BDAR dokumentai įmonei: kaina ir kas realiai privaloma

Kai įmonė ieško BDAR dokumentų, ji greitai atsimuša į du kraštutinumus. Vienoje pusėje trisdešimt eurų kainuojantis šablonų archyvas, kurį reikia patiems prisitaikyti. Kitoje pusėje septyni šimtai ir daugiau. Per vidurį beveik nieko.

Šis puslapis paaiškina, kuo tie kraštutinumai skiriasi ir, svarbiausia, ką reglamentas iš jūsų iš tikrųjų reikalauja. Nes dalis to, ką rinka parduoda kaip privaloma, privaloma nėra, o dalis to, apie ką tylima, privaloma visiems.

Kiek ima rinka

Palyginimui, ta pati įmonė gaisrinės saugos dokumentus parduoda už 199 €, o civilinės saugos už 149 €. Tai rodo, kad septyni šimtai už BDAR nėra atsitiktinis skaičius: duomenų apsaugos paketas rinkoje kainuoja tris ar keturis kartus brangiau nei bet kuris kitas privalomas dokumentų komplektas.

Lengvata mažoms įmonėms, kuri beveik niekada nesuveikia

Čia dažniausia klaida, ir ji kartojama net konsultantų puslapiuose.

Reglamento 30 straipsnis įpareigoja tvarkyti duomenų tvarkymo veiklos įrašus. To paties straipsnio 5 dalis lyg ir daro išimtį mažiems. Bet perskaitykime, ką ji sako iš tikrųjų:

Pareigos <...> netaikomos įmonei arba organizacijai, kurioje dirba mažiau kaip 250 darbuotojų, išskyrus atvejus, kai dėl jos vykdomo duomenų tvarkymo gali kilti pavojus duomenų subjektų teisėms ir laisvėms, duomenų tvarkymas nėra nereguliarus arba duomenų tvarkymas apima specialių kategorijų asmens duomenis <...>

Atkreipkite dėmesį į vidurinę sąlygą. Dviguba neiginio konstrukcija reiškia paprastą dalyką: jei duomenis tvarkote reguliariai, lengvata jums netaikoma.

O reguliariai duomenis tvarko praktiškai kiekviena veikianti įmonė. Turite darbuotojų, vadinasi, tvarkote jų duomenis kas mėnesį. Turite klientų sąrašą, užsakymus, sąskaitas, kamerą prie durų arba naujienlaiškį. Tai ir yra reguliarus tvarkymas.

Praktinė išvada: ta lengvata parašyta nereguliariems atvejams, pavyzdžiui, vienkartinei akcijai. Įmonei, kuri dirba kasdien, ji nesuveikia beveik niekada, nors turi tik du darbuotojus.

Duomenų apsaugos pareigūno greičiausiai NEREIKIA

Čia priešinga klaida, ir ji kainuoja pinigus.

Pareigūnas privalomas tik trimis atvejais, ir 37 straipsnis juos išvardija baigtiniu sąrašu:

1. duomenis tvarko valdžios institucija arba įstaiga;
2. pagrindinė veikla yra tvarkymas, dėl kurio būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus;
3. pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu.

Dviejose iš trijų sąlygų kartojasi žodžiai „pagrindinė veikla“ ir „dideliu mastu“. Jei jūsų verslas yra kirpykla, statybos ar elektroninė parduotuvė, duomenų tvarkymas nėra jūsų pagrindinė veikla, o mastas nėra didelis. Pareigūno jums nereikia.

Reglamentas leidžia jį paskirti savanoriškai. Bet paskyrus atsiranda pareiga jo kontaktus paskelbti ir pranešti priežiūros institucijai, o pats pareigūnas turi turėti dalykinę kompetenciją. Savanoriškas paskyrimas yra papildomas įsipareigojimas, ne apsauga.

Baudos: du skirtingi dydžiai, o ne vienas

Rinkoje visur cituojami dvidešimt milijonų. Tai netikslu, ir netikslumas veikia jūsų nenaudai, nes verčia pirkti iš baimės.

