GDPR a bezpečnosť: prepojte záruky so spracúvaním

Dobre fungujúci systém riadenia informačnej bezpečnosti poskytuje pre GDPR užitočné procesy: riadenie prístupu, riešenie incidentov, posudzovanie dodávateľov a odolnosť. Práca v oblasti ochrany súkromia sa však pýta aj na to, prečo je spracúvanie zákonné, primerané a transparentné. Tieto otázky sa stretávajú v tej istej podnikovej činnosti, vyžadujú si však rozdielne rozhodnutia.

Úlohou vedenia je prepojiť ich bez toho, aby jedno považovalo za náhradu druhého. Aj zabezpečená zákaznícka databáza môže obsahovať informácie, ktoré spoločnosť nemala zbierať. Platná zmluva so zákazníkom nepreukazuje, že každý, kto má prístup k databáze, tento prístup potrebuje. Certifikát ISO 27001 nerieši ani jednu z týchto otázok.

Praktickým východiskom je preto spracúvanie, nie katalóg opatrení. Identifikujte, čo chce podnik s osobnými údajmi robiť, posúďte, či je táto činnosť prípustná, a potom zvoľte záruky pre prípad zlyhania. Uchovajte zdôvodnenie, dôkazy, zodpovedného vlastníka a ďalšiu udalosť, ktorá by mala spustiť revíziu.

Určte, ktoré spracúvanie a zodpovednosti patria do rozsahu

Všeobecné nariadenie o ochrane údajov (GDPR) upravuje spracúvanie osobných údajov. Spracúvanie zahŕňa získavanie, uchovávanie, vyhľadávanie, poskytovanie, zmenu a vymazanie. Osobné údaje sú informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby; neobmedzujú sa na mená alebo zjavne citlivé záznamy.

Osobnými údajmi môžu byť pracovné e-mailové adresy, identifikátory zamestnancov, identifikátory zariadení, histórie polohy aj konverzácie s podporou. Či konkrétny identifikátor spĺňa túto definíciu, závisí od kontextu a od prostriedkov, ktoré by sa s primeranou pravdepodobnosťou mohli použiť na identifikáciu osoby. Nahradenie mien referenčnými číslami spravidla vedie k pseudonymizovaným, nie anonymným údajom, ak je opätovná identifikácia stále možná. Pseudonymizované osobné údaje zostávajú v pôsobnosti GDPR.

Pred výberom prevádzkového modelu overte územnú pôsobnosť

Článok 3 sa vzťahuje na spracúvanie v súvislosti s činnosťami prevádzky v EÚ, aj keď samotné spracúvanie prebieha inde. Môže sa vzťahovať aj na organizáciu mimo EÚ, ak jej spracúvanie súvisí s ponukou tovaru alebo služieb osobám v Únii alebo s monitorovaním ich správania v Únii. Samotná dostupnosť webovej stránky otázku zacielenia nerieši; posúďte skutočnú ponuku a monitorovaciu činnosť.

Ak sa uplatňuje článok 3 ods. 2, článok 27 môže vyžadovať zástupcu v Únii. Výnimky sú obmedzené a nezávisia jednoducho od veľkosti spoločnosti. Výnimka pre príležitostné spracúvanie si navyše vyžaduje splnenie stanovených podmienok týkajúcich sa citlivých údajov a rizika. Zástupca nenahrádza prevádzkovateľa, zodpovednú osobu (DPO) ani zodpovedný manažment.

GDPR nadobudlo účinnosť 24. mája 2016 a uplatňuje sa od 25. mája 2018. Pri súčasných rozhodnutiach rozlišujte platné právo od navrhovaných zjednodušení. Tlačová správa o možnej výnimke nie je dôvodom na zastavenie existujúceho procesu súladu.

Roly určujte podľa činnosti, nie podľa označenia spoločnosti

Prevádzkovateľ určuje účely a prostriedky spracúvania. Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa. Spoloční prevádzkovatelia spoločne určujú účely a prostriedky a potrebujú dojednanie podľa článku 26, ktoré odráža ich príslušné zodpovednosti.

Jedna spoločnosť môže zastávať viacero rolí. Poskytovateľ softvéru môže byť sprostredkovateľom pri záznamoch nahraných zákazníkmi a prevádzkovateľom pri vlastnej mzdovej agende, správe účtov a niektorých bezpečnostných operáciách. Označenie v zmluve s dodávateľom je relevantné, nemôže však prevážiť nad tým, čo strany skutočne robia.

Prvým výstupom by malo byť krátke rozhodnutie o rozsahu: uplatniteľné činnosti, organizačné subjekty, roly prevádzkovateľa alebo sprostredkovateľa, trhy a nevyriešené otázky. Určte vlastníka, ktorý neistoty vyrieši skôr, než sa súvisiace spracúvanie začne alebo rozšíri.

Oddeľte obchodný účel od právneho základu

Články 5 a 6 stanovujú základ bežného spracúvania osobných údajov. Bezpečnosť je jednou časťou tohto základu, nie cestou, ako ho obísť.

Zásady podľa článku 5 sa bežne uvádzajú ako sedem: zákonnosť, spravodlivosť a transparentnosť; obmedzenie účelu; minimalizácia údajov; správnosť; minimalizácia uchovávania; integrita a dôvernosť; a zodpovednosť. Zodpovednosť vyžaduje, aby prevádzkovateľ zodpovedal za súlad a vedel ho preukázať. Nevyžaduje konkrétny softvérový produkt, vyžaduje však obhájiteľné vysvetlenie podložené primeranými dôkazmi.

Každú zásadu premeňte na obchodnú otázku:

Pre každý účel zvoľte právny základ

Článok 6 stanovuje šesť právnych základov. Ich podmienky sú dôležitejšie než ich názvy:

• Súhlas: slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle s možnosťou odvolania.
• Zmluva: spracúvanie nevyhnutné na plnenie zmluvy s jednotlivcom alebo na vykonanie predzmluvných opatrení na jeho žiadosť.
• Zákonná povinnosť: spracúvanie nevyhnutné na splnenie uplatniteľnej zákonnej povinnosti.
• Životne dôležité záujmy: spracúvanie nevyhnutné na ochranu životne dôležitých záujmov niekoho.
• Úloha vo verejnom záujme: spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci, s požadovaným právnym základom.
• Oprávnené záujmy: spracúvanie nevyhnutné na účely oprávnených záujmov, s výhradou vyváženia týchto záujmov voči záujmom, právam a slobodám jednotlivca.

