Ponavljamo ovaj post od prije godinu dana jer smo vidjeli da se i danas dijeli među našim vjernim čitateljima.
Pogledajmo prvo temeljne zahtjeve:
- imamo li dokaz da smo educirali sve zaposlenike koji rade s osobnim podacima?
- imamo li evidenciju aktivnosti obrada?
- znamo li za sve postupke obrada osobnih podataka u organizaciji i tko ih vodi te gdje ih spremamo i kome dajemo?
- imamo li evidenciju kategorija aktivnosti obrada ako smo izvršitelj obrade?
- jesmo li definirali procedure postupanja u slučaju zaprimanja zahtjeva za pravima ispitanika, odnosno, zaposlenika, bivših zaposlenika, kandidata koje nismo zaposlili, klijenata, predstavnika poslovnih suradnika i nepoznatih osoba?
- imamo li evidenciju povreda podataka?
- jesmo li definirali proceduru upravljanja povredama osobnih podataka i pripremili obrasce za prijavu AZOP-u?
- imamo li osobu koja brine o svim aspektima zaštite osobnih podataka koja će dati tražene odgovore?
- imamo li evidenciju prikupljenih privola i zašto smo ih prikupljali?
- imamo li proceduru zapošljavanja i upravljanja zamolbama kandidata?
- jesmo li izvijestili sve zaposlenike kako postupamo s njihovim osobnim podacima, i imamo li pri ruci kopiju takve obavijesti?
- jesmo li uskladili ugovore sa zaposlenicima i interne pravilnike?
- imamo li politiku privatnosti na web stranicama?
- imamo li potpisane ugovore o zaštiti podataka s vanjskim knjigovodstvom, održavateljima IT opreme i videonadzora, dobavljačima poslovnih aplikacija, pružateljima usluga zaštite na radu, web hostinga, newsletter usluga i s ostalim vanjskim izvršiteljima?
- imamo li interni akt o video nadzoru i popis osoba koje imaju pravo pristupa snimkama video nadzora, uvedene automatizirane logove na sustavu video nadzora i naljepnice prije ulaska u perimetar kamere?
- imamo li lozinke i backup na računalima?
- osiguravamo li čiste radne stolove nakon završetka radnog vremena?
- zaključavamo li ormare s osjetljivim dokumentima?
- znamo li tko sve ima ključeve od prostorija i ormara u kojima držimo povjerljivu dokumentaciju ili servere?
Ovakav inicijalni popis je samo praktični početak za organizacije manjeg opsega obrada osobnih podatka.
I nema veze s konkretnim razlogom dolaska predstavnika nadzornog tijela niti konkretne poveznice s vašim poslovanjem i konkretnim obradama podataka. Jer će nadzorno tijelo doći u posjetu prvenstveno u slučaju prijave od strane neke osobe ili u slučaju povrede podataka, odnosno, za konkretan slučaj.
A u takvim je slučajevima neophodno pripremiti niz dokumenata kako biste dokazali da radite u skladu s načelom pouzdanosti iz članka 5. GDPR-a.
