Jakie dokumenty potrzebne są, aby wykazać zgodność z przepisami dotyczącymi ochrony danych przy zamówieniach publicznych lub wobec ubezpieczyciela?
Gdy zamawiający publiczny lub ubezpieczyciel prosi o wykazanie, że odpowiedzialnie obchodzisz się z danymi osobowymi, zwykle sprowadza się to do stałego zestawu: rejestru działań przetwarzania, umów powierzenia przetwarzania z własnymi dostawcami, oświadczenia o ochronie prywatności, przeglądu środków bezpieczeństwa, które stosujesz, oraz krótkiego opisu sposobu postępowania w przypadku naruszenia ochrony danych lub wniosku od osoby, której dane dotyczą. W zamówieniach publicznych zwykle dołącza się wypełnioną listę kontrolną lub oświadczenie; u ubezpieczyciela jest to raczej formularz wstępny do polisy cyber.
Powód, dla którego ten zestaw pojawia się wielokrotnie, jest taki, że RODO przewiduje obowiązek rozliczenia: organizacja nie tylko musi odpowiedzialnie przetwarzać dane osobowe, ale również powinna to móc wykazać. Zamawiający lub ubezpieczyciel sprawdza zatem nie to, czy robisz "cokolwiek w zakresie prywatności", ale czy możesz to wykazać na piśmie. To jest dokładnie szczegół, który ma znaczenie w tym momencie zakupu: nie intencja, ale dowód.
Rejestr działań przetwarzania jako fundament
Rejestr działań przetwarzania to zwykle pierwszy dokument, o który się prosi, oraz dokument, na którym buduje się resztę. Zawiera informacje o tym, które dane osobowe przetwarzasz, w jakim celu, kto je otrzymuje i jak długo je przechowujesz. Zamawiający publiczny szybko rozpoznaje, czy organizacja strukturalnie zastanowiła się nad przepływami danych, czy rejestr został stworzony specjalnie na potrzeby wniosku. To, co dokładnie musi w nim znaleźć się i jak szczegółowe, przeczytasz w bazie wiedzy z objaśnieniami dla każdego tematu.
Umowy powierzenia przetwarzania z własnymi dostawcami
Drugim dokumentem, o który prawie zawsze się prosi, jest przegląd umów powierzenia przetwarzania: umów, które zawarłeś z narzędziami SaaS i dostawcami usług, którzy przetwarzają dane osobowe w twoim imieniu. Pomyśl o pakiecie do administracji wynagrodzeń, systemie CRM lub usłudze w chmurze dla plików. Zamawiający lub ubezpieczyciel chce tutaj nie tylko widzieć, że te umowy istnieją, ale również że są aktualne i zgodne z narzędziami faktycznie używanymi. Rejestr, który wymienia trzech dostawców, podczas gdy w praktyce jest aktywnych osiem, szybko się ujawni podczas gruntownego przeglądu.
Bezpieczeństwo i postępowanie z incydentami
Oprócz rejestru i umów często prosi się o organizacyjne i techniczne środki, które zostały zastosowane: kto ma dostęp do jakich systemów, jak szyfrowane są dane, czy istnieje strategia kopii zapasowych. Ubezpieczyciele często wyraźnie proszą o to w liście kontrolnej do wyliczenia premii. Przegląd zastosowanych środków znajdziesz na stronie dotyczącej bezpieczeństwa danych osobowych. Dodatkowo regularnie pyta się, jak organizacja wykrywa i rozpatruje naruszenia ochrony danych: czy istnieje procedura, czy ktoś wie, kto ostrzega i w jakim terminie. Drzewo decyzyjne, które określa, czy incydent podlega obowiązkowi zgłoszenia, możesz przejść w kilka pytań aby zobaczyć, gdzie mniej więcej się znajdujesz.
Co lista nie rozwiązuje
Kuszące jest postrzeganie tych dokumentów jako listy kontrolnej, którą zaznaczasz w jedno popołudnie. To nie działa dobrze i to od razu pułapka w tym momencie zakupu. Rejestr działań przetwarzania, który nie odpowiada rzeczywistym narzędziom, lub umowa powierzenia przetwarzania, która nigdy nie została przejrzana, nie wytrzyma gruntownej oceny. Organy nadzorcze i zamawiający publiczni szukają spójności: czy dokumenty na siebie nawiązują i czy jest wiarygodne, że są na bieżąco aktualizowane zamiast przygotowywane jednorazowo.
Dlatego bardziej pożyteczne jest postrzeganie tych dokumentów jako całości, która zmienia się wraz z narzędziami i procesami, które używasz, zamiast jako jednorazowego zestawu papierów do jednego wniosku. Jak wygląda ta budowa i skąd pochodzi informacja, wyjaśniono na stronie jak zbudowany jest system.
Kiedy zaangażować prawnika
Warunek przetargu lub warunek polisy mogą stawiać szczególne wymagania wykraczające poza samą RODO, na przykład obowiązkową certyfikację ISO lub klauzulę dotyczącą odpowiedzialności. To, czy Twoje dokumenty spełniają te wymagania, jest oceną prawną należącą do danego zamówienia lub polisy, i najlepiej jest, aby ocenił je prawnik lub, w razie wątpliwości dotyczących samego RODO, skonsultować się z Urzędem Ochrony Danych Osobowych.
Czy chciałbyś zobaczyć, które dokumenty są już w porządku w Twojej sytuacji, a które jeszcze brakuje? Wykonaj bezpłatne szybkie skanowanie lub przeczytaj inne tematy w bazie wiedzy, aby określić, gdzie teraz się znajdujesz.