Duomenų tvarkymo veiklos įrašai, PDAV ir perėjimo užbaigimas

9 modulis: Žmonės ir taisyklės · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Po šios pamokos galėsite atnaujinti duomenų tvarkymo veiklos įrašus ir privatumo politiką po perėjimo, nustatyti, ar reikalingas PDAV, tvarkingai pasirūpinti senos paslaugos duomenų pašalinimu ir formaliai užbaigti perėjimą pasitelkę baigiamąjį kontrolinį sąrašą.

Pagrindinės sąvokos: duomenų tvarkymo veiklos įrašai (30 str.), išimtis organizacijoms su mažiau nei 250 darbuotojų, PDAV (35 str.), VDAI PDAV sąrašas, privatumo politika (13 ir 14 str.), duomenų gavėjai, perdavimas, pranešimas apie duomenų saugumo pažeidimą (33 str.), duomenų pašalinimas senoje paslaugoje, pašalinimo patvirtinimas, vertinimas, baigiamasis kontrolinis sąrašas

Perėjimas baigtas tik tada, kai tvarkingi dokumentai

Paštas veikia, failai perkelti, visi dirba naujoje aplinkoje. Techniškai esate baigę. Tačiau pagal BDAR dar liko darbo: Jūsų dokumentacija vis dar aprašo seną situaciją. Jeigu klientas užduos klausimą, vyks patikrinimas ar įvyks duomenų saugumo pažeidimas, norėsite parodyti, kaip yra dabar. Ši pamoka užbaigia perėjimą.

Tai paaiškinimas, o ne teisinė konsultacija.

Duomenų tvarkymo veiklos įrašai

BDAR 30 straipsnio 1 dalis įpareigoja duomenų valdytoją tvarkyti duomenų tvarkymo veiklos įrašus. Juose nurodoma kiekvienai duomenų tvarkymo veiklai (pavyzdžiui, „klientų užsakymai“, „personalo administravimas“, „naujienlaiškis“):

• duomenų valdytojo pavadinimas ir kontaktiniai duomenys (ir, jei yra, duomenų apsaugos pareigūno);
• duomenų tvarkymo tikslai;
• duomenų subjektų ir asmens duomenų kategorijos;
• duomenų gavėjai, įskaitant duomenų tvarkytojus;
• perdavimai į šalis už EEE ribų, su apsaugos priemonėmis;
• saugojimo terminai, kai įmanoma;
• bendras saugumo priemonių aprašymas, kai įmanoma.

Ar tai galioja ir mažai organizacijai?

30 straipsnio 5 dalyje numatyta išimtis organizacijoms, turinčioms mažiau nei 250 darbuotojų. Tačiau ši išimtis negalioja, jeigu duomenų tvarkymas gali kelti riziką, jeigu jis nėra atsitiktinis, arba jeigu tvarkomi specialių kategorijų asmens duomenys (pavyzdžiui, sveikatos) ar duomenys apie baudžiamuosius nusikaltimus. Valstybinė duomenų apsaugos inspekcija (šiuo atveju Nyderlandų Autoriteit Persoonsgegevens) paaiškina, kad praktikoje duomenų tvarkymas retai būna atsitiktinis: kai tik turite darbuotojų ar nuolatinių klientų, duomenis tvarkote sistemingai. Taigi Nyderlandų pavyzdinei kepyklai Bakkerij De Korrel su darbo užmokesčio administravimu, klientų užsakymais ir pranešimais apie ligą ši išimtis negalioja.

Yra parengtas Europos pasiūlymas sušvelninti registro pildymo pareigą mažesnėms organizacijoms (vadinamasis Omnibus IV paketas; 2026 m. birželį Taryba ir Parlamentas pasiekė preliminarų susitarimą). Kol šis pasiūlymas neįsigalios, galioja dabartinis 30 straipsnis. Ir net ir vėliau toks sąrašas liks naudingas: jo reikia, kad galėtumėte vykdyti likusias savo pareigas.

Ką reikia pakoreguoti po perėjimo?

Peržiūrėkite kiekvieną savo registro eilutę ir pakoreguokite:

Perėjimas yra puikus momentas pagaliau tinkamai sutvarkyti saugojimo terminus. Nyderlanduose mokestinei apskaitai paprastai galioja septynerių metų saugojimo pareiga; kandidatų duomenims Nyderlandų VDAI iš esmės rekomenduoja keturias savaites po procedūros pabaigos. Šios Nyderlandų nuostatos nebūtinai galioja Jūsų šalyje: pasitikrinkite, kokie terminai taikomi Jūsų sektoriui.

Ar reikia atlikti PDAV?

PDAV (poveikio duomenų apsaugai vertinimas, angl. data protection impact assessment, BDAR vadinamas „duomenų apsaugos poveikio vertinimu“) yra iš anksto atliekama struktūrizuota rizikos analizė. 35 straipsnis įpareigoja atlikti PDAV, jeigu duomenų tvarkymas greičiausiai kelia didelę riziką duomenų subjektams, ypač naudojant naujas technologijas.

