Šiuolaikiniame skaitmeniniame pasaulyje asmens duomenys tapo vienu vertingiausių resursų, todėl jų apsauga nebėra tik techninis IT skyriaus rūpestis, o strateginis verslo ir įstaigų veiklos pagrindas. Įsigaliojus Bendrajam duomenų apsaugos reglamentui (BDAR) bei jį papildančiam Asmens duomenų teisinės apsaugos įstatymui, organizacijos susidūrė su būtinybe iš esmės peržiūrėti savo veiklos procesus. Tai nėra vienkartinis formalumas – tai nuolatinis įsipareigojimas užtikrinti privatumą, skaidrumą ir duomenų saugumą. Verslo įmonėms ir viešojo sektoriaus įstaigoms šie reikalavimai reiškia būtinybę atsisakyti pasenusių duomenų rinkimo įpročių ir įdiegti „privatumo projektuojant” principą. Kyla klausimas, kas konkrečiai turi keistis kasdienėje veikloje ir kaip išvengti didžiulių baudų bei reputacijos nuostolių? Šiame straipsnyje aptarsime esminius pokyčius, kuriuos privalo įgyvendinti kiekviena save gerbianti organizacija.
Esminiai pokyčiai duomenų tvarkymo kultūroje
Pirmasis ir svarbiausias pokytis, kurį turi priimti vadovai ir darbuotojai, yra mentaliteto transformacija. Duomenų apsauga nebėra „tik dar vienas dokumentas stalčiuje”. Tai privalo tapti organizacijos kultūros dalimi. Verslas privalo suprasti, kad renka duomenis ne tam, kad turėtų „viską ateičiai”, o tik tiek, kiek būtina konkrečiam tikslui pasiekti. Tai vadinama duomenų kiekio mažinimo principu.
Teisėtas pagrindas tvarkyti duomenis
Kiekvienas asmens duomenų tvarkymo veiksmas privalo turėti aiškų teisinį pagrindą. Anksčiau dažnai buvo remiamasi „numanomu sutikimu”, tačiau šiandien tai yra griežtai draudžiama. Organizacijos turi pasirinkti vieną iš šešių BDAR numatytų pagrindų:
- Duomenų subjekto sutikimas – jis turi būti laisvanoriškas, konkretus, informuotas ir nedviprasmiškas.
- Sutarties vykdymas – kai duomenys būtini sutarčiai sudaryti ar vykdyti.
- Teisinė prievolė – kai duomenis tvarkyti įpareigoja įstatymai.
- Gyvybinių interesų apsauga – itin retais atvejais.
- Viešojo intereso vykdymas – dažniausiai aktualu valstybinėms įstaigoms.
- Teisėtas interesas – viena iš sudėtingiausių kategorijų, reikalaujanti atlikti balansavimo testą.
Skaidrumo principas ir informacijos pateikimas
Kiekviena organizacija privalo užtikrinti, kad asmenys, kurių duomenis ji tvarko, būtų aiškiai informuoti. Tai reiškia, kad privatumo pranešimai (angl. privacy notices) negali būti paslėpti ilguose „Sąlygų ir taisyklių” dokumentuose. Informacija turi būti pateikiama lengvai suprantama kalba, nurodant, kodėl renkami duomenys, kiek laiko jie bus saugomi, ar bus perduodami trečiosioms šalims ir kaip žmogus gali pasinaudoti savo teisėmis.
Verslo įmonės, ypač el. prekybos sektoriuje, privalo peržiūrėti savo registracijos formas. Prieš pradedant rinkti duomenis, vartotojas turi būti supažindintas su privatumo politika. Be to, sutikimo varnelės negali būti iš anksto pažymėtos – tai privalo būti aktyvus veiksmas.
Techninės ir organizacinės saugumo priemonės
Įstatymas įpareigoja taikyti tinkamas technines priemones, kurios apsaugotų duomenis nuo neteisėto atskleidimo, pakeitimo ar praradimo. Tai nėra tik antivirusinės programos įdiegimas. Reikalingas kompleksinis požiūris:
- Duomenų užkodavimas (šifravimas) tiek saugojimo vietoje, tiek perduodant duomenis tinklais.
- Prieigos kontrolė – prieigą prie jautrių duomenų turi turėti tik tie darbuotojai, kuriems to reikia tiesioginėms funkcijoms atlikti (angl. „need-to-know” principas).
- Reguliarus darbuotojų mokymas – žmogiškasis faktorius išlieka didžiausia silpnybė.
- Duomenų atsarginių kopijų darymas ir jų atstatymo testavimas.
- Anonimizavimas ir pseudonimizavimas – duomenų pakeitimas tokia forma, kad nebūtų galima nustatyti asmens tapatybės be papildomos informacijos.
Duomenų subjekto teisių užtikrinimo mechanizmas
Organizacijos privalo turėti vidines tvarkas, kaip reaguoti į duomenų subjektų užklausas. Asmuo turi teisę žinoti, ar jo duomenys tvarkomi, gauti jų kopiją, reikalauti ištaisyti netikslumus, ištrinti duomenis („teisė būti pamirštam”) arba apriboti tvarkymą. Verslas ir įstaigos privalo per nustatytus terminus (dažniausiai per vieną mėnesį) pateikti atsakymą. Jei organizacija neturi aiškios procedūros, kaip identifikuoti besikreipiantį asmenį ir kaip operatyviai suformuoti atsakymą, ji rizikuoja pažeisti įstatymus.
