Pokud se bavíme o GDPR, tak je třeba dávat pozor na zdánlivě zanedbatelné "maličkosti" - ďábel se skrývá ve detailu. Když se objevíte u klientova počítače a nainstalujete mu Libreoffice, tak o zpracování osobních údajů nejde, pokud mu ale spustíte zálohu, tak už o zpracování osobních údajů jde. To jsem hodně zjednodušil, nicméně je třeba se chovat nikoliv jako ajťák, ale nahlížet na činnosti podle toho, jestli nějakým způsobem dochází ke kontaktu s osobními údaji. Pokud jde o vhodná opatření, přistupujte k tomu selským rozumem - jde Vám o to vyvynit se z průšvihu. Když uniknou osobní data, hodnotí se, zda firma něco nezanedbala. Máte politiku hesel nastavenou tak, že povolí 1234? Tím případné kontrole můžete těžko argumentovat. Pokud ale vynutíte složitější hesla, tak můžete argumentovat, že jste dělal, co jste mohl - průšvih od sebe odklonit. S tím souvisí i šifrování - pokud někdo ukradne šifrovaný notebook, tak to není takový problém, jako když notebook není šifrován. Prostě nasaďte taková opatření, aby se Vám dobře argumentovalo případné kontrole, že jste problematiku nepodcenil. Jak říká Drábová - opatření mají být přiměřená míře rizika, chce to řídit se selským rozumem. Platí, že zaměstnanec by měl mít přístup jen k takovým údajům, ke kterým přístup potřebuje (šéfovat asistentka, vařící kafe, nepotřebuje znát rodná čísla), tyhle věci a další úpravy je ale třeba řešit ve spolupráci s firmou, který vám bude dělat GDPR audit. Ta vysoce pravděpodobně doporučí nějaké úpravy, např. zavedení spisovky, která bude hlídat toky a životní cyklus osobních údajů. Rada na závěr: Namotivujte šéfra, ať nenechá auditory se rozjet. Jde Vám o prokázání souladu s GDPR, jestli chlapi popíšou stohy papíru a koncepce zpracování osobních údajů bude dlouhá, jak týden před výplatou, za balík papírů zaplatíte balík a ještě ten byrokratický pamflet budete muset dodržovat. Držím palce. :-)
14 Odpovědí
3967 Zhlédnutí