Atitiktį įrodantys dokumentai skirstomi į du rinkinius. Išoriniai skelbiami viešai ir skirti išoriniams duomenų subjektams. Vidiniai reglamentuoja procedūras organizacijos viduje, ir su jais reikia supažindinti darbuotojus bei pasilikti susipažinimo įrodymus.
Paketas rengiamas ne pirmas. Pirmas yra auditas, kurio metu inventorizuojami visi tvarkomi duomenys ir nustatoma, kurios BDAR pareigos organizacijai iš tikrųjų taikomos. Priežastis praktinė, ir ją verta pasakyti atvirai: dokumentai, parengti neatlikus audito, aprašo ne tą organizaciją. Jie atrodo tvarkingai, jų niekas netaiko, ir per pirmą paklausimą tai matosi iš karto.
Išoriniai dokumentai
Tai tekstai, kuriuos skaito klientai, lankytojai, pareiškėjai ir kiti žmonės už organizacijos ribų:
- privatumo politika — pagrindinis informavimo dokumentas pagal BDAR 13 str.;
- paslaugų teikimo sąlygos, kiek jos susijusios su duomenimis;
- slapukų informacija svetainėje.
Klaida čia gali būti ne blogas tekstas, o tekstas, kuris aprašo ne tuos procesus: privatumo politika, kurioje minima klientų duomenų bazė, kurios nėra, ir nutylimas vaizdo stebėjimas, kuris veikia.
Vidiniai dokumentai
Šis rinkinys didesnis ir jo per svetainę nesimato. Į jį paprastai įeina duomenų tvarkymo veiklos įrašai (BDAR 30 str.), duomenų subjektų prašymų nagrinėjimo tvarka (BDAR 12 str.), saugumo priemonių aprašas (BDAR 32 str.), pažeidimų valdymo tvarka (BDAR 33 str.), prieigos teisių taisyklės ir saugojimo terminų lentelė.
Visa tai remiasi BDAR 24 str. 1 d., kuri reikalauja įgyvendinti tinkamas technines ir organizacines priemones ir gebėti įrodyti, kad tvarkoma pagal reglamentą. Tą pačią pareigą įrodyti nustato ir BDAR 5 str. 2 d. — atskaitomybės principas.
Ir čia yra dalis, kurią lengviausia praleisti. Su vidiniais dokumentais reikia supažindinti darbuotojus ir pasilikti susipažinimo įrodymus, o naujai įdarbinamus — supažindinti taip pat. BDAR šios pareigos tiesiogiai neįvardija. Ji išplaukia iš dviejų nuostatų: BDAR 32 str. 4 d. reikalauja imtis priemonių, kad darbuotojai, galintys susipažinti su asmens duomenimis, juos tvarkytų tik pagal valdytojo nurodymus, o BDAR 5 str. 2 d. reikalauja gebėti tai įrodyti. Būtent to klausiama per patikrą. Tvarka, kurios niekas nematė, atitikties neįrodo; ji įrodo, kad dokumentas buvo parengtas.
Kai paketas parengtas prieš kelerius metus
Kai dokumentai parengti prieš kelerius metus, pavyzdžiui, iškart po BDAR įsigaliojimo, paketas gali atrodyti pilnas, ir natūralus prašymas yra „atnaujinkite, ko trūksta”.
Tokiu atveju verta pradėti ne nuo dokumentų, o nuo audito: išsiaiškinti, ar procesai pasikeitė, ir tik tada atnaujinti esamus bei parengti trūkstamus dokumentus. Per kelerius metus pasikeičia beveik viskas — sistemos, tiekėjai, darbuotojai, paslaugos. Senas paketas dažnai yra tikslus aprašymas organizacijos, kurios nebėra.
Ko gali trūkti
Duomenų tvarkymo sutarčių su tiekėjais (BDAR 28 str.). Klausimą „turime IT paslaugų teikėją, kuris teoriškai gali prieiti prie mūsų duomenų — ar reikia atskiros sutarties?” mums yra uždavęs klientas.
