Kako da popunim popis pitanja o privatnosti svoga klijenta?

Upitnik pita o onome što već bilježite u registru aktivnosti obrade

Upitnik o zaštiti privatnosti od naručitelja obično se bavi istim temama kao register aktivnosti obrade: koji se osobni podaci obrađuju, u koju svrhu, koliko dugo se čuvaju, tko ima pristup i je li uključen tuđi obrađivač. Tko već ima taj register u redu, može većinu pitanja odgovoriti izravno iz njega. Pitanja o zaštiti — enkripcija, kontrola pristupa, sigurnosne kopije — spadaju u tehničke i organizacijske mjere koje naručitelj želi vidjeti prije nego što s vama dijeli podatke.

Dio upitnika često se bavi organizacijom oko toga: je li oređena osoba zadužena za zaštitu podataka, postoji li postupak za povredu podataka i gdje se to prijavljuje. Potonje se razlikuje ovisno o državi: u Nizozemskoj je to Autoritet za zaštitu podataka, u Njemačkoj nadzornik države članice gdje se nalazi poslovna lokacija. Obveza koja sam da odredite osobu za zaštitu podataka u Nizozemskoj nema praga na temelju broja zaposlenih — proizlazi iz članka 37 GDPR-a — dok Njemačka sa § 38 BDSG ima određeni broj radnika kao granicu. Za čitatelja koji je aktivan u više država, važno je pogledati po svakoj poslovnoj lokaciji koja razina se primjenjuje, umjesto da se da jedan odgovor za cijelu organizaciju.

Obrazloženje: obveza odgovornosti iz članka 5 GDPR-a

Činjenica da naručitelj postavlja ovakva pitanja i da na njih možete odgovoriti proizlazi iz obveze odgovornosti iz članka 5 GDPR-a: organizacija mora ne samo udovoljiti načelima Uredbe, već to i moći dokazati. Upitnik je zapravo situacija u kojoj naručitelj dijelom svoju obvezu odgovornosti prebacuje na vas. Autoritet za zaštitu podataka objavljuje opće pojašnjene tih načela, ali iz toga ne proizlazi format za upitnik klijenta — svaki naručitelj sam ga popunjava.