- zaposleni, drugi sodelavci in kandidati za zaposlitev,
- stranke in uporabniki storitev,
- poslovni partnerji,
- marketing, neposredno trženje in spletna stran,
- videonadzor,
- IT orodja, aplikacije in digitalna orodja,
- pogodbene obdelave in zunanji izvajalci,
- posebne vrste osebnih podatkov, kjer obstajajo,
- druge obdelave, specifične za dejavnost organizacije.
Uporaben in ažuren zemljevid vaših osebnih podatkov
Večina organizacij ima evidenco dejavnosti obdelav, a vprašanje je, ali odraža trenutno dejansko stanje. Nova orodja, novi procesi, nove pogodbe z izvajalci in evidenca, narejena pred leti, ki ne pove več, kaj se z osebnimi podatki zares dogaja. Ob inšpekcijskem pregledu pa je EDO prvi dokument, ki ga nadzornik zahteva.
V Info hiši pregledamo vašo obstoječo evidenco, jo skupaj s skrbniki obdelav posodobimo in vas naučimo, kako jo enostavneje in ažurno vzdržujete sami. EDO tako ni dokument, ki obleži v predalu, ampak orodje, s katerim svojo organizacijo dejansko razumete.
Komu je pregled obdelav in evidence dejavnosti obdelav namenjen?
Organizacije z zastarelo evidenco
EDO ste vzpostavili ob GDPR, od takrat pa se je marsikaj spremenilo in zato potrebujete posodobitev.
Organizacije, ki EDO vzpostavljajo prvič
Veste, da jo po 30. členu GDPR morate imeti, ne veste pa, kako jo smiselno zastaviti.
Novi DPO-ji in skrbniki obdelav
Evidenco ste podedovali od predhodnika in ne veste, koliko ji lahko zaupate.
Organizacije pred inšpekcijo ali revizijo
Napovedana je inšpekcija, certificiranje ali revizija in EDO bo med prvimi na mizi.
Kaj vam je od tega znano?
Evidenca dejavnosti obdelav je dokument, ki najhitreje zastari, saj se organizacija spreminja, EDO pa ostaja. Preverite, ali se prepoznate:
- Evidenco je pred leti pripravil zunanji izvajalec in od takrat je niste vzdrževali.
- Ne veste natančno, katere obdelave osebnih podatkov potekajo po posameznih oddelkih.
- Uvedli ste nove postopke, nova orodja ali najeli nove izvajalce, v evidenco pa tega ni vpisal nihče.
- Niste prepričani, ali so pravne podlage in roki hrambe v evidenci še pravilni.
- Evidenca pokriva odnose s strankami, pozablja pa na zaposlene, kandidate in videonadzor.
- Skrbniki obdelav ne vedo, da so skrbniki obdelav.
Kaj zajema pregled obdelav EDO?
Kaj popišemo za vsako obdelavo:
- vrste osebnih podatkov in kategorije posameznikov,
- namen in pravni temelj obdelave,
- komu so podatki razkriti in kdo je pogodbeni obdelovalec,
- ali se podatki prenašajo v tretje države,
- roki hrambe,
- organizacijski in tehnični ukrepi za varovanje podatkov,
- ali obdelava zahteva DPIA,
- morebitno avtomatizirano odločanje oziroma profiliranje,
- informacijske sisteme oziroma druga orodja, v katerih se podatki obdelujejo,
- katere pravice lahko posameznik uveljavlja.
Področja obdelav, ki jih zajamemo:
Ostale storitve
Pogosta vprašanja
Kako poteka sodelovanje?