Neuvádzajte viacero základov ako zameniteľné poistenie. Určte základ, ktorý skutočne podporuje každý účel, a presne ho komunikujte. Pridanie ustanovenia do zmluvy so zákazníkom automaticky neznamená, že spracúvanie je na plnenie tejto zmluvy nevyhnutné. Podobne oprávnené záujmy si vyžadujú posúdenie; nie sú všeobecným povolením používať dostupné údaje.

Ako praktické odporúčanie zdokumentujte test oprávneného záujmu okolo sledovaného záujmu, nevyhnutnosti, dopadov na ľudí, ich primeraných očakávaní a záruk. Zvážte menej invazívne alternatívy. Analýzu udržiavajte primeranú činnosti, no dostatočne konkrétnu, aby jej porozumel aj niekto mimo projektu.

Súhlas nie je univerzálne bezpečnejší. Tam, kde si okolnosti vyžadujú možnosť voľby, musí byť skutočne dobrovoľný a jeho odvolanie musí v praxi fungovať. Pracovnoprávne vzťahy vyvolávajú osobitné pochybnosti o tom, či je súhlas daný slobodne. Odvolanie ukončuje spracúvanie založené na tomto súhlase do budúcnosti; automaticky nevymaže záznamy, na ktoré sa vzťahujú samostatné zákonné povinnosti uchovávania. To isté spracúvanie neprepínajte dodatočne na iný základ len preto, že súhlas bol odvolaný. Akékoľvek samostatné spracúvanie, napríklad zákonom požadované uchovávanie, potrebuje vlastný uplatniteľný základ a primeranú transparentnosť.

Osobitné kategórie údajov, napríklad informácie o zdraví, potrebujú okrem základu podľa článku 6 aj podmienku podľa článku 9. Na údaje týkajúce sa uznania viny za trestné činy a priestupky sa vzťahujú samostatné požiadavky článku 10. Spoločnosť by nemala schváliť žiadnu z týchto kategórií len preto, že bežné spracúvanie údajov zákazníkov už bolo posúdené.

Vytvorte záznam o spracúvaní, ktorý dokáže riadiť rozhodnutia

Záznamy o spracovateľských činnostiach podľa článku 30 sú užitočné, pretože prepájajú právnu analýzu s prevádzkovou realitou. Záznam prevádzkovateľa obsahuje účely, kategórie dotknutých osôb a údajov, príjemcov, prenosy, podľa možnosti predpokladané lehoty na vymazanie a podľa možnosti všeobecný opis bezpečnostných opatrení. Sprostredkovatelia majú inú povinnosť viesť záznamy, ktorá pokrýva spracúvanie vykonávané v mene prevádzkovateľov.

Výnimka pre organizácie s menej ako 250 zamestnancami je podmienená. Nevzťahuje sa na spracúvanie, ktoré nie je príležitostné, pravdepodobne povedie k stanovenému riziku alebo zahŕňa stanovené citlivé kategórie. Malá firma s priebežným spracúvaním údajov zamestnancov alebo zákazníkov by nemala predpokladať, že počet zamestnancov ju zbavuje povinnosti viesť záznamy.

Ako organizačnú jednotku používajte spracovateľské činnosti. „Cloudová infraštruktúra“ je zvyčajne príliš široký pojem na vysvetlenie, prečo sa údaje spracúvajú. „Vybavovanie požiadaviek zákazníckej podpory“ je užitočnejšie, pretože má účel, identifikovateľné osoby, kategórie údajov, príjemcov, pravidlá uchovávania a podporné systémy.

Praktický pracovný záznam môže presahovať zákonné polia:

• Biznisový vlastník a posudzovateľ ochrany súkromia.
• Účel a relevantný právny základ.
• Zdroje údajov, kategórie a dotknuté skupiny.
• Vzťahy prevádzkovateľa, sprostredkovateľa alebo spoločných prevádzkovateľov.
• Aplikácie, exporty, logy a nadväzujúci príjemcovia.
• Pravidlá uchovávania a spôsob vykonania vymazania.
• Odkazy na informácie, vybavovanie práv, dodávateľov a prenosy.
• Výsledok predbežného posúdenia potreby DPIA a prepojené záruky.
• Dátum schválenia, nevyriešené úlohy a spúšťače revízie.

Dodatočné polia sú odporúčaním pre koordináciu, nie tvrdením, že článok 30 výslovne vyžaduje každú položku. Ich hodnota spočíva v tom, že záznam je použiteľný pri spustení, žiadosti o prístup, zmene dodávateľa alebo incidente.

Zosúlaďte záznam so systémami, ktoré ľudia skutočne používajú

Ročný dotazník len ťažko odhalí každý export do tabuľky, skúšobnú aplikáciu alebo predplatné AI na úrovni tímu. Porovnajte záznam s informáciami z nákupu, zoznamami schválených aplikácií, inventármi systémov a rozhovormi s vlastníkmi procesov. Preverte zdieľané disky a manuálne odovzdávky tam, kde podstatne ovplyvňujú činnosť.

Nezamieňajte inventár aktív so záznamom o spracúvaní. Inventár aktív vysvetľuje systémy a závislosti; záznam o spracúvaní vysvetľuje použitie osobných údajov. Prepojte ich tak, aby jedna aplikácia mohla podporovať viacero účelov bez toho, aby sa tieto účely zliali do nejasného opisu.

Ďalší kontext k workflow nájdete v článku vyhľadávanie dát a ochrana súkromia. Vyhľadávanie by malo priniesť preskúmateľný zoznam nezrovnalostí, nie predpoklad, že každé nájdené pole bolo správne klasifikované alebo právne posúdené.

Premeňte článok 32 na záruky proti skutočným dôsledkom

Článok 32 GDPR vyžaduje, aby prevádzkovatelia a sprostredkovatelia prijali technické a organizačné opatrenia primerané riziku. Posúdenie zohľadňuje najnovšie poznatky, náklady na implementáciu, povahu, rozsah, kontext a účely spracúvania a pravdepodobnosť a závažnosť rizík pre práva a slobody ľudí.

Medzi relevantné dôsledky patrí náhodné alebo nezákonné zničenie, strata, zmena, neoprávnené poskytnutie a neoprávnený prístup. Preto sú popri dôvernosti dôležité aj dostupnosť a integrita. Strata prístupu k službe môže ľuďom uškodiť, aj keď neboli ukradnuté žiadne údaje.

Všeobecné vyhlásenie, že „sa uplatňuje bezpečnosť podľa odvetvových štandardov“, nestačí na vysvetlenie, prečo záruky zodpovedajú konkrétnej činnosti. Začnite scenármi: kto by mohol byť dotknutý, čo by sa mohlo stať, aká je pravdepodobnosť a aký závažný by mohol byť dopad. Potom každý dôležitý scenár prepojte s preventívnymi, detekčnými a obnovovacími opatreniami.