Kaip žinoti, ar taip yra?

1. AP sąrašas. Nyderlandų Autoriteit Persoonsgegevens 2019 m. paskelbė septyniolikos duomenų tvarkymo rūšių sąrašą, kurioms PDAV visada privalomas. Jame, be kita ko, nurodytas plataus masto sveikatos duomenų tvarkymas, vaizdo stebėjimas, darbuotojų stebėjimas, ryšių duomenys, vietos nustatymo duomenys, profiliavimas ir biometrija. Kiekviena ES valstybės narės priežiūros institucija turi savo PDAV sąrašą (BDAR 35 straipsnio 4 dalis), todėl patikrinkite Jūsų šalies priežiūros institucijos paskelbtą sąrašą.
2. Europos kriterijai. Europos priežiūros institucijos parengė devynis kriterijus (tokius kaip jautrūs duomenys, didelis mastas, pažeidžiami duomenų subjektai, sistemingas stebėjimas, nauja technologija). Jeigu duomenų tvarkymas atitinka du ar daugiau kriterijų, PDAV paprastai yra būtinas.

Kepyklai, kuri perkelia paštą ir failus, PDAV paprastai nėra privalomas. Šeimos gydytojo praktikai, kuri perkelia pacientų bendravimą į naują paslaugą, ar mokyklai, tvarkančiai mokinių duomenis, situacija kitokia. Net jei tai neprivaloma, trumpa rizikos analizė gali būti naudinga. Gera pradžia tam yra 1.5 pamokoje pateiktas vertinimas. Jeigu jau turite PDAV senai paslaugai, atnaujinkite jį.

Privatumo politika

Savo privatumo politikoje informuojate duomenų subjektus (klientus, darbo kandidatus, svetainės lankytojus), kaip tvarkote jų duomenis (13 ir 14 str.). Joje, be kita ko, nurodomi duomenų gavėjai ar duomenų gavėjų kategorijos bei galimi perdavimai už EEE ribų. Jeigu ten buvo rašoma „naudojamės įmonių iš Jungtinių Amerikos Valstijų paslaugomis pagal Data Privacy Framework“, tai pakoreguokite. Nekeiskite nieko, kas nebeatitinka tikrovės: nurodykite tik tai, ką iš tikrųjų tiksliai žinote iš duomenų tvarkymo sutarties ir subtvarkytojų sąrašo.

Duomenų saugumo pažeidimai: žinokite, kam skambinti

Po perėjimo pasikeitė Jūsų paslaugų teikėjas, taigi pasikeitė ir veiksmų tvarka įvykus duomenų saugumo pažeidimui. Savo procedūroje nurodykite:

• naujo tiekėjo kontaktinį adresą saugumo incidentams;
• terminą, per kurį tiekėjas pagal duomenų tvarkymo sutartį Jus informuoja;
• kas Jūsų organizacijoje nusprendžia, ar reikia pranešti, nes pranešimas priežiūros institucijai turi būti pateiktas per 72 valandas nuo pažeidimo nustatymo (33 str.);
• kur saugomas duomenų saugumo pažeidimų registras: net ir pažeidimus, apie kuriuos pranešti neprivalote, turite fiksuoti viduje (33 straipsnio 5 dalis).

Užbaigimas senoje paslaugoje

Senos paslaugos neatsisakykite, kol viskas gerai veikia bent kelias savaites (3.3 pamoka). Po to:

1. Paskutinis patikrinimas: ar viskas perkelta? Ar yra bendrinamų aplankų, formų ar susiejimų, kurie vis dar nukreipia į seną paslaugą?
2. Eksportuokite paskutinį archyvą savo pačių apskaitai, jei norite jį išsaugoti (pavyzdžiui, paštą, kuriam taikoma saugojimo pareiga). Saugokite jį užšifruotą.
3. Pašalinkite paskyras ir duomenis senoje paslaugoje arba pavesta tai padaryti. BDAR 28 straipsnio 3 dalies g punktas įpareigoja buvusį duomenų tvarkytoją pasibaigus sutarčiai duomenis pašalinti arba grąžinti, Jūsų pasirinkimu. Paprašykite pašalinimo patvirtinimo ir saugokite jį kartu su savo registru.
4. Sutvarkykite susiejimus: „prisijungti su“ tipo susiejimus kitose paslaugose, programėles, turinčias prieigą, ir patvirtinimo įrašus savo DNS (4.3 pamoka).
5. Atnaujinkite savo registrą, privatumo politiką ir duomenų saugumo pažeidimų procedūrą (žr. aukščiau).

