Инструктаж по защите данных согласно DSGVO для работников — базовый инструктаж по немецкому праву

Этот инструктаж предназначен для работы в Германии. Это перевод немецкого курса; действуют немецкие предписания и указания вашего предприятия.

15 модулей · около 53 минут · итоговый тест из 20 вопросов, для сдачи нужно 14 правильных · сертификат участия в PDF

О чём этот курс

Каждый, кто на предприятии записывает данные клиентов, читает заявки соискателей, рассчитывает зарплаты или просто пишет электронные письма, обрабатывает персональные данные — и тем самым оказывается в самом центре Datenschutz-Grundverordnung (DSGVO, Общий регламент ЕС по защите данных).

Регистрация не нужна. Имя и адрес электронной почты мы спросим только перед итоговым тестом – исключительно для вашего сертификата. Ваш прогресс сохраняется в этом браузере. Вы можете прерваться в любой момент и продолжить позже.

Модуль 1 из 15

О чём идёт речь — и чем этот курс не является

Каждый, кто на предприятии берёт в руки имена, адреса, электронные письма, зарплаты или больничные листы, обрабатывает персональные данные — за письменным столом, по телефону, на складе, дома. Поэтому Datenschutz-Grundverordnung (DSGVO, Общий регламент ЕС по защите данных) действует не только для IT-отдела, а для каждого человека, который работает с такими данными. Ст. 32 абз. 4 DSGVO требует, чтобы работники обрабатывали персональные данные только по указанию; ст. 39 абз. 1 п. b DSGVO прямо называет информирование и обучение работников задачей в области защиты данных. Этот курс и есть это обучение.

Чему вы здесь научитесь: где действует DSGVO, что такое персональные данные, какие данные защищены особо, по каким принципам разрешена обработка, какие права есть у субъектов данных, кто какую роль несёт, какие защитные меры важны в вашей повседневной работе, как распознать инцидент с данными и сообщить о нём, что грозит за нарушения — и как принимать решение в серьёзной ситуации.

Что даёт этот курс: общую, правовую часть инструктажа по защите данных с подтверждением содержания, даты и результата.

Чего он не даёт: правил вашего предприятия. Кто ваш уполномоченный по защите данных или контактное лицо, как выглядит ваш порядок уведомления при инциденте, какое правило паролей и какие сроки удаления действуют — это знает только ваше предприятие. Для этого есть модуль «Порядок на нашем предприятии». Курс также не заменяет политику конфиденциальности, реестр операций по обработке и юридическую консультацию по конкретному случаю.

Этот курс — русская версия нашего немецкого инструктажа по защите данных; он написан для работников, которые работают в Германии, но не читают по-немецки. Курс объясняет немецкое и европейское право; в случае сомнений действует немецкая версия.

Запомните

Защита данных — это не задача «IT-отдела» или «уполномоченного по защите данных». Большинство инцидентов с данными происходит на рабочем месте: электронное письмо не тому получателю, незаблокированный экран, папка с документами в столовой. Именно с этого и начинается этот курс.

Модуль 2 из 15

Правовая основа в одном месте — DSGVO и BDSG

Два свода правил работают вместе. Кто один раз увидел их во взаимосвязи, быстрее поймёт остальную часть курса.

Где действует DSGVO — по предмету (ст. 2)

DSGVO действует для любой полностью или частично автоматизированной обработки — то есть везде, где задействован компьютер, смартфон или сервер. Но он действует и без компьютера, как только персональные данные сохранены или должны быть сохранены в картотеке (структурированном наборе данных): в папке, картотеке, систематизированном архиве. Не охвачены разрозненные, неупорядоченные записи без системы — и чисто личная, семейная деятельность (ст. 2 абз. 2 п. c), например собственная адресная книга дома.

Где действует DSGVO — по территории (ст. 3)

• Контролёр (ответственный за обработку) или обработчик имеет подразделение в ЕС — тогда DSGVO действует независимо от того, где данные фактически обрабатываются.
• Контролёр находится за пределами ЕС, но предлагает лицам в ЕС товары или услуги либо наблюдает за их поведением — тогда он тоже действует (принцип места рынка).

Примеры: немецкая фирма хранит данные клиентов — DSGVO действует. Американская компания продаёт в Германии и хранит для этого данные пользователей — DSGVO действует. Американская компания обрабатывает исключительно данные лиц в США без связи с ЕС — DSGVO не действует.

