Mokymai organizacijoms

Dažni klausimai

Ar darbuotojų mokymai apie asmens duomenų apsaugą yra privalomi?

Atskiro straipsnio, kuris sakytų „privaloma vesti mokymus", BDAR neturi, bet pareiga išplaukia iš dviejų vietų. Pirma, duomenų apsaugos pareigūno užduotis tiesiogiai apima darbuotojų informuotumo didinimą ir mokymą. Antra, valdytojas privalo įgyvendinti pavojų atitinkančias organizacines priemones ir gebėti tai įrodyti — VDAI saugumo gairėse personalo mokymai įvardyti kaip viena tokių priemonių. Praktikoje mokymų data yra standartinis patikros klausimas.

Kaip dažnai reikia mokyti darbuotojus?

VDAI savo saugumo priemonių gairėse siūlo mokymų periodiškumą kartą per metus ir nurodo, kad kiekvienais metais turi būti parengtas ir įgyvendintas mokymų planas su siektinais tikslais ir uždaviniais. Todėl praktinis standartas — vieni mokymai per metus plius įvadiniai mokymai naujiems darbuotojams. Paslaugos sutartyse su duomenų apsaugos pareigūnu kasmetiniai mokymai paprastai yra atskiras sutartas punktas.

Kokios temos įtraukiamos į duomenų apsaugos mokymus?

Organizacijoms, kurių darbuotojai mokymuose dar nedalyvavo, siūloma bazinė programa: pagrindinės BDAR sąvokos; duomenų tvarkymo principai; specialių kategorijų asmens duomenys ir jų tvarkymas; teisėto duomenų tvarkymo sąlygos; duomenų subjektų informavimas ir teisės; duomenų apsaugos pažeidimai; poveikio duomenų apsaugai vertinimas; duomenų apsaugos pareigūno funkcijos; darbuotojų pareigos tvarkant asmens duomenis; praktiniai pavyzdžiai ir patarimai.

Ar mokymų programa pritaikoma mūsų veiklos sričiai?

Taip, ir tai daroma po datos patvirtinimo — temos derinamos individualiai pagal veiklos specifiką ir praktikoje kylančius klausimus. Pavyzdžiui, švietimo įstaigoms programa apima duomenų tvarkymo tikslus švietimo įstaigoje, tėvų ir globėjų informavimą, sutikimus dėl mokinių nuotraukų, filmavimo ir publikavimo, personalo duomenų tvarkymą, vaizdo stebėjimo darbo vietoje politiką, prieigos teisių ir slaptažodžių valdymą, pažeidimų nustatymo bei pranešimo tvarką, prašymų nagrinėjimą, sutartis su paslaugų teikėjais ir duomenų perdavimą valstybinėms institucijoms. Sveikatos priežiūros įstaigoms akcentas perkeliamas į sveikatos duomenis ir specialių kategorijų duomenų tvarkymą.

Kiek laiko trunka mokymai?

Įprastai 2–4 valandos; kiek tiksliai — priklauso ir nuo auditorijos įsitraukimo. Platesnės programos, pavyzdžiui, švietimo įstaigoms, paprastai trunka 3–4 valandas. Siauresniam klausimų ratui arba vienai darbuotojų grupei užtenka trumpesnės sesijos. Trukmė derinama iš anksto kartu su temomis.

Ar mokymai vyksta nuotoliniu, ar kontaktiniu būdu?

Abiem būdais — pasirinkimas jūsų. Nuotoliniai mokymai vedami per Zoom arba kitą jums įprastą platformą, kontaktiniai — jūsų patalpose. Kai auditorija sudaryta iš skirtingų vaidmenų, tas pats užsakymas dažnai išskaidomas: dalis grupių mokoma nuotoliniu būdu, o viena grupė — kontaktiniu.

Ar dalyviai gauna pažymėjimus?

Taip. Po mokymų dalyviams elektronine forma išduodami mokymo dalyvio pažymėjimai. Tai organizacijos vidaus dokumentas, patvirtinantis, kad darbuotojas mokymus išklausė — būtent to reikia, kad galėtumėte įrodyti mokymų faktą per auditą ar patikrinimą.

Ar dalyviai gauna mokymų medžiagą?

Taip. Kartu su pažymėjimais elektronine forma pateikiama ir mokymų medžiaga (PDF). Medžiaga lieka organizacijai — ja galima naudotis įvadiniam naujų darbuotojų instruktažui ir kaip priminimu tarp kasmetinių mokymų.

Kiek darbuotojų gali dalyvauti ir ar reikia kelių grupių?

Grupės dydis nėra ribojamas formaliai, bet jį lemia du dalykai: ar darbuotojai gali realiai klausinėti, ir ar jų vaidmenys pakankamai panašūs. Kai auditorija didelė arba vaidmenys labai skirtingi, mokymai skaidomi į grupes — pavyzdžiui, atskirai administracijai, atskirai specialistams, dirbantiems su klientų ar pacientų duomenimis. Praktikoje tas pats užsakymas būna suskirstytas į dvi ar tris grupes skirtingomis dienomis.

Kas veda mokymus?

Mokymus veda tos pačios kontoros advokatai ir teisininkai, kurie kasdien dirba duomenų apsaugos srityje — rengia BDAR dokumentus, atlieka auditus, atlieka poveikio duomenų apsaugai vertinimus ir eina išorinio duomenų apsaugos pareigūno pareigas klientų organizacijose. Dalis komandos turi tarptautinę duomenų apsaugos kvalifikaciją. Todėl mokymų pavyzdžiai yra iš realių bylų, o ne iš vadovėlio.

Ar galima iš anksto pateikti klausimus, į kuriuos norime gauti atsakymus mokymų metu?

Taip, ir tai rekomenduojama. Klausimus galima atsiųsti el. paštu iki mokymų arba užduoti jų metu; mokymų pabaigoje atsakymams skiriama atskira dalis. Iš anksto atsiųsti klausimai leidžia programą sufokusuoti į tai, kas jūsų organizacijoje iš tikrųjų kelia problemų.

Ar naujus darbuotojus reikia mokyti atskirai?

Taip. VDAI gairėse nurodyta, kad organizacijos nuolatinėse personalo mokymų programose turi būti įtraukta speciali programa naujiems darbuotojams mokyti duomenų apsaugos ir kibernetinio saugumo tema. Praktiškai tam naudojama po kasmetinių mokymų perduota medžiaga, o didesnėse organizacijose — atskiras įvadinis instruktažas, kurio faktas fiksuojamas.

Ar rengiate mokymus duomenų apsaugos pareigūnams ir vidaus auditoriams?

Taip — tai atskira, gilesnė programa nei bendrieji darbuotojų mokymai. Duomenų apsaugos pareigūnui ir vidaus auditoriui reikia ne principų apžvalgos, o darbo metodikos: kaip vesti duomenų tvarkymo veiklos įrašus, kaip vertinti teisėtą interesą, kaip atlikti poveikio duomenų apsaugai vertinimą, kaip valdyti pažeidimą per 72 valandas ir kaip pasirengti priežiūros institucijos patikrinimui. Programa derinama pagal tai, ar organizacija veikia viešajame, ar privačiame sektoriuje.