Koja dokumentacija trebate da biste dokazali zaštitu podataka pri javnoj nabavi ili osiguravatelju?
Ako javna nabavna institucija ili osiguravač traži da pokažete da pažljivo rukovodite osobnim podacima, to se obično svodi na fiksni paket: registar aktivnosti obrade podataka, ugovore o obradi podataka sa vašim vlastitim dobavljačima, izjavu o zaštiti privatnosti, pregled sigurnosnih mjera koje primjenjujete te kratko objašnjenje kako postupate sa kršenjem podataka ili zahtjevom osobe na koju se podaci odnose. Kod javne nabave često se dodaje popunjena upitnica ili izjava; kod osiguravača je to prije svega obrazac za preuzimanje informacija za cyber policu.
Razlog što se ovaj paket stalno pojavljuje je što se u GDPR-u utvrđuje obaveza odgovornosti: organizacija ne smije samo pažljivo obrađivati osobne podatke, već mora biti i u stanju to dokazati. Nabavna institucija ili osiguravač stoga ne provjeravaju jesu li vam "nešto uradili u privatnosti", već možete li to na papiru pokazati. To je upravo detalj koji je bitan u ovoj fazi kupnje: ne namjera, već dokaz.
Registar aktivnosti obrade podataka kao temelj
Registar aktivnosti obrade podataka je obično prvi dokument koji se traži, a ujedno je onaj na kojem se sve ostalo gradi. U njemu se navodi koje osobne podatke obrađujete, u koju svrhu, tko ih prima te kako dugo ih čuvate. Javna nabavna institucija brzo prepoznaje je li organizacija strukturno razmišljala o svojim tokovima podataka ili je registar napravljen samo za tu zahtjev. Što točno mora biti u njemu i kako detaljno, možete pročitati u banci znanja s objašnjenjima po temama.
Ugovori o obradi podataka s vašim vlastitim dobavljačima
Drugi dokument koji se gotovo uvijek traži je pregled ugovora o obradi podataka: ugovore koje ste sami zaključili sa SaaS alatima i pružateljima usluga koji obrađuju osobne podatke u vaše ime. Razmislite o paketu za administraciju plaća, CRM sistemu ili cloud usluzi za datoteke. Javna nabavna institucija ili osiguravač ne žele samo vidjeti da ti ugovori postoje, već i da su aktuelni i da se slaže sa alatima koji se zapravo koriste. Registar koji navodi tri dobavljača dok je u praksi osam aktivnih, brzo bude primijetljiv pri temeljitoj provjeri.
Sigurnost i rukovanje incidentima
Uz registar i ugovore, često se traži informacija o organizacijskim i tehničkim mjerama koje su provedene: tko ima pristup kojim sustavima, kako se podaci šifriraju, postoji li strategija sigurnosnog kopiranja. Osiguravači to često eksplicitno traže u upitnici za izračun premije. Pregled primljenih mjera možete pročitati na stranici o zaštiti osobnih podataka. Osim toga, redovito se pita kako organizacija detektuje i rješava kršenje podataka: postoji li postupak, zna li netko tko upozorava i u kojem roku. Stablo odluka koje određuje je li incident meldingpravno, možete proći kroz nekoliko pitanja da vidite gdje se otprilike nalazite.
Što popis ne rješava
Primamljivo je gledati na te dokumente kao na popis provjere koju ćete odraditi u jednom popodnevu. To nije dobro, a to je upravo zamka u ovoj fazi kupnje. Registar aktivnosti obrade podataka koji se ne slaže sa stvarnim alatima, ili ugovor o obradi podataka koji nikad nije ponovno pregledan, neće izdržati pri temeljitoj procjeni. Nadzorni organi i javne nabavne institucije gledaju na koherentnost: da li se dokumenti povezuju jedni s drugima i je li vjerojatno da se aktivno održavaju umjesto da se jednom naprave.
Zato je korisnije te dokumente gledati kao kontinuirani skup koji se kreće sa alatima i procesima koje koristite, umjesto kao jednokratni set papira za jedan zahtjev. Kako taj razvoj izgleda i odakle dolazi informacija, objašnjeno je na stranici kako je sistem sastavljen.
Kada angažirate pravnika
Uvjet javne nabave ili uvjet police može postaviti specifične zahtjeve koji idu dalje od same GDPR-a, primjerice obavezna ISO-certifikacija ili klauzula o odgovornosti. Jesu li vaši dokumenti u skladu s tim, pravna je ocjena koja pripada navedenom poslу ili polici, i najbolje je da je ocijeni pravnik ili, ako imate sumnje vezane uz samu GDPR, da se obratite Uradu za zaštitu podataka.
Želite li vidjeti koji su dokumenti za vašu situaciju već u redu, a koji nedostaju? Provjerite besplatno brzo skeniranje ili pročitajte druge teme u znčajnoj banci kako biste odredili gdje se trenutno nalazite.