Audit GDPR: verificarea conformității cu protecția datelor

Ce este un audit GDPR

Un audit GDPR este o verificare structurată a modului în care organizația colectează, folosește, păstrează și protejează datele personale, raportată la cerințele Regulamentului (UE) 2016/679 și ale Legii 190/2018. Auditul răspunde la trei întrebări: ce date prelucrați, ce documente și măsuri aveți, și unde sunt diferențele față de ce cere legea.

Auditul este o fotografie a situației de la un moment dat. Nu schimbă nimic prin el însuși, dar vă arată exact ce trebuie schimbat și în ce ordine.

Când aveți nevoie de un audit GDPR

Situațiile în care recomandăm un audit de protecția datelor sunt, de regulă, acestea:

• nu știți ce s-a făcut până acum. Documentația a fost întocmită de o persoană care nu mai lucrează în organizație sau de o firmă cu care nu mai colaborați;
• documentele sunt din 2018 și nu au mai fost actualizate, deși între timp au apărut programe informatice, furnizori sau camere video noi;
• s-a schimbat conducerea, de exemplu un primar nou sau un administrator nou, care vrea să știe ce preia;
• urmează desemnarea unui DPO și trebuie stabilit punctul de plecare;
• a avut loc un incident sau o plângere și trebuie verificat dacă problema este izolată;
• ați primit o adresă de la ANSPDCP și trebuie să răspundeți documentat.

Pentru primării, auditul este deseori primul pas, pentru că o autoritate publică este obligată să aibă DPO și documentație la zi. Riscurile concrete pentru instituții și firme, inclusiv regimul amenzilor, sunt explicate în ghidul despre amenzile GDPR aplicate de ANSPDCP.

Ce verificăm

Auditul acoperă domeniile în care apar cel mai des neconformități:

• Inventarul prelucrărilor. Ce date se colectează în fiecare compartiment și dacă registrul prevăzut de art. 30 GDPR există și corespunde realității.
• Temeiurile legale. Dacă fiecare prelucrare are un temei valid conform art. 6 și, pentru datele sensibile, conform art. 9.
• Principiile de prelucrare. Minimizarea datelor, limitarea scopului, durata de păstrare (art. 5).
• Informarea persoanelor. Dacă notele de informare cerute de art. 13–14 există, sunt complete și sunt aduse efectiv la cunoștința persoanelor.
• Drepturile persoanelor vizate. Dacă există o procedură pentru cererile de acces, rectificare, ștergere sau opoziție (art. 15–22) și dacă termenele sunt respectate.
• Relația cu furnizorii. Dacă persoanele împuternicite au contracte cu clauzele de la art. 28.
• Securitatea datelor. Controlul accesului, parole, copii de siguranță, arhivă fizică, camere video, eliminarea documentelor (art. 32).
• Incidentele. Dacă există o procedură de notificare în 72 de ore și un registru al incidentelor (art. 33–34).
• DPO și evaluarea de impact. Dacă DPO-ul este desemnat acolo unde e obligatoriu (art. 37) și dacă s-a făcut DPIA pentru prelucrările cu risc ridicat (art. 35).

Ce conține raportul de audit GDPR

Raportul este documentul principal al auditului. Îl primiți în scris, iar structura lui este aceasta:

Pentru constatările legate de securitate, raportul se poate completa cu o analiză de risc GDPR detaliată și cu registrul riscurilor.

Audit GDPR sau evaluare periodică

Cele două servicii se confundă ușor. Auditul este diagnosticul inițial: se face atunci când nu știți unde vă aflați. Evaluarea conformității GDPR se face după implementare, periodic, și verifică dacă măsurile deja puse în practică funcționează. Dacă nu ați făcut niciodată o verificare, începeți cu auditul.

Cum lucrăm

1. Discuție inițială. Aflăm mărimea organizației, numărul de compartimente și sedii și ce documentație GDPR există.
2. Ofertă și calendar. Stabilim domeniul auditului, prețul și datele vizitelor sau ale întâlnirilor online.
3. Solicitarea documentelor. Vă trimitem lista documentelor de pus la dispoziție: registre, note de informare, contracte, decizii interne.
4. Interviuri și verificare la fața locului. Discutăm cu persoanele care lucrează cu datele și verificăm arhiva, accesul la calculatoare, camerele video.
5. Analiză și redactarea raportului. Comparăm constatările cu cerințele legale și clasificăm neconformitățile.
6. Prezentarea rezultatelor. Discutăm raportul cu conducerea și răspundem la întrebări despre planul de remediere.

Ce primiți

• raportul de audit GDPR în scris;
• lista neconformităților, cu temeiul legal pentru fiecare;
• un plan de remediere cu priorități clare;
• o imagine clară asupra expunerii la sancțiuni;
• recomandarea pasului următor: remediere internă, implementare GDPR sau desemnarea unui DPO.

De ce KRASP DPO pentru audit

Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea KRASP DPO, în aprilie 2018. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică. În audit, asta se vede în partea de securitate: nu ne oprim la ce scrie în procedură, ci verificăm cine are cheia de la arhivă, ce vede camera de pe hol și unde ajung documentele scoase la imprimantă.

Am lucrat cu primării, agenții județene și firme private. Pentru specificul instituțiilor de învățământ, vedeți și pagina GDPR pentru școli și grădinițe.

Cât costă un audit GDPR

Auditul GDPR se ofertează în funcție de numărul de angajați, de compartimente și de sedii. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este cel final. Modul în care stabilim tarifele este explicat pe pagina de prețuri. Pentru o estimare, sunați la 0735 77 66 73 sau scrieți-ne prin pagina de contact.