V veliko slovenskih podjetjih se je varstvo osebnih podatkov ustavilo leta, ko je nekdo na spletno stran prilepil politiko zasebnosti in v predal vložil podpisano izjavo o zaupnosti. GDPR in ZVOP-2 pa od upravljavca pričakujeta več: da ve, katere podatke obdeluje in zakaj, da to zapiše v evidenco dejavnosti obdelave, da ima z zunanjimi izvajalci sklenjene pogodbe o obdelavi in da podatke dejansko varuje z ustreznimi tehničnimi in organizacijskimi ukrepi. Kako dobro je to urejeno, se navadno pokaže v neprijetnem trenutku. Vzemimo zobozdravstveno ordinacijo v Mariboru: nekdanja pacientka zahteva kopijo vseh podatkov o sebi, sestra pomotoma pošlje izvide napačnemu naslovniku, ali pa Informacijski pooblaščenec po prijavi zaprosi za pojasnila. Takrat ni pomembno, kako lepo je napisano obvestilo na spletni strani, ampak ali znate pokazati, kje so podatki in kdo jih vidi. Mi prevzamemo tehnični in organizacijski del dela, pravna presoja pa ostane pri vašem odvetniku ali pooblaščeni osebi za varstvo podatkov (DPO). Apply ni odvetniška pisarna, zato končnih besedil obvestil in pogodb ne podpisujemo mi, pripravimo pa vse, kar pravnik potrebuje, da ne dela na pamet.
Seznam za novice spletne trgovine in kartoteka ambulante ne potrebujeta enake zaščite. Podatki o zdravju sodijo med posebne vrste osebnih podatkov in letvico dvignejo. Obseg zato prilagodimo vrsti in količini podatkov, ne ponujamo vsem enakega paketa.
Gremo po sistemih, kjer podatki dejansko živijo: Minimax ali Pantheon, program za plače, CRM, naročanje pacientov, SharePoint in OneDrive, skupni diski, poštni predali in pozabljene Excelove tabele na prenosnikih. Iz tega nastanejo vnosi za evidenco: namen, kategorije podatkov, kdo ima dostop, kje so shranjeni in koliko časa.
Preverimo obrazce na spletni strani, pasico za piškotke, prijavo na novice in naročanje. Katere podatke zbirajo, ali je privolitev res ločena in kje se hrani dokaz o njej? Ugotovitve pošljemo vašemu pravniku, da se obvestilo in sistem ne razhajata.
Računovodski servis, ponudnik plač, razvijalec programske opreme, dostavna služba, ponudnik e-pošte: popišemo, kdo ima dostop do vaših podatkov in s kakšnim računom. Nepotrebne dostope zapremo, za pogodbe o obdelavi osebnih podatkov pa pripravimo opis tehničnih ukrepov, ki ga pravnik vstavi v prilogo.
Dostopi po vlogah prek skupin v Entra ID ali Google Workspace, večfaktorska prijava, šifriranje diskov, revizijska sled v Microsoft 365 in na datotečnem strežniku. Vsak ukrep zapišemo z datumom in odgovorno osebo.
Kadar obdelava pomeni večje tveganje, na primer video nadzor, sledenje vozil ali obsežna obdelava zdravstvenih podatkov, pripravimo tehnični del ocene učinka: tokove podatkov, tveganja in ukrepe, ki jih zmanjšajo.
Roki iz vaše politike hrambe dobijo pravila v e-pošti, dokumentnem sistemu in varnostnih kopijah, da se podatki po izteku res izbrišejo in da to lahko dokažete.
Ena stran za prve ure: kdo oceni dogodek, katere dnevnike je treba takoj zavarovati, katere podatke potrebuje oseba, ki pripravi obvestilo Informacijskemu pooblaščencu, in kako obvestite prizadete posameznike.
Začnemo s koraki, ki z malo dela odpravijo veliko tveganja. Večje spremembe pridejo na vrsto, ko so temelji urejeni.
Videoklic z osebo, ki pri vas skrbi za varstvo podatkov, in pregled okolja na daljavo. Dobite tabelo sistemov z osebnimi podatki in oceno, kako je vsak danes zaščiten.
Odprti računi nekdanjih zaposlenih, skupne prijave in prijave brez drugega faktorja se zaprejo v prvih dneh. Strošek je majhen, učinek takojšen.
Šifriranje prenosnikov, revizijska sled, pravice po vlogah in omejitve zunanjega deljenja. Uvajamo jih po skupinah, da nihče zjutraj ne obstane pred zaklenjeno mapo.
Prejmete opis vseh ukrepov z datumi in odgovornimi osebami. Neposredno ga uporabite v evidenci dejavnosti obdelave, pri pogodbah z obdelovalci in ob morebitnem nadzoru.
Nadzornik vas ne bo vprašal, ali imate protivirusni program, ampak ali lahko pokažete, kaj ste naredili. Po prijavi ali kršitvi štejejo dokazi: kdo je imel dostop, od kdaj, kateri zapis to potrjuje in kdaj je bil dostop nazadnje pregledan. Pravilna nastavitev brez zapisa je skoraj tako dobra kot nobena, zato vsak ukrep zabeležimo z datumom.
Odvisno od dejavnosti in obsega obdelave. Ambulanta, ki obsežno obdeluje zdravstvene podatke, jo bo verjetno potrebovala, majhen arhitekturni biro pogosto ne. To presodi vaš pravni svetovalec. Če DPO imate ali ga najamete zunaj, z njim sodelujemo neposredno in mu pripravimo tehnične podatke, ki jih potrebuje.
Pri seznamu sistemov iz evidence: CRM, računovodski program, poštni predali, skupne mape in varnostne kopije. Iskanje vsebine v Microsoft 365 v nekaj minutah najde sporočila in dokumente z imenom ali e-naslovom posameznika. Na zahtevo morate praviloma odgovoriti v enem mesecu, odgovor pa naj pred pošiljanjem pregleda pravnik.
Takoj pišite na support@apply.si, stranke s pogodbo na helpme@apply.si. Poskusimo umakniti sporočilo, zavarujemo dnevnike in ugotovimo, kateri podatki so bili razkriti. Na tej podlagi pravni svetovalec odloči, ali je treba obvestiti Informacijskega pooblaščenca. Rok 72 ur teče od trenutka, ko ste za kršitev izvedeli.
To je prenos v tretjo državo in zanj veljajo posebni pogoji, na primer standardne pogodbene klavzule. Katera podlaga je ustrezna, presodi pravnik. Mi ugotovimo, v katerih podatkovnih centrih dejansko stojijo vaši poštni predali, varnostne kopije in aplikacije, in to zapišemo tako, da gre neposredno v evidenco.
Ne. Besedilo napiše pravnik, mi pa preverimo, ali sistem dela tako, kot piše v obvestilu. Če obvestilo pravi, da podatke hranite dve leti, pogledamo, ali v e-pošti in CRM obstaja pravilo, ki ta rok uveljavi. Neskladja vam pošljemo v kratkem poročilu.
Na kratko opišite, v katerih sistemih hranite podatke strank in zaposlenih. Poslali vam bomo prvo oceno in seznam prioritet za začetek.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
