GDPR dokumentacija i zaštita osobnih podataka

GDPR nije jednokratan projekt izrade dokumenata, nego trajan sustav odgovornosti za obradu osobnih podataka.

GDPR nije dokument nego sustav odgovornosti

Opća uredba o zaštiti podataka (GDPR) organizacijama nameće obvezu da nad obradom osobnih podataka mogu, u svakom trenutku, dokazati usklađenost — ne samo tvrditi je. To znači vođene evidencije, dokumentirane odluke o pravnoj osnovi, jasno raspoređene odgovornosti i mjere zaštite koje su razmjerne riziku za prava i slobode ispitanika.

Jednokratno izrađena pravila brzo zastarijevaju kada se promijene procesi, informacijski sustavi ili opseg obrade. Zato pristup koji primjenjujemo GDPR promatra kao sustav koji se redovito preispituje i ažurira, a ne kao skup dokumenata koji se jednom potpišu i odlože.

Pravna osnova i ključna načela

Svaka obrada osobnih podataka mora imati jasnu pravnu osnovu: privolu, izvršenje ugovora, zakonsku obvezu, zaštitu ključnih interesa, obavljanje zadaće od javnog interesa ili legitimni interes voditelja obrade. Odabir pravne osnove utječe na to koja prava ispitanik ima i koje obveze voditelj obrade mora ispuniti.

Uz pravnu osnovu, obrada mora poštovati temeljna načela: zakonitost, poštenost i transparentnost, ograničenje svrhe, smanjenje količine podataka, točnost, ograničenje pohrane te cjelovitost i povjerljivost. Voditelj obrade mora moći dokazati poštovanje svih tih načela (načelo pouzdanosti/odgovornosti).

Što obuhvaća kvalitetna provedba

Kvalitetna provedba GDPR-a ne staje na izradi pravilnika. Obuhvaća mapiranje stvarnih tokova podataka, procjenu rizika, ugovore s izvršiteljima obrade, tehničke i organizacijske mjere zaštite, postupanje po zahtjevima ispitanika, plan reagiranja na povrede te redovitu edukaciju zaposlenika koji rade s osobnim podacima.

Jednako je važno da sustav bude razumljiv i primjenjiv u svakodnevnom radu — zaposlenici moraju znati što smiju, što ne smiju i kome se obratiti kada nisu sigurni, a ne samo da dokumentacija formalno postoji.

Evidencije aktivnosti obrade

Evidencija aktivnosti obrade temeljni je alat za dokazivanje usklađenosti. Za svaku aktivnost obrade bilježe se svrha, kategorije ispitanika i podataka, primatelji, rokovi čuvanja, prijenosi izvan EGP-a i opis primijenjenih mjera zaštite. Evidencija se održava ažurnom kako se uvode novi procesi, sustavi ili ugovori s trećim stranama.

Prava ispitanika i transparentnost

Ispitanici imaju pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor na obradu, kao i pravo da ne budu predmet automatizirane odluke koja na njih značajno utječe bez ljudske intervencije. Organizacija mora imati jasan, dokumentiran postupak za zaprimanje i rješavanje takvih zahtjeva u zakonskim rokovima.

Transparentnost znači da ispitanici unaprijed, razumljivim jezikom, znaju tko obrađuje njihove podatke, u koju svrhu, po kojoj osnovi, koliko dugo i kome se podaci mogu otkriti — obično kroz obavijesti o privatnosti na uslugama, obrascima i internetskim stranicama.

Službenik za zaštitu podataka

Imenovanje službenika za zaštitu podataka (DPO) obvezno je za tijela javne vlasti te za organizacije čije se osnovne djelatnosti sastoje od opsežnog redovitog i sustavnog praćenja ispitanika ili opsežne obrade posebnih kategorija podataka. DPO neovisno savjetuje, prati usklađenost, surađuje s nadzornim tijelom i predstavlja kontaktnu točku za ispitanike.

I kada imenovanje nije zakonska obveza, mnoge organizacije određuju osobu ili funkciju zaduženu za koordinaciju zaštite podataka, jer time jasno raspoređuju odgovornost i olakšavaju dosljedno postupanje.

Povreda osobnih podataka i rok od 72 sata

Povreda osobnih podataka — neovlašteno otkrivanje, gubitak, izmjena ili uništenje podataka — mora se, kada postoji rizik za prava i slobode ispitanika, prijaviti nadležnom nadzornom tijelu najkasnije u roku od 72 sata od saznanja. Kada je rizik visok, o povredi se moraju obavijestiti i pogođeni ispitanici. Organizacija treba unaprijed pripremljen postupak otkrivanja, procjene rizika, prijave i internog evidentiranja svake povrede, uključujući one koje nisu prijavljene jer rizik nije procijenjen kao značajan.

Videonadzor kao posebno rizično područje

Videonadzor je jedno od područja koje nadzorna tijela najčešće provjeravaju jer se lako uvodi bez odgovarajuće pravne osnove ili procjene razmjernosti. Zahtijeva jasnu svrhu, procjenu nužnosti i razmjernosti, ograničenje zone snimanja, definirane rokove čuvanja snimki, kontrolu pristupa snimkama i vidljivu obavijest o postojanju nadzora.

Posebnu pozornost zahtijeva videonadzor radnih prostora, ulaza u javne zgrade, dječjih vrtića, škola i drugih osjetljivih lokacija, gdje je potrebna dodatna procjena učinka na zaštitu podataka prije uvođenja ili proširenja sustava.

Naš pristup uključuje reviziju postojećih sustava videonadzora, provjeru pravne osnove i rokova čuvanja te izradu ili ažuriranje potrebne dokumentacije i obavijesti za ispitanike.

Kazne i korektivne ovlasti AZOP-a

Agencija za zaštitu osobnih podataka (AZOP) nadzorno je tijelo u Republici Hrvatskoj nadležno za primjenu GDPR-a. Njezine korektivne ovlasti uključuju upozorenja, ukore, naloge za usklađivanje obrade, privremena ili trajna ograničenja obrade te upravne novčane kazne, koje prema GDPR-u mogu iznositi i do 20 milijuna eura ili do 4% ukupnog godišnjeg svjetskog prometa, ovisno o tome koji je iznos veći.

Osim financijskog rizika, nadzorni postupak i eventualna kazna nose i reputacijski rizik te mogu narušiti povjerenje korisnika, građana i poslovnih partnera. Redovita interna provjera usklađenosti smanjuje vjerojatnost da nedostaci budu prvi put uočeni tek u nadzoru.

Sustavan pristup GDPR-u tako nije samo pravna obveza, nego i način da organizacija smanji izloženost riziku i pokaže građanima i partnerima da s osobnim podacima postupa odgovorno.

Kako SEVOI KONZORCIJ pomaže

Pomažemo organizacijama u izradi i reviziji evidencija aktivnosti obrade, procjeni pravnih osnova, izradi i ažuriranju dokumentacije, provedbi procjene učinka na zaštitu podataka (DPIA), obavljanju funkcije ili podršci službenika za zaštitu podataka, pripremi za reagiranje na povrede osobnih podataka, reviziji sustava videonadzora te edukaciji zaposlenika, kako bi sustav zaštite podataka bio primjenjiv u svakodnevnom radu i spreman za nadzor AZOP-a.

Javite nam se