Katere dokumente potrebujete, da dokažete skladnost z varstvom podatkov pri javnem naročanju ali pri zavarovalnici?
Če naročilni organ ali zavarovalnica prosi, da pokažete, da previdno ravnate s podatki o posameznikih, to običajno pomeni naslednji paket: register obdelave podatkov, pogodbe o obdelavi podatkov z vašimi lastnimi ponudniki, izjavo o varnosti podatkov, pregled varnostnih ukrepov, ki jih uporabljate, in kratek opis, kako ravnate z vdorom v podatke ali zahtevo osebe. Pri naročilu je pogosto priložena izpolnjena vprašalnik ali izjava; pri zavarovalnici je to bolj vprašalnik za zavarovalno polico za kibernetske tvegane.
Razlog, da se ta paket vedno ponavlja, je, da ima GDPR zahtevo za odgovornost: organizacija ne sme le previdno obdelovati podatke o posameznikih, temveč to mora tudi dokazati. Naročilni organ ali zavarovalnica torej ne preverja, ali »kaj delate za varnost podatkov«, temveč ali to lahko pokažete na papirju. To je natanko tisti podrobnost, ki je pomembna na tem nakupnem trenutku: ne namen, temveč dokaz.
Register obdelave podatkov kot hrbtenica
Register obdelave podatkov je običajno prvi dokument, ki se zahteva, in tudi dokument, na katerem se gradijo ostali. Vsebuje, katere podatke o posameznikih obdelate, v kateri namen, kdo jih prejme in kako dolgo jih hranite. Naročilni organ hitro prepozna, ali je organizacija strukturno razmislila o svojih tokovih podatkov ali je register narejen posebej za zahtevo. Kaj mora biti natanko v njem in kako podrobno, preberite v bazi znanja s pojasnili po temah.
Pogodbe o obdelavi podatkov z vašimi lastnimi ponudniki
Drugi dokument, ki se ga skoraj vedno zahteva, je pregled pogodb o obdelavi podatkov: pogodbe, ki ste jih sklenili sami s SaaS-orodji in ponudniki storitev, ki v vašem imenu obdelujejo podatke o posameznikih. Pomislite na paket za obračun plač, CRM-sistem ali oblačno storitev za datoteke. Naročilni organ ali zavarovalnica želi tukaj videti ne samo to, da te pogodbe obstajajo, temveč tudi to, da so sveže in ustrezajo orodjem, ki se dejansko uporabljajo. Register, ki navaja tri ponudnike, medtem ko se v praksi aktivno uporablja osem, hitro postane očiten pri temeljitem pregledu.
Varnost in ravnanje z incidenti
Poleg registra in pogodb se pogosto vpraša o organizacijskih in tehničnih ukrepih, ki so bili sprejeti: kdo ima dostop do katerih sistemov, kako so podatki šifrirani, ali obstaja strategija varnostnega kopiranja. Zavarovalnice to pogosto eksplicitno vprašajo v vprašalniku za izračun premije. Pregled sprejetih ukrepov preberite na strani o varnosti podatkov o posameznikih. Poleg tega se pogosto vpraša, kako organizacija odkrije in obvladuje vdor v podatke: ali obstaja postopek, ve kdo, kdo opozori in v katerem roku. Odločitveno drevo, ki ugotavlja, ali je incident prijavljen, lahko premislite v nekaj vprašanjih da vidite, kje ste približno.
Kaj seznam ne rešuje
Prilivo je videti te dokumente kot seznam, ki ga prepevate v enem popoldnevu. To ne deluje dobro in to je takoj veja pri tem nakupnem trenutku. Register obdelave podatkov, ki ne ustreza dejanskim orodjem, ali pogodba o obdelavi podatkov, ki je nikoli ni prebrali, ne drži pri temeljitem vrednotenju. Nadzorni organi in tudi naročilni organi gledajo na skladnost: ali se dokumenti ujemajo, in ali je verjetno, da se redno posodabljajo namesto da bi bili napravljeni samo enkrat.
Zato je koristneje videti te dokumente kot neprekinjeno celoto, ki se premika s orodji in procesi, ki jih uporabljate, namesto kot enkratnega niza papirjev za eno zahtevo. Kako ta nastavitev izgleda in od kod prihajajo informacije, je razloženo na strani kako je sistem nastavljen.
Kdaj vpregledujete pravnika
Pogoj javnega razpisa ali pogoj zavarovalnice lahko postavlja posebne zahteve, ki presegajo samo Splošno uredbo o varstvu podatkov (GDPR), na primer obvezno ISO-certifikacijo ali klavzulo o odgovornosti. Ali vaši dokumenti izpolnjujejo te zahteve, je pravna presoja, ki spada k razpisu ali polici, in jo je najbolje, da jo preuči pravnik ali, če se pojavljajo dvomi glede same Splošne uredbe o varstvu podatkov, da se posvetujete z Uradom za varstvo podatkov.
Želite videti, kateri dokumenti so za vašo situacijo že v redu in kateri še manjkajo? Opravite brezplačno hitro preverjanje ali preberite druge teme v bazi znanja, da ugotovite, kje ste trenutno.