BDAR programinė įranga mažai ar vidutinei įmonei turi padėti atlikti aiškiai paskirtus darbus: surinkti informaciją apie duomenų tvarkymą, palaikyti dokumentus, sekti prašymus ir išsaugoti sprendimų pagrindimą. Ji nepanaikina įmonės atsakomybės ir savaime nepakeičia duomenų apsaugos pareigūno, jeigu jį privaloma paskirti. Mokama platforma taip pat nėra bendras įstatymo reikalavimas kiekvienai MVĮ.
Tinkamas pasirinkimas priklauso nuo veiklos, rizikos ir komandos galimybių. Maža klinika, internetinė parduotuvė ir nedidelis verslo konsultantas gali turėti panašų darbuotojų skaičių, tačiau labai skirtingus duomenų apsaugos poreikius. Šis vadovas padeda nustatyti pradinę pirkimo apimtį, parengti įgyvendinamą darbo planą ir patikrinti, ar siūloma priemonė iš tikrųjų palengvina jūsų kasdienį procesą.
Įvardykite atsakingą žmogų ir jo sprendimo ribas
Prieš rinkdamiesi sistemą nuspręskite, kas koordinuos duomenų apsaugos darbus. Tai gali būti vadovas, tinkamai įgaliotas darbuotojas arba išorės specialistas, atsižvelgiant į situaciją. Koordinavimo vaidmuo nereiškia, kad žmogus vienas turi žinoti visus įmonės procesus. Jis turi žinoti, iš ko gauti faktus ir kas priima atitinkamus sprendimus.
Jeigu visi klausimai siunčiami vienam darbuotojui, kuris neturi laiko ar įgaliojimų, programa gali tik greičiau sukaupti nebaigtas užduotis. Nustatykite, kas aprašo klientų aptarnavimą, kas žino personalo sistemą ir kas tvirtina tiekėjo sutartį. Mažoje komandoje šios funkcijos gali sutapti, bet jų paskirtis ir pavaduojamumas turi būti aiškūs.
Duomenų apsaugos pareigūno poreikis vertinamas pagal BDAR 37 straipsnį, o ne vien pagal darbuotojų skaičių. Pareiga taikoma valdžios institucijoms ar įstaigoms, išskyrus teismus, kai jie vykdo teismines funkcijas. Ji taip pat kyla, kai pagrindinė veikla apima operacijas, dėl kurių pobūdžio, aprėpties ar tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus, arba kai pagrindinę veiklą sudaro didelio masto specialių kategorijų ar 10 straipsnio duomenų tvarkymas. Programos prenumerata šių kriterijų nepakeičia.
Pareigūnas gali veikti ir pagal paslaugų sutartį, jeigu užtikrinamos taikomos sąlygos. Vis dėlto paprastas dokumentų konsultantas ir paskirtas pareigūnas nėra automatiškai tas pats vaidmuo. Pirkimo metu patikrinkite, ar pasiūlyme įtrauktas tik techninis aptarnavimas, bendros konsultacijos ar konkreti specialistų paslauga, ir aiškiai nustatykite jos ribas.
Mažas dydis nepakeičia veiklos rizikos
BDAR pareigos priklauso nuo tvarkymo pobūdžio ir konkrečių normų. Mažas darbuotojų skaičius gali reikšti paprastesnę organizaciją, tačiau nedidelė įmonė vis tiek gali tvarkyti jautrią informaciją ar daug klientų duomenų. Todėl pradinis klausimynas turi apimti veiklą ir pasekmes žmonėms, ne tik įmonės dydžio kategoriją.
30 straipsnio išimtis organizacijoms, kuriose dirba mažiau nei 250 darbuotojų, nėra bendras atleidimas nuo veiklos įrašų. Ji netaikoma atitinkamai veiklai, kai tvarkymas nėra nereguliarus, gali kelti reglamente nurodytą pavojų žmonių teisėms ir laisvėms arba apima 9 ar 10 straipsnio duomenis. Tai alternatyvios aplinkybės, vertinamos konkrečios veiklos lygmeniu.
Pavyzdžiui, nuolatinė darbo užmokesčio apskaita nepasidaro nereguliari dėl to, kad įmonėje dirba keli žmonės. Kita vertus, iš šio teiginio nekyla pareiga pirkti konkrečią platformą. Tvarkymo veiklos įrašų įrankio pasirinkimas turi remtis gebėjimu palaikyti reikalingą informaciją ir ją pateikti, o ne vien formaliu dydžio slenksčiu.
