Kokias dokumentacijas jums reikia, kad parodytumėte privatumą viešųjų pirkimų metu arba draudikui?
Jei viešasis pirkimas arba draudimo bendrovė prašo parodyti, kad atsakingai tvarkote asmens duomenis, paprastai tai reiškia fiksuotą paketą: asmens duomenų tvarkymo registrą, sutartis su jūsų tiekėjais dėl duomenų tvarkymo, privatumo pranešimą, saugumo priemonių, kurias taikote, apžvalgą ir trumpą aprašymą, kaip elgiatės su duomenų pažeidimu arba tiems duomenims taikomos asmenų prašymais. Atliekant viešąjį pirkimą dažnai priedas yra užpildytas klausimynas arba deklaracija; draudimo bendrovės atveju tai greičiau ciber draudimo pasiūlymo priėmimo forma.
Priežastis, kodėl šis paketas nuolat grįžta, yra ta, kad BDAR numato atskaitomybės pareigą: organizacija turi ne tik atsakingai tvarkyti asmens duomenis, bet ir tai įrodyti. Viešasis pirkimas arba draudiko vertina ne tai, ar jūs "ką nors darote dėl privatumo", o tai, ar galite tai parodyti raštu. Tai tiksliai tas detales, kuris svarbi šiuo pirkimo momentu: ne ketinimas, o įrodymas.
Asmens duomenų tvarkymo registras kaip grindis
Asmens duomenų tvarkymo registras paprastai pirmasis paprašomas dokumentas ir dokumentas, ant kurio statomi kiti. Jame nurodoma, kuriuos asmens duomenis tvarkote, kokiu tikslu, kas juos gauna ir kiek laiko juos saugote. Viešasis pirkimas greitai iš šio registros gali suprasti, ar organizacija sistemingai pagalvojo apie savo duomenų srautus, ar registras buvo sudarytas specialiai šiai prašymui. Ką tiksliai turi būti nurodyta ir kaip išsamiai, galite skaityti žinių banke su paaiškinimais pagal temą.
Duomenų tvarkymo sutartys su jūsų tiekėjais
Antrasis dokumentas, kuris beveik visada paprašomas, yra duomenų tvarkymo sutarčių apžvalga: sutartys, kurias jūs patys pasirašėte su SaaS priemonėmis ir paslaugų teikėjais, kurie jūsų vardu tvarkote asmens duomenis. Pagalvokite apie atlyginimų administravimo paketą, CRM sistemą arba debesies failų saugojimo paslaugą. Viešasis pirkimas ar draudiko nori ne tik pamatyti, kad tos sutartys egzistuoja, bet ir kad jos yra aktualios ir sutampa su iš tikrųjų naudojamomis priemonėmis. Registras, kuriame išvardinti trys tiekėjai, o praktikoje aktyvūs aštuoni, greitai išaiškėja atliekant kruopščius patikrinimus.
Saugumas ir incidentų valdymas
Be registro ir sutarčių dažnai paprašoma informacijos apie organizacines ir technines priemones, kurios buvo įgyvendintos: kas turi prieigą prie kurių sistemų, kaip šifruojami duomenys, ar yra atsarginės kopijos strategija. Draudikai dažnai tai aiškiai paklausdami klausimyne, skirtame premijų apskaičiavimui. Apie parinktus saugumo būdus galite skaityti asmenų duomenų apsaugos puslapyje. Be to, reguliariai paprašoma, kaip organizacija atpažįsta ir tvarko duomenų pažeidimą: ar yra procedūra, ar žino kas, kas perspėja ir per kiek laiko. Sprendimo medis, kuris nustato, ar incidentas turi būti praneštas, galite peržiūrėti keliuose klausimuose norėdami pamatyti, kur maždaug esate.
Ko sąrašas neišsprendžia
Patrauklu šiuos dokumentus laikyti kontroliniais sąrašu, kurį per vieną popietę baigsite. Tai neveikia gerai, ir tai yra nedovanotina šio pirkimo momento klaida. Asmens duomenų tvarkymo registras, kuris neatsispindi tikromis priemonėmis, arba duomenų tvarkymo sutartis, kuri niekada nebuvo peržiūrėta, atliekant kruopščius patikrinimus negali išsilaikyti. Priežiūros institucijos ir viešieji pirkimai žiūri į nuoseklumą: ar dokumentai sutampa vienas su kitu ir ar pagrįstai jie palaikomi, o ne vieną kartą sudaromi.
Todėl naudingiau šiuos dokumentus laikyti nuolatine visuma, kuri keičiasi kartu su jūsų naudojamomis priemonėmis ir procesais, o ne vienkartine dokumentų grupe vienai prašymui. Kaip toji sandara atrodo ir iš kur kilusi informacija, galite skaityti puslapyje, kuriame aiškinama, kaip sudaryta sistema.
Kada pasamdyti teisininkę
Viešųjų pirkimų sąlyga arba draudimo sąlyga gali nustatyti specifikus reikalavimus, kurie gali peržengti pačią BDAR, pavyzdžiui, privalomą ISO sertifikavimą arba atsakomybės sąlygą. Tai, ar jūsų dokumentai atitinka šiuos reikalavimus, yra teisinė vertinimo dalis, susijusi su atitinkamu pirkimu arba draudimu, ir jūs gerausia galite tai pasiūlyti vertinti teisininkui arba, jei turite abejonių dėl pačios BDAR, pasikonsultuoti su Duomenų apsaugos institucija.
Ar norite pamatyti, kurie dokumentai jūsų situacijai jau sutvarkyti ir kurie dar trūksta? Atlikite nemokamą greitą skanavimą arba skaitykite kitus žinių banko straipsnius, kad nustatytumėte, kurioje vietoje jūs dabar esate.