Evaluare conformitate GDPR: verificăm periodic dacă măsurile funcționează

Ce este evaluarea conformității GDPR

Evaluarea conformității GDPR este verificarea, făcută la intervale regulate, a faptului că măsurile de protecție a datelor pe care organizația le-a adoptat sunt aplicate în practică și au rămas potrivite activității. Pornește de la documentația existentă: registre, note de informare, proceduri, contracte, și o compară cu ceea ce se întâmplă efectiv în birouri.

Evaluarea are un fundament direct în Regulamentul (UE) 2016/679. Art. 24 cere ca măsurile tehnice și organizatorice să fie revizuite și actualizate atunci când este necesar. Art. 32 alin. (1) lit. d) cere, pentru securitatea datelor, un proces de testare, evaluare și apreciere periodică a eficacității măsurilor. Cu alte cuvinte, o implementare GDPR făcută o dată și lăsată apoi nemodificată nu mai îndeplinește cerințele după câțiva ani.

Evaluare conformitate sau audit GDPR

Cele două servicii răspund la întrebări diferite. Tabelul de mai jos arată diferența.

Dacă organizația nu a trecut niciodată printr-o verificare, începeți cu un audit GDPR. Dacă documentația există și vreți să știți dacă mai este valabilă, evaluarea este pasul potrivit.

Cine are nevoie de o evaluare a conformității

• Organizații care au trecut printr-o implementare GDPR și vor să o mențină la zi, indiferent dacă aceasta a fost făcută de noi prin serviciul de implementare GDPR sau de altă firmă.
• Primării și instituții publice cu DPO intern care vor o verificare independentă, făcută din afara organizației.
• Firme care au crescut: angajați noi, un sediu nou, un magazin online, un program de gestiune nou. Situațiile uzuale sunt descrise pe pagina GDPR pentru firme și IMM-uri.
• Organizații care au avut un incident și vor să verifice dacă procedura a funcționat.

Ce verificăm la o evaluare

Evaluarea se concentrează pe lucrurile care se schimbă cel mai des după implementare:

• Registrul evidenței prelucrărilor. Dacă reflectă activitatea actuală sau descrie încă situația de acum câțiva ani. Detalii despre acest document găsiți pe pagina despre registrul evidenței activităților de prelucrare.
• Furnizorii noi. Dacă fiecare furnizor care are acces la date are contract cu clauzele de la art. 28 GDPR.
• Notele de informare. Dacă au fost actualizate după schimbările de activitate și dacă sunt afișate sau transmise acolo unde trebuie.
• Cererile persoanelor vizate. Dacă au fost înregistrate, dacă au primit răspuns în termen și dacă răspunsurile au fost corecte.
• Incidentele. Dacă au fost documentate, analizate și, unde era cazul, notificate către ANSPDCP în 72 de ore.
• Drepturile de acces. Dacă foștii angajați mai au conturi active și dacă fiecare persoană vede doar datele de care are nevoie.
• Instruirea. Dacă angajații noi au fost instruiți și dacă există evidența instruirii.
• Securitatea practică. Copii de siguranță testate, arhiva încuiată, documentele eliminate corespunzător, camerele video conforme cu informarea afișată.

Cum lucrăm

1. Stabilim calendarul. Convenim perioada evaluării, de regulă anual, la aceeași dată, pentru ca rapoartele să fie comparabile.
2. Primim documentele actualizate. Ne transmiteți versiunile curente ale registrelor, procedurilor și contractelor, plus evidența cererilor și a incidentelor din perioadă.
3. Aflăm ce s-a schimbat. Discutăm cu conducerea și cu compartimentele despre activitățile, furnizorii și programele informatice apărute între timp.
4. Verificăm aplicarea. Prin interviuri scurte și, unde este cazul, verificare la fața locului, comparăm procedurile cu practica.
5. Redactăm raportul. Consemnăm abaterile, documentele de actualizat și progresul față de evaluarea anterioară.
6. Discutăm planul pe perioada următoare. Stabilim împreună ce se rezolvă intern și ce preluăm noi.

Ce primiți

• raportul de evaluare a conformității, în scris;
• comparația cu evaluarea anterioară, astfel încât conducerea vede progresul;
• lista documentelor de actualizat și propunerile de text;
• recomandări de instruire pentru personalul nou sau pentru compartimentele cu probleme;
• o dovadă documentată că organizația își revizuiește periodic măsurile, utilă la un control ANSPDCP.

Reevaluarea GDPR anuală în practică

Recomandăm o reevaluare anuală, completată de o evaluare suplimentară ori de câte ori se produce o schimbare importantă. Semnele că este momentul unei reevaluări sunt, de regulă, acestea:

• organizația s-a reorganizat, s-au înființat compartimente noi sau s-a mutat într-un alt sediu;
• a fost introdus un program informatic nou, o platformă online sau un serviciu de stocare în cloud;
• sistemul de supraveghere video a fost extins sau mutat;
• s-au schimbat furnizorii care au acces la date, de exemplu firma de contabilitate sau de mentenanță IT;
• a avut loc un incident de securitate sau a fost primită o plângere;
• s-a schimbat conducerea, iar noua conducere vrea să știe ce preia;
• au trecut mai mult de 12 luni de la ultima verificare documentată.

O reevaluare făcută la timp costă mai puțin decât refacerea întregii documentații după câțiva ani de neglijare, pentru că modificările sunt mici și ușor de urmărit. Pentru organizațiile care au abonament DPO extern, riscurile se reevaluează periodic în cadrul abonamentului, iar un raport formal de evaluare se poate adăuga în ofertă.

KRASP DPO activează din aprilie 2018, iar fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității. Lucrăm la sediul clientului în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și online pentru clienții din restul țării.

Cât costă evaluarea conformității GDPR

Evaluarea se ofertează în funcție de mărimea organizației și de cât de extinsă este documentația de verificat. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este cel final. Vedeți informațiile generale despre tarife pe pagina de prețuri.