Obmedzenia prístupu by sa mali riadiť účelom

Pri činnosti podpory sa pýtajte, ktorí pracovníci potrebujú ktoré záznamy zákazníkov, či citlivé prílohy potrebujú samostatné obmedzenia a kedy by mal dočasný prístup skončiť. Zvážte privilegovanú správu, prístup podpory dodávateľov, hromadné exporty, zdieľané účty a núdzový prístup.

Užitočné dôkazy zahŕňajú definície rolí, schválenia prístupov, záznamy o nástupe, zmene pozície a odchode, dojednania o privilegovanom prístupe a dokončené revízie prístupov. Politika prístupu dokazuje zamýšľané pravidlo. Nedávna revízia, ktorá ukazuje odobratie zbytočných oprávnení, poskytuje dôkaz, že sa pravidlo uplatňuje.

Vedenie by sa malo pýtať, či organizácia dokáže rozlíšiť oprávnený prístup od primeraného použitia. Zamestnanec môže mať technicky platný účet, a pritom používať údaje na neoprávnený účel. Záleží na školeniach, dohľade, návrhu prístupov aj procesoch vyšetrovania.

Šifrovanie si vyžaduje rozhodnutie o nasadení

Článok 32 uvádza šifrovanie a pseudonymizáciu medzi opatreniami, ktoré treba zvážiť; neukladá univerzálny plošný príkaz šifrovať v každej situácii. Ak sa šifrovanie zvolí, špecifikujte, čo chráni a čo nie.

Šifrovanie pri prenose chráni údaje prenášané medzi koncovými bodmi, ak sú protokoly a autentifikácia koncových bodov správne nakonfigurované. Šifrovanie v pokoji chráni uložené údaje pri určitých scenároch hrozieb. Ani jedno automaticky nebráni oprávnenej aplikácii alebo administrátorovi vidieť otvorený text.

Preverte, kto kontroluje kľúče, ako je prístup k nim oddelený a ako sa kľúče generujú, rotujú, odvolávajú, zálohujú a obnovujú. Šifrovanie spravované poskytovateľom môže byť pri niektorých rizikách primerané, iné však ponechá nevyriešené. Šifrovanie, ktorého kľúče má k dispozícii ten istý kompromitovaný aktér, nemusí riešiť posudzovaný scenár.

Výkonným rozhodnutím nie je, ktorý algoritmus osobne implementovať. Ide o to, či návrh rieši relevantné riziko a či technický vlastník dokáže tento záver podložiť. Rozdiely na úrovni opatrení opisuje článok o šifrovaní a správe kľúčov.

Odolnosť treba preukázať, nie predpokladať

Článok 32 sa týka trvalej dôvernosti, integrity, dostupnosti a odolnosti, ako aj schopnosti včas obnoviť dostupnosť a prístup po incidente. Úspešná úloha zálohovania nepreukazuje, že podnik dokáže obnoviť použiteľnú službu.

Očakávania na obnovu stanovte podľa spracúvania a dôsledkov prerušenia. Testujte obnovu, závislosti, prístupové údaje a narábanie s osobnými údajmi v obnovených prostrediach. Uchovávajte dôkazy o tom, čo bolo obnovené, ako dlho to trvalo, čo zlyhalo a čo sa opravilo. Pravidlá uchovávania a vymazania musia zohľadňovať aj správanie záloh.

Účinnosť testujte relevantnými dôkazmi

Článok 32 zahŕňa proces pravidelného testovania, posudzovania a hodnotenia opatrení. Vhodná metóda závisí od opatrenia: prispieť môžu revízie prístupov, cvičenia obnovy, kontroly konfigurácie, posúdenie zraniteľností, revízia dodávateľov aj cvičenia incidentov.

Penetračný test môže byť užitočný, nie je však univerzálnou náhradou za tieto činnosti ani plošnou požiadavkou GDPR. Zaznamenajte testovaný rozsah a obmedzenia. Test jednej aplikácie nepreukazuje, že novo zavedený marketingový export, prepojenie s dodávateľom alebo proces obnovy sú primerane kontrolované.

Pri každej podstatnej záruke uchovávajte vlastníka, opis implementácie, relevantné dôkazy, dátum posúdenia a ďalší spúšťač revízie. Ide o praktickú štruktúru dôkazov, nie o predpísanú šablónu podľa článku 32.

Využite ISMS bez zlučovania záverov o bezpečnosti a ochrane súkromia

ISO/IEC 27001 sa týka systému riadenia informačnej bezpečnosti s vymedzeným rozsahom. Jeho posúdenie rizík, ošetrenie rizík, prevádzkové procesy, interný audit a preskúmanie manažmentom môžu podporiť riadenie záruk podľa GDPR.

Prekrytie je cenné. Dôkazy o riadení prístupu, posúdenia dodávateľov, cvičenia incidentov a testy obnovy často netreba pre ochranu súkromia vytvárať znova. Ich relevantnosť však treba overiť voči spracovateľskej činnosti a aktuálnemu rozsahu.

Certifikácia nezávislým certifikačným orgánom sa týka uvedeného rozsahu ISMS. Automaticky nepokrýva každý produkt, subjekt, dodávateľa ani spracovateľskú činnosť. Vyhlásenie o aplikovateľnosti zaznamenáva aplikovateľnosť opatrení a rozhodnutia o ošetrení; nie je vyhlásením, že boli splnené všetky povinnosti podľa GDPR.

ISO 27001 navyše nie je sama osebe všeobecným zákonným režimom hlásenia porušení. Oznamovacie povinnosti podľa GDPR treba posúdiť samostatne. Naopak, súlad s GDPR nepreukazuje, že organizácia implementovala všetky požiadavky potrebné na certifikáciu ISO 27001.

GDPR stanovuje certifikačné mechanizmy v článkoch 42 a 43. Takáto certifikácia neznižuje zodpovednosť prevádzkovateľa ani sprostredkovateľa a nie je rovnocenná certifikátu ISO 27001 ani univerzálnemu vyhláseniu o právnom súlade.

Otázkou pre manažment je preto opakované využitie dôkazov s oddelenými závermi: čo táto položka preukazuje, pre ktoré systémy a obdobie a ktoré otázky ochrany súkromia zostávajú nezodpovedané?

Rozdeľte zodpovednosti medzi manažment, bezpečnosť a ochranu súkromia

Funkčný prevádzkový model potrebuje viac než spoločnú schránku pre compliance. Biznisoví vlastníci by mali opísať a zdôvodniť svoje spracúvanie; bezpečnosť by mala posúdiť a implementovať relevantné záruky; špecialisti na ochranu súkromia by mali radiť k právnym požiadavkám, právam, informáciám a posúdeniam. Manažment musí poskytnúť zdroje a riešiť podstatné rozhodnutia v medziach zákona.

