VDAR programmatūra mazam uzņēmumam ir noderīga tad, ja tā palīdz uzturēt konkrētu darba kārtību: zināt, kādi dati tiek apstrādāti, atrast atbildīgo cilvēku, izpildīt pieprasījumu un saglabāt lēmuma pamatojumu. Programmas iegāde pati par sevi nenodrošina atbilstību. Arī nelielam uzņēmumam nav vispārēja pienākuma iegādāties specializētu sistēmu. Izvēle ir atkarīga no apstrādes sarežģītības, riskiem un tā, vai pašreizējie rīki ļauj pienākumus izpildīt uzticami.
Šis ceļvedis palīdz Latvijas mazajam vai vidējam uzņēmumam sagatavot pamatotu pirkuma lēmumu. Tā rezultātam jābūt skaidram: kuras darbības jāuzlabo, kā tās pārbaudīsiet demonstrācijā un par ko piegādātājam būs jāatbild līgumā. Vienam uzņēmumam pietiks ar sakārtotiem dokumentiem un uzdevumu sistēmu; citam vajadzēs kopīgu vidi vairākiem darbiniekiem, ārpakalpojuma speciālistam un filiālēm. Darbinieku skaits vien šo jautājumu neatrisina.
Sāciet ar uzņēmuma darbu, nevis funkciju sarakstu
Pirms sazināties ar piegādātāju, izsekojiet viena klienta datu ceļam. Piemēram, remonta uzņēmums saņem pieteikumu tīmekļvietnē, ievada klienta tālruni darbu plānotājā, nosūta rēķinu un saglabā saraksti par garantijas jautājumu. Katram posmam var būt cits nolūks, glabāšanas vajadzība un piekļuves loks. Ja pārdevējs redz tikai vienu ierakstu ar nosaukumu “klienti”, demonstrācijā viegli paliks nepamanīti svarīgākie trūkumi.
Pēc tam tāpat apskatiet darbinieku pieņemšanu darbā, algu aprēķinu, mārketingu un piegādātāju kontaktus. Noskaidrojiet, kuras sistēmas datus saņem automātiski un kur darbinieki veido atsevišķas kopijas. Nav nepieciešams sākt ar katra faila inventarizāciju. Vispirms vajadzīga saprotama apstrādes darbību karte, lai izvēlētais rīks atspoguļotu īsto organizāciju, nevis tikai aizpildāmu anketu.
Aprakstiet arī pašreizējo problēmu. Ja dokumenti ir pilnīgi, bet pieprasījumi pazūd kopīgā e-pastā, lielākais ieguvums var būt atbildības sadale un termiņu uzraudzība. Ja līgumi atrodas dažādos datoros, prioritāte būs dokumentu saistīšana ar piegādātāju un konkrēto pakalpojumu. Ja apstrādes nolūki nav noteikti, jauna datubāze šo juridisko un organizatorisko darbu nevar aizstāt.
Kādi pienākumi attiecas uz mazu uzņēmumu
Vispārīgā datu aizsardzības regula paredz samērīgu pieeju, ņemot vērā apstrādes raksturu, apjomu, kontekstu, nolūkus un riskus. Tas nav vispārējs MVU atbrīvojums. Uzņēmumam jāspēj pamatot datu apstrādi, informēt cilvēkus, organizēt drošību un īstenot piemērojamās tiesības arī tad, ja datu aizsardzības darbu veic īpašnieks kopā ar grāmatvedi.
Īpaši rūpīgi jāvērtē 30. panta reģistra izņēmums organizācijām ar mazāk nekā 250 darbiniekiem. Attiecīgajām apstrādes darbībām atbrīvojumu nevar piemērot, ja apstrāde nav neregulāra, var radīt risku personu tiesībām un brīvībām vai ietver 9. pantā norādītos īpašo kategoriju datus vai 10. panta datus par sodāmību un pārkāpumiem. Tie ir patstāvīgi izņēmumu izslēdzoši apstākļi. Regulāra algu vai klientu datu apstrāde tāpēc jāvērtē konkrēti; nevajag visu uzņēmumu vienā teikumā pasludināt par atbrīvotu vai neatbrīvotu.
DVI skaidro, ka apstrādes reģistrs palīdz pārzināt personas datu izmantošanu. Regulā nav noteikts viens obligāts programmas zīmols vai maksas formāts. Reģistram jābūt rakstiskam, tostarp elektroniskam, un pieejamam uzraudzības iestādei pēc pieprasījuma. Izvērtējot apstrādes reģistra programmatūru, pārbaudiet saturu un uzturēšanu, nevis tikai dokumenta izskatu.
