Інструктаж із захисту даних згідно з DSGVO (GDPR) для працівників — за німецьким правом

Цей інструктаж призначений для роботи в Німеччині. Це переклад німецького курсу; чинними є німецькі приписи та вказівки вашого підприємства.

15 модулів · близько 53 хвилин · підсумковий тест із 20 питань, для складання потрібно 14 правильних · сертифікат участі у PDF

Про що цей курс

Хто на підприємстві реєструє дані клієнтів, читає заявки кандидатів, розраховує зарплати або просто пише електронні листи, той обробляє персональні дані — і тим самим опиняється в самому центрі Datenschutz-Grundverordnung (DSGVO, Загального регламенту ЄС про захист даних, GDPR).

Реєстрація не потрібна. Ім’я та адресу електронної пошти ми запитаємо лише перед підсумковим тестом – виключно для вашого сертифіката. Ваш прогрес зберігається в цьому браузері. Ви можете перерватися будь-коли й продовжити пізніше.

Модуль 1 з 15

Про що йдеться — і чим цей курс не є

Хто на підприємстві бере до рук імена, адреси, електронні листи, зарплати чи лікарняні, той обробляє персональні дані — за робочим столом, по телефону, на складі, у домашньому офісі. Тому Datenschutz-Grundverordnung (DSGVO, Загальний регламент ЄС про захист даних, GDPR) стосується не лише ІТ-відділу, а кожної людини, яка працює з такими даними. Ст. 32 ч. 4 DSGVO вимагає, щоб працівники обробляли персональні дані лише за вказівкою; ст. 39 ч. 1 літ. b DSGVO прямо називає підвищення обізнаності та навчання працівників завданням у сфері захисту даних. Цей курс і є таким навчанням.

Чого ви тут навчитеся: де діє DSGVO, що таке персональні дані, які дані захищені особливо, за якими принципами дозволена обробка, які права мають суб'єкти даних, хто яку роль виконує, які захисні заходи важливі у вашій повсякденній роботі, як розпізнати витік даних і повідомити про нього, що загрожує за порушення — і як приймати рішення в критичній ситуації.

Що дає цей курс: загальну, правову частину інструктажу із захисту даних із підтвердженням змісту, дати та результату.

Чого він не дає: правил вашого підприємства. Хто ваш уповноважений із захисту даних або контактна особа, як виглядає ваш шлях повідомлення про витік, яке правило паролів і які строки видалення діють — це знає лише ваша компанія. Для цього є модуль «Порядок на нашому підприємстві». Курс також не замінює політику конфіденційності, реєстр операцій з обробки та юридичну консультацію в конкретному випадку.

Запам'ятайте

Захист даних — це не завдання «ІТ-відділу» чи «уповноваженого із захисту даних». Більшість витоків даних трапляється на робочому місці: лист не тому адресату, незаблокований екран, папка в їдальні. Саме тут і починається цей курс.

Модуль 2 з 15

Правова база в одному місці — DSGVO і BDSG

Два зводи правил доповнюють один одного. Хто один раз побачив їх у взаємозв'язку, швидше зрозуміє решту курсу.

Де діє DSGVO — предметно (ст. 2)

DSGVO діє для будь-якої повністю або частково автоматизованої обробки — тобто всюди, де задіяні комп'ютер, смартфон чи сервер. Але вона діє й без комп'ютера, щойно персональні дані зберігаються або мають зберігатися в картотеці (системі файлів): у папці, картотеці, структурованому архіві. Не охоплені окремі, невпорядковані нотатки без системи — і суто приватна, сімейна діяльність (ст. 2 ч. 2 літ. c), наприклад власна адресна книга вдома.

Де діє DSGVO — територіально (ст. 3)

• Контролер або обробник має представництво в ЄС — тоді DSGVO діє незалежно від того, де дані фактично обробляються.
• Контролер розташований за межами ЄС, але пропонує особам у ЄС товари чи послуги або спостерігає за їхньою поведінкою — тоді вона також діє (принцип місця ринку).