Запомните

Решающим является не гражданство («гражданин ЕС»), а то, находится ли лицо в Союзе или учреждён ли здесь контролёр. И ещё: бумага не свободна от защиты данных — личное дело в шкафу подпадает под DSGVO точно так же, как файл на сервере.

Модуль 3 из 15

Персональные данные и обработка

Защита данных касается персональных данных. Согласно ст. 4 п. 1 DSGVO это любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. Решающим является не то, являются ли данные «секретными» или «личными», а то, можно ли по ним узнать человека — прямо или косвенно.

Примеры: имя и фамилия, дата рождения, возраст, адрес, адрес электронной почты, номер телефона, банковские реквизиты, табельный номер, номер социального страхования, номер удостоверения личности, номерной знак автомобиля, IP-адрес, данные о местоположении, фотографии, голос, отпечаток пальца, история заказов, цвет волос и глаз. Служебный адрес imya.familiya@firma.de тоже является персональными данными — человек однозначно узнаваем.

Косвенная идентификация: «блондинка из отдела кадров» — если там работает только одна блондинка, это персональные данные, даже без имени. То же самое относится к псевдонимам (табельный номер, номер клиента), пока где-то существует ключ, ведущий обратно к человеку (ст. 4 п. 5). Только действительно анонимные данные, по которым никто больше не может определить человека, выпадают из DSGVO. Данные юридических лиц (фирма Müller GmbH как таковая) не защищены — но защищены данные её контактных лиц.

Что означает «обработка» (ст. 4 п. 2)

Практически любое обращение с персональными данными является обработкой: сбор, запись, систематизация, хранение, изменение, извлечение, запрос, использование, передача, сопоставление, ограничение, удаление, уничтожение.

Запомните

Уже просмотр является обработкой. Кто открывает дело, которое его не касается, обрабатывает данные без указания — и это уже нарушение, даже если ничего не «случилось».

Модуль 4 из 15

Особые категории персональных данных

Некоторые данные могут особенно навредить человеку, если попадут не в те руки: они могут привести к дискриминации, изоляции или преследованию. Поэтому ст. 9 абз. 1 DSGVO устанавливает для них принципиальный запрет обработки — обработка разрешена только в узко очерченных исключениях ст. 9 абз. 2, например при явно выраженном согласии или если этого требует трудовое и социальное право (§ 26 абз. 3 BDSG, например больничный лист для сохранения заработной платы).

Особые категории согласно ст. 9 абз. 1:

• расовое или этническое происхождение
• политические взгляды (например, партийная принадлежность)
• религиозные или мировоззренческие убеждения
• членство в профсоюзе
• генетические данные
• биометрические данные для однозначной идентификации (сканирование отпечатка пальца, распознавание лица)
• данные о здоровье (диагнозы, дни болезни, тяжёлая инвалидность, беременность)
• данные о половой жизни или сексуальной ориентации

Номер социального страхования, таким образом, не является данными по ст. 9 — но это чувствительный идентификатор, который всё равно нужно тщательно защищать. И наоборот: обычная фотография на паспорт не является автоматически биометрической; биометрической в смысле ст. 9 она становится только тогда, когда из неё техническими методами извлекается признак для однозначной идентификации.

Для вашей повседневной работы

Дни болезни, справки, удостоверение инвалида, религиозная принадлежность (признак церковного налога в расчётном листке): эти данные принадлежат только тем лицам, которым они нужны для их задачи — не в чат команды, не в открытый архив, не в разговор в коридоре.

Модуль 5 из 15

Принципы обработки

Ст. 5 DSGVO — это компас. Любая обработка на предприятии должна выдерживать проверку по этим семи принципам — и надзорные органы проверяют именно по этому списку.

Что это значит для вас

Вы не решаете вопросы правовых оснований и сроков удаления — но вы каждый день претворяете принципы в жизнь. Кто «по-быстрому» использует данные для другой цели, кто запрашивает больше, чем нужно, или кто из удобства хранит старые записи, нарушает ст. 5, даже без злого умысла.

Запомните

Цель, объём, срок. Для чего мне нужны эти данные? Действительно ли мне нужны все они? Как долго я могу их хранить? Кто задаёт эти три вопроса, понял ст. 5.

Модуль 6 из 15

Правовые основания — когда разрешена обработка

В защите данных действует запрет с оговоркой о разрешении: персональные данные можно обрабатывать только тогда, когда применимо одно из правовых оснований, названных в ст. 6 абз. 1 DSGVO. Их шесть — пункты от a до f.