Vertinimas

Praėjus mėnesiui po perėjimo suplanuokite trumpą vertinimą su ambasadoriais (9.1 pamoka). Kas pavyko, kas ne, ką darysite kitą kartą kitaip? Taip pat užsirašykite naujos paslaugos exit planą (8.2 pamoka) ir pasižymėkite kalendoriuje datą, kada jį kasmet patikrinti.

Praktiškai: kaip tai atrodo pas tiekėją

Daugelis tiekėjų turi funkciją, leidžiančią atsisiųsti savo duomenis arba paprašyti pašalinti paskyrą. WebOké pagalbos svetainėje aprašyta, kaip atsisiųsti savo duomenis arba paprašyti juos pašalinti. Didelėse amerikietiškose paslaugose tai dažniausiai vadinama „duomenų eksportavimu“ ir „paskyros pašalinimu“, o organizacijos paskyros administratorius turi atskiras eksportavimo funkcijas. Iš anksto pasiskaitykite, kiek laiko paslauga po pašalinimo dar saugo duomenis atsarginėse kopijose; tai dažnai nurodyta privatumo politikoje arba duomenų tvarkymo sutartyje.

Baigiamasis kontrolinis sąrašas

• [ ] Visi inventorizacijos (3.1 pamoka) elementai perkelti į naują aplinką ir patikrinti
• [ ] Duomenų tvarkymo sutartis (-ys) su naujuoju (-aisiais) tiekėju (-ais) sudaryta (-os) ir saugoma (-os) (9.2 pamoka)
• [ ] Duomenų tvarkymo veiklos įrašai atnaujinti: duomenų gavėjai, perdavimai, saugumas, saugojimo terminai
• [ ] PDAV įvertintas (reikalingas ar ne, ir kodėl, užfiksuota)
• [ ] Privatumo politika pakoreguota
• [ ] Duomenų saugumo pažeidimų procedūra su naujais kontaktiniais duomenimis
• [ ] Sena paslauga nutraukta, duomenys pašalinti, patvirtinimas saugomas
• [ ] Susiejimai ir seni DNS įrašai sutvarkyti
• [ ] Naujos aplinkos atsarginė kopija sukurta ir išbandyta (8.1 pamoka)
• [ ] Naujos paslaugos exit planas užfiksuotas (8.2 pamoka)
• [ ] Vertinimas atliktas

Santrauka

• Po perėjimo atnaujinkite duomenų tvarkymo veiklos įrašus: duomenų gavėjus, perdavimus, saugumą ir saugojimo terminus.
• Išimtis organizacijoms, turinčioms mažiau nei 250 darbuotojų, praktikoje galioja retai; pasiūlymas ją sušvelninti dar neįsigaliojęs (2026 m. lapkričio mėn. duomenimis).
• PDAV privalomas esant didelei rizikai (VDAI sąrašas, Europos kriterijai); įprastiems biuro duomenims dažniausiai ne.
• Pakoreguokite privatumo politiką ir duomenų saugumo pažeidimų procedūrą.
• Paprašykite senos paslaugos pašalinti Jūsų duomenis ir atsiųsti patvirtinimą.

Testas

Užduotis

Užduotis E9.3: Užbaikite savo perėjimą. Trims savo organizacijos duomenų tvarkymo veikloms atnaujinkite duomenų tvarkymo veiklos įrašų eilutes (duomenų gavėjus, perdavimą, saugumą, saugojimo terminą), naudodamiesi VDAI sąrašu ir Europos kriterijais įvertinkite, ar reikalingas PDAV, ir užpildykite baigiamąjį kontrolinį sąrašą.

Platesniam skaitymui

Šiuose straipsniuose aprašyti veiksmai galioja WebOké paslaugoms; kitų tiekėjų atveju veikimo principas panašus.

• WebOké vadovas 11.7: Privatumas: Jūsų duomenų atsisiuntimas arba ištrynimas
• Nextcloud vadovas 16.7: Bendradarbis išeina: kaip saugiai perimti failus, kalendorių ir bendrinamus aplankus
• Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
• Reglamentas (ES) 2016/679 (BDAR), 13, 14, 28, 30, 33 ir 35 straipsniai, EUR-Lex svetainėje
• Sprendimas dėl asmens duomenų tvarkymo veiklos rūšių sąrašo, kurioms PDAV yra privalomas (Nyderlandų Autoriteit Persoonsgegevens, Stcrt. 2019), wetten.overheid.nl svetainėje (BWBR0042812); tai Nyderlandų priežiūros institucijos sąrašas, kiekviena ES valstybės priežiūros institucija turi savo atitinkamą sąrašą
• Autoriteit Persoonsgegevens, temos „Register van verwerkingsactiviteiten“ (Duomenų tvarkymo veiklos įrašai) ir „DPIA“ (PDAV): https://www.autoriteitpersoonsgegevens.nl
• Ar tai duomenų nutekėjimas ir ar turiu apie jį pranešti?