Atsevišķi izvērtējiet datu aizsardzības speciālista iecelšanu. VDAR 37. pants to prasa publiskām iestādēm vai struktūrām, izņemot tiesas, kad tās pilda tiesas spriešanas funkciju. Tas attiecas arī uz organizācijām, kuru pamatdarbība ietver apstrādi, kas prasa regulāru un sistemātisku personu novērošanu plašā mērogā, vai kuru pamatdarbība ir īpašo kategoriju vai 10. panta datu apstrāde plašā mērogā. Specializēts rīks šādu pienākumu neatceļ; neliels darbinieku skaits pats par sevi to neizslēdz.
Minimālais darba modelis pirms pirkuma
Nosakiet vienu cilvēku, kurš koordinē dokumentu aktualizēšanu, un aizvietotāju viņa prombūtnē. Tā ir praktiska organizēšanas izvēle, nevis apgalvojums, ka katram MVU obligāti jāizveido jauns amats. Koordinatoram jāzina, kad piesaistīt vadību, IT atbildīgo vai juridisku speciālistu. Programmatūras administrēšanas tiesības nav tas pats, kas pilnvaras pieņemt lēmumu par jaunu datu izmantošanu.
Vienojieties, kā uzņēmums pamana izmaiņas. Ja tiek sākta jauna reklāmas kampaņa, ieviesta videonovērošana vai nomainīts algu pakalpojuma sniedzējs, atbildīgajam jāsaņem informācija pirms attiecīgās apstrādes uzsākšanas. Izmaiņu pieteikumā jābūt pietiekamam aprakstam, lai novērtētu nolūku, datus, saņēmējus un riskus. Pretējā gadījumā pat labi uzturēta sistēma kļūs par pagājušā gada situācijas arhīvu.
Par katru svarīgo ierakstu saglabājiet avotu un pārskatīšanas iemeslu. Datu glabāšanas termiņu var pamatot konkrēts pienākums, līgumattiecību vajadzība vai cits izvērtēts nolūks; piegādātāja sagatavots noklusējums nav šāds pamatojums. Plašākais datu aizsardzības ceļvedis Latvijā palīdz novietot šo darbu kopējā atbilstības sistēmā. Programmas izvēlei jāseko skaidrībai par procesu, nevis otrādi.
Demonstrācijā pārbaudiet vienu pilnu pieprasījumu
Lūdziet parādīt, kā uzņēmums saņem cilvēka pieprasījumu par piekļuvi datiem, piešķir to atbildīgajam un savāc informāciju no vairākām sistēmām. Izmantojiet izdomātus personas datus. Pārbaudiet, vai iespējams atzīmēt identitātes pārbaudes nepieciešamību, dokumentēt pieņemto lēmumu un sagatavot atbildi, neatklājot citu personu datus. Skaista pieprasījuma forma neparāda, vai darbs būs izpildāms līdz galam.
Atbilstoši 12. pantam par veiktajām darbībām jāinformē bez nepamatotas kavēšanās un katrā ziņā viena mēneša laikā pēc pieprasījuma saņemšanas. Sarežģītības un pieprasījumu skaita dēļ šo termiņu vajadzības gadījumā var pagarināt vēl par diviem mēnešiem, bet par pagarinājumu un iemesliem jāinformē sākotnējā mēneša laikā. Ja uzņēmums nerīkojas, iemesli un informācija par sūdzību uzraudzības iestādē un tiesību aizsardzību tiesā jāpaziņo bez kavēšanās, ne vēlāk kā viena mēneša laikā.
Tāpēc datu subjektu pieprasījumu programmatūras izvēlē interesē ne tikai atgādinājums. Vajadzīga iespēja atšķirt saņemšanas datumu no iekšējā uzdevuma izveidošanas datuma, kontrolēt pāradresēšanu un saglabāt atbildes pierādījumu. Ja pakalpojuma sniedzējs piedāvā automatizētu atbildi, pārbaudiet, kurā brīdī cilvēks izvērtē pieprasījuma tvērumu un piemērojamos ierobežojumus. Automātiska datu dzēšana bez šāda izvērtējuma var radīt jaunu problēmu.
Līgumi un piegādātāju lomas
Ne katrs piegādātājs ir apstrādātājs. Ārpakalpojuma lomu nosaka faktiskā personas datu apstrāde un tas, kurš lemj par tās nolūkiem un līdzekļiem. Grāmatvedības, hostinga vai personāla rīka attiecības jāvērtē pēc konkrētā pakalpojuma. Programmai jāļauj nošķirt apstrādātāju no patstāvīga pārziņa un atzīmēt, kur jautājums vēl nav atrisināts. Vienāda līguma automātiska nosūtīšana visiem partneriem šo analīzi neaizstāj.
