Pasitikrinkite, ar Jūsų įmonė įtraukta į VDAI patikrinimų planą

„Įmonės, kurios bus tikrinamos, turėtų pasidomėti, koks patikrinimo tikslas, kokiu būdu vyks patikrinimas, kartu su duomenų apsaugos pareigūnu arba už duomenų apsaugą atsakingu asmeniu sudaryti veiksmų planą, kaip geriau pasirengti patikrinimui. Pravartu pasiteirauti jau patikrintų įmonių patirties, kaip vyko patikrinimas“, – paaiškina Rusnė Juozapaitienė, sertifikuota duomenų apsaugos pareigūnė (PECB), Lietuvos duomenų apsaugos pareigūnų ir rizikos valdymo profesionalų asociacijų valdybos narė. 

Gintarė Makauskaitė-Samuolė, „Infolex“ Teisės ir atitikties vadovė, pirmiausia ragina pasitikrinti, ar įmonė įtraukta VDAI patikrinimų planą. Tą lengvai galite padaryti čia: https://www.infolex.lt/ta/848823 

Nė viena organizacija, tvarkanti asmens duomenis, negali būti tikra, kad neatsidurs VDAI planinių patikrinimų sąraše. G. Makauskaitė-Samuolė detalizuoja, kad vis dėlto yra aišku, pagal ką inspekcija pasirenka tikrintinas veiklos sritis ar įmones. 

Pirmiausia, inspekcija vadovaujasi 2023-2025 m. strateginiu veiklos planu, kuriame duomenų saugos lygį ketinama stiprinti suaktyvinant duomenų apsaugos pareigūnus (didinant kontrolę iš vidaus) ir duomenų subjektus (didinant kontrolę iš išorės). Antra, tikrinami subjektai ir jų grupės atrenkami pagal konkrečius kriterijus, tarp kurių ne tik duomenų tvarkymo tikslas ar veiklos sritis, bet ir visuomenės bei žiniasklaidos dėmesio neseniai sulaukusi privatumo problema; dominuojančios problemos inspekcijos gaunamuose skunduose ar paklausimuose ir ankstesni organizacijos asmens duomenų saugos pažeidimai. Pašnekovė atkreipia dėmesį, kad gali būti rengiami neplaniniai patikrinimai, remiantis informacija, gauta iš žiniasklaidos, visuomenės, tarptautinių organizacijų, valdžios institucijų ir kt. 

Ką reikėtų įvertinti 

Nors BDAR taisyklių įmonės privalo laikytis nuo 2018 m., tačiau praktika rodo, kad vis dar pasitaiko atvejų, kai verslui ne iki galo pavyksta tinkamai tvarkyti duomenis. 

„Klaidos labai priklauso nuo įmonės brandos lygio. Pradedant nuo slapukų, neteisingai parinkto teisinio pagrindo, duomenų tvarkymo neturint aiškiai apibrėžto tikslo, nesudarytų sutarčių su duomenų tvarkytojais, duomenų perdavimo už ES ribų be tinkamo mechanizmo“, – vardija R. Juozapaitienė. 

G. Makauskaitė-Samuolė atkreipia dėmesį, kad šioje srityje vis dar trūksta universalių standartų, todėl nemažai klaidų kyla iš nevienodo supratimo apie asmens duomenis ir būtinas saugos priemones. 

„Tai, kas yra asmens duomenys teisininkui, gali skirtis nuo to, ką asmens duomenimis laiko vadybininkas, gali skirtis ir jiems priimtina rizikos tolerancija. Organizacijos duomenų apsaugos pareigūno gali nelaikyti komandos nariu, o labiau – išoriniu konsultantu, todėl dalis vidaus procesų gali „praslysti“ pro duomenų apsaugos kontrolę“, – sukonkretina ekspertė. 

Ji pabrėžia, kad rekomenduotina sąžiningai įsivertinti savo organizacijos rizikos lygį duomenų saugos srityje. Jei jis bus aukštas, atitinkamai ir organizacija sau turi kelti aukštesnius standartus, taikyti daugiau duomenų saugos priemonių. 

„VDAI turi dešimt galiojančių savipatikros klausimynų, iš kurių galima suprasti taikomus standartus ir keliamus lūkesčius, duomenis tvarkančioms organizacijoms. Galima remtis ir Europos Sąjungos (ES) duomenų apsaugos valdybos, kitų valstybių asmens duomenų priežiūros institucijų gairėmis“, – detalizuoja G. Makauskaitė-Samuolė. 

Patogus įrankis verslui 

Naujasis „Infolex. Atitiktis“ įrankis yra reguliacinės atitikties platforma, kurios tikslas – supaprastinti atitikties procesus organizacijose.  Vartotojai, nemokamai užsiregistravę  „BDAR savipatikrai“, seka asmens duomenų saugos aktualijas: rengiamų ar priimtų teisės aktų pokyčius, ES ir Lietuvos teismų praktiką, VDAI, Europos duomenų apsaugos valdybos, ES tinklų ir informacijos apsaugos agentūros konsultacijas ir metodines gaires, spaudos pranešimus. Visa reikalinga informacija yra vienoje vietoje. Užsiregistruoti nemokamai verslo „BDAR savipatikrai“ galima čia: https://www.infolex.lt/atitiktis/apie/bdar-savipatikra 

„Savipatikrai pravers interaktyvūs duomenų saugos klausimynai. Tarp jų, ne tik oficialūs VDAI klausimynai, bet ir automatizuotas rizikos nustatymo įrankis, kurį „Infolex“ parengė kartu su asmens duomenų profesionalais iš MB „Asmens duomenų apsauga“. Atsakę į šio įrankio užduodamus klausimus, sužinosite savo organizacijos rizikos lygį ir įsivertinsite, ar asmens duomenis saugote pakankamai. Pildomais klausimynais galima dalintis ir dirbti kartu su duomenų apsaugos pareigūnu ar kitu kolega. Užpildytus klausimynus galima atsisiųsti į kompiuterį „pdf“ formatu, o pildant iš naujo nereikės vėl suvesti tų pačių duomenų – tik pakoreguosite, kas pasikeitė“, – kaip naudotis įrankiu paaiškina G. Makauskaitė-Samuolė.