Приклади: Німецька компанія зберігає дані клієнтів — DSGVO діє. Компанія зі США продає в Німеччині і для цього зберігає дані користувачів — DSGVO діє. Компанія зі США обробляє виключно дані осіб у США без зв'язку з ЄС — DSGVO не діє.

Запам'ятайте

Вирішальним є не громадянство («громадянин ЄС»), а те, чи перебуває особа в Союзі або чи має контролер тут представництво. І ще: папір не звільнений від захисту даних — особова справа в шафі підпадає під DSGVO так само, як файл на сервері.

Модуль 3 з 15

Персональні дані та обробка

У захисті даних ідеться про персональні дані. Згідно зі ст. 4 п. 1 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) це будь-яка інформація, що стосується ідентифікованої фізичної особи або фізичної особи, яку можна ідентифікувати. Вирішальним є не те, чи дані «таємні» або «приватні», а те, чи можна за ними впізнати людину — прямо чи опосередковано.

Приклади: ім'я та прізвище, дата народження, вік, адреса, адреса електронної пошти, номер телефону, банківські реквізити, табельний номер, номер соціального страхування, номер посвідчення, номерний знак автомобіля, IP-адреса, дані про місцезнаходження, фотографії, голос, відбиток пальця, історія замовлень, колір волосся та очей. Службова адреса imja.prizvyshche@firma.de теж є персональними даними — особу можна однозначно впізнати.

Непряма ідентифікація: «Білявка з відділу кадрів» — якщо там працює лише одна білявка, це персональні дані навіть без імені. Те саме стосується псевдонімів (табельний номер, номер клієнта), поки десь існує ключ, що веде назад до особи (ст. 4 п. 5). Лише справді анонімні дані, за якими ніхто більше не може визначити особу, випадають з-під дії DSGVO. Дані юридичних осіб (фірма Müller GmbH як така) не захищені — але дані її контактних осіб захищені.

Що означає «обробка» (ст. 4 п. 2)

Практично будь-яка дія з персональними даними є обробкою: збирання, фіксація, упорядкування, зберігання, адаптація, зчитування, запитування, використання, передавання, зіставлення, обмеження, видалення, знищення.

Запам'ятайте

Уже сам перегляд є обробкою. Хто відкриває справу, яка його не стосується, обробляє дані без вказівки — а це вже порушення, навіть якщо нічого «не сталося».

Модуль 4 з 15

Особливі категорії персональних даних

Деякі дані можуть особливо зашкодити людині, якщо потраплять не в ті руки: вони можуть призвести до дискримінації, виключення чи переслідування. Тому ст. 9 ч. 1 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) встановлює для них принципову заборону обробки — обробка дозволена лише у вузько окреслених винятках ст. 9 ч. 2, наприклад за явної згоди або якщо цього вимагає трудове та соціальне право (§ 26 ч. 3 BDSG — Федерального закону Німеччини про захист даних, напр. лікарняний для збереження заробітної плати на час хвороби).

Особливі категорії згідно зі ст. 9 ч. 1:

• расове чи етнічне походження
• політичні погляди (напр. партійна належність)
• релігійні чи світоглядні переконання
• членство у профспілці
• генетичні дані
• біометричні дані для однозначної ідентифікації (сканування відбитка пальця, розпізнавання обличчя)
• дані про здоров'я (діагнози, дні хвороби, тяжка інвалідність, вагітність)
• дані про статеве життя чи сексуальну орієнтацію

Отже, номер соціального страхування не є даними за ст. 9 — але це чутливий ідентифікатор, який усе одно треба ретельно захищати. І навпаки: звичайне фото на паспорт не є автоматично біометричним; біометричним у розумінні ст. 9 воно стає лише тоді, коли з нього технічними методами отримують ознаку для однозначної ідентифікації.