Reglamento 83 straipsnis skiria dvi pakopas:

Tai, ką paprastai parduoda dokumentų paketas, yra pirmoji pakopa. Ir dar viena detalė, apie kurią retai kalbama: 83 straipsnio 3 dalis nustato, kad padarius kelis pažeidimus viena operacija bendra bauda nėra didesnė nei suma už rimčiausią pažeidimą. Baudos nesudedamos.

Du terminai, kuriuos reikia sugebėti atlaikyti

Dokumentai patys savaime nieko neapsaugo. Realiai patikrinama tada, kai kas nors atsitinka, o tada svarbu ne popierius, o ar suspėjate.

72 valandos. Įvykus duomenų saugumo pažeidimui apie jį reikia pranešti priežiūros institucijai „nepagrįstai nedelsiant ir, jei įmanoma, praėjus ne daugiau kaip per 72 valandas“ nuo sužinojimo. Nespėjus prie pranešimo privaloma pridėti vėlavimo priežastis.

Vienas mėnuo. Gavus duomenų subjekto prašymą atsakyti reikia ne vėliau kaip per vieną mėnesį. Terminą galima pratęsti dar dviem mėnesiais dėl sudėtingumo, bet apie patį pratęsimą reikia informuoti per pirmą mėnesį, kartu nurodant priežastis. Tylėjimas mėnesį ir atsakymas antrą yra pažeidimas net tada, kai atsakymas geras.

Būtent todėl pakete svarbiausi ne politikos tekstai, o prašymų priėmimo tvarka ir pažeidimo registravimo forma. Tai vieninteliai du dokumentai, kurie realiai naudojami esant spaudimui.

Ką turi sudaryti paketas

• privatumo politika svetainėje ir vidaus duomenų apsaugos politika
• duomenų tvarkymo veiklos įrašai pagal 30 straipsnį, su tikslais, duomenų kategorijomis, gavėjais ir saugojimo terminais
• duomenų subjektų prašymų priėmimo ir atsakymo tvarka su mėnesio terminu
• pažeidimų registravimo žurnalas ir pranešimo šablonas su 72 valandų taku
• darbuotojų informavimo dokumentai ir konfidencialumo pasižadėjimai
• sutikimų formos ten, kur sutikimas realiai reikalingas
• duomenų tvarkymo sutartis su paslaugų teikėjais, kurie jūsų duomenis mato

Ko į 450 € neįeina, ir sakome tai iš anksto. Poveikio duomenų apsaugai vertinimas (PDAV): VDAI sąrašas jį daro privalomą, kai kamera filmuoja darbo vietą, o tai tipinė kavinė ar kirpykla su kamera virš baro. Ar jums jo reikia, pasakome po klausimyno ir įkainojame atskirai. Taip pat neprogramuojame slapukų sutikimo lango jūsų svetainėje: duodame patikros sąrašą administratoriui, nes slapukų politika galioja tik tada, kai langas stabdo analitiką iki sutikimo.

Jei paketas neturi veiklos įrašų su jūsų duomenų kategorijomis, tai ne paketas, o tekstų rinkinys. Įrašai yra vienintelis dokumentas, kurio šablonu užpildyti neįmanoma, nes jame surašyta tai, ką konkrečiai darote jūs.

Kaip atrodo paketas

Pavyzdys: kavinė su svetaine, aštuoniais darbuotojais, kameromis ir naujienlaiškiu. Pakete privatumo politika, veiklos įrašai, darbuotojų taisyklės, prašymų ir pažeidimų tvarkos, vaizdo stebėjimo taisyklės, slapukų politika, sutikimai ir tvarkymo sutartis.

Pats ar per mus

Pats. Trisdešimt eurų už šablonus plius jūsų laikas. Realiai sunkiausia dalis yra ne rašymas, o inventorius: išvardyti visas vietas, kur jūsų įmonėje guli žmonių duomenys. To už jus nepadarys joks šablonas.

Per mus. 450 €. Užpildote anketą, mes surašome veiklos įrašus pagal jūsų realią veiklą ir paruošiame visą paketą su jūsų įmonės duomenimis. Standartinis terminas trys darbo dienos.

Visos kainos ir skubos priemokos surašytos čia: kainos.

Kitos paslaugos