Europos duomenų apsaugos valdybos mažoms įmonėms skirtas vadovas padeda susisteminti pagrindinius klausimus. Jį galima naudoti pasirengimui, bet konkrečius teisinius sprendimus reikia susieti su savo veikla. Vadovo ar programos klausimyno užpildymas pats savaime nėra patvirtinimas, kad įmonė atliko visas reikalingas užduotis.
Pradėkite nuo vieno tikro duomenų kelio
Pasirinkite suprantamą procesą, pavyzdžiui, klientų užsakymo priėmimą. Nustatykite, kokie duomenys gaunami, kas juos naudoja, kurioms paslaugoms jie perduodami ir kada turėtų būti pašalinti. Paklauskite darbuotojų apie realias kopijas el. pašte ar skaičiuoklėse. Oficiali programos schema gali neparodyti visų kasdien naudojamų duomenų vietų.
Iš šio pavyzdžio parenkite vieną veiklos įrašą ir su juo susijusių dokumentų sąrašą. Tai padės suprasti, kiek informacijos jau turite ir kiek dar reikia išsiaiškinti. Jei nežinomas saugojimo terminas, programa neturėtų jo pateikti kaip patvirtinto fakto. Trūkstamas atsakymas turi tapti aiškia užduotimi atitinkamam žmogui.
Tada palyginkite kitą, iš esmės skirtingą procesą, pavyzdžiui, darbuotojų atranką. Taip patikrinsite, ar pasirinkta struktūra nėra pritaikyta vien klientams ir ar ji leidžia atskirti skirtingus tikslus. Tas pats debesijos įrankis gali aptarnauti kelias veiklas, bet dėl to jų saugojimo terminai ar teisiniai pagrindai nebūtinai sutampa.
Lietuvos duomenų apsaugos vadovas padeda susieti šį darbą su nacionaliniu kontekstu. Praktinis tikslas yra žinoti, kas įmonėje vyksta, ir nustatyti taisytinus dalykus. Jei dokumentas gražiai sugeneruotas, bet darbuotojai toliau naudoja neįtrauktas kopijas, svarbi pradinio darbo dalis dar neatlikta.
Nustatykite minimalų naudingą funkcijų rinkinį
Pradinei apimčiai pasirinkite procesus, kuriuos įmonė galės realiai prižiūrėti. Tai gali būti veiklos įrašai, tiekėjų dokumentai, prašymų registras ir incidento veiksmų koordinavimas. Visos šios funkcijos nebūtinai turi būti viename produkte. Svarbu, kad atsakomybė, informacijos šaltiniai ir perdavimas tarp naudojamų priemonių būtų aiškūs.
Mažai komandai patogumas reiškia ne vien mažą mygtukų skaičių. Patikrinkite, ar retai prisijungiantis darbuotojas supranta, kokios informacijos iš jo prašoma ir kam ją perduoti. Jei kiekvienam pakeitimui reikia pardavėjo pagalbos, įvertinkite tokios priklausomybės kainą ir laiką. Kasdienį procesą turi gebėti vykdyti būtent jūsų paskirti žmonės.
Neįsigykite modulio tik dėl jo patrauklaus pavadinimo. Jeigu įmonė nesiima atitinkamos veiklos arba jau turi veikiantį sprendimą, nauja funkcija gali padidinti duomenų dubliavimą. Kita vertus, mažai įmonei kartais reikalinga sudėtinga kontrolė dėl jautrios veiklos. Poreikį nustato rizika ir darbo procesas, o ne stereotipas apie MVĮ.
Prašykite atskirti įtrauktas funkcijas nuo papildomai apmokestinamų galimybių. Pavyzdžiui, prašymų registras gali reikšti tik būsenų lentelę, o saugus failų perdavimas būti atskira paslauga. Tiekėjas turi paaiškinti, kur baigiasi programos darbas ir prasideda kliento rankinis veiksmas. Šią ribą užrašykite dar prieš lygindami kainą.
Žmonių prašymams reikalingas veikiantis procesas
Net retai gaunamas duomenų subjekto prašymas turi būti atpažintas ir perduotas atsakingam asmeniui. Prašymų valdymo programinės įrangos kriterijai padeda patikrinti registravimą, terminus, informacijos surinkimą ir atsakymo įrodymus. Paprastas elektroninio laiško persiuntimas gali veikti, jei procesas kontroliuojamas, bet vien persiuntimo faktas dar neparodo įvykdymo.