У вашій повсякденній роботі

Дні хвороби, довідки, посвідчення особи з тяжкою інвалідністю, віросповідання (ознака церковного податку в розрахунку зарплати): ці дані належать лише тим особам, яким вони потрібні для виконання їхніх завдань — не в чат команди, не у відкритий архів, не в розмову в коридорі.

Модуль 5 з 15

Принципи обробки

Ст. 5 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) — це компас. Будь-яка обробка на підприємстві має витримувати перевірку цими сімома принципами — і наглядові органи перевіряють саме за цим переліком.

Що це означає для вас

Ви не вирішуєте щодо правових підстав і строків видалення — але ви втілюєте ці принципи щодня. Хто «на хвилинку» використовує дані для іншої мети, хто запитує більше, ніж потрібно, або хто з лінощів зберігає старі записи, порушує ст. 5, навіть без злого наміру.

Запам'ятайте

Мета, обсяг, строк. Навіщо мені ці дані? Чи справді мені потрібно все? Як довго я можу їх зберігати? Хто ставить ці три питання, той зрозумів ст. 5.

Модуль 6 з 15

Правові підстави — коли дозволено обробляти

У захисті даних діє заборона із застереженням про дозвіл: персональні дані можна обробляти лише тоді, коли застосовна одна з правових підстав, названих у ст. 6 ч. 1 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних). Їх шість — літери від a до f.

Згода — найслабша підстава

Згода має бути добровільною, поінформованою, однозначною і наданою для конкретної мети (ст. 7). Її можна відкликати будь-коли — і відкликання має бути таким же простим, як і надання. Тому на підприємстві вона часто є неправильним вибором: те, що потрібно для виконання договору, не потребує згоди; а хто покладається на згоду, має вміти жити з її відкликанням.

Дані працівників — § 26 BDSG

До даних працівників поряд зі ст. 6 ч. 1 літ. b застосовується національне положення § 26 BDSG (Bundesdatenschutzgesetz, Федерального закону Німеччини про захист даних): обробка допустима, якщо вона потрібна для встановлення, виконання або припинення трудових відносин — розрахунок зарплати, облік робочого часу, планування відпусток, підтвердження кваліфікації. Згода працівників є добровільною лише тоді, коли їм не загрожує жодна невигода (§ 26 ч. 2); тому вона є винятком, а не правилом.

У вашій повсякденній роботі

Вам не треба самим визначати правову підставу — це робить контролер і фіксує її в реєстрі операцій з обробки. Але ви маєте знати: без підстави немає обробки. Хто хоче використати дані клієнтів для нової мети, питає заздалегідь — а не потім.

Модуль 7 з 15

Права суб'єктів даних

DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) надає кожній особі, чиї дані обробляються, права, які можна відстояти. Клієнт, кандидат, колега може ними скористатися — електронною поштою, листом, по телефону, навіть у довільній формі. І запит потрапляє не до уповноваженого із захисту даних, а до того, хто саме підняв слухавку.

Строк: один місяць

Ст. 12 ч. 3 DSGVO: на запити треба відповісти без зволікання, щонайпізніше протягом одного місяця після надходження. У разі складних або численних запитів строк можна продовжити ще на два місяці — тоді особу треба поінформувати про це протягом першого місяця. Надання доступу безоплатне (ст. 12 ч. 5). Хто пропустить строк, ризикує скаргою до наглядового органу (ст. 77) і штрафом.

Що ви робите, коли запит потрапляє до вас

1. Не відповідайте самі — і не видавайте дані по телефону, поки не з'ясовано особу.
2. Запишіть дату надходження. Місячний строк іде від надходження, а не від передачі далі.
3. Негайно передайте відповідальній особі (уповноважений із захисту даних, керівництво, призначена контактна особа — модуль «Порядок на нашому підприємстві»).

Запам'ятайте

Запит суб'єкта даних — це не скарга і не напад. Це право. Помилка майже ніколи не у відповіді — а в тому, що запит три тижні лежить у поштовій скриньці.

Модуль 8 з 15

Ролі — контролер, обробник, уповноважений із захисту даних

Чотири поняття впорядковують, хто в захисті даних за що відповідає.

