Časť toho, čo si vyžaduje obstarávateľ alebo poisťovňa, si môžete sami pripraviť: prehľad toho, ktoré osobné údaje spracúvate, ktoré nástroje na to používate a aké dohody máte so svojimi dodávateľmi. Čo je ťažšie robiť sami, je udržiavať tento prehľad úplný a aktuálny a dokazovať, že prijaté opatrenia sú naozaj vhodné pre to, čo spracúvate. Posledne uvedené si vyžaduje štruktúru, ktorá rastie s časom, nie len momentálny stav.
To, či je vlastné spracovanie dostatočné, značne závisí od toho, čo sa presne pýta. Poisťovňa, ktorá posiela dotazník o základných bezpečnostných opatreniach, je niečo iné ako verejný obstarávateľ, ktorý chce vidieť kompletný register spracovateľských činností, zmluvy so spracovateľmi a DPIA (posúdenie vplyvov na ochranu údajov). Čím rozsiahlejšia je požiadavka, tým viac práce si vyžaduje, aby ste to mali uvedené v poriadku a udržiavali to v poriadku.
To, čo si obstarávateľ alebo poisťovňa v skutočnosti pýta
Otázka "preukažte, že dodržiavate GDPR" v praxi zriedka existuje tak doslova. Zvyčajne sa žiada o konkrétne dokumenty: register spracovateľských činností, dôkaz o dohodách so spracovateľmi s dodávateľmi, popis technických a organizačných opatrení a niekedy aj vyjadrenie o tom, ako sa s porušeniami ochrany údajov zaobchádza. Samotný GDPR zaväzuje organizácie, aby mohli preukázať zodpovednosť za spracovanie, ktoré vykonávajú; to, čo jednotlivý objednávateľ alebo poisťovňa požaduje navyše, je vlastná, doplňujúca požiadavka, ktorá sa môže líšiť podľa strany.
Je preto potrebné, aby ste si najprv ujasnil(a), čo sa presne požaduje, skôr ako sa rozhodnete, koľko práce si vyžaduje spracovanie na vlastnú päšť. Krátky zoznam otázok sa dá odpovedať počas jedného popoludnia zisťovania; úplný audit vyžaduje systematicky vedené dokumentáciu.
Čo si môžete pripraviť sami
Prvotný prehľad je pre väčšinu podnikateľov možné zvládnuť sami: ktoré SaaS nástroje používate, ktoré z nich spracovávajú osobné údaje a máte od každého dodávateľa dohodu so spracovateľom. Aj všeobecný popis bezpečnostných opatrení — politika hesiel, kto má prístup k ktorým systémom, či existujú zálohy — je možné vypracovať so zdravým rozumom bez externej pomoci. v banke vedomostí s vysvetlením na danú tému poskytuje krátku odpoveď v každej situácii a umiestnenie v oficiálnom texte, aby ste vedeli, odkiaľ požiadavka pochádza, skôr ako sa do nej pustíte.
Kto si nie je istý, či by sa údajná bezpečnostná chyba z minulosti mala bola nahlásiť, môže si to overiť aj sám: v niekoľkých otázkach vidieť, kde sa zhruba nachádzate poskytuje prvú indikaciu, bez ohľadu na to, či sa tento konkrétny prípad v tom čase mal alebo nemal nahlásiť.
Kde sa samotné riešenie stáva zložitejším
Zložitosť zvyčajne nespočíva v jednom dokumente, ale v jeho súvislostiach a aktuálnosti. Register spracovateľských činností, ktorý bol vypracovaný pred rokom a odvtedy nebol aktualizovaný, je zastarané, keď príde nový nástroj SaaS alebo sa zmení dodávateľ. Zmluvy s spracovateľmi, ktoré ste niekedy podpísali, musia zodpovedať tomu, čo s daným dodávateľom skutočne teraz robíte. A poistovňa alebo subjekt zadávajúci zákazku často neapetuje len existenciu dokumentov, ale konzistentnú správu: register, zmluvy a opatrenia, ktoré sa logicky na seba nadväzujú.
Práve táto údržba je tá, ktorá si vyžaduje čas, ktorý mnoho podnikov MKB nemá, keď si ju vedú sami. Systém, ktorý zásobuje register z knižnice známych nástrojov a kontroluje, či sú zmluvy s spracovateľmi stále správne, vám túto údržbu vezme z pliec bez toho, aby ste sa sami stali právnikom.
Čo zostane, aj keď si to vezmete do svojich rúk
Žiadny nástroj vám nepreberá definitívne hodnotenie: sami rozhodujete, čo odovzdáte objednávateľovi alebo poisťovňe a či to postačuje na splnenie stanovenej požiadavky. Štruktúra a vysvetlenie vám síce môžu prácu výrazne uľahčiť. Na stránke, odkiaľ pochádza informácia je vysvetlené, ako gdpria.eu vychádza z obsahu samotného Nariadenia (EU) 2016/679 a z usmernení EDPB a Úradu na ochranu údajov, s uvedením zdroja, aby ste sa nemuseli spoliehať na naše slovo, ale mohli si sami prečítať pôvodný zdroj.
Hranica v praxi
Ako všeobecné pravidlo platí: jednorazová, obmedzená otázka sa často dá zodpovedať sami jedným dňom zisťovania. Akonáhle ide o priebežný register, viacerých dodávateľov s meničúcimi sa zmluvami o spracovaní, alebo opakujúce sa otázky od viacerých objednávateľov, údržba sa stáva kritickým miestom, nie prvé spracovanie. V tomto bode je zvyčajne zvýhodnejšie prenechať to systému alebo poradcovi, aby ste si vrátili čas.
Zaujíma vás, čo by to v situácii vášho podniku znamenalo? Vykonajte bezplatnú rýchlu kontrolu alebo si prelistujte často kladené otázky k tejto téme aby ste videli, ktorý krok je pre vás najvhodnejší.