Įtakos vertinimas (DPIA) ir duomenų tvarkymo žurnalas
Ne visoms organizacijoms reikia atlikti duomenų apsaugos poveikio vertinimą (DPIA), tačiau jei tvarkomi jautrūs duomenys, atliekamas sistemingas stebėjimas ar vertinimas automatizuotais būdais, tai tampa privaloma. DPIA padeda identifikuoti rizikas dar prieš pradedant naują veiklą ar įdiegiant naują IT sistemą.
Taip pat privaloma pildyti duomenų tvarkymo veiklos įrašus (jei organizacijoje dirba daugiau nei 250 darbuotojų arba tvarkomi specialūs duomenys). Tai yra tarsi „duomenų inventorizacija”, kurioje surašoma, kokie duomenys tvarkomi, kokiais tikslais, kas juos gauna ir kiek laiko saugo.
Dažniausiai užduodami klausimai (FAQ)
Ar mažam verslui taip pat galioja visi šie reikalavimai?
Taip, BDAR ir asmens duomenų teisinės apsaugos taisyklės galioja visoms įmonėms, nepriklausomai nuo jų dydžio ar darbuotojų skaičiaus. Skiriasi tik administracinės naštos apimtis ir dokumentacijos detalumas, tačiau pagrindiniai principai išlieka tie patys.
Kas yra duomenų apsaugos pareigūnas ir ar man jo reikia?
Tai asmuo, padedantis organizacijai užtikrinti duomenų apsaugą. Jis privalomas viešojo sektoriaus įstaigoms ir toms organizacijoms, kurios vykdo didelio masto reguliarų duomenų stebėjimą arba tvarko specialių kategorijų duomenis. Jei nesate tikri, ar jums jo reikia, atlikite vertinimą pagal savo veiklos pobūdį.
Kaip elgtis, jei įvyko duomenų nutekėjimas?
Jei kyla rizika asmenų teisėms ir laisvėms, apie duomenų saugumo pažeidimą privaloma per 72 valandas pranešti Valstybinei duomenų apsaugos inspekcijai. Jei rizika yra didelė, taip pat privaloma informuoti ir pačius asmenis, kurių duomenys nukentėjo.
Ar darbuotojų stebėjimas (pvz., vaizdo kameros ar el. pašto kontrolė) yra teisėtas?
Darbuotojų stebėjimas yra galimas tik esant teisiniam pagrindui ir laikantis griežtų sąlygų. Darbuotojai turi būti iš anksto informuoti, o stebėjimas negali būti pernelyg invazinis. Būtina atlikti teisėto intereso vertinimą ir užtikrinti, kad stebėjimo tikslas pateisina privatumo ribojimą.
Kiek laiko galima saugoti klientų duomenis?
Duomenys turi būti saugomi ne ilgiau, nei to reikalauja tikslas, dėl kurio jie buvo surinkti. Kai tikslas pasiektas arba pasibaigė sutartis, duomenys turi būti ištrinti arba anonimizuoti, nebent įstatymai numato kitą saugojimo terminą (pvz., buhalterinės apskaitos dokumentai).
Atsakomybės paskirstymas ir duomenų tvarkymo sutartys
Šiuolaikiniame versle daugelis procesų yra perduodami paslaugų teikėjams – pavyzdžiui, IT priežiūros įmonėms, buhalterijos paslaugų teikėjams ar rinkodaros agentūroms. Svarbu suprasti, kad kai jūs perduodate duomenis kitai įmonei, jūs išliekate duomenų valdytoju, o paslaugų teikėjas tampa duomenų tvarkytoju. Pagal įstatymą, tarp valdytojo ir tvarkytojo privalo būti pasirašyta duomenų tvarkymo sutartis (DPA).
Šioje sutartyje privalo būti aiškiai apibrėžta, ką tvarkytojas gali daryti su duomenimis, kaip jis turi užtikrinti saugumą ir kaip jis turi reaguoti į pažeidimus. Be šios sutarties, duomenų perdavimas trečiosioms šalims yra laikomas pažeidimu. Verslo įmonės dažnai klysta galvodamos, kad paslaugų teikėjo atsakomybė automatiškai dengia ir jų rizikas, tačiau tai netiesa – atsakomybė už tinkamą duomenų tvarkytojo pasirinkimą ir priežiūrą tenka valdytojui.
Veiksmų planas siekiant atitikties
Jei jūsų organizacijoje vis dar trūksta aiškumo dėl duomenų apsaugos, rekomenduojama pradėti nuo sistemingo audito. Pirmiausia atlikite duomenų srautų žemėlapį – išsiaiškinkite, kur duomenys ateina, kur jie saugomi, kas juos pasiekia ir kam jie perduodami. Tai leis pamatyti akivaizdžiausias spragas.
Antras žingsnis – dokumentacijos peržiūra. Ar turite atnaujintas privatumo politikas? Ar jūsų sutartyse su klientais ir partneriais yra įtrauktos būtinos nuostatos dėl asmens duomenų? Ar jūsų darbuotojai yra pasirašę konfidencialumo susitarimus, kuriuose pabrėžiama duomenų apsaugos svarba? Jei atsakymas į bent vieną klausimą yra neigiamas, organizacija turi neatidėliotinai imtis veiksmų. Svarbu nepamiršti ir organizacinių sprendimų: paskirkite atsakingą asmenį, kuris rūpintųsi šiais klausimais, ir užtikrinkite, kad jis turėtų pakankamai įgaliojimų bei išteklių. Atminkite, kad duomenų apsauga yra investicija į pasitikėjimą, kuris šiandieniniame konkurencingame pasaulyje yra svarbesnis nei bet kada anksčiau.