Zodpovedná osoba (DPO) nie je automaticky povinná pre každú spoločnosť. Článok 37 zahŕňa orgány verejnej moci a verejnoprávne subjekty, s výnimkou súdov, a organizácie, ktorých hlavné činnosti spĺňajú stanovené podmienky rozsiahleho monitorovania alebo spracúvania citlivých údajov. Vnútroštátne právo môže pridávať ďalšie požiadavky, preto si overte príslušné jurisdikcie.

Ak je DPO vymenovaná, má nezávislé poradenské a monitorovacie povinnosti, musí byť zapojená primerane a včas a podlieha priamo najvyššej úrovni manažmentu. DPO by nemala dostávať pokyny, aby dospela k preferovanému záveru, ani by jej nemali byť pridelené protichodné zodpovednosti, ktoré určujú účely a prostriedky spracúvania.

Nerobte z DPO vlastníka každého opatrenia, schvaľovateľa každého obchodného účelu a zároveň osobu, ktorá tie isté rozhodnutia audituje. To sústreďuje nezlučiteľné zodpovednosti a môže v prevádzkových tímoch vyvolať dojem, že zodpovednosť bola z nich prenesená.

Užitočný záznam o schválení identifikuje navrhujúceho vlastníka, odborné poradenstvo, posúdené dôkazy, osobu s rozhodovacou právomocou, podmienky a nevyriešené úlohy. Ak manažment zvolí iný zákonný prístup než odporúčaný, zaznamenajte zdôvodnenie. Manažment nedokáže premeniť chýbajúci právny základ alebo povinné zmluvné ustanovenie na súlad tým, že ho označí za „akceptované riziko“.

Hranicu vlastníctva podrobnejšie vysvetľuje sprievodca zodpovednosťami CISO a DPO. Kľúčovou otázkou dohľadu pre CEO je, či sa nezhody dostanú k niekomu, kto dokáže zmeniť spracúvanie, financovať záruku alebo návrh zastaviť – nie len schváliť dokument.

Dodávateľov posudzujte podľa roly, zmluvy a implementácie

Bezpečnostná revízia dodávateľov a revízia dodávateľov podľa GDPR sa prekrývajú, nie sú však totožné. Najprv určte, či je dodávateľ sprostredkovateľom, samostatným prevádzkovateľom, spoločným prevádzkovateľom, alebo či má pri rôznych službách rôzne roly.

Podľa článku 28 musia prevádzkovatelia využívať sprostredkovateľov, ktorí poskytujú dostatočné záruky primeraných technických a organizačných opatrení. Dojednania so sprostredkovateľom si vyžadujú záväznú zmluvu alebo iný kvalifikovaný právny akt pokrývajúci predpísaný obsah. Samotná doložka o mlčanlivosti túto požiadavku nespĺňa.

Požiadavky článku 28 zahŕňajú:

• Predmet, dobu trvania, povahu a účel spracúvania.
• Typy osobných údajov a kategórie dotknutých osôb.
• Povinnosti a práva prevádzkovateľa.
• Spracúvanie na základe zdokumentovaných pokynov vrátane príslušných ustanovení o prenosoch.
• Dôvernosť a bezpečnostné opatrenia podľa článku 32.
• Podmienky zapojenia ďalších sprostredkovateľov.
• Súčinnosť pri žiadostiach dotknutých osôb a pri stanovených povinnostiach súladu.
• Vrátenie alebo vymazanie údajov po skončení poskytovania služieb, s výhradou uplatniteľných právnych požiadaviek.
• Dojednania o informáciách a auditoch na preukázanie súladu.

Popri zmluve preskúmajte skutočné podmienky služby. Dodávateľ môže sľubovať vymazanie, a pritom uchovávať niektoré logy na samostatný účel ako prevádzkovateľ. Podnikové predplatné môže obmedzovať použitie na trénovanie, zatiaľ čo skúšobný účet nie. Sprostredkovateľ môže využívať viacerých ďalších sprostredkovateľov s rôznymi lokalitami a dojednaniami o podpore.

Povolenie ďalších sprostredkovateľov môže byť podľa článku 28 konkrétne alebo všeobecné. Ak sa používa všeobecné písomné povolenie, sprostredkovateľ musí prevádzkovateľa informovať o zamýšľaných doplneniach alebo nahradeniach a dať mu príležitosť namietať. Prevádzkovou otázkou je, kto tieto oznámenia prijíma a vyhodnocuje skôr, než sa stratia v nesledovanej schránke.

Revíziu zmluvy oddeľte od posúdenia prenosov. Zmluva podľa článku 28 sama osebe neposkytuje mechanizmus prenosu podľa kapitoly V. Ani podpísanie zmluvy o spracúvaní nepreukazuje právny základ činnosti prevádzkovateľa.

Nevyjednateľné podmienky ako obchodné rozhodnutie

Menší zákazníci môžu mať obmedzenú vyjednávaciu silu. To robí včasné posúdenie dôležitejším, nie voliteľným. Zdokumentujte nedostatok, opýtajte sa na dostupné alternatívy a zvážte zmenu konfigurácie, zníženie objemu údajov, výber inej služby alebo upustenie od zámeru.

Ak povinná požiadavka zostáva nesplnená, výkonné schválenie ju nedokáže zhojiť. Ak ide o voľbu medzi zákonnými možnosťami s rozdielnymi zostatkovými rizikami, manažment môže rozhodnúť so zdokumentovaným poradenstvom. Nákup by mal tieto situácie rozlišovať, namiesto toho, aby všetky obavy zhromažďoval pod jednu kategóriu výnimiek.

Revízia dodávateľa by sa mala končiť rozhodnutím, podmienkami, odkazmi na dôkazy a spúšťačmi opätovnej revízie – nie len vyplneným dotazníkom.

Navrhnite vybavovanie práv skôr, než príde prvá náročná žiadosť

Články 15 – 22 stanovujú práva vrátane práva na prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť, námietku a ochranu pri určitých rozhodnutiach založených výlučne na automatizovanom spracúvaní. Tieto práva majú rozdielne podmienky a výnimky; jeden workflow „vymazať všetko“ ich všetky neobslúži.

