Asmens duomenys įmonėse tvarkomi daugelyje kasdienių procesų – nuo darbuotojų atrankos ir klientų aptarnavimo iki vaizdo stebėjimo, tiesioginės rinkodaros ar naujų IT sistemų diegimo. Ilgainiui duomenų tvarkymo praktika gali pasikeisti, nors ją aprašantys dokumentai lieka neatnaujinti. Bendrojo duomenų apsaugos reglamento (BDAR) auditas padeda nustatyti tokius neatitikimus, įvertinti jų keliamą riziką ir parengti konkrečius veiksmus jai sumažinti. Vis dėlto svarbu suprasti, kad auditas nėra vien dokumentų patikrinimas ar formali vienkartinė procedūra.
Kada verta atlikti BDAR auditą?
Bendra pareiga visoms įmonėms nustatytu periodiškumu atlikti būtent BDAR auditą teisės aktuose nėra įtvirtinta. Tačiau Bendrasis duomenų apsaugos reglamentas grindžiamas atskaitomybės principu: įmonė turi ne tik laikytis asmens duomenų apsaugos reikalavimų, bet ir gebėti tai įrodyti. Dėl šios priežasties auditas yra vienas iš praktinių būdų patikrinti, ar faktiniai procesai atitinka įmonės dokumentus ir taikomus reikalavimus.
Auditą tikslinga atlikti prieš pradedant naują veiklą, kurioje bus tvarkomi asmens duomenys, arba įdiegus naują personalo, klientų valdymo, stebėjimo ar dirbtinio intelekto sistemą. Jis taip pat naudingas po įmonių susijungimo, veiklos plėtros į kitas rinkas, didesnio duomenų saugumo incidento, gauto skundo ar pasikeitus paslaugų teikėjams. Periodinė peržiūra aktuali ir tada, kai ankstesnis vertinimas atliktas prieš kelerius metus, o įmonėje per tą laiką atsirado naujų duomenų srautų, darbuotojų ar technologinių sprendimų.
Ką apima BDAR auditas?
Auditas paprastai pradedamas nuo įmonėje tvarkomų asmens duomenų inventorizacijos. Nustatoma, kokie darbuotojų, klientų, tiekėjų ir kitų asmenų duomenys renkami, iš kur jie gaunami, kokiais tikslais naudojami, kam perduodami, kur saugomi ir kas gali juos pasiekti. Taip pat tikrinami tvarkymo teisiniai pagrindai, duomenų saugojimo terminai, perdavimas už Europos ekonominės erdvės ribų ir santykiai su duomenų tvarkytojais.
Kitas etapas – turimų dokumentų ir praktinių procesų peržiūra. Gali būti vertinami duomenų tvarkymo veiklos įrašai, privatumo pranešimai, sutikimų formos, sutartys su paslaugų teikėjais, darbuotojams skirtos taisyklės, duomenų subjektų prašymų nagrinėjimo bei saugumo pažeidimų valdymo tvarka. Audito metu taip pat tikrinama, ar įmonė turi tinkamas technines ir organizacines saugumo priemones, ar darbuotojų prieigos nėra platesnės, nei būtina, ir ar duomenys nėra saugomi ilgiau, nei reikia. Praktikoje auditas gali būti atliekamas apklausiant už atskirus procesus atsakingus darbuotojus, nes vien dokumentai ne visada parodo, kaip duomenys iš tiesų naudojami.
Koks turėtų būti audito rezultatas?
Kokybiško audito rezultatas neturėtų apsiriboti bendru neatitikimų sąrašu. Įmonei turėtų būti pateiktos išvados, rizikų prioritetai ir aiškus rekomendacijų planas, kuriame nurodoma, ką reikia ištaisyti pirmiausia, kas atsakingas už konkrečius darbus ir per kokį terminą jie turėtų būti atlikti. Atsižvelgiant į nustatytas spragas, gali tekti atnaujinti bendrovės dokumentus, tokius kaip privatumo pranešimai, duomenų tvarkymo veiklos įrašai ar sutartys, koreguoti saugojimo terminus, prieigos teises ar apskritai atnaujinti vidines procedūras.
Auditas taip pat turėtų padėti nustatyti, ar įmonei privaloma paskirti duomenų apsaugos pareigūną ir ar dėl konkrečių didelę riziką galinčių kelti duomenų tvarkymo operacijų reikia atlikti poveikio duomenų apsaugai vertinimą. Bendrasis auditas ir poveikio vertinimas nėra tas pats: poveikio vertinimas atliekamas konkrečioms operacijoms, kurios gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms. Kai reikia nepriklausomai įvertinti teisines rizikas ir parengti jų valdymo priemones, galima kreiptis į advokatų kontorą „Motieka ir Audzevičius“, kurios duomenų apsaugos advokatai gali padėti nustatyti taikomus reikalavimus ir pasirengti juos įgyvendinti.
BDAR atitikties užtikrinimas neturėtų baigtis tą dieną, kai pateikiama audito ataskaita. Didžiausią vertę auditas sukuria tada, kai jo išvados pritaikomos kasdienėje veikloje, o nauji procesai ir technologijos pradedami vertinti dar prieš renkant asmens duomenis. Taip duomenų apsauga tampa ne pavėluota reakcija į problemą, bet vienu iš kriterijų priimant verslo sprendimus.