Приклад: Фірма Müller доручає бухгалтерському бюро розрахунок зарплат. Контролером є фірма Müller, обробником — бухгалтерське бюро, суб'єктами даних — працівники. Згідно зі ст. 28 ч. 3 DSGVO (Datenschutz-Grundverordnung, Загального регламенту ЄС про захист даних) для цього потрібен письмовий договір про доручену обробку — без нього передача даних недопустима. Контролер залишається відповідальним за все, що робить постачальник послуг (ст. 24).

Уповноважений із захисту даних (Datenschutzbeauftragter, DSB)

Згідно з § 38 ч. 1 BDSG (Bundesdatenschutzgesetz, Федерального закону Німеччини про захист даних) компанія має призначити DSB, якщо, як правило, щонайменше 20 осіб постійно зайняті автоматизованою обробкою персональних даних — незалежно від цієї кількості, якщо здійснюється особливо ризикована обробка (ст. 37 DSGVO, § 38 BDSG). DSB інформує та консультує, контролює дотримання, є контактною особою для працівників, суб'єктів даних і наглядового органу (ст. 39). У своєму завданні він не підлягає вказівкам і не може зазнавати невигод через його виконання (ст. 38 ч. 3). Він не приймає рішень — і не несе відповідальності замість керівництва.

Завдання на підприємстві

• Керівництво: встановлює правила, надає засоби, несе організаційну відповідальність (ст. 24).
• Керівники підрозділів: впроваджують правила в команді, контролюють, інструктують, підтримують DSB.
• Працівники: обробляють лише за вказівкою (ст. 29, ст. 32 ч. 4), дотримуються внутрішніх і законодавчих правил, негайно повідомляють керівника або DSB про витоки даних і порушення.

Запам'ятайте

Відповідальною є компанія, а не DSB. DSB консультує та контролює — це ваша контактна особа, коли ви не впевнені, а не той, на кого в разі чого показують пальцем.

Модуль 9 з 15

Технічні та організаційні заходи (TOM)

TOM — це скорочення від technische und organisatorische Maßnahmen, технічні та організаційні заходи. Ст. 32 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) зобов'язує контролерів і обробників забезпечити рівень захисту, що відповідає ризику — і прямо називає псевдонімізацію та шифрування, забезпечення конфіденційності, цілісності, доступності та стійкості систем, здатність відновити дані після інциденту (резервне копіювання) та регулярну перевірку ефективності.

Що у ваших руках

Більшість TOM діють лише тоді, коли ви їх застосовуєте:

• Блокуйте екран, щойно залишаєте робоче місце — навіть «лише на хвилинку», навіть якщо в приміщенні лише колеги. Не кожен колега має право бачити все.
• Паролі: довгі, унікальні для кожного сервісу, ніколи не передавати, не на папірці біля монітора, не в чаті команди. Менеджер паролів дозволений і бажаний, якщо підприємство його схвалило.
• Clean Desk: кадрові документи, списки клієнтів, роздруківки ввечері замикати; не використовувати принтер як полицю.
• Носії даних і папір із персональними даними — не у звичайне сміття, а в шредер або контейнер для конфіденційних документів.
• Права доступу використовувати так, як вони надані: те, що ви могли б побачити, не означає автоматично, що вам можна це переглядати (ст. 32 ч. 4).
• Жодних приватних пристроїв, хмарних сервісів чи месенджерів для корпоративних даних, якщо підприємство їх прямо не схвалило.

Запам'ятайте

Найдорожчий файрвол не допоможе, якщо особова справа лежить відкритою в переговорній. Запитуйте себе на кожному робочому місці: Де записані наші TOM, які з них стосуються мене — і чи дотримуюся я їх сьогодні?

Модуль 10 з 15

Витоки даних — розпізнати, повідомити, задокументувати

Витік даних — DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) говорить про «порушення захисту персональних даних» (ст. 4 п. 12) — має місце, якщо персональні дані були несанкціоновано розкриті, змінені, знищені або втрачені або якщо до них мали доступ сторонні особи. Намір не має значення. Більшість витоків — це недогляд.

