Что мы делаем для вашей компании

Оценка соответствия

Оценка показывает, насколько обработка персональных данных в вашей компании соответствует Закону № 195/2024. Оператор несет ответственность за соблюдение принципов обработки и должен быть готов доказать их соблюдение (часть (2) статьи 5 и часть (1) статьи 24). Вы получаете письменный отчет о том, чего не хватает, и приоритеты устранения. Оценку можно заказать отдельно; кроме того, она входит первым шагом в каждый пакет.

• ✓Онлайн-интервью с сотрудниками, которые знают, как в компании обрабатываются данные
• ✓Перечень обрабатываемых персональных данных
• ✓Анализ обязанности вести учет деятельности по обработке
• ✓Письменный отчет о том, чего не хватает по Закону № 195/2024
• ✓Приоритеты устранения, начиная с наибольших рисков

Документация по соответствию

Документация по соответствию объединяет, в зависимости от случая, документы, с помощью которых ваша компания применяет Закон № 195/2024: учет деятельности по обработке (статья 30), информацию для субъектов персональных данных (статьи 13 и 14), политику защиты данных (статья 24), договоры с лицами, действующими по поручению оператора (статья 28), меры безопасности (статья 32) и правила для тех, кто работает с данными только по инструкциям оператора (статья 29). Мы готовим их исходя из реальной деятельности компании.

• ✓Перечень данных и отчёт о несоответствиях
• ✓Учёт деятельности по обработке, с правовым основанием и сроком хранения для каждой
• ✓Политика защиты данных и описание мер безопасности
• ✓Информационные уведомления для каждой группы лиц: клиентов, сотрудников, пациентов
• ✓Договоры с лицами, действующими по поручению оператора, новые или проверенные
• ✓Внутренние правила для запросов субъектов данных и для нарушений безопасности данных
• ✓Обязательство о конфиденциальности и письменная памятка для сотрудников

Внешнее лицо, ответственное за защиту данных

Лицо, ответственное за защиту данных, обязательно для органов публичной власти и публичных учреждений, кроме судебных инстанций при отправлении правосудия, и для операторов, основная деятельность которых состоит в регулярном и систематическом широкомасштабном мониторинге субъектов данных либо в широкомасштабной обработке особых категорий данных или данных об уголовных приговорах (часть (1) статьи 37), а также когда этого требуют другие нормативные акты (часть (4) статьи 37). В остальных случаях назначение добровольно. Ответственное лицо может быть внешним и работать по договору об оказании услуг (часть (6) статьи 37).

• ✓Информирование и консультирование руководства и работников
• ✓Мониторинг соблюдения закона и внутренней политики
• ✓Консультации по оценке воздействия на защиту персональных данных
• ✓Сотрудничество с Национальным центром по защите персональных данных и роль контактного лица для него
• ✓Контактное лицо для субъектов персональных данных
• ✓Подготовка сообщения Центру контактных данных ответственного лица и текста для их публикации

Информирование и консультирование сотрудников

Оператор и лицо, действующее по поручению оператора, принимают меры, чтобы любое физическое лицо, действующее с их санкции и имеющее доступ к персональным данным, обрабатывало их только на основании инструкций оператора (часть (4) статьи 32). Информирование и консультирование сотрудников, занятых обработкой, — также одна из задач лица, ответственного за защиту данных (пункт a) части (1) статьи 39). Если компания обрабатывает национальный идентификационный номер (IDNP) на основании законного интереса, закон также требует регулярно разъяснять лицам, которые обрабатывают его с прямой санкции оператора, их обязанности (пункт c) части (2) статьи 53).

• ✓Онлайн-сессия для не более чем 20 человек
• ✓Разъяснение документов и процедур компании на примерах из её деятельности
• ✓Ответы на вопросы сотрудников
• ✓Список присутствующих, который хранит компания

Поддержка при инцидентах

При нарушении безопасности персональных данных оператор уведомляет Национальный центр по защите персональных данных без необоснованных задержек и, по мере возможности, не позднее 72 часов, за исключением случая, когда вероятность, что нарушение повлечет риск, крайне мала (часть (1) статьи 33). При высоком риске он информирует субъектов персональных данных (часть (1) статьи 34).

• ✓Оценка риска для прав и свобод физических лиц
• ✓Уведомление Центра, когда оно необходимо
• ✓Информирование субъектов персональных данных при высоком риске
• ✓Документирование нарушения, его последствий и мер по устранению