Večina podjetij ima obvestilo o varstvu osebnih podatkov na spletni strani, s spleta prilagojen pravilnik o hrambi in morda evidenco dejavnosti obdelave v Excelu. Težava je, da se ti dokumenti pogosto ne ujemajo s tem, kar se dogaja v sistemih. Pravilnik pravi »izbrišemo po dveh letih«, stare ponudbe s kontakti strank pa že deset let ležijo v skupni mapi. Ob kršitvi varnosti morate Informacijskemu pooblaščencu praviloma v 72 urah sporočiti, kateri podatki, koliko oseb in od kdaj so prizadeti. Če nihče ne ve, kaj je v resnici v poštnih predalih, na omrežnih pogonih in v panožnem programu, ta čas mine zelo hitro. Apply ni odvetniška pisarna in ne daje pravnih mnenj, ta presoja ostane pri vašem pravniku. Naše delo je, da sistemi res počnejo to, kar piše v vaših dokumentih, in da je to mogoče dokazati.
Delitev je preprosta. Pravne odločitve, kot so pravna podlaga obdelave, roki hrambe, vsebina obvestila posameznikom in privolitve, sprejmete vi s pravnikom ali pooblaščeno osebo za varstvo podatkov. Vse, kar je treba nastaviti na računalniku, v Microsoft 365, Google Workspace ali na strežniku, Apply pregleda in uvede.
Osebne podatke iščemo v Minimaxu, Pantheonu ali Metakocki, v CRM, v poštnih predalih Outlook in Gmail, v skupnih mapah, spletnih obrazcih, skrbniškem delu spletne trgovine, povezavi z dostavno službo in v Excelovih tabelah s plačami, ki gredo računovodji. Ugotovitve napolnijo vašo evidenco dejavnosti obdelave in jo pogosto tudi popravijo.
Besedilo napiše vaš pravnik, mi poskrbimo, da je vidno tam, kjer mora biti. Povezava na obvestilo pri kontaktnih in registracijskih obrazcih, ločeno in vnaprej neoznačeno polje za privolitev v neposredno trženje, pasica za piškotke, ki pred privolitvijo res ne naloži analitike, kot zahteva ZEKom-2. Kdo je privolil, kdaj in v katero različico besedila, se beleži in je izvozljivo.
Popišemo vse, ki s podatki delajo v vašem imenu: računovodski servis, program za plače, ponudnika gostovanja, orodje za e-novice, ponudnika izmenjave e-računov, dostavne službe in tudi Apply. Za vsakega zapišemo, katere podatke obdeluje in v kateri državi jih hrani. Tako pravnik vidi, katere pogodbe o obdelavi mora pregledati in kje nastopi prenos zunaj EU.
Roke iz pravilnika prenesemo v sisteme kot pravila: oznake hrambe v poštnih predalih, samodejni izbris starih prijav na delovna mesta, odstranjevanje izteklih kopij iz varnostnega kopiranja, opomnik in predloga zapisnika za redno brisanje. Zapisi, ki jih morate hraniti po davčnih predpisih, se ne izbrišejo, ampak se jim omeji dostop. Kateri rok velja, določita pravnik in računovodja.
Večfaktorska prijava na vseh računih, prenosniki, šifrirani prek Intune, pravice po vlogah v Entra ID namesto skupnega računa »admin«, oznake občutljivosti in pravila DLP v Microsoft 365, dnevniki dostopov, hranjeni toliko časa, kot določa vaš pravilnik. Apply dela po načelih ISO 27001 in si certifikata ne pripisuje.
Potek, ki pokaže, kdo koga obvesti in s katerimi podatki, ko gre kaj narobe, da se odločitev o obvestilu Informacijskemu pooblaščencu sprejme pred iztekom 72 ur. Poleg tega pripravimo tehnično pot, kako podatke posameznika najti v vseh sistemih, jih izvoziti ali izbrisati, da na zahtevo za dostop ali izbris odgovorite v roku.
Namesto večmesečnih presoj štirje koraki. Najprej nujno in poceni: zaprtje računa nekdanjega zaposlenega, ki je še vedno aktiven, pogosto koristi več kot nakup novega orodja. Po vsakem koraku dobite kratek povzetek, kaj je narejeno in kaj sledi.
Videoklic z osebo, ki pri vas skrbi za varstvo podatkov, in pravice samo za branje v Microsoft 365 ali Google Workspace, na strežnikih in napravah. V tej fazi ne spremenimo nobene nastavitve, samo gledamo.
Kateri podatki so kje, kdo jih obdeluje v vašem imenu, kaj manjka: vsaka točka s prioriteto in oceno dela v urah. Pravnik ali pooblaščena oseba lahko razdelke neposredno prenese v evidenco dejavnosti obdelave.
Večfaktorska prijava, računi brez lastnika in javne povezave za deljenje se zaprejo v prvih dneh. Šifriranje, oznake, DLP in pravila brisanja sledijo po določenih datumih, zunaj delovnega časa, če bi se storitev za kratek čas prekinila.
