Nors Bendrasis duomenų apsaugos reglamentas galioja jau ne vienerius metus, daugelis Lietuvos įmonių jo reikalavimus vis dar vykdo tik iš dalies. Vieni mano, kad reglamentas taikomas tik didelėms korporacijoms, kiti kadaise parengė dokumentus ir daugiau prie jų negrįžo. Abu požiūriai pavojingi – priežiūros institucijų praktika rodo, kad baudos skiriamos ir mažoms įmonėms, o pasenusi dokumentacija patikrinimo metu vertės neturi. Šiame straipsnyje aptarsime dažniausias klaidas ir praktinius būdus jų išvengti.

Kam iš tiesų taikomas reglamentas?

BDAR taikomas kiekvienai organizacijai, kuri tvarko asmens duomenis – nesvarbu, ar tai tarptautinė korporacija, ar dviejų darbuotojų mažoji bendrija. Jei turite klientų sąrašą, darbuotojų bylas, naujienlaiškio prenumeratorius ar vaizdo stebėjimo kameras – jūs tvarkote asmens duomenis ir reglamentas jums galioja.

Skiriasi tik reikalavimų apimtis: kuo daugiau ir kuo jautresnių duomenų tvarkote, tuo griežtesnės pareigos jums tenka.

Klaida nr. 1: sutikimas renkamas ten, kur jo nereikia

Daugelis įmonių klaidingai mano, kad kiekvienam duomenų tvarkymo veiksmui būtinas sutikimas. Iš tikrųjų sutikimas yra tik vienas iš šešių teisėto tvarkymo pagrindų. Darbuotojų duomenys tvarkomi sutarties ir teisės aktų pagrindu, klientų duomenys – sutarties vykdymo pagrindu, o buhalteriniai dokumentai saugomi dėl teisinės prievolės.

Kodėl tai svarbu? Nes sutikimą asmuo gali bet kada atšaukti. Jei visą duomenų tvarkymą grindžiate sutikimu, vienas atšaukimas gali sukelti teisinį chaosą.

Klaida nr. 2: renkama daugiau duomenų, nei reikia

Duomenų mažinimo principas – vienas iš esminių reglamento reikalavimų. Praktikoje tai reiškia paprastą taisyklę: rinkite tik tuos duomenis, kurie būtini konkrečiam tikslui.

Tipiniai pažeidimai:

  • registracijos formose prašoma asmens kodo, nors jo nereikia,

  • kandidatų gyvenimo aprašymai saugomi metų metus be jokio pagrindo,

  • naujienlaiškio prenumeratai prašoma telefono numerio ir adreso,

  • vaizdo stebėjimas apima erdves, kurių stebėti nebūtina.

Klaida nr. 3: nėra aiškių duomenų saugojimo terminų

Duomenys negali būti saugomi „amžinai, nes gal prireiks“. Kiekvienai duomenų kategorijai turi būti nustatytas saugojimo terminas ir procedūra, pagal kurią pasibaigus terminui duomenys sunaikinami arba nuasmeninami.

Praktiškai naudinga susidaryti paprastą lentelę: kokius duomenis turime, kokiu tikslu, kokiu pagrindu, kiek laiko saugome ir kas atsakingas už sunaikinimą. Toks duomenų tvarkymo veiklos įrašas daugeliu atvejų yra ir privalomas reglamento reikalavimas.

Klaida nr. 4: darbuotojai nežino, kaip elgtis

Didžioji dalis duomenų saugumo pažeidimų įvyksta ne dėl įsilaužimų, o dėl žmogiškų klaidų: laiškas išsiunčiamas ne tam gavėjui, dokumentai paliekami ant stalo, slaptažodžiai užrašomi ant lapelių. Geriausia dokumentacija nepadės, jei darbuotojai jos neišmano.

Sprendimas paprastas – reguliarūs, trumpi ir praktiški mokymai. Ne kartą per penkerius metus, o bent kartą per metus, su konkrečiais pavyzdžiais iš įmonės kasdienybės.

Klaida nr. 5: nepasiruošta duomenų saugumo pažeidimui

Reglamentas reikalauja apie pavojingą pažeidimą pranešti priežiūros institucijai per 72 valandas. Tai labai trumpas laikas – per jį reikia suvokti, kas įvyko, įvertinti riziką, sustabdyti pažeidimą ir parengti pranešimą.

Įmonės, kurios neturi iš anksto parengto veiksmų plano, šį terminą praleidžia arba pateikia netikslią informaciją. Abu variantai didina atsakomybę. Veiksmų planas, atsakingų asmenų sąrašas ir pranešimo šablonas turi būti parengti dar prieš įvykstant incidentui.

Klaida nr. 6: pamirštami duomenų tvarkytojai

Jei naudojatės buhalterinės apskaitos paslaugomis, debesijos sprendimais, rinkodaros platformomis ar IT priežiūros paslaugomis – šie partneriai tvarko jūsų klientų ir darbuotojų duomenis jūsų vardu. Su kiekvienu iš jų privaloma sudaryti duomenų tvarkymo sutartį, apibrėžiančią atsakomybes ir saugumo reikalavimus.

Patikrinimo metu tai vienas pirmųjų dalykų, kurio klausia priežiūros institucija.

Nuo ko pradėti, jei atitiktis apleista?

Jei skaitydami atpažinote savo įmonę, nepanikuokite – situaciją galima sutvarkyti nuosekliai:

  • atlikite duomenų auditą – išsiaiškinkite, kokius duomenis, kur ir kodėl tvarkote,

  • sutvarkykite teisėto tvarkymo pagrindus ir saugojimo terminus,

  • atnaujinkite privatumo pranešimus, kad jie atitiktų realybę,

  • sudarykite sutartis su duomenų tvarkytojais,

  • apmokykite darbuotojus ir parenkite incidentų valdymo planą.

Sudėtingesniais atvejais – kai tvarkomi jautrūs duomenys arba veikla susijusi su sistemingu asmenų stebėjimu – verta pasitelkti duomenų apsaugos specialistą, kuris padės nustatyti prioritetus ir išvengti brangių klaidų.

Apibendrinimas

Reglamento atitiktis nėra vienkartinis projektas – tai nuolatinis procesas, kuris turi keistis kartu su įmonės veikla. Didžiausios rizikos kyla ne dėl piktavališkumo, o dėl apleistų procesų ir neinformuotų darbuotojų. Nuoseklus požiūris į duomenų apsaugą ne tik saugo nuo baudų, bet ir stiprina klientų pasitikėjimą – o tai vertybė, kurios nenupirksite jokia reklama.