Согласие — самое слабое основание

Согласие должно быть дано добровольно, осознанно, однозначно и для конкретной цели (ст. 7). Оно может быть отозвано в любое время — и отзыв должен быть таким же простым, как и его предоставление. Поэтому на предприятии это часто неправильный выбор: то, что необходимо для исполнения договора, не требует согласия; а кто полагается на согласие, должен быть готов к его отзыву.

Данные работников — § 26 BDSG

Для данных работников наряду со ст. 6 абз. 1 п. b действует национальная норма § 26 BDSG: обработка допустима, если она необходима для установления, осуществления или прекращения трудовых отношений — расчёт заработной платы, учёт рабочего времени, планирование отпусков, подтверждения квалификации. Согласие работников является добровольным только тогда, когда им не грозят неблагоприятные последствия (§ 26 абз. 2); поэтому оно — исключение, а не правило.

Для вашей повседневной работы

Вы не должны сами определять правовое основание — это делает контролёр и фиксирует его в реестре операций по обработке. Но вы должны знать: без основания нет обработки. Кто хочет использовать данные клиентов для новой цели, спрашивает заранее — а не потом.

Модуль 7 из 15

Права субъектов данных

DSGVO даёт каждому лицу, чьи данные обрабатываются, права, которые можно отстоять. Клиент, соискатель, коллега может заявить их — по электронной почте, письмом, по телефону, в любой свободной форме. И запрос попадает не к уполномоченному по защите данных, а к тому, кто как раз подходит к телефону.

Срок: один месяц

Ст. 12 абз. 3 DSGVO: запросы должны быть отвечены без промедления, не позднее чем в течение одного месяца после получения. При сложных или многочисленных запросах срок может быть продлён ещё на два месяца — тогда лицо должно быть проинформировано об этом в течение первого месяца. Предоставление доступа бесплатно (ст. 12 абз. 5). Кто пропускает срок, рискует получить жалобу в надзорный орган (ст. 77) и штраф.

Что вы делаете, если запрос попадает к вам

1. Не отвечать самостоятельно — и не выдавать данные по телефону, пока не установлена личность.
2. Записать дату получения. Месячный срок идёт с момента получения, а не с момента передачи дальше.
3. Немедленно передать в ответственную инстанцию (уполномоченный по защите данных, руководство предприятия, назначенное контактное лицо — модуль «Порядок на нашем предприятии»).

Запомните

Запрос субъекта данных — это не жалоба и не нападение. Это право. Ошибка почти никогда не в ответе — а в том, что запрос три недели лежит в почтовом ящике.

Модуль 8 из 15

Роли — контролёр, обработчик, уполномоченный по защите данных

Четыре понятия упорядочивают, кто за что отвечает в защите данных.

Пример: фирма Müller поручает расчётному бюро расчёт заработной платы. Контролёр — фирма Müller, обработчик — расчётное бюро, субъекты данных — работники. Согласно ст. 28 абз. 3 для этого нужен письменный договор об обработке по поручению — без него передача данных недопустима. Контролёр остаётся ответственным за всё, что делает поставщик услуг (ст. 24).

Уполномоченный по защите данных (DSB)

Согласно § 38 абз. 1 BDSG предприятие должно назначить уполномоченного по защите данных (Datenschutzbeauftragter, DSB), если, как правило, не менее 20 человек постоянно заняты автоматизированной обработкой персональных данных — и независимо от числа, если проводятся особо рискованные операции обработки (ст. 37 DSGVO, § 38 BDSG). DSB информирует и консультирует, контролирует соблюдение, является контактным лицом для работников, субъектов данных и надзорного органа (ст. 39). В своей задаче он не подчиняется указаниям и не может быть поставлен в невыгодное положение за её выполнение (ст. 38 абз. 3). Он не принимает решений — и не отвечает вместо руководства предприятия.

Задачи на предприятии

• Руководство предприятия: устанавливает правила, предоставляет средства, несёт организационную ответственность (ст. 24).
• Руководители: претворяют правила в жизнь в своей команде, контролируют, инструктируют, поддерживают DSB.
• Работники: обрабатывают только по указанию (ст. 29, ст. 32 абз. 4), соблюдают внутренние и законодательные правила, сообщают об инцидентах с данными и нарушениях немедленно руководителю или DSB.

Запомните

Ответственность несёт предприятие, а не DSB. DSB консультирует и контролирует — он ваше контактное лицо, когда вы не уверены, а не тот, на кого показывают в случае сомнений.