Nov program, nov obdelovalec ali odhod nekoga s širokimi pravicami so poleg letnega pregleda razlog za posodobitev evidence. V ta korak lahko dodate tudi enourno izobraževanje za ekipo prek videoklica. Posnetki zaslona nastavitev se hranijo kot dokaz.
Vzemimo spletno trgovino z otroško opremo iz Celja, ki prodaja na svoji strani in prek Ceneje.si. Pred meseci so za rešitev težave z dostavo seznam naročil, torej imena, naslove in telefonske številke, delili v Google Drive z nastavitvijo »vsak, ki ima povezavo« in nanj pozabili. Pregled to povezavo najde prvi dan, zapreti jo je delo petih minut. Iz dnevnikov dostopov se ugotovi tudi, kdo jo je odprl. Ali gre za kršitev, ki jo je treba sporočiti Informacijskemu pooblaščencu, odločite kot upravljavec s svojim pravnikom, a tokrat na podlagi zapisov, ne ugibanja.
Ne. Na kateri pravni podlagi obdelujete, kaj pove obvestilo posameznikom in ali je treba kršitev sporočiti, so pravna vprašanja, Apply pa je tehnično podjetje. Tesno pa sodelujemo z vašim pravnikom ali pooblaščeno osebo (DPO): pripravimo dejanski popis, odgovorimo na tehnična vprašanja in sprejete odločitve uvedemo v sisteme. Ali morate DPO sploh imenovati, je odvisno od vrste in obsega obdelave in to presodi pravnik.
GDPR evidenco zahteva od upravljavcev in obdelovalcev, izjema za manjša podjetja pa je ozka in velja le pod določenimi pogoji. Ali velja za vas, presodi pravnik. V praksi jo vodi skoraj vsako podjetje, ki redno obdeluje podatke zaposlenih in strank. Ne glede na odgovor dobite iz našega popisa tehnične podatke za evidenco: vrste podatkov, sisteme, prejemnike, lokacije hrambe in ukrepe.
Da. Podjetje, ki upravlja sisteme na daljavo, ima dostop do osebnih podatkov, zato je Apply praviloma obdelovalec. Pogodba lahko temelji na vaši ali naši predlogi in ureja obseg dostopa, podobdelovalce, varnostne ukrepe in v kolikšnem času vas Apply obvesti o incidentu. Ker ima Apply LLP sedež zunaj EU, pogodba obravnava tudi prenos v tretjo državo, na primer s standardnimi pogodbenimi klavzulami. Pot izbere vaš pravnik.
Ocena učinka (DPIA) je potrebna, kadar obdelava verjetno pomeni visoko tveganje za posameznike, na primer pri obsežni obdelavi zdravstvenih podatkov v zasebni ambulanti ali pri sistematičnem spremljanju. ZVOP-2 dodatno ureja nekatera področja, kot je videonadzor. Ali je ocena potrebna, odloči upravljavec s pravnikom. Apply zanjo pripravi tehnični del: opis sistemov in podatkovnih tokov, obstoječe ukrepe in predloge za zmanjšanje tveganja.
Takoj pišite na support@apply.si, če imate pogodbo, pa na helpme@apply.si. Tehnično je v Microsoft 365 mogoče poskusiti preklicati sporočilo, ukiniti povezave za deljenje, po potrebi zakleniti račun in iz dnevnikov ugotoviti, kdo je kaj odprl in kdaj. Odločitev o obvestilu Informacijskemu pooblaščencu in prizadetim posameznikom sprejme upravljavec s svojim pravnikom, a s temi podatki v rokah. Rok 72 ur teče od trenutka, ko za kršitev izveste.
S postopkom, pripravljenim, še preden zahteva pride: kje pogledati (ERP, CRM, e-pošta, spletna trgovina, orodje za e-novice, varnostne kopije), kdo opravi delo in kako se zabeleži. Računi in drugi zapisi, ki jih morate hraniti po davčnih predpisih, se ne izbrišejo, ampak se jim omeji dostop. Podrobnosti uskladita pravnik in računovodja. Apply postopek zapiše in ga od začetka do konca preizkusi na izmišljeni zahtevi.
Na začetku skoraj nikoli. Microsoft 365 Business Premium že vključuje Intune, pogojni dostop, oznake občutljivosti in DLP, veliko podjetij pa to plačuje, ne da bi uporabljalo. Pregled opravimo po 50 € na uro + DDV z obsegom, dogovorjenim vnaprej, ali v okviru paketa Start, Business ali Premium. Če je nakup res potreben, ga utemeljimo s konkretno ugotovitvijo.
Opišite, katere podatke obdelujete, s katerimi programi in kdo se danes ukvarja s tem. Poslali vam bomo predlog pregleda in seznam vprašanj, ki jih je dobro vnaprej razjasniti s pravnikom.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