Pagal BDAR 12 straipsnį apie veiksmus informuojama nepagrįstai nedelsiant ir ne vėliau kaip per mėnesį nuo prašymo gavimo. Prireikus, atsižvelgiant į sudėtingumą ir prašymų skaičių, terminas gali būti pratęstas dar dviem mėnesiais; apie tai ir priežastis pranešama per pradinį mėnesį. Tai nėra automatinis trijų mėnesių terminas visiems prašymams.
Jeigu įmonė veiksmų nesiima, atsisakymo priežastis ir informaciją apie skundą bei teisminę gynybą pateikia nedelsdama, ne vėliau kaip per mėnesį. Pirkimo demonstracijoje patikrinkite ne tik paprastą patenkinimą, bet ir dalinį įvykdymą ar pagrįstą atsisakymą. Programos būsena „uždaryta“ neturėtų pakeisti tikrojo atsakymo patikrinimo.
Tapatybės tikrinimas turi būti proporcingas situacijai. Kilus pagrįstų abejonių, galima prašyti identifikavimui būtinos papildomos informacijos, tačiau nereikia visiems automatiškai rinkti dokumentų kopijų. Maža įmonė gali turėti jau patikimą kliento atpažinimo kanalą. Pasirinktas įrankis turi padėti jį naudoti, o ne sukurti nepagrįstas naujas kliūtis.
Tiekėjų dokumentai ir tikrieji duomenų gavėjai
Surinkite naudojamų apskaitos, el. pašto, klientų valdymo ir kitų paslaugų informaciją. Nustatykite, kada paslaugų teikėjas veikia kaip tvarkytojas, o kada turi savų tikslų. Vaidmens negalima nustatyti vien iš sutarties pavadinimo. Programai reikalingi laukai, kurie padėtų užfiksuoti vertinimą ir atskirti skirtingas tos pačios organizacijos veiklas.
BDAR 28 straipsnis numato rašytinę sutartį arba kitą pagal Sąjungos ar valstybės narės teisę privalomą teisės aktą, įskaitant elektroninę formą. Įprastam komerciniam santykiui taikoma duomenų tvarkymo sutartis. Vien faktas, kad dokumentas įkeltas į platformą, nepatvirtina tinkamų instrukcijų, pagalbos, saugumo ir subtvarkytojų sąlygų.
Prašykite parodyti, kaip komanda sužinos apie pasikeitusį subtvarkytoją ar naują paslaugos apdorojimo vietą. Jei informacija lieka tik tiekėjo svetainėje, įmonė turi žinoti, kas ją stebi ir kada vertina. Automatinis pranešimas gali padėti, bet sprendimui reikalingas žmogus ir konkretaus pakeitimo poveikio įvertinimas.
Duomenų saugojimas ES pats savaime nepašalina tarptautinio perdavimo klausimų. Patikrinkite palaikymo prieigą, subtvarkytojus ir kitas šalis, iš kurių leidžiama tvarkyti duomenis. Perdavimo už ES ribų vadovas padeda įvertinti atitinkamą mechanizmą. Pirkimo kriterijus turi apimti tikrąją duomenų grandinę, ne vien serverio adresą.
Incidentui pasiruoškite dar prieš jį patirdami
Nustatykite, kam darbuotojas praneša apie neteisingai išsiųstą failą, prarastą įrenginį ar įtartiną prieigą. Pradinė informacija gali būti neišsami, todėl procesas turi leisti ją papildyti. Darbuotojui neturėtų reikėti pačiam įrodyti didelio pavojaus prieš perduodant informaciją atsakingajam. Laiku gauti faktai leidžia anksčiau apriboti galimas pasekmes.
Dokumentuojamas kiekvienas asmens duomenų saugumo pažeidimas. Kompetentingai priežiūros institucijai pranešama nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo sužinojimo, nebent mažai tikėtinas pavojus žmonių teisėms ir laisvėms. Pavėlavus nurodomos priežastys. Ne kiekvienas techninis incidentas yra toks pažeidimas, o didelio pavojaus informavimas žmonėms vertinamas atskirai.
Pranešimo apie pažeidimą darbo eiga gali būti vienas demonstracijos scenarijų. Patikrinkite, ar galima išsaugoti faktus, sprendimo pagrindą, išsiųstą informaciją ir vėlesnius patikslinimus. Vien atgalinis 72 valandų skaitiklis neapima viso proceso, o ataskaitos sugeneravimas nėra jos pateikimo įrodymas.
