Чи знаєте ви, як вести записи відповідно до RODO?

Ви маєте власний бізнес і усвідомлюєте, що вам необхідно дотримуватися чинного законодавства про захист даних? Регламент RODO, прийнятий Європейським парламентом та Радою Європейського Союзу, докорінно змінив існуючі стандарти у сфері обробки та зберігання інформації про споживачів. Кожен торговець повинен мати справу з низкою зобов'язань та підготовкою відповідної документації.

Нова документація RODO - права та можливості для покупців

Клієнт завжди повинен бути в центрі нашого бізнесу - ми створюємо пропозиції та продукти, які повністю відповідають його потребам, зосереджуємося на професійному обслуговуванні та адаптуємо маркетингові повідомлення до характеру нашої аудиторії. Так само і з RODO - регламент робить все можливе, щоб персональні дані всіх споживачів були максимально захищені і використовувалися тільки для суворих і чітко визначених цілей. До найважливіших прав споживачів, запроваджених RODO, належать

• доступ до інформації про те, де зберігаються персональні дані;
• Право бути забутим - покупець може попросити компанію повністю видалити його дані з бази даних;
• перенесення ваших даних між постачальниками послуг;
• Право на обмеження обробки даних;
• можливість не давати згоду на профілювання, про що клієнт повинен бути поінформований;
• розширення каталогу конфіденційної інформації за рахунок біометричних та генетичних даних.

Документування обробки персональних даних RODO

Ведення документації щодо захисту даних є обов'язком кожного бізнесу. Одне з її основних завдань - донести до працівників інформацію про те, як вони повинні поводитися із зібраними даними, щоб не порушувати права споживачів. Але як досягти цієї мети? Що таке документація щодо захисту даних? Чим ми повинні довести відповідність регламенту RODO?

• впровадження необхідних політик і процедур;
• ведення необхідних записів та реєстрів;
• використання відповідних застережень у формах, контрактах та на веб-сайті компанії (або в інших місцях, де збираються персональні дані);
• Проведення регулярного аналізу відповідності, разом з оцінкою впливу на захист даних (DPIA) та аналізом відповідності.

Важливе зауваження: Положення RODO не передбачають єдиної, обов'язкової політики захисту даних, а це означає, що немає суворих вимог до внутрішньої документації. Тому кожен власник бізнесу може адаптувати документи до типу свого бізнесу. RODO лише зобов'язує до належної ретельності при обробці всіх даних і необхідності продемонструвати відповідність операцій з обробки інформації про покупця положенням, що містяться в RODO.

Документування обробки персональних даних повинні включати в себе:

• встановлену процедуру реагування на порушення захисту даних;
• оцінка ризиків захисту даних;
• договори про доручення зберігання інформації про споживачів;
• Правила виконання зобов'язань, пов'язаних з RODO.

Розробляючи документацію, яку вимагає RODO, ми можемо поставити собі наступні питання:

• як найкраще донести інформацію про витоки даних до працівників?
• Кому або куди я можу повідомити про можливе порушення?
• Як має поводитися особа, яка виявила порушення? Чи повинна вона повідомити про це власника компанії?
• що ми будемо робити зі справою далі?
• які заходи ми вживатимемо для запобігання подібним інцидентам у майбутньому?

Документація щодо обробки персональних даних в рамках RODO - що потрібно підготувати?

Хоча в регламенті RODO ми не знайдемо конкретного списку з переліком документів, які потрібно підготувати, з нього можна зробити висновок, які саме листи будуть потрібні.

• політика щодо персональних даних - сюди ми вносимо всі процедури, пов'язані з RODO;
• правила зберігання даних - ми визначаємо, як і коли ми видаляємо непотрібну інформацію про споживача;
• Принципи конфіденційності за задумом і конфіденційності за замовчуванням - документ повинен пояснювати, як ми забезпечуємо належний рівень безпеки даних, а також дотримання законів про конфіденційність;
• Процедура авторизації - стосується осіб, які отримують дозволи на обробку персональних даних;
• організаційна структура захисту даних - хто відповідає за функціонування положень RODO в компанії та які обов'язки має ця особа;
• Процедура навчання - як компанія навчає своїх співробітників, коли мова йде про обробку персональних даних;
• Оцінка впливу на захист даних (DPIA) - коли і як ми будемо оцінювати вплив на захист даних;
• точний опис заходів безпеки - цей документ повинен охоплювати всі заходи безпеки, які ми застосовуємо для захисту даних з технічної, організаційної та інформаційної точки зору;
• Процедура внутрішнього аудиту - які особи будуть відповідати за систему захисту даних компанії;
• інформаційні та освітні матеріали для співробітників - як ми будемо підвищувати обізнаність співробітників про правильний захист персональних даних.