Część tego, o co prosi zamawiający lub ubezpieczyciel, możesz sam przygotować: przegląd tego, które dane osobowe przetwarzasz, jakich narzędzi do tego używasz i jakie umowy masz z dostawcami. Trudniej zrobić samemu to utrzymanie przeglądu kompletnego i aktualnego oraz wykazanie, że podejmowane środki rzeczywiście pasują do tego, co przetwarzasz. To ostatnie wymaga struktury, która evolucjonuje wraz z czasem, nie zaś jednorazowego snapshot'u.
Czy samodzielne działanie wystarczy, zależy w dużej mierze od tego, o co dokładnie chodzi. Ubezpieczyciel wysyłający kwestionariusz o podstawowych środkach bezpieczeństwa to coś innego niż zamawiający wymagający pełnego rejestru działań przetwarzania, umów z procesorami danych oraz DPIA (oceny skutków dla ochrony danych). Im bardziej rozbudowana prośba, tym więcej pracy kosztuje samodzielne przygotowanie i utrzymywanie tego w porządku.
O co naprawdę prosi zamawiający lub ubezpieczyciel
Pytanie "wykaż, że przestrzegasz RODO" w praktyce rzadko pojawia się w tej dokładnej formie. Zwykle prosi się o konkretne dokumenty: rejestr działań przetwarzania, dowód zawartych umów z procesorami danych u dostawców, opis technicznych i organizacyjnych środków bezpieczeństwa, a czasem wyjaśnienie sposobu postępowania w przypadku naruszenia bezpieczeństwa danych. Samo RODO obliguje organizacje do wykazania odpowiedzialności za wykonywane przetwarzanie; to, o co dodatkowo prosi poszczególny zamawiający lub ubezpieczyciel, to jego własny, dodatkowy wymóg, który może się różnić w zależności od strony.
Ważne jest więc najpierw jasno ustalić, o co dokładnie chodzi, zanim zdecydujesz, ile pracy kosztuje samodzielne podjęcie się tego. Krótki kwestionariusz można uzupełnić w ciągu jednego popołudnia; pełna audyt wymaga systematycznie prowadzonej dokumentacji.
Co możesz sam przygotować
Pierwszą inwentaryzację może wykonać większość przedsiębiorców sama: jakie narzędzia SaaS używasz, które z nich przetwarzają dane osobowe i czy masz od każdego dostawcy umowę o przetwarzaniu danych. Również ogólny opis środków bezpieczeństwa — polityka haseł, kto ma dostęp do jakich systemów, czy istnieją kopie zapasowe — można opracować przy użyciu zdroowego rozsądku bez pomocy zewnętrznej. baza wiedzy z wyjaśnieniami dla każdego tematu podaje dla każdej sytuacji krótką odpowiedź i miejsce w oficjalnym tekście, abyś wiedział, skąd pochodzi wymóg, zanim zaczniesz nad nim pracować.
Kto ma wątpliwości, czy zgłoszone w przeszłości naruszenie bezpieczeństwa danych powinno było zostać zgłoszone, może to sprawdzić samodzielnie: w kilka pytań zobaczy, gdzie mniej więcej się znajdujesz podaje wstępne wskazanie, niezależnie od pytania, czy ten konkretny przypadek powinien był zostać zgłoszony, czy nie.
Gdzie samodzielne działanie staje się trudniejsze
Złożoność zwykle nie leży w jednym dokumencie, ale w powiązaniu i aktualności dokumentów. Rejestr działań przetwarzania opracowany rok temu i od tego czasu nie aktualizowany staje się już nieaktualny przy nowym narzędziu SaaS lub zmienianym dostawcy. Umowy o przetwarzaniu, które kiedyś podpisałeś, muszą odpowiadać temu, co rzeczywiście teraz robisz z tym dostawcą. A ubezpieczyciel lub zamawiający często nie pytają tylko o samo istnienie dokumentów, ale o spójną narrację: rejestr, umowy i środki, które logicznie na siebie się nakładają.
Właśnie to utrzymanie to miejsce, gdzie samodzielne prowadzenie danych będzie kosztować wiele firm z sektora MŚP czas, którego nie mają. System, który wypełnia rejestr z biblioteki znanych narzędzi i monitoruje, czy umowy o przetwarzaniu są nadal aktualne, przejmuje to utrzymanie bez konieczności samodzielnego zostania prawnikiem.
Co pozostaje, nawet jeśli sami się za to weźmiesz
Żadne narzędzie nie przejmuje od Pana ostatecznej oceny: Pan sam decyduje, co ujawnia zleceniodawcy lub ubezpieczycielowi i czy to wystarczy dla postawionego warunku. Struktura i wyjaśnienia mogą jednak znacznie ułatwić pracę. Na stronie, z której pochodzą informacje wyjaśniono, jak gdpria.eu opiera zawartość na samej RODO i wytycznych EUWG oraz Urzędu Ochrony Danych Osobowych, wraz ze źródłami, dzięki czemu nie musi Pan polegać na naszych słowach, ale może sam przejrzeć źródła.
Granica w praktyce
Z reguły obowiązuje: pytanie jednorazowe, ograniczone, można na ogół samodzielnie rozwiązać, poświęcając dzień pracy. Jeśli chodzi o bieżący rejestr, wielu dostawców ze zmiennymi umowami o przetwarzaniu, lub powtarzające się pytania od wielu zleceniodawców, utrzymanie staje się wąskim gardłem, a nie pierwsze opracowanie. W tym momencie outsourcing do systemu lub doradcy jest często mniej luksusem, a bardziej sposobem na odzyskanie czasu.
Chcielibyście wiedzieć, co to by zmienić w Waszej sytuacji? Zrób bezpłatną szybką ocenę lub przejrzyj często zadawane pytania na ten temat aby zobaczyć, który krok byłby dla Ciebie najbardziej wskazany.