Типові випадки:

• Розсилка всім клієнтам, адреси стоять у полі «Кому» замість «Прихована копія»
• Лист зі списком зарплат або комерційною пропозицією йде не тому адресату
• Особові справи залишаються в їдальні, і їх читають
• Ноутбук чи смартфон із даними клієнтів викрадено, USB-флешка загублена
• Програма-вимагач шифрує сервер — втрата доступності теж є витоком
• В інтернет-магазині відвідувач бачить дані клієнта, який входив перед ним
• ІТ-відділ випадково видаляє всіх клієнтів із CRM без резервної копії

Строки

72 години йдуть від виявлення в компанії — а не від моменту, коли про це дізнається DSB. Хто три дні тримає витік при собі, вже витратив строк компанії. Чи треба повідомляти, вирішує не особа, з якою трапилася помилка, а контролер після оцінки ризику.

Що ви робите — у такому порядку

1. Негайно повідомте — уповноваженому із захисту даних або керівнику, того самого дня, навіть якщо не впевнені, чи це «справді» витік.
2. Обмежте шкоду, наскільки можливо: попросіть не того адресата видалити лист, замовте блокування пристрою, змініть доступи.
3. Зафіксуйте, що сталося: що, коли, які дані, скільки осіб, кого поінформовано.
4. Не приховуйте, не «лагодьте» самі, не телефонуйте самовільно суб'єктам даних — це координує контролер.

Запам'ятайте

Повідомлений витік — це робочий випадок. Замовчаний витік — це друге порушення, і воно обійдеться дорожче за перше (ст. 83 ч. 4).

Модуль 11 з 15

Захист даних у повсякденній роботі — електронна пошта, фішинг, домашній офіс, мобільні пристрої

Приписи стоять у ст. 5 і ст. 32 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) — а порушення трапляються у вашій поштовій скриньці, на вашому телефоні та за кухонним столом у домашньому офісі. Шість ситуацій, що стосуються майже кожного.

Електронна пошта

• Перевіряйте адресата, перш ніж надіслати — автозаповнення охоче підставляє не того «Müller». Помилкове надсилання персональних даних — це витік даних (ст. 4 п. 12).
• Список розсилки — у «Прихована копія», ніколи в «Кому» чи «Копія», якщо адресати не мають знати один одного.
• Вкладення з чутливими даними шифруйте або надсилайте через схвалений канал обміну; пароль — окремим шляхом.
• Жодного пересилання службових листів на приватні скриньки.

Фішинг і соціальна інженерія

Зловмисникам не потрібна техніка, якщо людина сама відчиняє двері. Типово: лист «від керівництва» терміново вимагає список зарплат або переказ; «ІТ-відділ» просить ваш пароль; посилання веде на сторінку входу, схожу на справжню. Ознаки: тиск часу, секретність, незвичний канал, інша адреса відправника, орфографічні помилки, ціль посилання не відповідає тексту. Правильно завжди: не клікати, нічого не надсилати, перепитати через відомий канал (номер телефону з довідника, а не з листа) і повідомити про лист ІТ-відділ або DSB. Жодна серйозна людина ніколи не питає ваш пароль.

Домашній офіс і мобільна робота

• Лише корпоративні пристрої або прямо схвалені пристрої; використовуйте VPN.
• Розташуйте екран так, щоб співмешканці та гості не могли читати; блокування екрана — і вдома.
• Уникайте роздруківок; якщо потрібно — зберігайте під замком і знищуйте на підприємстві, а не в домашньому смітті.
• Конфіденційні телефонні розмови не вести в поїзді, кафе чи відкритому офісі.

Мобільні пристрої та носії даних

Ноутбук, смартфон, USB-флешка: зашифровані, з кодом блокування, ніколи без нагляду в авто чи поїзді. Про втрату повідомляти негайно — зашифрований пристрій є витоком, який документують, незашифрований — витоком, про який треба повідомляти.

