პერსონალურ მონაცემთა დაცვის შესახებ კანონის მიხედვით, ბიზნესმა უნდა იცოდეს დამუშავების კონკრეტული მიზანი, შესაბამისი სამართლებრივი საფუძველი, მონაცემების კატეგორიები, შენახვის ვადა, მიმღებები და მონაცემთა სუბიექტის უფლებების რეალიზების წესი. „თანხმობა ყველაფერზე“ არ არის უნივერსალური სამართლებრივი საფუძველი. შეფასება განსაკუთრებით მნიშვნელოვანია თანამშრომელთა, მომხმარებელთა და ვიდეოთვალთვალის მონაცემებისთვის.
ნორმატიული საფუძველი: კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“
აუდიტის პრაქტიკული ცხრილი
მონაცემთა დაცვის შიდა აუდიტი დაიწყეთ თითოეული პროცესის აღრიცხვით: რა მონაცემი გროვდება, ვინ იღებს, რისთვის გამოიყენება, რომელ სისტემაში ინახება და ვის გადაეცემა. ცალკე გაანალიზეთ თანამშრომელთა მონაცემები, ვიდეოკამერები, კონტრაქტორები და მომხმარებელთა საკონტაქტო ფორმები. მიზანი არის არა მხოლოდ დოკუმენტის შექმნა, არამედ ფაქტობრივი დამუშავების წესის გასწორება.
მაგალითად, თუ სამუშაოზე მიღებისას CV ინახება განუსაზღვრელი ვადით, მხოლოდ „თანხმობის“ სათაური არ პასუხობს შენახვის აუცილებლობისა და ვადის საკითხს. საჭიროა დამუშავების მიზნის, შესაბამისი საფუძვლისა და წაშლის რეალური წესის განსაზღვრა.
კანონის შესაბამისი მუხლიროგორ მოქმედებს ეს წესი პრაქტიკაში
მაგალითად, კომპანიის მიმღებში კამერის არსებობა არ ნიშნავს, რომ აუდიოჩაწერაც ავტომატურად დასაშვებია. შეამოწმეთ საჭიროება, პროპორციულობა, ინფორმირების ფორმა, ჩანაწერის წვდომა და განადგურების წესი; ასევე ცალკე განსაზღვრეთ, ვინ განიხილავს მოთხოვნას.
რა მონაცემები მუშავდება
კომპანიამ პირველ რიგში უნდა იცოდეს, სად აგროვებს მონაცემებს: ვებფორმა, თანამშრომლის პირადი საქმე, მომხმარებლის ხელშეკრულება, ვიდეომეთვალყურეობა ან მარკეტინგის სისტემა. ყოველი პროცესისთვის აღწერეთ მიზანი, მონაცემის კატეგორია, მიღების წყარო, შენახვის პერიოდი და ვის აქვს წვდომა. პროცესი დაიწყეთ რეალური მდგომარეობის აღწერით და არა მხოლოდ პოლიტიკის შაბლონის ჩამოტვირთვით.
საფუძველი, გამჭვირვალობა და უსაფრთხოება
მონაცემთა დამუშავებისთვის უნდა არსებობდეს კონკრეტული სამართლებრივი საფუძველი, მომხმარებელმა ან თანამშრომელმა კი მიიღოს გასაგები ინფორმაცია დამუშავების შესახებ. მარტო „ვეთანხმები ყველაფერს“ ტიპის ნიშნული ყოველთვის ვერ უზრუნველყოფს კანონის დაცვას. გამოიკვლიეთ მიმღებები, გარე პროვაიდერები და ის შემთხვევები, როდესაც მონაცემები საზღვარგარეთ გადადის.
პრაქტიკული კონტროლი
დაადგინეთ წვდომის დონეები, დოკუმენტების წაშლის/შენახვის წესები, ინციდენტის შეტყობინების არხი და პასუხისმგებელი თანამშრომელი. კონტრაქტორებთან ხელშეკრულებაში გაწერეთ მონაცემების დამუშავების როლები და მოთხოვნები. სამართლებრივი აუდიტი სასურველია მოიცავდეს ტექნიკურ და ორგანიზაციულ კონტროლებს ერთდროულად.
საიტზე ფორმის გამოყენება და ინფორმირება
ვებფორმის გამოყენებისას კომპანიამ უნდა იცოდეს, რა მონაცემს აგროვებს, რომელი სერვისი იღებს მას და რამდენ ხანს ინახება. მხოლოდ ღილაკთან მითითებული „გაგზავნა“ არ ნიშნავს, რომ მონაცემთა სუბიექტმა მიიღო სრულყოფილი ინფორმაცია. საჭიროა შესაბამისი კონფიდენციალურობის ტექსტი, უსაფრთხოების ზომები და მომხმარებლის მონაცემთა დამუშავების კანონიერი საფუძველი. თუ ფორმა მესამე მხარის პროვაიდერით იგზავნება, ამის თაობაზე ინფორმაცია მართებული უნდა იყოს.
თანამშრომლის მონაცემთა დამუშავება
თანამშრომლის მონაცემები შეიძლება მოიცავდეს საცხოვრებელ ინფორმაციას, საბანკო ანგარიშს, სამუშაო გრაფიკს და ზოგჯერ განსაკუთრებული კატეგორიის მონაცემსაც. მიზნები და წვდომა მკაფიოდ უნდა განისაზღვროს. სამუშაო ურთიერთობის დასრულება არ ნიშნავს, რომ ყველა დოკუმენტი დაუყოვნებლივ უნდა განადგურდეს; შენახვის ვადა კონკრეტულ ვალდებულებას უნდა შეესაბამებოდეს. ამავდროულად გაუმართლებელი უსასრულო შენახვა რისკიანია.
მონაცემების რუკა დოკუმენტზე ადრე
პერსონალური მონაცემების დაცვის პოლიტიკის დაკოპირება ვერ ჩაანაცვლებს იმის გაგებას, რეალურად რა მონაცემებს ამუშავებს კომპანია. დაიწყეთ ცხრილით: მონაცემის კატეგორია, მიღების წყარო, დამუშავების მიზანი, სამართლებრივი საფუძველი, წვდომის მქონე პირები, შენახვის პერიოდი და შესაძლო გადაცემა. HR სისტემას, ვიდეომეთვალყურეობას და კლიენტთა CRM-ს ერთი და იგივე რისკი არ აქვთ. თითოეულ პროცესზე განსაზღვრეთ, რა ხდება ადამიანის მოთხოვნის მიღებისას, როგორ ხორციელდება წვდომის შეზღუდვა და ვინ რეაგირებს ინციდენტზე. შეამოწმეთ მომსახურების მიმწოდებლები, რომლებიც მონაცემებზე წვდომას იღებენ: მათთან ურთიერთობას ხშირად სჭირდება ცალკე სახელშეკრულებო პირობები. ფორმალური „თანხმობის“ მექანიკური აღება ყოველ პროცესზე არ არის უნივერსალური გამოსავალი. კომპანიამ უნდა იცოდეს, როდის ეყრდნობა თანხმობას და როდის: სხვა დაშვებულ საფუძველს.