Kādi dokumenti jums nepieciešami, lai pierādītu privātuma aizsardzību iepirkumā vai apdrošinātājam?
Ja pieprasītājs vai apdrošinātājs lūdz pierādīt, ka jūs pienācīgi rīkojaties ar personas datiem, tas parasti nozīmē fiksētu paketu: datu apstrādes reģistru, apstrādes līgumus ar jūsu piegādātājiem, privātuma politiku, drošības pasākumu apskatu un īsu aprakstu, kā rīkojaties datu pārkāpuma vai datu subjekta pieprasījuma gadījumā. Iepirkumā bieži pievienotas aizpildītas anketas vai deklarācijas; apdrošinātāja gadījumā to drīzāk ir kiberdrošības polises pievienošanas forma.
Iemesls, kāpēc šis paketu atkal un atkal parādās, ir tas, ka GDPR paredz atbildības pienākumu: organizācijai jāapstrādā personas dati pienācīgi un tas jāspēj pierādīt. Pieprasītājs vai apdrošinātājs tātad netesta, vai jūs "darāt kaut ko privātuma jomā", bet vai to varat dokumentāli parādīt. Tas ir precīzi tas detaļa, kura nozīme šajā pirkšanas brīdī: nevis nolūks, bet pierādījumi.
Datu apstrādes reģistrs kā mugurkauls
Datu apstrādes reģistrs parasti ir pirmais dokuments, par kuru tiek jautāts, un arī tas, uz kura pamata būvējas pārējie. Tajā uzskaitīti personas dati, ko jūs apstrādājat, nolūks, kas tos saņem un cik ilgi tos glabājat. Pieprasītājs ātri spēj noteikt, vai organizācija strukturāli ir domājusi par savām datu plūsmām vai arī reģistrs ir uzkrāts tieši šim pieprasījumam. Ko precīzi tajā jāietver un cik detalizēti, lasiet zināšanu bāzē ar skaidrojumiem par katru tēmu.
Apstrādes līgumi ar jūsu piegādātājiem
Otrais dokuments, par kuru gandrīz vienmēr tiek jautāts, ir apstrādes līgumu apskats: līgumi, kurus jūs esat noslēguši ar SaaS rīkiem un pakalpojumu sniedzējiem, kuri jūsu vārdā apstrādā personas datus. Piemēram, algu administrēšanas sistēma, CRM sistēma vai mākonī balstīts failu serviss. Pieprasītājs vai apdrošinātājs vēlas redzēt ne tikai to, ka šie līgumi pastāv, bet arī to, ka tie ir aktuāli un atbilst faktiskajiem rīkiem. Reģistrs, kurā uzskaitīti trīs piegādātāji, kamēr praksē ir aktīvi astoņi, vienpārēji krīt ārā stingrā pārbaudē.
Drošība un notikumu apstrāde
Papildus reģistram un līgumiem bieži tiek jautāts par organizatoriskajiem un tehniskajiem pasākumiem: kuriem ir piekļuve sistēmām, kā tiek šifrēti dati, vai pastāv rezerves stratēģija. Apdrošinātāji to bieži skaidri jautā anketas formā prēmijas aprēķinam. Pasākumu apskatu lasiet lapā personas datu drošība. Turklāt regulāri tiek jautāts, kā organizācija atpazīst un noraida datu pārkāpumus: vai pastāv procedūra, zina kāds, kurš brīdina un kādā laika posmā. Lēmumu koku, kas nosaka, vai incidents ir paziņojams, varat pāriet dažus jautājumus lai redzētu, kur aptuveni atrodaties.
Ko saraksts neatrisina
Ir vilinājums šos dokumentus uzskatīt par kontrolsarakstu, ko vienas pēcpusdienas laikā var atzīmēt. Tas nedarbojas labi, un tā ir tieši slazds šajā pirkšanas brīdī. Datu apstrādes reģistrs, kas neatbilst faktiskajiem rīkiem, vai apstrādes līgums, kuru nekad nav pārskatīts, stingras pārbaudēs neizbēg. Pārraudzības iestādes un arī pieprasītāji skatās uz konsekvenci: vai dokumenti saskaņojās, un vai ir pamatots, ka tos nepārtraukti atjaunina, nevis tikai vienreiz sastāda.
Tāpēc ir lietderīgāk šos dokumentus uzskatīt par nepārtrauktu veselu, kas pārvietojas līdz ar rīkiem un procesiem, kurus jūs izmantojat, nevis kā vienkāršu vienas pieprasījuma dokumentu komplektu. Kā šī struktūra izskatās un no kur nāk informācija, ir izskaidrots lapā kā sistēma ir uzbūvēta.
Kad iesaistīt juristu
Iepirkuma nosacījums vai polises nosacījums var noteikt specifiskas prasības, kas pārsniedz pašu GDPR, piemēram, obligāto ISO sertifikāciju vai atbildības klauzulu. Tas, vai jūsu dokumenti atbilst šīm prasībām, ir juridisks novērtējums, kas pieder attiecīgajam kontraktam vai polisēm, un to vislabāk ir likt novērtēt juristam vai, ja rodas šaubas par pašu GDPR, konsultējoties ar Datu aizsardzības iestādi.
Vēlaties redzēt, kuri dokumenti jūsu situācijai jau ir kārtībā un kuri joprojām trūkst? Veiciet bezmaksas ātro pārbaudi vai izlasiet citas tēmas zināšanu bankā, lai noteiktu, kur jūs šobrīd atrodaties.