Atsakymas yra taip. Ir įprasta paslaugų sutartis šio reikalavimo neatitinka: joje nėra nei tvarkymo dalyko ir trukmės, nei valdytojo nurodymų, nei konfidencialumo įsipareigojimo, nei pagalbos vykdant duomenų subjektų teises, nei pareigos pranešti apie pažeidimą, nei taisyklių dėl subtvarkytojų, nei sprendimo, kas nutinka duomenims pasibaigus sutarčiai.
Žodis „teoriškai” klausime keičia mažiau, nei atrodo. BDAR 4 str. 2 p. tvarkymu laiko bet kokią operaciją su duomenimis, tarp jų saugojimą ir susipažinimą. Todėl tiekėjas, kurio serveriuose ar sistemose laikomi jūsų duomenys, juos tvarko, net jei į juos nežiūri. Taip dažniausiai yra su buhalterinės apskaitos, serverių nuomos, debesijos, archyvavimo ir apsaugos paslaugų teikėjais. Jei tiekėjas duomenų nesaugo, bet prieigą turi, sutartis nustato, kada ir kaip jis gali ja naudotis.
Pažeidimų registro. BDAR 33 str. 5 d. reikalauja dokumentuoti visus duomenų saugumo pažeidimus, taip pat ir tuos, apie kuriuos priežiūros institucijai pranešti nereikia. Sprendimas nepranešti yra teisėtas; sprendimas neužrašyti — ne.
Iš to seka nemaloni detalė: registras, kuriame nėra nė vieno įrašo, patikros metu nėra geras ženklas. Organizacijoje, kuri dirba, smulkių incidentų būna — laiškas ne tam adresatui, pamestas dokumentas, atidaryta prieiga per ilgai. Tuščias registras nebūtinai reiškia, kad nieko nebuvo: jis gali reikšti ir tai, kad niekas nefiksuojama.
Kokia tvarka dirbame
- Auditas. Inventorizuojami tvarkomi duomenys ir nustatoma, kurios pareigos realiai taikomos. Rezultatas — sąrašas to, ko trūksta, su prioritetais.
- Išoriniai dokumentai. Privatumo politika, slapukai, sąlygos.
- Vidiniai dokumentai. Veiklos įrašai, tvarkos, registrai, prieigos.
- Sutartys su tiekėjais pagal BDAR 28 str.
- Supažindinimas su vidiniais dokumentais ir įrodymų pasilikimas.
Penktas žingsnis yra tas, kurį lengviausia nustumti ir kurio klausiama pirmiausia.
Kiek tai kainuoja
Išoriniai dokumentai ir auditas su vidinių dokumentų paketu apmokami atskirai, kiekvienas fiksuota suma.
Kainą lemia du dalykai: kiek procesų tvarkoma ir kiek tiekėjų prieina prie duomenų. Tikslią sumą pasakome po pirmo pokalbio, prieš pradedant darbą, ir ji nesikeičia darbo eigoje. Fiksuota kaina čia yra ne rinkodara, o būtinybė — audito apimtis paaiškėja per pirmą savaitę, ir klientas neturi mokėti už tai, kad ji paaiškėjo.
Kaip pradėti
Parašykite, kokia jūsų veikla, kiek darbuotojų ir ar dokumentų jau turite. Jei turite, atsiųskite juos — pasakysime, kas iš jų tinka toliau, o ko reikės iš naujo. Pirmas atsakymas ir kainos pasiūlymas nemokami — el. paštas info@linden.lt.
Praktinis žingsnis po žingsnio vadovas yra Linden kuriamoje Privacio svetainėje: Tvarkymo veiklų registras: 30 straipsnio laukai paprastai. Ten pat galite pasitikrinti, ar Jūsų organizacijai privalomas tvarkymo veiklų registras: Privacio įrankis.
Plačiau apie šią paslaugą: BDAR auditas, atitikties dokumentai ir konsultacijos.