Personas datu aizsardzība bez galvassāpēm

GDPR datu aizsardzības speciālistu (DPO) prasa trīs gadījumos: ja esi publiska iestāde, ja tava pamatdarbība ir plaša mēroga regulāra cilvēku uzraudzība vai ja plašā mērogā apstrādā īpašo kategoriju datus, piemēram, veselības datus. Regula precīzi nedefinē, kas ir plašs mērogs, tāpēc robežgadījumos vajadzīgs godīgs izvērtējums par to, ko tu patiesībā apstrādā un kādēļ. Ņem vērā: arī tad, ja DPO nav obligāts, visi pārējie GDPR pienākumi paliek spēkā, tostarp reģistri, tiesiskie pamati un rīcība incidentu gadījumā. Mūsu sertificētais speciālists nosedz abus variantus: pārņem obligāto DPO pienākumu kā ārpakalpojumu vai uzrauga atbilstību brīvprātīgi. Ja neesi pārliecināts, kurā pusē esi, apraksti savu apstrādi, un mēs to izvērtēsim.

Likumā noteiktie maksimumi par smagākajiem pārkāpumiem ir līdz 20 miljoniem EUR vai 4% no pasaules gada apgrozījuma, atkarībā no tā, kura summa lielāka. Praksē uzraudzības iestāde vērtē pārkāpuma smagumu un ilgumu, skarto cilvēku skaitu, tavu sadarbību un jau ieviestos drošības pasākumus, tāpēc dokumentēts atbilstības darbs tieši ietekmē iznākumu. Sods turklāt nav vienīgās sekas: iestāde var likt mainīt vai apturēt konkrētu apstrādi, un lieta kļūst publiska, ko pamana klienti un partneri. Lielākajai daļai uzņēmumu aprēķins ir vienkāršs: sakārtoti reģistri, politikas un apmācības izmaksā tikai daļu no tā, ko prasa pat neliela pārkāpuma lieta.

30. panta reģistrs ir tavs oficiālais apstrādes darbību saraksts: kādas personas datu kategorijas tu apstrādā, kādiem nolūkiem, uz kāda tiesiskā pamata, kas datus saņem un cik ilgi tu tos glabā. GDPR to liek uzturēt lielākajai daļai organizāciju, un izņēmumi ir tik šauri, ka paļauties uz tiem reti ir prātīgi. Reģistrs ir svarīgs divu iemeslu dēļ: tas ir pirmais dokuments, ko uzraudzības iestāde pieprasa, un uz tā balstās viss pārējais, no privātuma politikām līdz glabāšanas termiņiem. Reģistrs noder tikai tik ilgi, kamēr tas atbilst realitātei, tāpēc tas jāatjauno, tiklīdz mainās process, sistēma vai piegādātājs. Mēs to izveidojam inventarizācijas laikā un uzturam aktuālu pakalpojuma ietvaros.

Videonovērošana ir personas datu apstrāde, tāpēc papildus Latvijas specifikai spēkā ir vispārējā GDPR loģika. Kamerām jākalpo skaidri definētam tiesiskam nolūkam, parasti īpašuma vai cilvēku aizsardzībai, un tās nedrīkst aptvert vairāk, nekā šis nolūks attaisno, tāpēc problēmas rada kameras, kas vērstas uz kaimiņu īpašumu vai vietām, kur cilvēki sagaida privātumu. Novērotās zonas jāapzīmē ar zīmēm, kurās norādīts operators un nolūks, lai apmeklētāji zina, kas filmē un kādēļ. Tāpat jādokumentē, cik ilgi ierakstus glabā, kas tiem drīkst piekļūt un uz kāda pamata, un pati novērošana jāiekļauj 30. panta reģistrā. Mēs nokārtojam reģistrācijas un zīmju prasības un sagatavojam dokumentus latviski, kur to prasa Latvijas likumi.

Tu maksā fiksētu summu mēnesī, un mūsu sertificētais speciālists strādā kā tava pastāvīgā datu aizsardzības funkcija, nevis vienreizējs konsultants. Praksē tas nozīmē: 30. panta reģistrs tiek uzturēts aktuāls, katra jauna apstrādes darbība, piemēram, jauns rīks, piegādātājs vai mārketinga kampaņa, tiek izvērtēta pirms palaišanas, darbinieki tiek apmācīti, un incidentu gadījumā speciālists ved tevi cauri visam procesam. Ja likums prasa DPO, maksa sedz arī šo pienākumu, ieskaitot kontaktpersonas lomu saziņā ar uzraudzības iestādi. Atbilstība nav dokuments, ko pabeidz vienreiz, jo apstrāde nemitīgi mainās, un maksa pastāv tieši tādēļ, lai nosegtu šīs izmaiņas. Cenu piedāvājam katram uzņēmumam atsevišķi, kad esam redzējuši apstrādes apjomu.

Abi pakalpojumi atbild uz dažādiem likumiem ar dažādu tvērumu. NIS2 ir par kritisko pakalpojumu kiberdrošību: vai infrastruktūra ir noturīga, vai par incidentiem ziņo laikus un vai tehniskās kontroles ir ieviestas. Tas attiecas tikai uz organizācijām direktīvas aptvertajās nozarēs. Datu aizsardzība ir par personas datiem un GDPR pienākumiem: reģistriem, tiesiskajiem pamatiem, politikām un cilvēku tiesībām, un tā attiecas praktiski uz katru uzņēmumu neatkarīgi no nozares vai lieluma. Kopīgā daļa ir drošība: abi sagaida, ka tu aizsargā datus, kas ir tavā rīcībā, tāpēc viena darbs bieži noder otram. Daudziem klientiem vajag abus, un kopā ar mūsu IT auditu tie viens otru papildina. Ja nezini, kuri pienākumi attiecas uz tevi, pajautā mums.

Godīga universāla termiņa nav, jo laiks ir atkarīgs no tā, cik apstrādes darbību tev ir un cik daudz dokumentu jau eksistē. Vienmēr sākam ar inventarizāciju, jo viss pārējais balstās uz zināšanu, ko tu patiesībā apstrādā. Pēc tam vienojamies par dokumentu un apmācību plānu ar skaidriem termiņiem, vispirms aizverot robus ar lielāko risku, piemēram, trūkstošus obligātos reģistrus vai piekrišanu tekstus. Mazs uzņēmums ar dažiem procesiem pamata komplektu iegūst ātri, lielākas organizācijas kārtojam pa posmiem, lai ikdienas darbs netiek traucēts. Termiņu vari saīsināt pats: nosauc vienu kontaktpersonu un savāc esošos līgumus un politikas, pirms sākam.

Jā, pakalpojums aptver gan privātus uzņēmumus, gan publiskas iestādes Latvijā. Publiskās iestādes ir īpašā situācijā: GDPR tām liek iecelt datu aizsardzības speciālistu neatkarīgi no lieluma, turklāt speciālistam jāspēj strādāt bez interešu konflikta, ko mazā iestādē grūti nodrošināt iekšēji, jo tie paši cilvēki uztur sistēmas, kuras jāuzrauga. Ārpakalpojuma DPO šo problēmu atrisina: mūsu sertificētais speciālists pārņem pienākumu par fiksētu maksu, uztur vajadzīgos reģistrus, konsultē vadību un kārto saziņu datu aizsardzības jautājumos. Visus dokumentus, kam Latvijas likumi prasa latviešu valodu, sagatavojam latviski. Ja pārstāvi iestādi, uzraksti mums, un vienosimies par darba apjomu un kārtību.