Duomenų apsaugos pareigūno paslauga apmokama fiksuota mėnesine suma. Kainą lemia ne darbuotojų skaičius, o klausimų srautas: įstaiga, tvarkanti sveikatos ar vaikų duomenis, per metus sugeneruoja daugiau situacijų nei tokio pat dydžio įmonė, tvarkanti tik personalo ir tiekėjų duomenis. Atskirai nuo mėnesinės paslaugos apmokamas pradinis auditas su dokumentų paketu. Konkrečią sumą atsiunčiame per kelias darbo dienas, o jei jos reikia viešųjų pirkimų planui — tą pačią dieną ir be klausimyno.
Tai yra atsakymas į klausimą: kiek kainuoja duomenų apsaugos pareigūno paslauga per mėnesį ir kas į tą kainą įeina.
Kodėl kainos reikia anksčiau nei visko kito
Dažniausias šios paslaugos pirkėjas yra švietimo, kultūros arba sveikatos priežiūros įstaiga, kuri sudarinėja viešųjų pirkimų planą. Planui reikia skaičiaus, ir jo reikia anksčiau, nei kas nors spės atsakyti į klausimyną apie duomenų tvarkymą.
Todėl pirminę kainą pateikiame be klausimyno. Užtenka žinoti įstaigos tipą, apytikrį darbuotojų skaičių ir ar tvarkomi sveikatos arba vaikų duomenys. Tikslinti galima vėliau — planui reikalingas skaičius atsiunčiamas tą pačią dieną.
Atsakymas „susisiekite ir aptarsime” tokioje situacijoje yra ne atsargumas, o kliūtis. Įstaiga, kuriai reikia įrašyti eilutę į planą iki konkrečios datos, neturi laiko deryboms.
Kas įeina į mėnesinę kainą
Mėnesinė paslauga yra pareigūno funkcijos atlikimas, o ne valandų paketas. Praktikoje ji susideda iš šių dalykų:
- konsultacijos darbuotojams, kai kyla konkretus klausimas — ar galima persiųsti sąrašą, ar galima įrašyti pokalbį, ką atsakyti tėvams;
- įspėjimas apie galimus pažeidimus, kai matome, kad planuojamas sprendimas jų sukels;
- atsakymai į duomenų subjektų paklausimus ir jų nagrinėjimo terminų priežiūra;
- bendravimas su Valstybine duomenų apsaugos inspekcija, įskaitant kontaktinio asmens funkciją;
- pažeidimų registro tvarkymas, kurio reikalauja BDAR 33 str. 5 d.;
- duomenų tvarkymo veiklos įrašų palaikymas pagal BDAR 30 str.
Prie to prisideda pareigos, kurios atsiranda vieną kartą ir lieka: BDAR 37 str. 7 d. reikalauja paskelbti pareigūno kontaktinius duomenis ir pranešti juos priežiūros institucijai. BDAR 38 str. 1 d. reikalauja pareigūną laiku įtraukti į visus su duomenų apsauga susijusius klausimus, o ne informuoti jį po sprendimo.
Forma, kuri praktikoje veikia geriausiai
Įstatymas nenustato, kaip dažnai pareigūnas turi bendrauti su organizacija. Tai yra praktikos klausimas, ir mūsų atsakymas į jį toks: nuotoliniai susitikimai kas dvi savaites po 30 minučių.
Tokį ritmą esame pasiūlę klientui; tai ne rekomendacija iš vadovėlio. Priežastis paprasta. Kartą per metus vykstantis susitikimas nespėja aptikti nieko, o klausimai, kurie kyla tarp jų, tiesiog nekeliami. Trisdešimt minučių kas dvi savaites užtenka pereiti per tai, kas pasikeitė, ir pakanka retai, kad niekam netaptų našta. Tarp susitikimų klausimai sprendžiami el. paštu.
Jei tiekėjas siūlo tik metinę peržiūrą, verta paklausti, kas nutinka su klausimu, kuris kyla spalį.
Kai ankstesnis tiekėjas nutraukė veiklą
Gali nutikti, kad organizacijos ankstesnis duomenų apsaugos pareigūnas nustoja teikti paslaugą. Įstaiga lieka be pareigūno, o jos dokumentų paketas — be autoriaus.
Tokiu atveju pradedame ne nuo dokumentų, o nuo audito. To priežastis nėra pardavimas. Nuo ankstesnio paketo parengimo procesai jau pasikeitė: atsirado naujų sistemų, pasikeitė paslaugų teikėjai, pasikeitė žmonės. Seni dokumentai aprašo organizaciją, kurios nebėra. Juos pratęsti nepakeitus reiškia perimti klaidą ir pasirašyti po ja savo vardu.
Auditas šioje situacijoje gali parodyti, kad didžioji dokumentų dalis tinka, o keli skyriai nebeatitinka tikrovės. Perrašomi tie keli.
Kas apmokama atskirai
Ne viskas, kas susiję su duomenų apsauga, yra pareigūno funkcija. Atskirai apmokami darbai, kurie yra projektai, o ne priežiūra:
- pradinis atitikties auditas ir dokumentų paketas;
- vaizdo stebėjimo kamerų tikslų aprašymas, kai poreikis nustatomas audito metu;
- poveikio duomenų apsaugai vertinimas pagal BDAR 35 str., kai jis privalomas;
- mokymai darbuotojams.
Šis skirstymas nėra kainoraščio gudrybė. BDAR 39 str. 1 d. b p. pareigūnui priskiria stebėti, kaip laikomasi reikalavimų. Parengti dokumentus, o paskui stebėti, kaip laikomasi savo paties parengtų dokumentų, yra du darbai, ir jie turi skirtingą apimtį.
Kaip pradėti
Pirmas žingsnis nemokamas: trumpas situacijos įvertinimas pagal klausimyną, po kurio per kelias darbo dienas atsiunčiame pasiūlymą su konkrečia kaina. Jei kainos reikia viešųjų pirkimų planui anksčiau, parašykite tai laiške — skaičių atsiųsime be klausimyno.
Ar Jūsų organizacijai privalomas tvarkymo veiklų registras, galite pasitikrinti Linden kuriamu Privacio įrankiu.
El. paštas info@linden.lt
Plačiau apie šią paslaugą: išorinio duomenų apsaugos pareigūno paslauga.