Duomenų apsaugos institucija atlieka patikrą — ką turiu sugebėti parodyti

Duomenų tvarkymo registras yra kontrolės centre

Kontrolės metu, kurią atlieka Duomenų apsaugos tarnyba, dažniausiai vieno dokumento yra pradžia: duomenų tvarkymo registras. Jame nurodyta, kokie asmeniniai duomenys yra tvarkomi, kokiam tikslui, kas turi prieigą, kiek laiko jie saugomi ir ar jie dalijami su kitais. Šis registras nėra savanoriškas — AVR 30 straipsnis nusako, kas jame turi būti ir kam galioja šis įpareiigojimas. Be registra, priežiūros institucija paprastai taip pat prašo duomenų tvarkymo sutarčių su tiekėjais, kurie įmonės vardu tvarko duomenis, ir informacijos apie tai, kaip užtikrinta šių duomenų apsauga.

Tai, ką toliau atskleidžia kontrolė, priklauso nuo to, į ką orientuojasi įmonė. Pavyzdžiui, gali būti paklausta dėl privatumo politikos, skirtos klientams ar svetainės lankytojams, dėl įrodymų, kad duomenų saugumas tada buvo laiku įvertintas, arba dėl vertinimo, atliktų rizikingos tvarkymo atžvilgiu. Tiems, kurie turi nustatyti, kas tiksliai turi būti duomenų tvarkymo registre, kas turi būti duomenų tvarkymo registre? suteikia komponentų apžvalgą. Ir nes kontrolė apima ir susitarimus su SaaS tiekėjais ar kitomis šalimis, tvarkančiomis duomenis, atsakymas į kas turi būti duomenų tvarkymo sutartyje? yra aktualus tam, ką reikia sugebėti parodyti.

Kur tai iš to seka: AVR 30 ir 32 straipsniai

Registra vedimo įpareigojimas nustatytas AVR 30 straipsnyje, ir praktikoje šis registras yra pirmasis dokumentas, kuris pasirodo kontrolės metu. AVR 32 straipsnis nusako įpareigojimą imtis tinkamų techninių ir organizacinių priemonių duomenims apsaugoti, ir priežiūros institucija gali paklausti, kaip šios priemonės įgyvendintos. Šie du straipsniai tiesiogiai galioja visoje Europos Sąjungoje, todėl tai, ką galima parodyti, esmėje yra tas pats visur. Tai, kas atlieka kontrolę ir kur ji yra pradedama ar tvarkoma, skiriasi pagal šalį: Nyderlanduose tai yra Duomenų apsaugos tarnyba, kitose valstybėse narėse — kita nacionalinė priežiūros institucija su savo darbo būdais. Daugiau apie Nyderlandų priežiūros institucijos vaidmenį rasite Duomenų apsaugos tarnybos svetainėje.