Модуль 9 из 15

Технические и организационные меры (TOM)

TOM (нем. technische und organisatorische Maßnahmen) означает технические и организационные меры. Ст. 32 DSGVO обязывает контролёров и обработчиков обеспечить уровень защиты, соответствующий риску, — и прямо называет псевдонимизацию и шифрование, обеспечение конфиденциальности, целостности, доступности и устойчивости систем, восстанавливаемость после инцидента (резервное копирование) и регулярную проверку эффективности.

Что в ваших руках

Большинство TOM работают только тогда, когда вы их применяете:

• Блокируйте экран, как только покидаете рабочее место — даже «на минутку», даже если в помещении только коллеги. Не каждому коллеге разрешено видеть всё.
• Пароли: длинные, уникальные для каждого сервиса, никогда не передавать, не на бумажке на мониторе, не в чате команды. Менеджер паролей разрешён и желателен, если предприятие его одобрило.
• Чистый стол: кадровые документы, списки клиентов, распечатки вечером запирать; не использовать принтер как место хранения.
• Носители данных и бумагу с персональными данными не в обычный мусор — в шредер или в контейнер для конфиденциальных документов.
• Права доступа использовать так, как они выданы: то, что вы могли бы увидеть, вам не разрешено автоматически просматривать (ст. 32 абз. 4).
• Никаких личных устройств, облачных сервисов или мессенджеров для данных фирмы, если предприятие их прямо не одобрило.

Запомните

Самый дорогой межсетевой экран не поможет, если личное дело лежит открыто в переговорной. Спрашивайте себя на каждом рабочем месте: где записаны наши TOM, какие касаются меня — и соблюдаю ли я их сегодня?

Модуль 10 из 15

Инциденты с данными — распознать, сообщить, задокументировать

Инцидент с данными (нем. Datenpanne) — DSGVO говорит о «нарушении защиты персональных данных» (ст. 4 п. 12) — имеет место, если персональные данные были несанкционированно раскрыты, изменены, уничтожены или утеряны либо к ним получили доступ посторонние. Умысел роли не играет. Большинство инцидентов — это оплошности.

Типичные случаи:

• рассылка всем клиентам, адреса стоят в поле «Кому» вместо «Скрытая копия»
• электронное письмо со списком зарплат или коммерческим предложением уходит не тому получателю
• личные дела остаются в столовой, и их читают
• украден ноутбук или смартфон с данными клиентов, потерян USB-накопитель
• программа-вымогатель шифрует сервер — потеря доступности тоже является инцидентом
• в интернет-магазине посетитель видит данные клиента, который входил в систему до него
• IT-отдел по ошибке удаляет всех клиентов из CRM без резервной копии

Сроки

72 часа идут с момента, когда об этом стало известно на предприятии — а не с момента, когда об этом узнаёт DSB. Кто три дня держит инцидент при себе, уже израсходовал срок для предприятия. Нужно ли уведомлять, решает не тот человек, с которым случилась оплошность, а контролёр после проверки риска.

Что вы делаете — в этом порядке

1. Немедленно сообщить — уполномоченному по защите данных или руководителю, в тот же день, даже если не уверены, «действительно» ли это инцидент.
2. Ограничить ущерб, насколько возможно: попросить ошибочного получателя удалить данные, заблокировать устройство, изменить доступы.
3. Зафиксировать, что произошло: что, когда, какие данные, сколько человек, кто был проинформирован.
4. Не скрывать, не «чинить» самостоятельно, не звонить субъектам данных по собственной инициативе — это координирует контролёр.

Запомните

Инцидент, о котором сообщили, — это рабочий процесс. Инцидент, о котором умолчали, — это второе нарушение, и оно обойдётся дороже первого (ст. 83 абз. 4).

Модуль 11 из 15

Защита данных в повседневной работе — электронная почта, фишинг, работа из дома, мобильные устройства

Предписания стоят в ст. 5 и ст. 32 — нарушения происходят в вашем почтовом ящике, на вашем телефоне и за кухонным столом при работе из дома. Шесть ситуаций, которые касаются почти каждого.

Электронная почта

• Проверяйте получателя, прежде чем отправить — автозаполнение охотно подставляет не того «Müller». Отправка персональных данных не тому получателю — это инцидент с данными (ст. 4 п. 12).
• Список рассылки в «Скрытую копию», никогда в «Кому» или «Копию», если получателям не нужно знать друг друга.
• Вложения с чувствительными данными шифровать или отправлять через одобренный канал обмена; пароль — отдельным путём.
• Не пересылать служебные электронные письма на личные почтовые ящики.

