Mely dokumentumokra van szükség ahhoz, hogy az adatvédelmet igazolja egy közbeszerzési eljárásban vagy egy biztosító felé?
Ha egy közbeszerzési szervezet vagy egy biztosítótársaság azt kéri, hogy mutassa meg, hogy gondosan kezeli a személyes adatokat, ez általában egy rögzített csomagra vezethető vissza: egy adatkezelési nyilvántartás, az adatkezelői szerződések a saját szállítóival, egy adatvédelmi nyilatkozat, az alkalmazott biztonsági intézkedések áttekintése, valamint a rövid leírása annak, hogy az adatbevándorlást vagy a beterjesztett személy kérelmét hogyan kezeli. Egy közbeszerzés esetén gyakran egy kitöltött kérdőív vagy nyilatkozat társul hozzá; egy biztosítótársaság esetében inkább egy kiberbiztosítási szokásos felvetési nyomtatvány.
Annak az oka, hogy ezt a csomagot folyamatosan visszahozzák, az az GDPR-ből eredő elszámoltathatósági kötelezettség: egy szervezet nem csak gondosan kell, hogy kezelje a személyes adatokat, hanem azt is bizonyítania kell. Egy közbeszerzési szervezet vagy biztosítótársaság tehát nem azt ellenőrzi, hogy Ön "valamit tesz az adatvédelem érdekében", hanem hogy azt papíron meg tudja mutatni. Ez pontosan az a részlet, amelyről ez a vásárlási pillanat szól: nem a szándék, hanem a bizonyíték.
Az adatkezelési nyilvántartás gerincként
Az adatkezelési nyilvántartás általában az első darab, amelyet kérnek, és az is az a darab, amelyre az összes többi épül. Ebből kitűnik, hogy mely személyes adatokat kezeli, milyen céllal, kik az adatkezelők, és mennyi ideig tárolta azokat. Egy közbeszerzési szervezet gyorsan felismeri ebből, hogy egy szervezet strukturáltan gondolkodott-e az adatáramlásáról, vagy hogy a nyilvántartás kifejezetten az igényléshez készült. Hogy pontosan mi kerülhet be és milyen részletesen, olvassa el a tudásbázisban témaonkénti magyarázattal.
Adatkezelői szerződések a saját szállítóival
A második darab, amelyet szinte mindig kérnek, az adatkezelői szerződések áttekintése: azok az overeenkomsten, amelyeket Ön saját maga kötött az olyan SaaS-eszközökkel és szolgáltatók szolgáltatóivel, amelyek Ön nevében személyes adatokat kezelnek. Gondoljon egy béradminisztrációs csomagra, egy CRM-rendszerre vagy egy fájlok felhőszolgáltatására. A közbeszerzési szervezet vagy biztosítótársaság nem csak azt akarja látni, hogy azok a szerződések vannak, hanem azt is, hogy aktuálisak-e és összhangban vannak-e az aktuálisan használt eszközökkel. Egy nyilvántartás, amely három szállítót nevez meg, míg a gyakorlatban nyolc aktív, gyorsan feltűnik egy alapos vizsgálatnál.
Biztonság és az incidensek kezelése
A nyilvántartás és a szerződések mellett gyakran azt kérdezik az organizatórikus és műszaki intézkedésekről, amelyeket megtett: ki fér hozzá mely rendszerekhez, hogyan titkosítják az adatokat, van-e biztonsági másolat-stratégia. A biztosítótársaságok ezt gyakran explicit módon kérdezik meg egy kérdőívben a díjszámításhoz. A meghozott intézkedések áttekintése visszaolvasható a személyes adatok biztonságáról szóló oldalon. Ezenkívül rendszeresen azt kérdezik, hogy egy szervezet hogyan ismer fel és kezel egy adatbevándorlást: van-e eljárás, tudja-e valaki, ki kell figyelmeztesse és milyen határidővel. Az a döntési fa, amely azt határozza meg, hogy egy incidens bejelentendő-e, az néhány kérdésen keresztül végigjárható annak megtekintéséhez, hogy megközelítőleg hol áll.
Mit nem old meg egy lista
Csábító, ha ezeket a dokumentumokat egy olyan ellenőrzőlistának tekintjük, amelyet egy délután alatt bejelöl. Ez nem működik jól, és ez azonnal a csapda ebben az időpontban. Az olyan adatkezelési nyilvántartás, amely nem felel meg az aktuális eszközöknek, vagy egy adatkezelői szerződés, amelyet soha nem olvastak át, nem állnak meg egy alapos értékelésnél. A felügyeleti szervek, valamint a közbeszerzési szervezetek az összefüggéseket vizsgálják: az iratok összekapcsolódnak-e, és valószínű-e, hogy élő marad, ahelyett hogy egyszer elkészítené.
Ezért hasznosabb, ha ezeket a dokumentumokat egy folyamatos egésznek tekinti, amely összhangban mozog a felhasználandó eszközökkel és folyamatokkal, ahelyett, hogy egy egyszeri dokumentumkészletnek tekintené egy kéréshez. Hogyan néz ki ez a felépítés, és honnan származnak az információk, kifejtve van az a rendszer felépítésének módját ismertető oldalon.
Mikor vonjon be jogászt
A beszerzési feltétel vagy a biztosítási feltétel meghatározott követelményeket írhat elő, amelyek túlmennek az GDPR-on, például kötelező ISO-tanúsítvány vagy felelősségvállalási záradék. Az, hogy az Ön dokumentumai megfelelnek-e ezeknek, egy jogi értékelés, amely az adott beszerzéshez vagy biztosításhoz tartozik, és ezt a legjobb egy jogász vagy, ha az GDPR-ral kapcsolatban kétségei vannak, az Adatvédelmi Hatóság tanácsadásával bíráltathatja felül.
Szeretné-e megtudni, hogy az Ön helyzetében mely dokumentumok vannak már rendben és melyek hiányoznak? Végezze el az ingyenes gyorsszkenelést, vagy olvassa el a tudásbázisban szereplő egyéb témákat, hogy megállapítsa, hol tart most.