Podľa článku 12 musia organizácie odpovedať bez zbytočného odkladu a spravidla do jedného mesiaca od doručenia žiadosti. V prípade potreby, so zreteľom na zložitosť a počet žiadostí, je možné predĺženie až o ďalšie dva mesiace, osobu však treba informovať do prvého mesiaca aj s uvedením dôvodov. Žiadosti sú spravidla bezplatné; poplatky alebo odmietnutie sú obmedzené na podmienky nariadenia, napríklad pri zjavne neopodstatnených alebo neprimeraných žiadostiach, čo musí prevádzkovateľ preukázať.

Vybudujte prevádzkovú cestu, ktorá funguje naprieč kanálmi podpory, HR, predaja a ochrany súkromia:

1. Zaznamenajte prijatie, požadované práva a lehotu.
2. Potvrďte príslušného prevádzkovateľa a rozsah.
3. Pri odôvodnených pochybnostiach primerane overte totožnosť.
4. Vyhľadajte údaje a identifikujte relevantné systémy, príjemcov a sprostredkovateľov.
5. Posúďte uplatniteľné podmienky, výnimky a práva iných osôb.
6. Pripravte odpoveď alebo úkon a preskúmajte ich.
7. Bezpečne doručte a uchovajte primeraný záznam o dokončení.

Nevyžadujte rutinne doklady totožnosti, ak by postačovalo menej invazívne overenie. Rovnako nesprístupňujte citlivé záznamy len preto, že niekto pozná e-mailovú adresu. Samotné overovanie predstavuje spracúvanie osobných údajov a vyžaduje si primeraný prístup.

Odpoveď na žiadosť o prístup zvyčajne potrebuje viac než zoznam kategórií. Článok 15 zahŕňa kópiu spracúvaných osobných údajov a doplňujúce informácie. Pred sprístupnením preskúmajte informácie a práva tretích strán; výskyt mena inej osoby nepovažujte za dôvod na zadržanie všetkého.

Vymazanie nie je absolútne. Môžu sa uplatniť zákonné povinnosti uchovávania a ďalšie výnimky podľa článku 17. Ak sa vymazanie vyžaduje, určte, ako sa dostane do prepojených služieb a k relevantným príjemcom a ako obnova zo záloh zabráni nedbalému opätovnému zavedeniu vymazaných záznamov. Prípadné zákonné obmedzenia presne vysvetlite.

Automatizácia môže sledovať lehoty a organizovať vyhľadávanie, niekto však musí rozhodnúť, či sú výsledky úplné, či sú úpravy (začiernenia) odôvodnené a či sa uplatňuje výnimka. Rýchlo vygenerovaná štandardná odpoveď nie je užitočná, ak vynechá systém obsahujúci požadované údaje.

Podrobnejší workflow nájdete v článku o žiadostiach dotknutých osôb o prístup. Vedenie by malo pravidelne testovať reprezentatívnu žiadosť od prijatia až po bezpečné doručenie, namiesto toho, aby sa spoliehalo len na zverejnený postup.

Pomocou DPIA spochybnite návrh skôr, než ho schválite

Posúdenie vplyvu na ochranu údajov (DPIA) podľa článku 35 sa vyžaduje pred spracúvaním, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody ľudí. Nariadenie uvádza osobitné prípady vrátane určitých významných automatizovaných hodnotení, rozsiahleho spracúvania citlivých údajov a systematického monitorovania verejne prístupných miest vo veľkom rozsahu. Zohľadniť treba aj príslušné zoznamy dozorných orgánov.

Navrhované činnosti posudzujte včas. Ako praktické odporúčanie uchovajte zdôvodnenie, keď predbežné posúdenie dospeje k záveru, že DPIA nie je potrebné, najmä v hraničných prípadoch. Krátky záznam z predbežného posúdenia umožňuje k rozhodnutiu sa vrátiť, keď sa zmení rozsah, technológia alebo účel.

Úplné DPIA by malo riešiť štyri prepojené prvky:

• Systematický opis plánovaného spracúvania a účelov vrátane oprávnených záujmov, ak sú relevantné.
• Nevyhnutnosť a primeranosť vo vzťahu k týmto účelom.
• Riziká pre práva a slobody jednotlivcov.
• Opatrenia plánované na riešenie rizík a preukázanie súladu.

Nezačínajte a nekončite zoznamom bezpečnostných hrozieb. Najprv sa pýtajte, či sú navrhované údaje, frekvencia, príjemcovia a rozhodovací proces nevyhnutné. Menej invazívny návrh môže riziko odstrániť účinnejšie než ďalšie technické opatrenie.

Napríklad projekt na meranie produktivity zamestnancov môže navrhovať nepretržité vytváranie snímok obrazovky. Šifrovanie a obmedzený prístup by mohli znížiť riziko sprístupnenia, no ponechali by vážne otázky týkajúce sa primeranosti, monitorovania, očakávaní zamestnancov a vhodnosti menej invazívnych opatrení. Obchodný účel si vyžaduje preskúmanie skôr, než bude mať bezpečnostný návrh zmysel.

Posudzujte riziko pre ľudí, nie len expozíciu spoločnosti

Zvážte finančnú stratu, diskrimináciu, zneužitie identity, stratu dôvernosti, vylúčenie zo služieb a ďalšie relevantné dopady. Scenár môže mať obmedzený finančný dopad na spoločnosť a podstatný dopad na jednotlivca.

Zdokumentujte navrhované zmierňujúce opatrenia, vlastníkov implementácie a posúdenie zostatkového rizika. Ak je určená DPO, vyžiadajte si jej poradenstvo. Preskúmajte, či si zmeny v prevádzke alebo riziku vyžadujú aktualizáciu posúdenia.

Článok 36 vyžaduje predchádzajúcu konzultáciu s dozorným orgánom, ak DPIA naznačuje, že spracúvanie by bez opatrení na zmiernenie rizika viedlo k vysokému riziku. Ak organizácia nedokáže toto vysoké riziko dostatočne riešiť, nemôže požadovanú konzultáciu nahradiť interným stavom „akceptované“. Manažment môže činnosť prepracovať, odložiť alebo od nej upustiť; nemôže však nakladať s právami iných ľudí, akoby išlo výlučne o obchodné riziko.

Prepojte reakciu na incidenty s rozhodnutiami o oznámení podľa GDPR

Porušenie ochrany osobných údajov zahŕňa porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov alebo neoprávnenému prístupu k nim. Je to širší pojem než útočník, ktorý ukradne databázu. Posúdenie si môže vyžadovať aj nesprávne odoslaná príloha, stratené nechránené zariadenie alebo incident ovplyvňujúci dostupnosť či integritu osobných údajov.