Фишинг и социальная инженерия

Злоумышленникам не нужна техника, если человек открывает дверь. Типично: электронное письмо «от руководства» срочно требует список зарплат или перевод; «IT-отдел» просит ваш пароль; ссылка ведёт на страницу входа, похожую на настоящую. Признаки: спешка, секретность, необычный канал, отличающийся адрес отправителя, орфографические ошибки, адрес ссылки не соответствует тексту. Правильно всегда одно: не нажимать, ничего не отправлять, переспросить по известному каналу (номер телефона из справочника, а не из письма) и сообщить о сообщении в IT-отдел или DSB. Никто серьёзный никогда не спрашивает ваш пароль.

Работа из дома и мобильная работа

• Только устройства фирмы или прямо одобренные устройства; использовать VPN.
• Ставить экран так, чтобы соседи по квартире и посетители не могли читать; блокировка экрана и дома.
• Избегать распечаток; если необходимо — хранить под замком и уничтожать на предприятии, а не в домашнем мусоре.
• Не вести конфиденциальные телефонные разговоры в поезде, кафе или открытом офисе.

Мобильные устройства и носители данных

Ноутбук, смартфон, USB-накопитель: зашифрованы, с кодом блокировки, никогда без присмотра в машине или поезде. О потере сообщать немедленно — зашифрованное устройство — это задокументированный инцидент, незашифрованное — инцидент, подлежащий уведомлению.

Телефон и посетители

По телефону никаких сведений о клиентах или коллегах незнакомым — даже «только добавочный номер» или «болеет ли он сегодня». Посетителей сопровождают; экраны, доски и распечатки в переговорной нужно убрать заранее.

Запомните

Три секунды перед нажатием «Отправить» — самая дешёвая мера защиты данных, какая только есть. Получатель, вложение, скрытая копия.

Модуль 12 из 15

Ответственность и штрафы

Нарушения защиты данных имеют последствия — для предприятия и для человека, который их вызвал.

Штрафы (ст. 83)

Надзорные органы могут налагать административные штрафы двух уровней:

В каждом случае действует более высокая сумма. Размер зависит от вида, тяжести и продолжительности нарушения, умысла или небрежности, сотрудничества с органом и того, было ли нарушение заявлено самостоятельно (ст. 83 абз. 2). Кроме того, орган может запретить операции обработки (ст. 58 абз. 2).

Возмещение ущерба (ст. 82)

Каждое лицо, которому в результате нарушения причинён ущерб, имеет право на возмещение — материального и нематериального. Нематериальный ущерб означает: даже потеря контроля над собственными данными, опасение злоупотребления или публичного разоблачения могут подлежать возмещению. Ответчиком является контролёр, при определённых обстоятельствах также обработчик.

Кто отвечает на предприятии?

• Предприятие как контролёр несёт штраф и возмещение ущерба. Руководство предприятия отвечает за организацию: правила, средства, контроль, обучение (ст. 24).
• Уполномоченный по защите данных консультирует и контролирует — он не отвечает вместо руководства (ст. 38, 39).
• Работники отвечают в своей непосредственной сфере ответственности: нарушения указаний могут повлечь письменное предупреждение и увольнение; при грубой небрежности или умысле возможно участие в возмещении ущерба. Кто несанкционированно обрабатывает персональные данные, чтобы обогатиться или навредить кому-либо, совершает уголовно наказуемое деяние согласно § 42 абз. 2 BDSG — до двух лет лишения свободы; кто в виде промысла несанкционированно передаёт данные многих лиц — до трёх лет (§ 42 абз. 1 BDSG).

Запомните

Миллионные суммы платит предприятие. Рабочее место теряет человек, который взял личное дело домой или назвал пароль «коллеге из IT-отдела». И того и другого можно избежать — благодаря тому, что написано в этом курсе.

Модуль 13 из 15

Практический случай: список зарплат уходит не тому получателю

Ситуация: пятница, 16:40. Госпожа K. из отдела кадров отправляет ежемесячный список зарплат в виде вложения Excel в расчётное бюро. Автозаполнение вместо lohn@steuerberater-mueller.de подставило адрес info@mueller-elektrotechnik.de — это клиент. Список содержит имена, зарплаты брутто, налоговые классы, религиозную принадлежность (церковный налог) и у двух человек отметку «доплата к пособию по болезни». Госпожа K. замечает ошибку в 16:55.