Ja pastāv pārziņa un apstrādātāja attiecības, 28. pants paredz saistošu līgumu vai citu Savienības vai dalībvalsts tiesību aktu; tam jābūt rakstiskam, tostarp elektroniskam. Jāaptver nepieciešamie norādījumi, drošība, palīdzība pārzinim un citas attiecīgās saistības. Pilnvarotajām personām jābūt uzņēmušāmies konfidencialitāti vai pakļautām piemērojamam likumiskam konfidencialitātes pienākumam. Praktisko saturu palīdz pārbaudīt 28. panta līguma ceļvedis.
Ja apstrādātājs piesaista citu apstrādātāju, jāievēro atļaujas nosacījumi un tam jāuzliek tās pašas attiecīgās datu aizsardzības saistības. Sākotnējais apstrādātājs paliek pilnībā atbildīgs pārzinim par šā otra apstrādātāja pienākumu izpildi. Izvēles laikā noskaidrojiet, kā saņemsiet paziņojumus par apakšapstrādātāju maiņu un kur glabāsiet lēmumu. Piegādātāju saraksts bez izmaiņu pārvaldības ātri zaudē praktisko vērtību.
Incidentu uzskaite nedrīkst sajaukt dažādus lēmumus
Programmai jāpalīdz atšķirt tehnisku incidentu no personas datu aizsardzības pārkāpuma. Ne katra sistēmas kļūme skar personas datus, bet kļūdaini nosūtīts pielikums var būt pārkāpums arī bez uzlaušanas. Pieprasiet vietu faktu, atklāšanas brīža, iespējamo seku un veikto pasākumu pierakstīšanai. Iekšējais vērtējums jāspēj papildināt, saglabājot iepriekš pieņemtā lēmuma kontekstu.
Pārzinim par pārkāpumu jāziņo uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tā kļūšanas zināma, ja vien maz ticams, ka tas radīs risku fizisku personu tiesībām un brīvībām. Ja paziņojums ir vēlāks, jāpamato kavējums. Jādokumentē visi personas datu aizsardzības pārkāpumi, arī tie, par kuriem iestādei nav jāziņo. Savukārt cilvēku informēšanai saskaņā ar 34. pantu ir atsevišķs augsta riska vērtējums un noteikti izņēmumi.
DVI pārkāpumu paziņošanas lapā ir norādīts pārziņu portāls un alternatīvi iesniegšanas veidi. Tos nedrīkst sajaukt ar datu subjekta sūdzības iesniegšanu. Iekšējā pārkāpumu pārvaldības procedūra un reģistrs nosaka, kurš izvērtē incidentu un kurš iesniedz paziņojumu. Programmatūras termiņa indikators nevar pats noteikt, kad uzņēmumam radās pietiekama pārliecība par pārkāpumu.
Drošība, piekļuve un datu atrašanās vieta
Mazā komandā bieži vienam cilvēkam ir vairākas lomas. Tas nenozīmē, ka ikvienam vajadzīga piekļuve darbinieku veselības informācijai, incidentu detaļām vai personu pieprasījumu pielikumiem. Demonstrācijā salīdziniet administratora, ikdienas lietotāja un ārējā konsultanta skatu. Noskaidrojiet, kā tiesības atsauc, kad sadarbība beidzas, un kā iespējams pārbaudīt nozīmīgas izmaiņas. Funkciju esamība piedāvājumā vēl neapliecina pareizu konfigurāciju.
Noskaidrojiet glabāšanas vietu, rezerves kopiju izvietojumu, atbalsta piekļuvi un iesaistītos apakšapstrādātājus. Serveris Eiropas Savienībā pats par sevi neizslēdz datu nosūtīšanu uz trešo valsti: nozīme var būt arī tam, kas un no kurienes piekļūst datiem. Ja šāda nosūtīšana notiek, jāvērtē VDAR V nodaļas pamats un vajadzīgie pasākumi. Nepietiek ar reklāmas apgalvojumu par “Eiropas datu centru”.
Pajautājiet arī par atjaunošanu pēc kļūdas. Reģistra eksports nav tas pats, kas pilnvērtīga rezerves kopija, un rezerves kopija nav tas pats, kas pārbaudāma atjaunošana. Vienojieties par uzņēmumam vajadzīgo pieejamību un atbalstu, ņemot vērā reālo darba organizāciju. Ne katram MVU vajadzīga vienāda sarežģītība, bet svarīgam pienākumam nedrīkst būt tikai viens cilvēks ar vienu paroli un nezināmu aizvietošanas kārtību.
