Pagrindiniai žingsniai siekiant sėkmingo atitikimo BDAR

1. Supraskite BDAR reikalavimus

Pagrindinių principų analizė

Prieš pradedant atitikties užtikrinimą, būtina suprasti pagrindinius BDAR principus:

• • Teisėtumas, lojalumas ir skaidrumas : duomenys turi būti tvarkomi teisėtai, sąžiningai ir skaidriai.
  • Tikslų apribojimas duomenys turi būti renkami konkrečiais, aiškiai apibrėžtais ir teisėtais tikslais.
  • Duomenų kiekio mažinimas : turėtų būti renkami tik būtini duomenys.
  • Tikslumas duomenys turi būti tikslūs ir nuolat atnaujinami.
  • Saugojimo apribojimas : duomenys neturėtų būti saugomi ilgiau nei būtina.
  • Vientisumas ir konfidencialumas duomenys turi būti tvarkomi taip, kad būtų užtikrintas jų saugumas.

Supratimo kontrolinis sąrašas

• Susipažinkite su pagrindiniais BDAR straipsniais.
• Suprasti duomenų subjektų teises (teisę susipažinti su duomenimis, juos ištaisyti, ištrinti ir kt.).
• Žinoti duomenų valdytojų ir subrangovų įsipareigojimus.

2. Paskirti duomenų apsaugos pareigūną (DAP)

Duomenų apsaugos pareigūno vaidmuo

Duomenų apsaugos pareigūnas atlieka itin svarbų vaidmenį užtikrinant atitiktį BDAR. Jis yra atsakingas už duomenų apsaugos strategijų priežiūrą ir BDAR reikalavimų laikymosi užtikrinimą.

Duomenų apsaugos pareigūno skyrimo kontrolinis sąrašas

• Nustatykite, ar jūsų įmonei privaloma paskirti duomenų apsaugos pareigūną (atsižvelgiant į tvarkymo dydį ir pobūdį).
• Paskirkite duomenų apsaugos pareigūną, turintį specializuotų duomenų apsaugos teisės ir praktikos žinių.
• Informuoti ir apmokyti duomenų apsaugos pareigūną konkrečiomis su BDAR susijusiomis pareigomis.
• Praneškite duomenų apsaugos pareigūno kontaktinius duomenis duomenų apsaugos institucijai ir visuomenei.

3. Sudarykite duomenų žemėlapį

Duomenų auditas

Išsamus duomenų auditas padeda suprasti, kokie duomenys renkami, kaip jie naudojami ir kas gali prie jų prieiti.

Duomenų audito pavyzdys

• • Duomenų identifikavimas : vardas, pavardė, adresas, el. pašto adresas, sveikatos duomenys ir kt.
  • Duomenų šaltiniai internetinės formos, CRM duomenų bazės ir kt.
  • Duomenų naudojimas : rinkodara, klientų aptarnavimas, personalo valdymas ir kt.
  • Duomenų bendrinimas : su kuriais partneriais ar paslaugų teikėjais.

Žemėlapių sudarymo kontrolinis sąrašas

• Nustatyti visus tvarkomus asmens duomenis.
• Dokumentų duomenų srautai (įvestis, apdorojimas, išvestis).
• Reguliariai atnaujinkite duomenų žemėlapius.

4. Įvertinkite riziką ir įgyvendinkite saugumo priemones

Rizikos vertinimas

Išanalizuoti su asmens duomenų tvarkymu susijusias rizikas, siekiant užtikrinti jų apsaugą.

Rizikos vertinimo pavyzdys

• Rizika : neteisėta prieiga prie neskelbtinų duomenų.
• Galimas poveikis : konfidencialumo praradimas, žala reputacijai.
• Prevencinės priemonės duomenų šifravimas, stiprus autentifikavimas.

Saugos kontrolinis sąrašas

• Atlikti duomenų apsaugos poveikio vertinimą (DPIA) didelės rizikos tvarkymui.
• Įdiegti technines (šifravimas, užkardos) ir organizacines (privatumo politika) saugumo priemones.
• Įdiegti procedūras, skirtas duomenų saugumo pažeidimams aptikti, pranešti ir valdyti.