Podľa článkov 33 a 34 posudzujú prevádzkovatelia dve rozdielne hranice pre oznámenie:

Lehota 72 hodín plynie od zistenia, nie jednoducho od pôvodnej časovej pečiatky incidentu alebo od nasledujúceho pracovného dňa. Ak sa oznámenie podá neskôr, musia sa k nemu pripojiť dôvody omeškania. Informácie možno poskytovať postupne, ak ich nie je možné poskytnúť naraz bez ďalšieho zbytočného odkladu.

Eskalačný reťazec pripravte vopred: vedúci incidentu, poradca pre ochranu súkromia, zodpovedná osoba prevádzkovateľa s rozhodovacou právomocou, technickí vyšetrovatelia, komunikácia a kontakty na dodávateľov. Cestu na podanie hlásenia príslušnému orgánu si zistite ešte pred núdzovou situáciou. Sprostredkovateľ by nemal s informovaním prevádzkovateľa čakať na vlastný konečný záver o riziku.

Záznam o incidente by mal zachytiť, čo sa stalo, dotknuté údaje a osoby, pravdepodobné dôsledky, obmedzenie následkov a nápravu a rozhodnutia o oznámení. Článok 33 ods. 5 vyžaduje dokumentovanie porušení ochrany osobných údajov vrátane skutočností, ich účinkov a prijatých nápravných opatrení. Zdôvodnenie neoznámenia uchovajte, aby bolo rozhodnutie neskôr zrozumiteľné.

Šifrovanie môže ovplyvniť riziko a analýzu podľa článku 34, ale len ak je jeho ochrana relevantná a účinná. „Služba používa šifrovanie“ nestačí, ak útočník získal prístup k otvorenému textu prostredníctvom kompromitovaného účtu. Článok 34 obsahuje aj ďalšie výnimky, napríklad následné opatrenia, ktoré zabezpečia, že vysoké riziko sa už pravdepodobne neprejaví; posúďte skutočné podmienky, namiesto toho, aby ste uplatnili všeobecnú výnimku.

Precvičte jeden scenár s dodávateľom a ďalší s interným sprístupnením. Cvičenie by malo testovať zber dôkazov a rozhodovacie právomoci, nie len technické obmedzenie následkov.

Medzinárodné prenosy ako samostatné posúdenie

Požiadavky na prenosy podľa kapitoly V platia popri ostatných ustanoveniach GDPR. Mechanizmus prenosu neposkytuje právny základ podľa článku 6 a právny základ neodstraňuje potrebu primeraného dojednania o prenose.

Zmapujte skutočných príjemcov a prístupové cesty. Hosting v dátovom centre v EÚ je relevantný, sám osebe však nepreukazuje, že nedochádza k žiadnemu prenosu do tretej krajiny ani že sú splnené všetky povinnosti v oblasti ochrany súkromia. Zvážte prístup podpory, ďalších sprostredkovateľov, administratívny prístup, následné sprístupnenie a zapojené strany.

Rámec GDPR pre prenosy zahŕňa rozhodnutia o primeranosti podľa článku 45, primerané záruky podľa článku 46 a obmedzené výnimky podľa článku 49. Príslušný mechanizmus a jeho rozsah overte v čase rozhodnutia.

Ak sa spoliehate na rozhodnutie o primeranosti obmedzené na zúčastnené organizácie, overte presného príjemcu a pokrytú činnosť. Spoločnosť zo skupiny alebo podobný obchodný názov nemusí byť nevyhnutne pokrytým príjemcom. Výsledok a dátum overenia uchovajte.

Ak sa používajú štandardné zmluvné doložky, vyberte doložky zodpovedajúce skutočným rolám strán a vyplňte príslušné prílohy. Posúďte právne predpisy a postupy krajiny určenia a to, či sú potrebné doplnkové opatrenia na zabezpečenie účinnej ochrany. Samotná podpísaná zmluva neodpovedá na každú otázku rizika prenosu.

Praktický spis k prenosu by mal identifikovať vývozcu a dovozcu, údaje a účely, lokality a prístupy, následné prenosy, zvolený mechanizmus, relevantné posúdenie, technické alebo organizačné opatrenia a spúšťače revízie. Dokumentácia poskytovateľa môže túto prácu podporiť, no otázka, či poskytovateľ „má posúdenie“, nie je to isté ako vyhodnotenie jeho relevantných zistení.

Manažment by mal vedieť, ktoré služby závisia od konkrétneho mechanizmu a aké zmeny by si vyžiadali opätovné vyhodnotenie. To podporuje premyslený plán pre nepredvídané situácie bez toho, aby sa naznačovalo, že každý dodávateľ potrebuje rovnaké zmluvné záložné riešenie.

Používanie AI posudzujte ako spracúvanie, nie len ako nový nástroj

Aplikácia AI môže priniesť nových príjemcov, odvodiť ďalšie osobné informácie, uchovávať prompty alebo umožniť nový účel. Tieto zmeny sú dôležité, aj keď aplikácia opakovane využíva existujúce jednotné prihlasovanie a opatrenia na riadenie prístupu organizácie.

Pred schválením osobných údajov v službe AI určte:

• Presnú úlohu a to, či sú osobné údaje nevyhnutné.
• Kategórie vstupov, výstupov a dotknutých osôb.
• Rolu poskytovateľa pri každom použití vrátane prípadných účelov trénovania alebo zlepšovania.
• Uchovávanie, ľudský prístup, ďalších sprostredkovateľov a dojednania o prenosoch.
• Zmluvné záväzky a relevantné nastavenia konfigurácie.
• Riziká týkajúce sa presnosti, sprístupnenia, vybavovania práv a rozhodovania.

Nepredpokladajte, že každý poskytovateľ modelov je výlučne sprostredkovateľom. Jeho rola závisí od spracúvania, ktoré vykonáva, a od účelov, ktoré určuje. Rovnako zmluva podľa článku 28 automaticky neurobí navrhovaný prenos zákonným. Posúďte účel, právny základ, transparentnosť, nevyhnutnosť a všetky ostatné uplatniteľné požiadavky.

Ak je spoločnosť sama sprostredkovateľom, zavedenie poskytovateľa AI môže vytvoriť vzťah s ďalším sprostredkovateľom. Pred odoslaním údajov zákazníkov overte pokyny zákazníka a dohodnutý proces povoľovania. Nový dodatok k zmluve nie je vždy potrebný, súlad s existujúcimi zmluvnými a zákonnými dojednaniami však áno.

Článok 22 sa týka určitých rozhodnutí založených výlučne na automatizovanom spracúvaní, ktoré majú právne alebo podobne významné účinky. Formálna ľudská kontrola problém nerieši, ak posudzovateľ nedokáže výsledok zmysluplne posúdiť alebo zmeniť. Osobitnú pozornosť si vyžadujú rozhodnutia pri nábore, posudzovaní oprávnenosti a vo financiách.