Pārbaudiet ikdienas situāciju ar mazu komandu
Iedomāsimies uzņēmumu ar vienu biroja administratori, ārpakalpojuma grāmatvedi un vadītāju, kurš apstiprina būtiskus lēmumus. Administratore saņem klienta lūgumu labot adresi. Dati atrodas pasūtījumu sistēmā, rēķinu mapē un piegādes partnera ierakstā. Labs izmēģinājums parāda, kā viņa noskaidro kļūdas tvērumu, piesaista vajadzīgos cilvēkus un saglabā paveiktā pierādījumu. Nav jāpieņem, ka viena izmaiņa programmas kontaktu kartītē automātiski izlabo visas saistītās kopijas.
Pēc tam izmēģiniet šo pašu situāciju administratores atvaļinājuma laikā. Aizvietotājam jāredz nepieciešamais uzdevuma konteksts un termiņš, bet nav jāsaņem neierobežota piekļuve visiem uzņēmuma dokumentiem. Pārbaudiet, vai var mainīt atbildīgo, saglabājot iepriekšējās darbības, un vai izdarītās izmaiņas ir saprotamas arī vadītājam. Šādi atklājas atšķirība starp kopīgu darba procesu un vienam lietotājam ērtu piezīmju glabātuvi.
Atsevišķi pārbaudiet nepareizi izveidotu ierakstu. Piemēram, lietotājs piesaista klienta pieprasījumam cita klienta dokumentu. Noskaidrojiet, kā kļūdu labo, kas redz pielikumu un vai sistēma palīdz izprast notikušo. Neaprobežojieties ar jautājumu, vai ir dzēšanas poga. Praktiski svarīga ir iespēja ierobežot piekļuvi, atjaunot pareizo informāciju un noskaidrot, vai kļūdainais pielikums jau nosūtīts tālāk. Tas ir uzņēmuma darba scenārijs, nevis prasība ievietot izmēģinājumā īstu sensitīvu informāciju.
Datu pārcelšana ir atsevišķs ieviešanas darbs
Pirms veco tabulu importa pārbaudiet, kuri ieraksti ir aktuāli un kuri tikai atkārto agrāku versiju. Nesakārtotu saturu pārvietojot jaunā sistēmā, var iegūt iespaidīgu, bet neuzticamu pārskatu. Izvēlieties atbildīgo, kurš apstiprina sākotnējo saturu, un saglabājiet informāciju par neskaidrajiem jautājumiem. Nav nepieciešams katru neskaidrību atrisināt ar jaunu personas datu vākšanu; bieži jāprecizē procesa apraksts vai pakalpojuma līgums.
Vienojieties par lauku nozīmi pirms importa. Vienā tabulā ieraksts “atbildīgais” var apzīmēt procesa vadītāju, citā dokumenta autoru, bet jaunajā sistēmā tas var nozīmēt uzdevuma izpildītāju. Ja nozīmes sajauc, paziņojumi nonāk pie nepareizā cilvēka. Tāpat pārbaudiet datumu formātus, dokumentu saites un piekļuves tiesības. Pieņemšanas pārbaudē apskatiet arī izlases veidā izvēlētus importētus ierakstus, nevis tikai kopējo ierakstu skaitu.
Noslēgumā nosakiet, kura vide turpmāk ir autoritatīvais informācijas avots. Ja darbinieki vienlaikus turpina labot veco tabulu un jauno sistēmu, atšķirības ātri atjaunosies. Vecos materiālus glabājiet tikai pamatotajā apjomā un ar saprotamu statusu. Piegādātāja palīdzību šajā darbā aprakstiet precīzi: tehnisks imports nenozīmē juridisku satura pārbaudi. Šī robeža ļauj uzņēmumam saprast, kādi uzdevumi paliek paša komandai arī pēc apmaksātas ieviešanas.
Salīdziniet izmaksas par savu scenāriju
Cenu piedāvājumā norādiet lietotājus, juridiskās personas, nepieciešamos darba procesus un datu apjomu. Atsevišķi noskaidrojiet ieviešanas, datu pārcelšanas, apmācības, atbalsta un izstāšanās izmaksas. Šeit nav vienas pārbaudītas universālas mēneša cenas, kas derētu katram uzņēmumam. Programmatūras izmaksu izvērtējumā svarīgs ir salīdzināms pakalpojuma tvērums, nevis zemākā sākotnēji redzamā summa.
