GDPR dokumentáciu je možne získať viacerými spôsobmi. Je možné si ju svojpomocne vypracovať, prípadne kúpiť vzor alebo vypracovať dokumentáciu spoločne s odbornou firmou, ktorá sa špecializuje na túto problematiku. Vždy treba brať ohľad aj na to, že môžu hroziť vysoké pokuty.
GDPR netreba brať na ľahkú váhu
Zavedenie nariadení GDPR prinieslo zvýšenú mieru ochranu osobných údajov. Toto nariadenie sa dotklo každej firmy alebo spoločnosti, ktorá pracuje s osobnými údajmi. Firmy sa musia oboznámiť s problematikou a preštudovať desiatky strán legislatívy, taktiež musia vyhotoviť smernice, zmluvy aj písomné súhlasy ohľadom spracúvania osobných údajov. Musia sa zamerať aj na svoje internetové stránky, newsletter, ale aj formuláre.
Dokumentáciu v súvislosti s GDPR si podnikatelia môžu zabezpečiť buď svojpomocne alebo externe a to odbornou firmou, ktorá im pripraví dokumentáciu priamo na mieru. Na trhu sú aj takzvané balíčky, ktoré obsahujú vzorovú dokumentáciu, ktorú si podnikatelia prispôsobia svojim potrebám.
GDPR dokumentácia sa týka každej firmy, ktorá nakladá s osobnými údajmi. Je možné aby si ju vyhotovil podnikateľ sám ?
Legislatíva GDPR obsahuje prísne pravidlá, s ktorou je spojená aj nemalá byrokracia. Spoločnosti, ktoré získavajú alebo spracúvajú osobné dáta, musia vedieť dokázať, že ich konanie je v súlade s GDPR a že majú splnené všetky povinnosti. Dokumentácia slúži na dokazovanie súladu konania s legislatívou GDPR.
GDPR vyžaduje dokumenty ako napríklad záznamy o spracovateľských činnostiach alebo sprostredkovateľské zmluvy. Niektorú dokumentáciu je možné vyvodiť len zo znenia GDPR ako napríklad preukázanie splnenia informačnej povinnosti voči dotknutým osobám, je možné vyhotoviť dokument pravidlá ochrany osobných údajov, súhlas možno preukázať podpísaným dokumentom súhlas so spracúvaním osobných údajov. Každá firma či organizácia má individuálne potreby a preto je vhodnejšie si v istých prípadoch dať vyhotoviť dokumenty odbornej firme zameranej na problematiku GDPR.
Firma alebo orgaizácia by mala prehodnotiť, či má interného zamestnanca, ktorý je dostatočne odborný na vypracovanie dokumentov, ktoré sa týkajú GDPR.
Tento zamestnanec by mal byť aj znalý, ako implementovať nariadenia GDPR do procesov firmy či organizácie.
Od veľkosti firmy závisí aj rozsah potrebnej dokumentácie, ktorú treba vypracovať. Taktiež netreba zabúdať aj na implementačné kroky.
Je možné si zaobstarať vzorovú dokumentáciu
Táto dokumentácia obsahuje často vzory dokumentov, organizačnú smernicu či súhlas so spracovaním údajov.
Vzorová dokumentácia zvyčajne nie je dobrým riešením. V prípade, že spoločnosť nemá odborných ľudí, ktorí sa orientujú v problematike, nebude schopná tieto vzory dostatočne prispôsobiť konkrétnym potrebám. Netreba zabúdať aj na rozsah kúpenej vzorovej dokumentácie, ktorý nemusí byť dostačujúci. V prípade, že spoločnosť nemá znalosti aké dokumenty má vypracovať, nebude vedieť či dané vzory, ktoré si zaobstarala, sú dostatočné a či nechýbajú nejaké potrebné dokumenty.
Takáto vzorová dokumentácia je dobrá pre osobu, ktorá sa orientuje v problematike ochrany osobných údajov a využije tieto dokumenty ako pomôcku na vytvorenie textov do dokumentov, pričom ich vie prispôsobiť potrebám danej spoločnosti.
Vzorovú dokumentáciu využívajú zvyčajne malé firmy alebo živnostníci. Sú tieto dokumenty dostačujúce ?
Hlavnou úlohou spoločnosti, ktorá chce implementovať pravidlá ochrany osobných dát je, analýza údajov, s ktorými pracuje. Zamerať by sa mala na to, aké konkrétne osobné údaje zhromažďuje a ako funguje proces spracovania týchto dát.
Spoločnosť môže vychádzať z tejto analýzy a následný krok je implementovať dané povinnosti na základe GDPR. Zaradiť sem môžeme napríklad: implementáciu dostatočných bezpečnostných opatrení, analýzu možných rizík, lehoty uloženia, minimalizovanie údajov, definícia právneho základu atď. Po vykonaní tejto analýzy, je možné vyhotoviť potrebnú dokumentáciu, ktorá bude odzrkadlovať reálnu situáciu vo firme alebo spoločnosti, ktorá nakladá s osobnými údajmi.
V prípade nedostatočných odborných a právnych znalostí z okruhu ochrany osobných údajov, neurobí spoločnosť dobre počiatočnú analýzu a následkom toho bude vzorová dokumentácia vypracovaná nesprávne. V prípade určenia nesprávneho právneho základu, ako napríklad súhlas namiesto oprávneného záujmu, pričom text obsiahnutý vo vzorovom súhlase môže byť správny, spracovanie bude nezákonné nakoľko je situované na nesprávnom právnom základe. Spoločnosť si môže neuvedomiť, že pri procesoch spracovania, využíva aj sprostredkovateľov a neuzatvorí s nimi sprostredkovateľské zmluvy.
Taktiež môže problém nastať aj pri výkone práv dotknutých osôb. Ak spoločnosť používa vzor odpovede, nemusí byť vhodne vyriešená žiadosť dotknutej osoby, ako napríklad pri výmaze a nebude vedieť dobre vyhodnotiť, či osobné dáta nemôže alebo môže vymazať.