Norėdami suprasti priežiūros praktiką, galite naudoti VDAI sprendimų konteksto apžvalgą, tačiau konkrečią bylą tikrinkite pirminiame sprendime ir jo stadijoje. Programos pirkimo nereikia grįsti tariamu universaliu baudos dydžiu ar pažadu jo išvengti. Atsakingą pasirinkimą geriau pagrindžia įmonės veikla, esamos spragos ir įrodomas proceso pagerinimas.
Kada reikia daugiau nei pradinės dokumentacijos
Jei planuojama apdorojimo veikla gali kelti didelį pavojų žmonių teisėms ir laisvėms, reikia įvertinti poveikio duomenų apsaugai vertinimo pareigą. Anketoje užpildytas rizikos balas gali būti pagalbinis, tačiau turi būti matomi kriterijai, faktai ir galutinis sprendimas. Mažas įmonės dydis nepakeičia šio vertinimo.
Pavyzdžiui, nauja darbuotojų stebėjimo funkcija gali reikalauti daugiau analizės nei paprastas kontaktų sąrašo atnaujinimas. Pasirinkta sistema turėtų padėti atpažinti pasikeitusį procesą ir nukreipti jį peržiūrai. Ji neturėtų automatiškai priskirti teisėtumo vien todėl, kad tiekėjas funkciją parduoda kaip standartinę ar plačiai naudojamą.
Finansų subjektui atskirai vertinamas DORA įrankio poreikis, o atitinkamai veiklai gali būti aktualūs NIS2 valdymo sprendimai. Šių režimų taikymo sritis nėra nustatoma vien pagal asmens duomenų tvarkymą. Bendrą produktą verta rinktis tik patikrinus konkrečių funkcijų ir atsakomybių suderinamumą.
Nedidelė įmonė gali sąmoningai palikti sudėtingą vertinimą specialistui, o kasdienę dokumentaciją tvarkyti pati. Tai nėra sistemos nesėkmė. Svarbu iš anksto žinoti, kada reikia papildomos kompetencijos ir kaip išvados grįžta į bendrą dokumentaciją. Priešingu atveju konsultanto atsakymas gali likti atskirame laiške ir neatsispindėti realiame procese.
Parenkite įgyvendinamą įdiegimo apimtį
Pradėkite nuo duomenų ir dokumentų, kuriuos komanda geba paaiškinti. Jei importuosite visus senus failus be patikrinimo, naujoje sistemoje gali atsirasti daugiau painiavos. Nuspręskite, kuri versija galiojanti, kokie įrašai pasenę ir kas atsakys į trūkstamus klausimus. Migracija turi būti turinio patikra, ne vien failų perkėlimas.
Pirmam etapui nustatykite konkretų rezultatą, pavyzdžiui, patvirtintą klientų užsakymo veiklos įrašą ir veikiančią prašymo perdavimo eigą. Tada įvertinkite, kas trukdo plėsti procesą. Bendras pažadas pasiekti atitiktį per kelias dienas negali pakeisti įmonės faktinės situacijos, darbuotojų prieinamumo ir reikalingų teisinių sprendimų.
Sutarkite, kaip bus tikrinama, kad darbuotojas moka atlikti jam skirtą veiksmą. Trumpa praktinė užduotis gali parodyti daugiau nei ilgas bendras mokymas. Pavyzdžiui, paprašykite pateikti informaciją apie naują tiekėją ir parodyti, kas ją apžvelgia. Jei rezultatas stringa, nustatykite, ar problema yra sąsaja, neaiškus klausimas, ar trūkstama atsakomybė.
Po pradinio paleidimo suplanuokite peržiūrą pagal realius pakeitimus ir riziką. BDAR nenustato vieno universalaus visų įmonės dokumentų atnaujinimo kalendoriaus. Įrankio priminimai naudingi tada, kai susieti su prasminga užduotimi ir atsakingu žmogumi. Daug ignoruojamų pranešimų nėra įrodymas, kad dokumentacija palaikoma.
Biudžetas turi apimti ir likusį darbą
Prašykite pasiūlymo pagal savo naudotojų, juridinių asmenų, duomenų ir reikalingų procesų apimtį. Įtraukite pradinį parengimą, importą, mokymus, palaikymą ir reikalingų funkcijų aktyvavimą. Programinės įrangos kainos vadovas padeda lyginti sąnaudų struktūrą, bet neatstoja konkretaus galiojančio komercinio pasiūlymo su mokesčiais ir ribomis.