5. Atnaujinkite privatumo politiką ir sutartis

Privatumo politika

Privatumo politika turėtų būti skaidri ir suprantama, informuojanti vartotojus apie tai, kaip tvarkomi jų duomenys.

Privatumo politikos atnaujinimo pavyzdys

• Prieš „Mes renkame jūsų duomenis, kad galėtume tobulinti savo paslaugas.“
• Po „Mes renkame jūsų vardą, pavardę, adresą ir el. pašto adresą, kad galėtume suasmeninti jūsų patirtį ir pateikti jums pritaikytus pasiūlymus. Jūsų duomenys bus saugomi 2 metus.“

Atnaujinimo kontrolinis sąrašas

• Peržiūrėkite ir atnaujinkite privatumo politikas, kad jos atitiktų BDAR reikalavimus.
• Užtikrinti, kad politikos nuostatos aiškiai paaiškintų naudotojų teises ir kaip jomis pasinaudoti.
• Atnaujinkite sutartis su subrangovais, įtraukdami BDAR atitikties sąlygas.

6. Gaukite vartotojo sutikimą

Aiškus sutikimas

Vartotojo sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas.

Sutikimo rinkimo pavyzdys

• Prieš : iš anksto pažymėtas langelis naujienlaiškiams gauti.
• Po nepažymėtas langelis su aiškiu paaiškinimu: „Norėčiau gauti [įmonės pavadinimas] naujienlaiškius.“

Sutikimo kontrolinis sąrašas

• Užtikrinkite, kad kiekvienu konkrečiu tikslu būtų aiškiai duotas sutikimas.
• Užregistruokite ir saugokite sutikimo įrodymus.
• Leisti vartotojams lengvai atšaukti savo sutikimą.

7. Apmokykite darbuotojus

Informuotumas ir mokymai

Visi darbuotojai turi būti supažindinti su BDAR įsipareigojimais ir apmokyti gerosios duomenų apsaugos praktikos.

Mokymo programos pavyzdys

• Mokymo sesija : įvadas į BDAR, asmens teisės, įmonės įsipareigojimai.
• Praktinis pratimas : scenarijai, skirti prieigos prie duomenų ir jų ištaisymo prašymų valdymui.

Mokymo kontrolinis sąrašas

• Sukurti kiekvienam skyriui pritaikytą BDAR mokymo programą.
• Reguliariai organizuokite mokymus ir informavimo sesijas.
• Įvertinkite įgytų žinių supratimą ir pritaikymą.

8. Nustatyti asmenų teisių valdymo procedūras

Teisių valdymas

Įmonės privalo turėti procedūras, skirtas veiksmingai valdyti prašymus pasinaudoti asmenų teisėmis (prieiga, ištaisymas, ištrynimas, perkeliamumas ir kt.).

Teisių valdymo pavyzdys

• Teisė susipažinti su duomenimis : atsakymas į prašymą dėl prieigos prie duomenų per 30 dienų.
• Teisė ištaisyti duomenis : netikslių duomenų ištaisymas per 15 dienų.

Teisių valdymo kontrolinis sąrašas

• Sukurti sistemą, skirtą asmenų prašymams priimti ir apdoroti.
• Užtikrinti greitus ir išsamius atsakymus į užklausas.
• Dokumentuokite visus pateiktus prašymus ir atsakymus.

9. Nuolat stebėkite ir peržiūrėkite

Reguliarus auditas

Atitiktis BDAR nėra vienkartinis veiksmas, o nuolatinis procesas, kuriam reikalingi reguliarūs auditai.

Audito plano pavyzdys

• Ketvirtinis auditas konfidencialumo politikos įgyvendinimo patikrinimas, saugumo priemonių peržiūra.
• Metinis auditas : bendras BDAR atitikties vertinimas, proceso atnaujinimas.

Nuolatinio audito kontrolinis sąrašas

• Planuoti ir reguliariai atlikti vidaus auditus.
• Ištaisyti nustatytus neatitikimus ir patobulinti procesus.
• Atnaujinti politiką ir procedūras atsižvelgiant į teisės aktų ir technologijų pokyčius.