Порядок принятия решений

1. Это инцидент с данными? Да. Персональные данные были раскрыты посторонней инстанции (ст. 4 п. 12). То, что это была оплошность и что получатель — солидный клиент, ничего не меняет. То, что список содержит данные по ст. 9 (религия, здоровье), повышает риск.

2. Что госпожа K. делает немедленно — и чего не делает?

3. Кто решает об уведомлении надзорного органа? Контролёр — на практике руководство предприятия вместе с DSB. Срок 72 часа (ст. 33) идёт с пятницы 16:55, то есть до понедельника 16:55. Выходные считаются. Здесь уведомление с большой вероятностью необходимо: данные о зарплате, религии и здоровье означают риск для субъектов данных; подтверждение удаления от получателя может снизить риск, но не отменяет проверку.

4. Нужно ли информировать работников? Согласно ст. 34 — при предположительно высоком риске — здесь это вполне обоснованно, потому что затронуты данные о зарплате и здоровье, а получатель частично лично знает коллег. Решение принимает контролёр, информирование происходит скоординированно, а не госпожой K. в коридоре.

5. Документирование. Инцидент фиксируется согласно ст. 33 абз. 5 в реестре инцидентов с данными — и в том случае, если в итоге уведомление не понадобилось бы. И он анализируется: проверить автозаполнение для внешних адресов, сделать шифрование списка зарплат обязательным.

Что решило исход дела

Не ошибка — она случается с каждым. Исход решила реакция в 16:55: сообщить вместо того, чтобы ждать понедельника. Если бы госпожа K. переждала выходные, 64 из 72 часов были бы израсходованы, прежде чем контролёр вообще узнал бы, что ему нужно принять решение.

Модуль 14 из 15

Порядок на нашем предприятии

Этот модуль заполняет ваше предприятие. Общая часть этого инструктажа заканчивается здесь — то, что следует дальше, знает только ваше предприятие.

Сюда входят следующие сведения:

Для руководства

Порядок уведомления при инцидентах с данными — самый важный пункт этого списка — и тот, который чаще всего остаётся неясным. Срок 72 часа из ст. 33 DSGVO идёт с момента, когда об инциденте стало известно на предприятии. Кто не знает, кому звонить в пятницу вечером, тратит выходные — не из небрежности, а потому что никто ему этого не сказал.

Модуль 15 из 15

Подтверждение прохождения

В заключение — то, что делает этот инструктаж подтверждением.

Зачем вообще подтверждение: ст. 5 абз. 2 DSGVO обязывает контролёра быть в состоянии доказать соблюдение принципов; ст. 24 требует подтверждения надлежащих мер. Обучение работников — одна из таких мер, организационная, часть TOM, — и ст. 39 прямо называет информирование и обучение. Надзорный орган, который проверяет после инцидента с данными, спрашивает в первую очередь: Были ли работники проинструктированы? Покажите мне.

Повторение: DSGVO не называет фиксированного срока. Надзорные органы и органы по сертификации ожидают регулярного обучения — на практике ежегодно, кроме того перед первой обработкой при приёме на работу, при смене деятельности, после инцидента с данными на предприятии и при изменении предписаний.

Круг участников: все, кто обращается с персональными данными, — то есть практически все работники, включая руководителей, учеников, подсобных работников и заёмных работников; для внешних поставщиков услуг это регулирует договор согласно ст. 28.

Документирование: ваш сертификат участия содержит имя, курс, дату, результат, полный список тем и номер сертификата, который можно проверить на странице проверки Академии. Сохраните его и передайте копию в ту инстанцию, которая на предприятии ведёт подтверждения по защите данных — как правило, DSB или отдел кадров.

Что нужно задокументировать дополнительно: обязательство о конфиденциальности (обычно при приёме на работу) и часть, относящуюся к конкретному предприятию, из модуля «Порядок на нашем предприятии». Только обе части вместе — общая часть с сертификатом, часть предприятия с подписью — дают то подтверждение об обучении, которое хочет видеть орган или аудитор.

Запомните

Подтверждение, которое никто не может найти, — не подтверждение. Сохранить сертификат, записать дату, повторить в следующем году — и обучать новых коллег до первого рабочего дня с данными клиентов, а не после.

Итоговый тест

20 вопросов, в каждом один правильный ответ. Для сдачи нужно 14 правильных ответов (70 %). Проверка выполняется на сервере — на этой странице нет ключа с ответами.

Ваш результат