Skaičiuokite ir darbuotojų laiką, kurio programa nepakeis: faktų surinkimą, sprendimų priėmimą, rezultatų patikrą ir naujų veiklų aptarimą. Nevertinkite sutaupymo pagal nepatikrintą rinkos valandų vidurkį. Pasirinkite kelis savo darbus ir palyginkite jų atlikimą. Gauta informacija bus naudingesnė už universalią procentinę efektyvumo pažado lentelę.
Jei bendradarbiaujate su išorės konsultantu, išsiaiškinkite, kokias užduotis jis atliks sistemoje ir kas priklausys įmonei. Atskirai nustatykite prieigą, konfidencialumą ir paslaugos pabaigą. Konsultantas gali padėti įvertinti išimtį ar sutartį, bet sprendimo rezultatas ir jo pagrindas turi būti prieinami įmonei ir tada, kai konsultantas pasikeičia.
Palyginimui naudokite BDAR pasiūlymų vertinimo metodiką ir bendrą įrankio pasirinkimo vadovą. Vertinkite vienodą apimtį ir tikrą darbą, o ne tik mėnesinį tarifą. Pigus pasiūlymas gali būti tinkamas, jei apima reikalingą rezultatą; brangesnis gali būti pagrįstas, jei jo nauda jūsų procese iš tikrųjų patikrinama.
Išbandykite vieną pasikeitimą po paleidimo
Įsivaizduokite, kad jau veikianti MVĮ pakeičia klientų aptarnavimo tiekėją. Sistema turėtų padėti nustatyti susijusią veiklą, dokumentus, gavėjus ir darbuotojams skirtą informaciją. Patikrinkite, ar pakeitimas perduodamas tinkamam žmogui ir ar sena versija išlieka suprantama. Būtent tokie kasdieniai įvykiai parodo, ar programa bus naudinga po pradinės demonstracijos.
Jeigu naujas tiekėjas naudoja kitą subtvarkytoją ar kitą duomenų apdorojimo vietą, reikalingas turinio vertinimas. Vien tiekėjo pavadinimo pakeitimas nepakankamas. Mažai komandai verta turėti trumpą, aiškią sprendimo eigą, kurioje matoma, kokių faktų trūksta ir kas juos turi pateikti. Tai sumažina priklausomybę nuo vieno žmogaus atminties.
Priėmimo metu taip pat patikrinkite, ar galima išsivežti dokumentus, įrašus ir reikalingą istoriją. Įmonė turi išlikti pajėgi tęsti darbą pakeitus programą. Eksporto apimtį, formatą, prieigos trukmę ir galimus mokesčius geriausia išsiaiškinti prieš sutartį. Pasitraukimo planas yra įprasta pirkimo dalis, o ne tik priemonė kilus ginčui.
Dažniausiai užduodami klausimai
Ar labai mažai įmonei būtina mokama platforma?
Ne. Reikia įvykdyti taikomas pareigas, o priemonė pasirenkama pagal veiklą ir gebėjimą ją prižiūrėti. Kontroliuojami dokumentai ar lentelės gali būti tinkami. Mokamą sistemą verta rinktis tada, kai jos nauda įrodyta jūsų darbo scenarijuje ir komanda turi aiškią jos naudojimo atsakomybę.
Ar programa pakeičia pareigūną ar teisinį vertinimą?
Ne. Jei privaloma paskirti duomenų apsaugos pareigūną, programa šios pareigos nepanaikina. Ji gali padėti tvarkyti informaciją ir užduotis, tačiau apdorojimo pagrindas, išimtys ir rizikos sprendimai turi būti pagrįsti. Konsultavimo paslaugos apimtį reikia atskirai patikrinti pasiūlyme, o ne numanyti iš programos pavadinimo.
Kiek reikėtų skirti įdiegimui laiko ir pinigų?
Tai priklauso nuo turimos informacijos kokybės, procesų apimties, darbuotojų dalyvavimo ir sutartų funkcijų. Paprašykite etapų ir priėmimo rezultatų, o ne universalaus atitikties termino. Visą kainą palyginkite su vidiniu darbu, mokymais, palaikymu ir išėjimo sąlygomis, remdamiesi galiojančiu konkrečiu pasiūlymu.