Personas datu aizsardzība un GDPR uzņēmumiem

GDPR datu aizsardzības speciālistu (DPO) prasa publiskām iestādēm, organizācijām, kuru pamatdarbība ir plaša mēroga regulāra cilvēku uzraudzība, un tām, kas plašā mērogā apstrādā īpašo kategoriju datus, piemēram, veselības datus; visos trijos gadījumos CloudHosting speciālists šo pienākumu var pārņemt kā ārpakalpojuma DPO. Regula precīzi nedefinē, kas ir plašs mērogs, tāpēc robežgadījumos vajadzīgs godīgs izvērtējums par to, ko tu patiesībā apstrādā un kādēļ. Ņem vērā: arī tad, ja DPO nav obligāts, visi pārējie GDPR pienākumi paliek spēkā, tostarp reģistri, tiesiskie pamati un rīcība incidentu gadījumā. Mūsu speciālists nosedz abus variantus: pārņem obligāto pienākumu vai uzrauga atbilstību brīvprātīgi. Ja neesi pārliecināts, kurā pusē esi, apraksti savu apstrādi, un mēs to izvērtēsim.

GDPR par smagākajiem pārkāpumiem ļauj piemērot sodu līdz 20 miljoniem EUR vai 4% no pasaules gada apgrozījuma, atkarībā no tā, kura summa lielāka, un CloudHosting speciālists uztur kārtībā reģistrus un drošības pasākumus, ko iestāde vērtē, nosakot soda apmēru. Praksē uzraudzības iestāde vērtē pārkāpuma smagumu un ilgumu, skarto cilvēku skaitu, tavu sadarbību un jau ieviestos drošības pasākumus, tāpēc dokumentēts atbilstības darbs tieši ietekmē iznākumu. Sods turklāt nav vienīgās sekas: iestāde var likt mainīt vai apturēt konkrētu apstrādi, un lieta kļūst publiska, ko pamana klienti un partneri. Lielākajai daļai uzņēmumu sakārtoti reģistri, politikas un apmācības izmaksā tikai daļu no tā, ko prasa pat neliela pārkāpuma lieta.

Reģistrs pēc GDPR 30. panta ir tavu apstrādes darbību oficiālais saraksts, un CloudHosting to izveido inventarizācijas laikā un uztur aktuālu pakalpojuma ietvaros. Tajā norāda, kādas personas datu kategorijas tu apstrādā, kādiem nolūkiem, uz kāda tiesiskā pamata, kas datus saņem un cik ilgi tu tos glabā. GDPR to liek uzturēt lielākajai daļai organizāciju, un izņēmumi ir tik šauri, ka paļauties uz tiem reti ir prātīgi. Reģistrs ir svarīgs divu iemeslu dēļ: tas ir pirmais dokuments, ko uzraudzības iestāde pieprasa, un uz tā balstās viss pārējais, no privātuma politikām līdz glabāšanas termiņiem. Reģistrs noder tikai tik ilgi, kamēr atbilst realitātei, tāpēc tas jāatjauno, tiklīdz mainās process, sistēma vai piegādātājs.

Videonovērošana Latvijā ir personas datu apstrāde pēc GDPR, un CloudHosting sagatavo tai vajadzīgās zīmes un dokumentus, latviski, kur to prasa Latvijas likumi. Kamerām jākalpo skaidri definētam tiesiskam nolūkam, parasti īpašuma vai cilvēku aizsardzībai, un tās nedrīkst aptvert vairāk, nekā šis nolūks attaisno, tāpēc problēmas rada kameras, kas vērstas uz kaimiņu īpašumu vai vietām, kur cilvēki sagaida privātumu. Novērotās zonas jāapzīmē ar zīmēm, kurās norādīts operators un nolūks, lai apmeklētāji zina, kas filmē un kādēļ. Tāpat jādokumentē, cik ilgi ierakstus glabā, kas tiem drīkst piekļūt un uz kāda pamata, un pati novērošana jāiekļauj 30. panta reģistrā.

