Usklađenost i upravljanje privatnošću

Član 5 stav 2 GDPR-a zahtijeva da kontrolor ne samo poštuje osnovna načela nego i može dokazati usklađenost. Član 24 GDPR-a traži odgovarajuće tehničke i organizacione mjere i provjeru njihove djelotvornosti. Zaštita podataka je zato zadatak upravljanja i organizacije, a ne samo IT projekat.

U praksi treba rasporediti odgovornosti. Ko odlučuje o svrhama i sredstvima obrade? Ko opisuje stvarni proces? Ko provjerava ugovore, rizike i sigurnosne mjere? Ko odlučuje kada se novi sistem mora uvesti brzo? Interna matrica odgovornosti treba odgovoriti na ta pitanja. Ona ne zamjenjuje pravnu provjeru, ali sprječava da odluke nestanu između odjela.

Član 30 GDPR-a mnogim preduzećima nalaže vođenje evidencije aktivnosti obrade. Iako se u pojedinačnom slučaju može provjeriti uska iznimka, ažurna evidencija je često važan instrument upravljanja. Ona pokazuje koji procesi postoje, gdje počinju i završavaju tokovi podataka i koje funkcije učestvuju u obradi.

Korisna evidencija opisuje svrhu, kategorije lica i podataka, primaoce, prenose u treće zemlje, rokove brisanja ili čuvanja i opšte tehničke i organizacione mjere. Njena vrijednost se vidi kada se nešto promijeni. Kod uvođenja novog CRM-a, platforme za obračun plata ili alata za analitiku mora biti jasno ko pokreće provjeru i kako se evidencija ažurira.

Povežite evidenciju sa procesom promjena. Nabavka, IT zahtjev ili interna provjera mogu biti signal. Tako nastaje živa mapa, a ne samo tabela. Kod vanjskih pružalaca usluga dodatna pitanja obrađuje fokus na izvršitelje obrade i pružaoce usluga.

Pravilo je korisno samo ako ljudima pomaže da donesu konkretnu odluku. Opšta uputa da se podaci moraju sigurno obrađivati ne govori ko odobrava novi SaaS alat, kako se provjerava izvoz ili kada se sumnja na povredu prijavljuje nadležnoj osobi. Dobra pravila povezuju jasan cilj sa ostvarivom radnjom.

Tipične teme su novi softver, prava pristupa, rad na daljinu, čuvanje i brisanje, zahtjevi ispitanika, marketing, fotografije, video i prijava sumnjivih povreda. Kod podataka zaposlenih dodaju se pitanja radnog prava i učešća zaposlenih. Ta pitanja su posebno obrađena u temi zaštite podataka zaposlenih.

Kratke upute za odluke i ciljane obuke često su djelotvornije od dugih pravilnika. Zabilježite kada se pravilo provjerava i koji događaj pokreće vanredno ažuriranje.

Upravljanje je naročito važno kod obrada sa većim rizikom. Član 25 GDPR-a traži zaštitu podataka kroz tehničko oblikovanje i zadane postavke. Član 32 traži nivo sigurnosti primjeren riziku. Zavisno od obrade, može biti potrebna i procjena uticaja na zaštitu podataka prema članu 35 GDPR-a.

Odluka o riziku ne treba da se zaustavi na jednoj oznaci. Opišite obradu, moguće posljedice za ljude, pretpostavljenu vjerovatnoću i mjere koje smanjuju rizik. Ako rizik ostane otvoren, odredite vlasnika, prioritet i sljedeći korak kako bi se njime moglo upravljati.

Jednostavan registar rizika može podržati trajno upravljanje. Treba ga povezati sa evidencijom obrada, sigurnosnim mjerama, ugovorima i upravljanjem incidentima. Kod povrede ličnih podataka dokumentacija treba omogućiti brzo rekonstruisanje procjene i reakcije.

Okvir upravljanja ne mora biti savršen da bi bio koristan. Mora pokazati da preduzeće provjerava da li njegove pretpostavke još važe. Srazmjerne provjere mogu obuhvatiti prava pristupa, brisanje, dokumentaciju pružalaca usluga, obuke ili upise u evidenciji. Obim provjere treba odgovarati riziku, a ne samo najlakšim dokumentima.

Zabilježite datum, obuhvaćeno područje, rezultat, odstupanje i naknadnu mjeru. Negativan nalaz nije neuspjeh ako je prepoznat i obrađen. Slabost nastaje kada se kontrola samo tvrdi, a niko ne može pokazati kako je izvršena.

Kod marketinga, kolačića i praćenja zapisi o saglasnostima i signali promjena treba da budu dio upravljanja. Tema marketinga, kolačića i praćenja obrađuje tu posebnu vezu.

Vanjska podrška može biti korisna kada postoji više društava, složeni tokovi podataka, nova tehnologija, međunarodni pružaoci usluga ili povećan rizik. Okvir treba provjeriti i kod reorganizacije, preuzimanja ili velikog IT projekta, a ne tek poslije puštanja sistema u rad.

Za ciljanu provjeru obično pomažu ažurna evidencija obrada, organizaciona šema ili matrica odgovornosti, pravila, pregled pružalaca usluga, procjene rizika, sigurnosni koncept, pravila brisanja i dokazi o obukama i kontrolama. Ti materijali pokazuju da li je praznina u odgovornosti, procesu, dokumentaciji ili stvarnoj primjeni.

Kancelarija može zajedno sa odgovornim osobama provjeriti pravnu kvalifikaciju i organizacionu strukturu. Tako rješenje ostaje povezano sa poslovanjem, umjesto da se pretvori u zbir obrazaca bez jasnog vlasnika.