Aké dokumenty potrebujete, aby ste preukázali ochranu súkromia pri verejnom obstarávaní alebo poisťovni?
Ak verejný obstarávateľ alebo poisťovňa požiada, aby ste preukázali, že starostlivo zaobchadzate s osobnými údajmi, zvyčajne to znamená pevný balík: register činností spracúvania, zmluvy s spracovávateľmi so svojimi vlastnými dodávateľmi, vyhlásenie o ochrane osobných údajov, prehľad bezpečnostných opatrení, ktoré uplatňujete, a stručný opis toho, ako zaobchadzate s porušením bezpečnosti údajov alebo so žiadosťou subjektu údajov. Pri verejnom obstarávaní sa k tomu často pripája vyplnený zoznam otázok alebo vyhlásenie; u poisťovne ide skôr o formulár na spracovanie žiadosti o poistku kybernetickej bezpečnosti.
Dôvodom, prečo sa tento balík stále vracia, je, že GDPR uznáva povinnosť preukázať: organizácia si nielen musí starostlivo spracovávať osobné údaje, ale musí to aj vedieť preukázať. Verejný obstarávateľ alebo poisťovňa teda neprevierajú, či "niečo robíte s ochranou osobných údajov", ale či to potom viete ukázať na papieri. Toto je presne detail, ktorý hrá úlohu v tomto momente nákupu: nie úmysel, ale dôkaz.
Register činností spracúvania ako kostrou
Register činností spracúvania je obvykle prvou položkou, ktorú si vyžadujú, a zároveň položkou, na ktorej všetko ostatné nadväzuje. Obsahuje osobné údaje, ktoré spracúvate, s akým cieľom, kto ich dostane a ako dlho ich uchováte. Verejný obstarávateľ v ňom rýchlo rozpozná, či organizácia štrukturálne premýšľala o svojich tokoch údajov, alebo či bol register pripravený špeciálne na túto žiadosť. Čo v ňom presne musí byť a ako detailné, nájdete v Poznatkovej základni s vysvetlením pre každú tému.
Zmluvy s dodávateľmi spracúvajúcimi osobné údaje zo vašej strany
Druhá položka, ktorá sa takmer vždy požaduje, je prehľad zmlúv s dodávateľmi spracúvajúcimi osobné údaje: zmluvy, ktoré ste uzavreli s aplikáciami SaaS a poskytovateľmi služieb, ktorí vaším menom spracúvavajú osobné údaje. Myslite na softvér na vedenie miezd, systém CRM alebo cloudovú službu na súbory. Verejný obstarávateľ alebo poisťovňa nechce vidieť iba to, že tieto zmluvy existujú, ale aj to, že sú aktuálne a zodpovedajú nástrojom, ktoré sa skutočne používajú. Register, ktorý zoznamuje troch dodávateľov, zatiaľ čo v praxi je aktívnych osem, sa pri dôkladnom previerke rýchlo odhalí.
Bezpečnosť a zaobchádzanie s incidentmi
Okrem registra a zmlúv sa často požiadavky týkajú organizačných a technických opatrení, ktoré boli prijaté: kto má prístup k akým systémom, ako sa údaje šifrujú, či existuje stratégia zálohovania. Poisťovne to často výslovne požadujú v zozname otázok na výpočet pojistného. Prehľad prijatých opatrení nájdete na stránke Ochrana osobných údajov. Okrem toho sa pravidelne pýtajú, ako organizácia zistí a zvláda porušenie bezpečnosti údajov: existuje postup, vie niekto, kto upozorní a v akom čase. Rozhodovací strom, ktorý určuje, či je incident oznamovacia povinnosť, si môžete prejsť v niekoľkých otázkach aby ste videli, kde približne stojíte.
Čo zoznam nevyrieši
Je lákavé vidieť tieto dokumenty ako kontrolný zoznam, ktorý si zatrhneš v priebehu jedného popoludnia. To nefunguje dobre, a hneď tu je úskalia tohto nákupného momentu. Register činností spracúvania, ktorý nezodpovedá skutočným nástrojom, alebo zmluva s dodávateľom spracúvajúcim osobné údaje, ktorá nikdy nebola prečítaná, pri dôkladnej prehodnotení neobstojí. Dozorné orgány a aj verejní obstarávatelia sa pozerajú na súvislosť: či na seba dokumenty nadväzujú a či je pravdepodobné, že budú priebežne aktualizované namiesto jednorázového vypracovania.
Preto je užitočnejšie vidieť tieto dokumenty ako nepretržitý celok, ktorý sa pohybuje spolu s nástrojmi a procesmi, ktoré používate, namiesto jednorázovej sady papierov na jednu žiadosť. Ako táto výstavba vyzerá a odkiaľ prichádzajú informácie, je vysvetlené na stránke ako je systém postavený.
Kedy si objednáte právnika
Podmienka verejného obstarávania alebo poisťovacia podmienka môže stanoviť špecifické požiadavky, ktoré presahujú Nariadenie (EU) 2016/679, napríklad povinné certifikačné normy ISO alebo doložku o zodpovednosti. To, či vaše dokumenty spĺňajú tieto požiadavky, je právnym posúdením, ktoré patrí k danému zmluvnému vzťahu alebo poistke, a je vhodné, aby ste ho nechali posúdiť právnikom, alebo v prípade pochybností o samotnom Nariadení (EU) 2016/679 sa poraďte s Úradom na ochranu osobných údajov.
Chceli by ste vidieť, ktoré dokumenty sú vo vašej situácii už v poriadku a ktoré ešte chýbajú? Vykonajte bezplatnú rýchlu kontrolu alebo si prečítajte ďalšie témy v Knowledge Base a určite, kde sa práve nachádzate.