CloudHosting datu aizsardzības mēneša maksa ir fiksēta summa, par kuru mūsu speciālists strādā kā tava pastāvīgā datu aizsardzības funkcija, nevis vienreizējs konsultants. Praksē tas nozīmē: 30. panta reģistrs tiek uzturēts aktuāls, katra jauna apstrādes darbība, piemēram, jauns rīks, piegādātājs vai mārketinga kampaņa, tiek izvērtēta pirms palaišanas, darbinieki tiek apmācīti, un incidentu gadījumā speciālists ved tevi cauri visam procesam. Ja likums prasa DPO, maksa sedz arī šo pienākumu, ieskaitot kontaktpersonas lomu saziņā ar uzraudzības iestādi. Atbilstība nav dokuments, ko pabeidz vienreiz, jo apstrāde nemitīgi mainās, un maksa pastāv tieši tādēļ, lai nosegtu šīs izmaiņas. Cenu piedāvājam katram uzņēmumam atsevišķi, kad esam redzējuši apstrādes apjomu.

CloudHosting datu aizsardzības darbu tāmē katram uzņēmumam atsevišķi: kā vienreizēju projektu inventarizācijai un dokumentiem vai kā fiksētu mēneša maksu, kas sedz arī DPO pienākumu, kur to prasa likums. Publiska cenrāža nav, jo darba apjoms atkarīgs no tā, cik tev ir apstrādes darbību, sistēmu un piegādātāju un cik dokumentu jau eksistē. Lai nosauktu fiksētu summu, vispirms apskatām apjomu: kādus personas datus tu apstrādā, kādiem nolūkiem un kur tie glabājas. Kad maksa saskaņota, tā katru mēnesi ir vienāda, un jaunas apstrādes darbības izvērtējam tās ietvaros, nevis rēķinām kā pārsteigumu. Īsi apraksti savu organizāciju, un saņemsi piedāvājumu, pirms kaut kam piekrīti.

CloudHosting datu aizsardzības pakalpojums aptver GDPR pienākumus attiecībā uz personas datiem, kas attiecas praktiski uz katru uzņēmumu, bet NIS2 pakalpojums aptver to organizāciju kiberdrošību, kas darbojas direktīvā uzskaitītajās nozarēs. NIS2 jautā, vai infrastruktūra ir noturīga, vai par incidentiem ziņo laikus un vai tehniskās kontroles ir ieviestas. Datu aizsardzība ir par reģistriem, tiesiskajiem pamatiem, politikām un cilvēku tiesībām neatkarīgi no nozares vai lieluma. Kopīgā daļa ir drošība: abi sagaida, ka tu aizsargā datus, kas ir tavā rīcībā, tāpēc viena darbs bieži noder otram. Daudziem klientiem vajag abus, un kopā ar mūsu IT auditu tie viens otru papildina. Ja nezini, kuri pienākumi attiecas uz tevi, pajautā mums.

CloudHosting datu aizsardzību sakārto noteiktā secībā, vispirms inventarizācija, tad dokumenti un apmācības, un mazs uzņēmums ar dažiem procesiem pamata komplektu iegūst ātri. Godīga universāla termiņa nav, jo laiks ir atkarīgs no tā, cik apstrādes darbību tev ir un cik daudz dokumentu jau eksistē. Pēc inventarizācijas vienojamies par dokumentu un apmācību plānu ar skaidriem termiņiem, vispirms aizverot robus ar lielāko risku, piemēram, trūkstošus obligātos reģistrus vai piekrišanu tekstus. Lielākas organizācijas kārtojam pa posmiem, lai ikdienas darbs netiek traucēts. Termiņu vari saīsināt pats: nosauc vienu kontaktpersonu un savāc esošos līgumus un politikas, pirms sākam.

CloudHosting datu aizsardzības pakalpojums aptver gan privātus uzņēmumus, gan publiskas iestādes Latvijā, un publiskām iestādēm GDPR liek iecelt datu aizsardzības speciālistu neatkarīgi no lieluma. Speciālistam jāspēj strādāt bez interešu konflikta, ko mazā iestādē grūti nodrošināt iekšēji, jo tie paši cilvēki uztur sistēmas, kuras jāuzrauga. Ārpakalpojuma DPO šo problēmu atrisina: mūsu speciālists pārņem pienākumu par fiksētu maksu, uztur vajadzīgos reģistrus, konsultē vadību un kārto saziņu datu aizsardzības jautājumos. Visus dokumentus, kam Latvijas likumi prasa latviešu valodu, sagatavojam latviski. Ja pārstāvi iestādi, uzraksti mums, un vienosimies par darba apjomu un kārtību.