- Uvodni pogovor
Pogovorimo se o vaši organizaciji, obstoječi evidenci in načinu vodenja. Skupaj ugotovimo ali gre za posodobitev ali vzpostavitev evidence od začetka. - Pregled stanja
Pregledamo obstoječo strukturo evidence in posamične zapise. Preverimo, ali evidenca odraža dejanske obdelave, od pravnih podlag do rokov hrambe in razkritij podatkov. - Delavnica s skrbniki obdelav
S skrbniki obdelav po oddelkih skupaj popišemo, kaj se s podatki zares dogaja. Skrbniki ob tem spoznajo svoje obdelave in svojo vlogo. Tako evidence niso več stvar enega človeka. - Posodobitev evidence
Predlagamo potrebne posodobitve strukture in vpišemo obdelave v EDO. Ne vzorec, temveč evidenca, ki ustreza vaši organizaciji. - Napotki za vzdrževanje in nadaljnji koraki
Ob zaključku dobite jasne napotke, kako evidenco vzdržujete sami. Hkrati pogled evidenc razkrije tudi, kaj še je potrebno urediti. Tudi to evidentiramo.
Ali moramo EDO voditi tudi, če imamo manj kot 250 zaposlenih?
V podjetjih z manj kot 250 zaposlenimi ni potrebno vzpostaviti evidence obdelav, razen v primeru, ko bi obdelave predstavljale tveganje za posameznike, če obdelava ni občasna in kadar obdelujete posebne vrste osebnih podatkov. Vendar pa je tudi za manjša podjetja EDO najbolj praktičen način, da imate pregled nad tem, katere osebne podatke obdelujete, zakaj jih potrebujete, komu jih posredujete in kako dolgo jih hranite. Hkrati vam pomaga pokazati, da z osebnimi podatki ravnate skladno z GDPR, kar je odgovornost vsakega upravljavca.
V kakšni obliki se vodi EDO: Excel, poseben program, vaša predloga?
EDO se lahko vodi v različnih oblikah. Pomembno je predvsem, da je pregledna, ažurna in prilagojena vašim dejanskim obdelavam osebnih podatkov. Lahko uporabimo vašo obstoječo evidenco ali pa jo pripravimo v naši predlogi. Za vodenje EDO se lahko uporablja tudi posebna programska rešitev, ni pa nujna.
Kdo v organizaciji je odgovoren za vodenje in posodabljanje evidence?
Vzpostavitev EDO je naloga DPO, samo izpolnjevanje in posodabljanje pa mora izvesti odgovorna oseba za posamezne obdelave. To je tudi način, kako odgovorne osebe in njihovi sodelavci bolj podrobno preučijo obdelave, ki jih izvajajo in ozavestijo pomen varstva osebnih podatkov in zaščitne ukrepe, ki jih je potrebno izvajati.
Ali lahko evidenco pregledate na daljavo?
Seveda. Pregled EDO lahko v celoti izvedemo na daljavo. Dokumentacijo si izmenjamo elektronsko, za uskladitev odprtih vprašanj pa se povežemo na spletnem sestanku.
Kaj če EDO sploh še nimamo?
Nič hudega. EDO lahko pripravimo od začetka. Skupaj pregledamo, katere obdelave osebnih podatkov potekajo v vaši organizaciji, zberemo potrebne informacije in jih uredimo v pregledno evidenco, ki jo boste lahko tudi v prihodnje enostavno posodabljali.
Kakšna je razlika med EDO in politiko zasebnosti?
EDO je interna evidenca, v kateri organizacija vodi pregled svojih obdelav osebnih podatkov. Politika oziroma obvestilo o zasebnosti pa je namenjeno posameznikom in jim pojasnjuje, kako in zakaj organizacija uporablja njihove osebne podatke. Dokumenta imata različna namena, vendar morata biti njuni vsebini med seboj usklajeni.
Kako vem, da naša EDO ni več ažurna?
Dober znak za pregled EDO je vsaka večja sprememba pri obdelavi osebnih podatkov. Na primer uvedba novega IT orodja, nova storitev, sprememba izvajalca, zbiranje novih podatkov ali sprememba rokov hrambe. Če EDO že nekaj časa niste pregledali ali niste prepričani, ali še odraža dejansko stanje v organizaciji, je čas za posodobitev.