Телефон і відвідувачі

По телефону жодних довідок про клієнтів чи колег незнайомцям — навіть не «лише внутрішній номер» чи «чи він сьогодні на лікарняному». Відвідувачів супроводжують; екрани, дошки та роздруківки в переговорній треба прибрати заздалегідь.

Запам'ятайте

Три секунди перед натисканням «Надіслати» — найдешевший захід захисту даних із усіх. Адресат, вкладення, прихована копія.

Модуль 12 з 15

Відповідальність і штрафи

Порушення захисту даних мають наслідки — для компанії і для особи, яка їх спричинила.

Штрафи (ст. 83)

Наглядові органи можуть накладати штрафи двох рівнів:

Застосовується щоразу вища сума. Розмір залежить від характеру, тяжкості та тривалості порушення, умислу чи необережності, співпраці з органом і від того, чи було порушення повідомлене самостійно (ст. 83 ч. 2). Крім того, орган може заборонити обробку (ст. 58 ч. 2).

Відшкодування шкоди (ст. 82)

Кожна особа, якій унаслідок порушення завдано шкоди, має право на відшкодування — матеріальної та моральної. Моральна шкода означає: і втрата контролю над власними даними, побоювання зловживання чи викриття можуть підлягати відшкодуванню. Вимога спрямовується до контролера, за певних обставин також до обробника.

Хто відповідає в компанії?

• Компанія як контролер несе штраф і відшкодування шкоди. Керівництво відповідає за організацію: правила, засоби, контроль, навчання (ст. 24).
• Уповноважений із захисту даних консультує та контролює — він не відповідає замість керівництва (ст. 38, 39).
• Працівники відповідають у своїй безпосередній зоні відповідальності: порушення вказівок може потягти за собою догану та звільнення; за грубої необережності чи умислу можлива участь у відшкодуванні шкоди. Хто несанкціоновано обробляє персональні дані, щоб збагатитися або комусь зашкодити, вчиняє кримінальне правопорушення згідно з § 42 ч. 2 BDSG (Bundesdatenschutzgesetz, Федерального закону Німеччини про захист даних) — до двох років позбавлення волі; хто в комерційних цілях несанкціоновано передає дані багатьох осіб — до трьох років (§ 42 ч. 1 BDSG).

Запам'ятайте

Мільйонні суми платить компанія. Робоче місце втрачає особа, яка взяла особову справу додому або назвала пароль «колезі з ІТ». Обох випадків можна уникнути — завдяки тому, що викладено в цьому курсі.

Модуль 13 з 15

Практичний випадок: список зарплат іде не тому адресату

Ситуація: П'ятниця, 16:40. Пані K. з відділу кадрів надсилає місячний список зарплат як вкладення Excel до бухгалтерського бюро. Автозаповнення замість lohn@steuerberater-mueller.de підставило адресу info@mueller-elektrotechnik.de — клієнта. Список містить імена, зарплати брутто, податкові класи, віросповідання (церковний податок) і щодо двох осіб позначку «доплата до допомоги з хвороби». Пані K. помічає помилку о 16:55.

Шлях рішень

1. Це витік даних? Так. Персональні дані були розкриті неуповноваженій установі (ст. 4 п. 12 DSGVO — Datenschutz-Grundverordnung, Загального регламенту ЄС про захист даних). Те, що це був недогляд і що одержувач — серйозний клієнт, нічого не змінює. Те, що список містить дані за ст. 9 (релігія, здоров'я), підвищує ризик.

2. Що пані K. робить негайно — а чого ні?

3. Хто вирішує щодо повідомлення наглядовому органу? Контролер — на практиці керівництво разом із DSB. Строк 72 години (ст. 33) іде від п'ятниці 16:55, тобто до понеділка 16:55. Вихідні враховуються. Тут повідомлення дуже ймовірно необхідне: дані про зарплату, релігію та здоров'я означають ризик для суб'єктів даних; підтвердження видалення від одержувача може знизити ризик, але не скасовує перевірки.

