettaa erityisiä vaatimuksia, jotka ylittävät GDPR:n itse asettamat vaatimukset, kuten pakollisen ISO-sertifioinnin tai vastuunrajoitusehdon. Se, täyttävätkö asiakirjasi nämä vaatimukset, on oikeudellinen harkinta, joka liittyy kyseiseen sopimukseen tai vakuutukseen. Parhaiten saat arvion oikeustieteilijältä tai, jos epäilet GDPR:n tulkintaa, ottamalla yhteyttä asianomaiseen valvontaviranomaiseen.
Haluatko nähdä, mitkä asiakirjat ovat kunnossa tilanteessasi ja mitkä puuttuvat? Tee ilmainen pika-analyysi tai lue muut artikkelit tietopankissa selvittääksesi, missä olet nyt.