Ce documente aveți nevoie pentru a demonstra conformitatea cu reglementările privind protecția datelor la o licitație sau asigurator?
Dacă o autoritate contractantă sau o asigurare vă cere să demonstrați că tratați cu grijă datele cu caracter personal, aceasta se reduce de obicei la un pachet fix: un registru al activităților de prelucrare, acordurile de prelucrare cu propriii dumneavoastră furnizori, o declarație de confidențialitate, o trecere în revistă a măsurilor de securitate pe care le aplicați, și o scurtă descriere a modului în care gestionați o încălcare a datelor sau o cerere a unui titular de date. La o licitație, acestea sunt adesea însoțite de un chestionar completat sau o declarație; la o asigurare, este mai degrabă un formular de intake pentru o poliță cibernetic.
Motivul pentru care acest pachet reapare constant este că RGPD prevede o obligație de responsabilitate: o organizație trebuie nu doar să prelucreze datele cu caracter personal cu grijă, ci și să poată demonstra aceasta. O autoritate contractantă sau o asigurare nu testează deci dacă faceți "ceva pentru confidențialitate", ci dacă puteți arăta asta pe hârtie. Acesta este exact detaliul care contează la acest moment de achiziție: nu intenția, ci dovada.
Registrul activităților de prelucrare ca coloană vertebrală
Registrul activităților de prelucrare este de obicei primul document solicitat și, de asemenea, documentul pe care se construiește restul. Acesta conține care date cu caracter personal prelucrați, cu ce scop, cine le primește și cât timp le păstrați. O autoritate contractantă observă rapid dacă o organizație a gândit structural fluxurile sale de date sau dacă registrul a fost constituit special pentru cerere. Ce trebuie să conțină exact și cât de detaliat, citiți în banca de cunoștințe cu explicații pe subiect.
Acorduri de prelucrare cu propriii dumneavoastră furnizori
Al doilea document care este aproape întotdeauna solicitat este trecerea în revistă a acordurilor de prelucrare: acordurile pe care le-ați încheiat dumneavoastră cu instrumentele SaaS și furnizorii de servicii care prelucrează datele cu caracter personal în numele dumneavoastru. Gândiți-vă la un pachet de administrare a salariilor, un sistem CRM sau un serviciu cloud pentru fișiere. O autoritate contractantă sau o asigurare doresc nu doar să vadă că aceste acorduri există, ci și că sunt actuale și se aliniază cu instrumentele care sunt de fapt utilizate. Un registru care enumeră trei furnizori în timp ce în practică opt sunt activi cade ușor la o evaluare amănunțită.
Securitate și gestionarea incidentelor
Pe lângă registru și acorduri, se cere adesea o informare despre măsurile organizatorice și tehnice luate: cine are acces la ce sisteme, cum sunt criptate datele, există o strategie de backup. Asiguratorii solicită adesea aceasta în mod explicit într-un chestionar pentru calculul primei. O trecere în revistă a măsurilor luate o găsiți pe pagina despre securitatea datelor cu caracter personal. În plus, se întreabă des cum o organizație detectează și gestionează o încălcare a datelor: există o procedură, știe cineva cine avertizează și în ce termen. Arborele decizional care determină dacă un incident este supus obligației de notificare îl puteți parcurge în câteva întrebări pentru a vedea unde vă situați aproximativ.
Ce nu rezolvă o listă
Este tentant să privim aceste documente ca o listă de verificare pe care o bifezi într-o jumătate de zi. Nu funcționează bine și aceasta este chiar capcana acestui moment de achiziție. Un registru al activităților de prelucrare care nu se aliniază cu instrumentele reale sau un acord de prelucrare care nu a fost niciodată reexaminat nu rezistă unei evaluări amănunțite. Autoritățile de supraveghere și, de asemenea, autoritățile contractante, se uită la coerență: se aliniază documentele între ele și este plauzibil că sunt actualizate permanent în loc să fie elaborate o singură dată.
De aceea este mai util să privim aceste documente ca un întreg continuu care evoluează odată cu instrumentele și procesele pe care le utilizați, în loc de a le considera o serie unică de hârtii pentru o singură cerere. Cum arată această construcție și de unde provin informațiile, este explicat pe pagina cum este structurat sistemul.
Când angajați un jurist
O condiție de licitație sau o clauză de poliță poate impune cerințe specifice care depășesc RGPD-ul în sine, de exemplu o certificare ISO obligatorie sau o clausulă de răspundere. Dacă documentele dvs. se conformează acestora este o evaluare juridică care aparține comenzii sau poliței respective, și este mai bine să o faceți să fie evaluată de un avocat sau, dacă aveți îndoieli cu privire la RGPD în sine, să vă adresați Autorității pentru Protecția Datelor.
Doriți să vedeți care documente sunt deja în regulă pentru situația dvs. și care lipsesc? Efectuați scanarea rapidă gratuită sau citiți alte subiecte din baza de cunoștințe pentru a determina unde vă aflați în acest moment.