Akt o umelej inteligencii a GDPR ukladajú odlišné povinnosti. Posúdenie podľa aktu o AI nenahrádza DPIA a súlad s GDPR nepreukazuje súlad s aktom o AI. Dátumy uplatňovania si overte v aktuálnom prehľade Európskej komisie k aktu o umelej inteligencii, namiesto toho, aby ste do súčasného projektu prenášali starý harmonogram.

Pri internej práci v oblasti ochrany súkromia môže AI navrhovať opisy zo schválených zdrojov, porovnávať dokumenty alebo navrhovať otázky. Jej výstup považujte za návrh. Hodnoverne znejúci právny základ, prehliadnutý príjemca alebo nesprávne tvrdenie o uchovávaní môžu uhladený dokument urobiť podstatne nesprávnym.

Automatizujte koordináciu a zachovajte zodpovedné posudzovanie

Rastúce organizácie hromadia opakujúcu sa prácu: aktualizácie záznamov o spracúvaní, lehoty pri žiadostiach dotknutých osôb, dokumenty dodávateľov, úlohy z posúdení, platnosť dôkazov a rozhodnutia z revízií. Automatizácia môže organizovať vstupy a lehoty. Nemala by však zastierať rozdiel medzi zberom informácií a dospením k obhájiteľnému záveru.

Začnite stabilným procesom a jasným vlastníctvom. Automatizácia nejasnej odovzdávky môže nejasnosť len rýchlejšie rozšíriť. Definujte, čo otvára úlohu, kto ju dostane, aké dôkazy sú potrebné, kto posúdi výsledok a čo prácu dokončuje.

Pri navrhovaní s podporou AI uchovajte schválené zdroje a identifikujte neistotu. Nedovoľte, aby vygenerované zhrnutie potichu nahradilo zmluvu s dodávateľom alebo posúdenie. Posudzovatelia by mali vedieť rozlíšiť dodané fakty, odvodené návrhy a nevyriešené otázky.

Princíp najnižších potrebných oprávnení uplatňujte aj na samotný workflow. Spisy k žiadostiam dotknutých osôb, záznamy o incidentoch a posúdenia zamestnancov môžu obsahovať citlivé informácie. Široký prístup do pracovného priestoru pre compliance môže podkopať práve tie obmedzenia, ktoré sa dokumentujú. Minimalizujte osobné údaje v dôkazoch a obmedzte materiály, ktoré skutočne vyžadujú identifikáciu.

Medzi užitočné ukazovatele pre manažment patria úlohy po termíne, chýbajúci vlastníci, záznamy čakajúce na revíziu po podstatnej zmene a opatrenia so zastaranými alebo nedostatočnými dôkazmi. Hrubé počty dokumentov sú menej informatívne. Merajte, či sa rozhodnutia a nápravná práca dokončujú, nie len to, či vzniklo viac textu.

Praktický príklad: marketingová integrácia, ktorá opakovane využíva bezpečnostné opatrenia

Nasledujúci príklad je ilustratívny. Predpokladajme, že rastúca B2B softvérová spoločnosť má zavedenú zákaznícku databázu, ISMS pokrývajúci jej produkčnú službu a navrhovanú kampaňovú platformu. Marketing chce posielať správy pri zaúčaní (onboardingu) a neskôr propagovať ďalšie produkty. Platforma by dostávala kontaktné údaje, udalosti o používaní produktu a voľný text poznámok z podpory. Nenaznačuje sa žiadny skutočný výsledok zákazníka ani schopnosť Secani.

1. Oddeľte navrhované účely

Pôvodná požiadavka znie „zlepšiť angažovanosť zákazníkov“. Biznisový vlastník ju prepíše na konkrétne účely: nevyhnutný onboarding pre službu, voliteľnú propagačnú komunikáciu a analýzu výkonnosti kampaní.

Posudzovateľ ochrany súkromia posúdi základ pre každý účel, namiesto toho, aby na všetky tri uplatnil zmluvu so zákazníkom. Propagačná komunikácia sa môže dotýkať aj uplatniteľných vnútroštátnych pravidiel pre elektronický marketing. Spoločnosť nepredpokladá, že tieto samostatné požiadavky vyrieši samotná analýza oprávneného záujmu podľa GDPR.

Prvým výstupom je rozhodnutie o účele a základe s priradenými nevyriešenými otázkami. Marketing nemôže začať s rozšíreným použitím len preto, že integrácia prešla technickou bezpečnostnou kontrolou.

2. Zúžte navrhovaný dátový tok

Poznámky z podpory sú na personalizáciu pohodlné, pre schválenú správu pri onboardingu však nie sú potrebné. Môžu tiež obsahovať informácie, pri ktorých zákazníci neočakávali, že budú znovu použité na marketing. Návrh ich odstráni.

Technický vlastník obmedzí udalosti o produkte na tie, ktoré schválený workflow potrebuje, a vylúči podrobné histórie používateľov tam, kde postačia agregované alebo jednoduchšie údaje o udalostiach. Tým sa zníži expozícia skôr, než sa pridá ďalšie opatrenie.

Záznam o spracúvaní teraz opisuje skutočné polia, dotknutých používateľov, príjemcu, účely a prístup k uchovávaniu. Informácie o ochrane súkromia sa posúdia voči schválenej činnosti, nie voči pôvodnej širokej požiadavke.

3. Overte dojednania s dodávateľom a prenosy

Nákup určí rolu platformy pri doručovaní kampaní a overí, či poskytovateľ nemá samostatné účely. Tím preskúma zmluvu podľa článku 28, dojednania o ďalších sprostredkovateľoch, podmienky vymazania, prístup podpory a uplatniteľný mechanizmus prenosu.

Možnosť hostingu v EÚ sa zaznamená ako relevantná skutočnosť, nepovažuje sa však za koniec analýzy prenosov. Ak chýbajú potrebné informácie, úloha zostáva otvorená a podmienka spustenia určuje, čo sa musí vyriešiť.

4. Bezpečnostné dôkazy využívajte opatrne

Integrácia môže opakovane využiť podnikové opatrenia pre identity a existujúci proces riadenia prístupu. Dôkazy o týchto opatreniach sa prepoja, nevytvárajú sa nanovo. Nová kampaňová platforma má však vlastné oprávnenia, exporty a nastavenia uchovávania.

Vlastník bezpečnosti posúdi kompromitáciu účtu, neoprávnený hromadný export, nesprávne mapovanie udalostí a stratu preferencií potlačenia komunikácie. Tím obmedzí prístup, schváli potrebné oprávnenia integrácie, otestuje mapovanie s vhodnými testovacími údajmi a overí, ako sa záznamy vymazávajú alebo potláčajú.

