Asmens duomenų apsauga ir BDAR dokumentai

Daugumai privačių įmonių duomenų apsaugos pareigūno skirti nereikia. BDAR jo reikalauja iš valdžios institucijų ir įstaigų, taip pat iš organizacijų, kurių pagrindinė veikla yra reguliarus ir sistemingas didelio masto žmonių stebėjimas arba didelio masto specialių kategorijų duomenų, pavyzdžiui, sveikatos duomenų, tvarkymas. Įprasta gamybos, prekybos ar paslaugų įmonė, tvarkanti savo darbuotojų ir klientų duomenis, į šias grupes nepatenka. Jai reikia ne pareigūno, o tvarkingų dokumentų ir aiškaus atsakymo, kas įmonėje už asmens duomenis atsako. Būtent tai ir padedame sudėlioti vieną kartą.

Mažai įmonei paprastai reikia duomenų tvarkymo veiklos įrašų, vidinių asmens duomenų tvarkymo taisyklių, darbuotojų ir kandidatų informavimo pranešimų, saugojimo terminų lentelės, pažeidimų valdymo tvarkos ir susitarimų su paslaugų teikėjais, kuriems perduodami duomenys. Jeigu įmonė turi svetainę, prisideda privatumo politika ir slapukų pranešimas, o jeigu naudoja kameras, prisideda ir vaizdo stebėjimo tvarka. Tikslų sąrašą sudarome po audito, nes jis priklauso nuo veiklos: prekybos įmonei ir gamyklai reikia skirtingų dokumentų. Išsamiai apie reglamentą ir įmonės pareigas rašome straipsnyje Kas yra BDAR ir kokių dokumentų reikia įmonei.

Duomenų tvarkymo veiklos įrašai yra dokumentas, kuriame surašyta, kokius asmens duomenis įmonė tvarko, kokiu tikslu, kokiu teisiniu pagrindu, kiek laiko saugo ir kam juos perduoda. Tai ne formalumas, o įmonės duomenų žemėlapis: be jo neįmanoma pagrįstai atsakyti nei darbuotojui, nei klientui, nei priežiūros institucijai. Mažesnės įmonės kartais mano, kad ši pareiga joms netaikoma, tačiau išimtis mažesnėms nei 250 darbuotojų įmonėms galioja tik tada, kai duomenys tvarkomi nereguliariai. Darbuotojų duomenys tvarkomi nuolat, todėl praktikoje įrašus tenka turėti beveik visiems.

Terminas priklauso nuo įmonės dydžio ir nuo to, kiek dokumentų jau turite. Daugiausia laiko užima ne rašymas, o auditas ir jūsų pačių atsakymai: kol nežinome, kokias programas naudojate ir kam perduodate duomenis, dokumentų parengti neįmanoma. Konkretų terminą suderiname po pirmo pokalbio, kad abi pusės žinotų, kada darbas baigiasi. Tai vienkartinis darbas su aiškia pabaiga, o ne mėnesinė paslauga, kuri tęsiasi neribotai.

Atskiros pareigos surengti tam tikros trukmės BDAR mokymus teisės aktai nenustato, tačiau įmonė privalo užtikrinti, kad su asmens duomenimis dirbantys darbuotojai žinotų vidines taisykles ir jų laikytųsi. Klaidos dažniausiai įvyksta ne dėl technikos, o dėl kasdienių veiksmų: laiško išsiuntimo ne tam adresatui, nereikalingų duomenų persiuntimo, gyvenimo aprašymų laikymo be jokio tikslo. Todėl BDAR mokymus vedame kartu su dokumentais ir juos fiksuojame, kad įmonė turėtų įrodymą, jog darbuotojai su taisyklėmis supažindinti.

Pirmiausia reikia įvertinti, kokie ir kieno duomenys nutekėjo, ir sustabdyti tolesnę žalą. Jeigu pažeidimas gali kelti pavojų žmonių teisėms ir laisvėms, apie jį per 72 valandas nuo sužinojimo reikia pranešti Valstybinei duomenų apsaugos inspekcijai, o didelės rizikos atveju informuoti ir pačius žmones. Kiekvienas pažeidimas, net ir nepraneštinas, turi būti užfiksuotas vidiniame registre. Būtent todėl pažeidimų valdymo tvarką parengiame iš anksto: per 72 valandas nėra kada jos kurti.

Taip, BDAR dokumentus rengiame visoje Lietuvoje. Šiam darbui nuolatinių vizitų nereikia: auditą galima atlikti nuotoliniu būdu, o dokumentus derinti ir perduoti elektroniniu paštu bei vaizdo pokalbiu. Jeigu norite susitikti gyvai, mūsų biuras yra Vilniaus g. 72, Šiauliuose. Darbuotojų saugos ir sveikatos specialisto paslaugas teikiame siauriau, Šiauliuose ir Šiaulių regione, nes ten reikia reguliariai lankytis objektuose. Asmens duomenų apsaugos darbams tokio geografinio apribojimo nėra.

Vienkartinis sutvarkymas turi pradžią ir pabaigą: išsiaiškiname padėtį, parengiame dokumentus, apmokome darbuotojus ir perduodame rinkinį, kurį įmonė toliau naudoja pati. Nuolatinė priežiūra ar išorinio duomenų apsaugos pareigūno paslauga reiškia mėnesinį mokestį ir yra prasminga toms organizacijoms, kurios pagal BDAR privalo turėti pareigūną arba nuolat pradeda naujus duomenų tvarkymo procesus. Daugumai įmonių pakanka tvarkingos pradžios ir dokumentų atnaujinimo tada, kai keičiasi veikla, programos ar darbuotojų pareigos.