O parte din ceea ce solicită un client sau un asigurator, o puteți pregăti singuri: o evidență a datelor cu caracter personal pe care le prelucrați, instrumentele pe care le utilizați și acordurile pe care le aveți cu furnizorii. Ceea ce este mai dificil de făcut singur este menținerea acestei evidențe complete și actualizate, și demonstrarea că măsurile luate sunt într-adevăr corespunzătoare cu ceea ce prelucrați. Acest lucru din urmă necesită o structură care evoluează în timp, nu doar o fotografie a unui moment.
Faptul că voi singuri să-i ajungi depinde mult de ceea ce exact se cere. Un asigurator care trimite un chestionar despre măsuri de securitate de bază este altceva decât o autoritate contractantă care dorește să vadă o evidență completă a prelucrărilor, acorduri cu procesatorii de date și o evaluare a impactului asupra protecției datelor (DPIA). Cu cât solicitarea este mai detaliată, cu atât mai mult efort este necesar pentru a pune în ordine aceste elemente și a le menține.
Ceea ce cere de fapt un client sau un asigurator
Cererea "demonstrează că respecti GDPR-ul" există rar în practică în forma aceasta literală. De obicei se cere după documente concrete: o evidență a prelucrărilor, dovada acordurilor cu procesatorii pentru fiecare furnizor, o descriere a măsurilor tehnice și organizatorice, și uneori o declarație despre modul în care sunt tratate încălcările de date. GDPR-ul în sine obligă organizațiile să poată justifica prelucrările pe care le efectuează; ceea ce solicită suplimentar fiecare client sau asigurator este o cerință proprie și adăugată care poate diferi de la o parte la alta.
Este deci important să clarificați mai întâi exact ceea ce se solicită, înainte de a stabili cât efort costă preluarea acestui lucru singur. O scurtă întrebare poate fi răspunsă într-o jumătate de zi de cercetare; o audit completă necesită o documentație menținută în permanență.
Ceea ce puteți pregăti singuri
O primă inventariere este de fapt de făcut de cei mai mulți antreprenori: ce instrumente SaaS utilizați, care dintre acestea prelucrează date cu caracter personal, și aveți un acord cu procesatorul pentru fiecare furnizor. De asemenea, o descriere generală a măsurilor de securitate — politică de parolă, cine are acces la ce sisteme, dacă există copii de siguranță — se poate face cu bun simț fără ajutor extern. baza de cunoștințe cu explicații pe fiecare subiect oferă un răspuns scurt pentru fiecare situație și locația în textul oficial, pentru ca dvs. să știți de unde provine o cerință înainte de a o implementa.
Cine are îndoieli dacă o încălcare a datelor raportată anterior ar fi trebuit raportată, poate verifica și el/ea: în câteva întrebări vedeți aproximativ unde vă aflați oferă o primă indicație, indiferent de întrebarea dacă acel caz specific trebuia sau nu raportate la acel moment.
Unde munca pe cont propriu devine mai dificilă
Complexitatea se află de obicei nu într-un singur document, ci în interconexiunea și actualitatea acestuia. Un registru al activităților de prelucrare întocmit cu un an în urmă și care nu a fost actualizat de atunci, este deja depășit în cazul unui nou instrument SaaS sau a unui furnizor modificat. Contractele cu procesatorii de date pe care le-ați semnat cândva trebuie să corespundă cu ceea ce faceți efectiv cu acel furnizor astăzi. Și un asigurător sau o autoritate contractantă întreabă adesea nu doar existența documentelor, ci o poveste coerentă: registru, contracte și măsuri care se conectează logic între ele.
Tocmai menținerea acestui sistem este cea care va consuma timp pentru multe IMM-uri care nu dispun de acesta. Un sistem care completează registrul din biblioteca cu instrumente cunoscute și care monitorizează dacă contractele cu procesatorii de date sunt încă valide, vă ia această responsabilitate fără ca dvs. să trebuiți să deveniți jurist.
Ce rămâne, chiar dacă o abordați dvs. singur/ă
Niciun instrument nu vă ia decizia finală: voi înșivă determinați ce transmiteți unui client sau unui asigurător și dacă aceasta satisface cerințele formulate. Structura și clarificarea pot ușura considerabil munca. Pe pagina de unde provine informația este explicat cum gdpria.eu bazează conținutul pe Regulamentul (UE) 2016/679 și pe liniile directoare ale Consiliului European pentru Protecția Datelor și ale Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, inclusiv sursa, astfel încât să nu trebuie să vă bazați pe cuvântul nostru, ci să puteți consulta sursa propriu-zisă.
Limita în practică
Ca regulă generală: o întrebare unică și limitată poate fi deseori răspunsă singur cu o zi de cercetare. Odată ce este vorba despre un registru continuu, mai mulți furnizori cu acorduri variabile privind prelucrarea datelor, sau întrebări recurente de la mai mulți clienți, mentenanța devine punctul critic, nu elaborarea inițială. La acel moment, externalizarea către un sistem sau un consultant este adesea mai puțin un lux și mai mult o modalitate de a câștiga timp.
Sunteți curios ce ar face diferența în situația dvs.? Efectuați scanarea rapidă gratuită sau navigați prin întrebările frecvente pe această temă pentru a vedea ce pas ar fi cel mai potrivit pentru dvs..