Existujúce cvičenie obnovy produkčnej služby nepreukazuje, že preferencie kampaní možno správne obnoviť. Vlastník samostatne overí správanie obnovy relevantné pre tento workflow.

5. Dokončite posúdenie a schválenie

Posudzovateľ ochrany súkromia vykoná predbežné posúdenie potreby DPIA na základe skutočnej činnosti a zaznamená zdôvodnenie. Tím tiež overí, ako sa žiadosti o prístup, námietky a vymazanie dostanú do platformy. Najmä námietka proti marketingu nesmie byť zrušená ďalšou synchronizáciou databázy.

Manažment posúdi stručný rozhodovací balík: schválené účely, odstránené údaje, závery o dodávateľovi a prenosoch, záruky, otvorené podmienky, vybavovanie práv a menovite určených vlastníkov. Akákoľvek nevyriešená povinná požiadavka zablokuje dotknuté spracúvanie, namiesto toho, aby sa premenila na akceptovanú obchodnú výnimku.

6. Zachovajte ďalší spúšťač

Schválenie je viazané na posúdenú konfiguráciu. Pridanie behaviorálneho skórovania, nahrávanie poznámok z podpory, zmena podmienok trénovania u poskytovateľa alebo zavedenie nového príjemcu spustí revíziu. Tím môže opakovane využiť nezmenené bezpečnostné dôkazy a zároveň znovu posúdiť nové otázky ochrany súkromia.

V tom spočíva ústredný rozdiel: spoločné záruky môžu zostať platné, zatiaľ čo sa účel, príjemca alebo dopad na ľudí podstatne zmení.

Uveďte prístup do prevádzky so zameraným prvým rozsahom

Vyberte jednu spracovateľskú činnosť s viditeľným biznisovým vlastníctvom a zvládnuteľnými závislosťami. Zákaznícka podpora, nástup zamestnancov alebo reprezentatívny produktový workflow môžu odhaliť medzery bez toho, aby bolo najprv potrebné prepracovať celú organizáciu.

Ako praktické odporúčanie začnite štyrmi výstupmi:

• Dohodnutý opis spracúvania a posúdenie rolí.
• Zoznam rozhodnutí o ochrane súkromia vrátane základu, informácií, uchovávania, práv a predbežného posúdenia potreby DPIA.
• Posúdenie záruk na základe scenárov prepojené s existujúcimi bezpečnostnými dôkazmi.
• Záznam o schválení s vlastníkmi, otvorenými úlohami a spúšťačmi zmien.

V Secani môžu tímy začať so zameraným rozsahom, modelovať podporné aplikácie, systémy, služby a poskytovateľov a prepájať dôkazy s požiadavkami, opatreniami a rozhodnutiami. Chýbajúce dôkazy a nevyriešené otázky z revízií sa môžu stať priradenými úlohami. Návrhy s podporou AI zostávajú pracovným návrhom s dohľadateľnosťou zdrojov a explicitným ľudským schválením. Posudzovatelia bezpečnosti a ochrany súkromia tak získajú spoločný kontext dôkazov, pričom ich odlišné závery zostanú viditeľné; nenahrádza to záznamy o spracúvaní, vybavovanie práv ani právnu analýzu.

Rozširujte až potom, čo bol prvý workflow vyskúšaný v praxi. Otestujte na ňom zmenu dodávateľa, žiadosť dotknutej osoby a relevantný scenár incidentu. Tam, kde tím nedokáže určiť vlastníka, nájsť dôkazy alebo vysvetliť rozhodnutie, opravte prevádzkový proces skôr, než pridáte ďalšie činnosti.

Pri revízii manažmentom položte tri otázky: zodpovedá záznam súčasnému spracúvaniu, riešia záruky dôsledky pre ľudí a otvorí podstatná zmena spoľahlivo rozhodnutie znova? Tieto otázky predstavujú praktický ďalší krok k prepojeniu bezpečnostného uistenia so zodpovednosťou podľa GDPR.

Otázky, ktoré by malo vedenie výslovne vyriešiť

Môže CEO schváliť výnimku z GDPR?

Manažment môže vyberať spomedzi zákonných možností a prideľovať zdroje na riešenie rizika. Nemôže sa vzdať zákonných požiadaviek, povoliť spracúvanie bez uplatniteľného základu ani nahradiť požadovanú predchádzajúcu konzultáciu interným schválením.

Potrebuje každá zmena spracúvania nové DPIA?

Nie. Zmenu posúďte voči hranici vysokého rizika a existujúce posúdenia preskúmajte, keď sa zmení prevádzka alebo riziko. Zdokumentované rozhodnutie z predbežného posúdenia je užitočnejšie než automatické vypracovanie úplného DPIA alebo predpoklad, že starý výsledok platí vždy.

Čo by sa malo posúdiť ako prvé, keď sú zdroje obmedzené?

Uprednostnite spracúvanie s potenciálne vážnymi dôsledkami pre ľudí, nevyriešené otázky zákonnosti alebo zmlúv a prevádzkové lehoty, ako sú žiadosti dotknutých osôb a reakcia na porušenia. Medzery v dôkazoch používajte ako vodidlo pri preverovaní, nepredpokladajte však, že činnosť s najväčším počtom chýbajúcich dokumentov nevyhnutne predstavuje najväčšie riziko.

Ktorý orgán presadzuje GDPR a koľko môžu porušenia stáť?

Identifikujte príslušný dozorný orgán pre dané spracúvanie. Pri kvalifikovanom cezhraničnom spracúvaní závisí mechanizmus vedúceho orgánu spravidla od hlavnej alebo jedinej prevádzky prevádzkovateľa či sprostredkovateľa v EÚ, pričom sa zapájajú aj ďalšie dotknuté orgány. Zástupca podľa článku 27 nevytvára prevádzku v EÚ ani prístup k tomuto mechanizmu.

Článok 83 stanovuje dve hlavné úrovne maximálnych správnych pokút: až do 10 miliónov EUR alebo 2 % celkového celosvetového ročného obratu podniku za predchádzajúci finančný rok a až do 20 miliónov EUR alebo 4 %, podľa toho, ktorá suma je v danej úrovni vyššia. Uplatniteľná úroveň závisí od porušenia; ide o horné hranice, nie o automatické sankcie. Orgány zohľadňujú okolnosti a môžu tiež nariadiť nápravné opatrenia alebo obmedziť spracúvanie. Článok 82 samostatne upravuje náhradu škody, ak porušenie spôsobí majetkovú alebo nemajetkovú ujmu.