4. Чи треба інформувати працівників? Згідно зі ст. 34 — за ймовірного високого ризику — тут це цілком обґрунтовано, бо зачеплено дані про зарплату та здоров'я, а одержувач частково знає колег особисто. Рішення приймає контролер, інформування відбувається скоординовано, а не через пані K. в коридорі.

5. Документування. Інцидент фіксується згідно зі ст. 33 ч. 5 в реєстрі витоків даних — навіть якщо зрештою повідомлення не знадобилося б. І його аналізують: перевірити автозаповнення для зовнішніх адрес, зробити шифрування списку зарплат обов'язковим.

Що вирішило цей випадок

Не помилка — вона трапляється з кожним. Вирішила реакція о 16:55: повідомити замість чекати понеділка. Якби пані K. перечекала вихідні, 64 з 72 годин були б витрачені ще до того, як контролер узагалі дізнався б, що має прийняти рішення.

Модуль 14 з 15

Порядок на нашому підприємстві

Цей модуль заповнює ваше підприємство. Загальна частина цього інструктажу закінчується тут — те, що йде далі, знає лише ваша компанія.

Сюди належать такі відомості:

Для керівництва

Шлях повідомлення про витоки даних — найважливіший пункт цього переліку — і той, що найчастіше залишається незрозумілим. Строк 72 години зі ст. 33 DSGVO іде від виявлення в компанії. Хто не знає, кому телефонувати в п'ятницю ввечері, витрачає вихідні — не через недбалість, а тому, що йому ніхто цього не сказав.

Модуль 15 з 15

Документальне підтвердження

Наостанок — те, що робить цей інструктаж підтвердженням.

Навіщо взагалі підтвердження: Ст. 5 ч. 2 DSGVO (Datenschutz-Grundverordnung, Загальний регламент ЄС про захист даних) зобов'язує контролера бути здатним довести дотримання принципів; ст. 24 вимагає доведення належних заходів. Навчання працівників є таким заходом — організаційним, частиною TOM — а ст. 39 прямо називає підвищення обізнаності та навчання. Наглядовий орган, який проводить перевірку після витоку даних, питає насамперед: Чи були працівники проінструктовані? Покажіть мені.

Повторення: DSGVO не називає фіксованого строку. Наглядові органи та органи сертифікації очікують регулярного навчання — на практиці щороку, а також перед першою обробкою при прийомі на роботу, при зміні виду діяльності, після витоку даних на підприємстві та при зміні приписів.

Коло учасників: усі, хто має справу з персональними даними — тобто практично всі працівники, включно з керівниками, учнями, підсобними працівниками та тимчасовим персоналом; щодо зовнішніх постачальників послуг це регулює договір згідно зі ст. 28.

Документування: Ваш сертифікат про участь містить ім'я, курс, дату, результат, повний перелік тем і номер сертифіката, який можна перевірити на сторінці перевірки Академії. Збережіть його і передайте копію тій службі, яка на підприємстві веде підтвердження із захисту даних — як правило, DSB або відділу кадрів.

Що треба задокументувати додатково: зобов'язання про конфіденційність (зазвичай при прийомі на роботу) і частину для конкретного підприємства з модуля «Порядок на нашому підприємстві». Лише обидві разом — загальна частина із сертифікатом, частина підприємства з підписом — дають підтвердження про навчання, яке хоче бачити орган влади чи аудитор.

Запам'ятайте

Підтвердження, якого ніхто не знайде, — не підтвердження. Відкласти сертифікат, записати дату, повторити наступного року — а нових колег навчати перед першим робочим днем із даними клієнтів, а не після.

Підсумковий тест

20 питань, у кожному одна правильна відповідь. Для складання потрібно 14 правильних відповідей (70 %). Перевірка виконується на сервері — на цій сторінці немає ключа з відповідями.

Ваш результат