Lūdziet visiem izvēlētajiem piegādātājiem izpildīt vienu un to pašu darba scenāriju. Vienā piedāvājumā dokumentu pārskatīšana var būt konsultanta pakalpojums, citā tikai rediģējams lauks; šie nav savstarpēji aizvietojami solījumi. Risinājumu atlases pārskats un dokumentēts piegādātāju salīdzinājums palīdz strukturēt jautājumus, bet aktuālās iespējas un nosacījumi jāapstiprina konkrētā piedāvājumā.
Salīdziniet arī laiku, ko jūsu darbinieki pavadīs uzturēšanā. Ja katras izmaiņas dēļ jāpasūta maksas konsultācija vai dati jāievada vairākās vietās, zema abonēšanas maksa var būt maldinoša. Savukārt plaša funkcionalitāte pati par sevi nav ieguvums, ja komanda to nesaprot un nelieto. Pamatots pirkums ir tāds, kurā paredzamais darba uzlabojums ir saistīts ar konkrētu problēmu un pārbaudāmu rezultātu.
Pieņemšanas pārbaude un izstāšanās iespēja
Pirms pilnas ieviešanas pārbaudiet ierobežotu, reprezentatīvu darbību kopumu. Piemēram, izvēlieties klientu apkalpošanu, algu apstrādi un vienu ārpakalpojumu. Sagatavojiet izdomātu pieprasījumu, piegādātāja maiņu un incidenta ierakstu. Novērojiet, vai aizvietotājs spēj turpināt darbu bez sākotnējā lietotāja palīdzības. Tas pārbauda procesa saprotamību, nevis tikai pārdevēja demonstrēšanas prasmi.
Nosakiet pieņemšanas rezultātus pirms izmēģinājuma. Uzņēmumam jāvar iegūt savus ierakstus un saistītos dokumentus izmantojamā formātā, saprast neatrisinātos jautājumus un identificēt atbildīgos. Pārbaudiet eksportu arī ar citu rīku. Ja saņemat tikai skaistu pārskatu bez pielikumiem vai vēstures, izvērtējiet, vai ar to pietiks pārejai pie cita piegādātāja. Līguma beigu nosacījumi jāizprot pirms atkarības izveidošanās.
Ja programmas piegādātājs ir apstrādātājs, pēc pakalpojumu beigām pēc pārziņa izvēles dati jādzēš vai jāatdod un jādzēš esošās kopijas, ja vien Savienības vai dalībvalsts tiesības neprasa glabāšanu. Praktiski jānoskaidro arī rezerves kopiju apstrāde un piekļuves ierobežošana; nevajag izdomāt vienu tūlītējas tehniskas dzēšanas termiņu visām sistēmām. Saglabājiet vienošanos par pārejas palīdzību un pārbaudāmu procesa pabeigšanu.
Biežākie jautājumi
Vai Excel reģistrs mazam uzņēmumam ir aizliegts?
Nē. Būtisks ir atbilstošs saturs, piekļuves kontrole, aktualitāte un spēja informāciju atrast. Tabula var būt samērīga vienkāršam procesam, ja cilvēki to uztur. Pāreja uz citu rīku ir pamatota, kad rodas konkrētas problēmas ar versijām, sadarbību, termiņiem vai saistīto pierādījumu pieejamību. Nepilnīgs reģistrs ir jāuzlabo, nevis jāuzskata par automātiski sliktāku nekā nekāda uzskaite.
Vai sistēma ļauj strādāt bez datu aizsardzības speciālista?
Tā neatceļ piemērojamu 37. panta iecelšanas pienākumu. Ja šāda pienākuma nav, uzņēmums var organizēt koordinēšanu atbilstoši savai situācijai un nepieciešamības gadījumā saņemt ārēju palīdzību. Svarīgi nodalīt konsultāciju, operatīvu dokumentu uzturēšanu un neatkarīgu speciālista funkciju. Ne programmas licence, ne vispārīgs atbilstības sertifikāta attēls piegādātāja vietnē nepierāda, ka uzņēmuma lēmumi ir pareizi.
Vai programmatūra pasargā no DVI soda?
Nē. Tā var palīdzēt izpildīt pienākumus un parādīt veikto darbu, bet neapsola konkrētu uzraudzības rezultātu. DVI ceļvedis un publicēto sodu pārskats noder uzraudzības konteksta izpratnei; atsevišķu lietu iznākumu nevar pārvērst universālā tarifa prognozē. Izvēlieties rīku pēc tā, vai uzņēmums ar to spēj pieņemt pamatotus lēmumus, īstenot tos praksē un izskaidrot savas darbības.