Kaip aprašyti technines ir organizacines saugumo priemones mažai įmonei?

BDAR 32 str. 1 d. sako, kad valdytojas ir tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, atsižvelgdami į technikos lygį, sąnaudas, tvarkymo pobūdį ir riziką žmonėms. Straipsnis pateikia keturis pavyzdžius, „jei reikia":

• a) pseudonimizavimas ir šifravimas;
• b) nuolatinis sistemų konfidencialumas, vientisumas, prieinamumas ir atsparumas;
• c) gebėjimas laiku atkurti duomenis po incidento;
• d) reguliarus priemonių tikrinimas ir vertinimas.

32 str. 2 d. nurodo, nuo ko saugotis: netyčinio ar neteisėto duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo ar prieigos. 32 str. 4 d. prideda žmogiškąją pusę: darbuotojai tvarko duomenis tik pagal jūsų nurodymus.

Kitaip tariant: priemonė turi būti proporcinga. Odontologijos klinika, kuri tvarko sveikatos duomenis, turi daugiau nei restoranas, kuris saugo tik staliukų rezervacijas.

Ne tik tam, kad priemonės būtų taikomos. BDAR 24 str. 1 d. reikalauja, kad valdytojas galėtų įrodyti, jog laikosi reglamento. Be to, aprašą naudosite trijose vietose:

1. Registre – BDAR 30 str. 1 d. g p.: kai įmanoma, bendras saugumo priemonių aprašymas.
2. Sutartyse su tiekėjais – BDAR 28 str. 3 d. c p. reikalauja, kad tvarkytojas imtųsi 32 straipsnio priemonių; jei tiekėjas esate jūs, klientas paprašys aprašo.
3. Pažeidimo atveju – kai reikės įvertinti riziką, aprašas parodys, ar duomenys buvo užšifruoti ir ar yra atsarginė kopija.

Štai pavyzdys įmonei iki 50 darbuotojų. Stulpeliai svarbesni už konkrečias eilutes.

Paskutinis stulpelis yra BDAR 32 str. 1 d. d punktas praktiškai. Priemonė, kurios niekas netikrina, po metų gali nebeveikti.

Pridėkite eilutes ten, kur jūsų rizika didesnė:

• Odontologijos klinika, poliklinika, vaistinė – sveikatos duomenys: prieigos žurnalai, kas atidarė paciento kortelę; griežtesnis šifravimas.
• E. parduotuvė – mokėjimai per mokėjimo paslaugų teikėją, kad kortelių duomenys nepatektų į jūsų sistemą; administravimo paskyrų apsauga.
• Transporto įmonė – GPS duomenų prieiga tik atsakingiems asmenims; saugojimo terminas sistemoje nustatytas automatiškai.
• Sporto klubas – įėjimo kontrolės sistemos prieiga; jei įėjimui naudojami biometriniai duomenys asmens tapatybei nustatyti, tai specialių kategorijų duomenys: juos tvarkyti draudžiama, nebent taikoma BDAR 9 str. 2 d. išimtis (dažniausiai aiškus sutikimas, su alternatyva jo neduodantiems), ir gali reikėti poveikio vertinimo (VDAI sąrašo 4 p.).
• Daugiabučių administravimas – gyventojų duomenų ir vaizdo įrašų prieiga, įrašų perdavimo tvarka.

BDAR 25 str. 1 d. prideda dar vieną principą: duomenų apsauga turi būti numatyta iš anksto, kai renkatės sistemą. Pirkdami naują programą, paklauskite apie šias lentelės eilutes dar prieš pasirašydami.

1. Aprašas nukopijuotas iš didelės įmonės šablono. 40 priemonių, kurių pusės nėra. Klientas ar VDAI paklaus apie vieną, kurios neturite.
2. Nėra savininko. „Įmonė užtikrina" nėra priemonė. Priemonė yra tai, ką konkretus žmogus padaro.
3. Aprašas niekada neatnaujinamas. Pakeitėte el. pašto sistemą ar IT tiekėją – pakeiskite ir aprašą.

Užpildykite lentelę su savo IT tiekėju – jis žino pusę atsakymų. Tada įrašykite bendrą aprašą į tvarkymo veiklų registrą. Įrankyje nemokamai sužinosite, ar registras jums privalomas; registrą taip pat galima užsakyti kaip vienkartinę procedūrą už 95 € be PVM.

Ar privalomas ISO 27001 sertifikatas?
Ne. BDAR 32 str. 3 d. leidžia patvirtintą sertifikavimą pagal 42 straipsnį naudoti kaip vieną iš įrodymų; tai nėra pareiga. ISO 27001 nėra toks mechanizmas, bet gali padėti parodyti, kad priemonės taikomos.

Ar aprašą reikia rodyti klientams?
Viso ne. Bendrą aprašą – taip, jei esate jų duomenų tvarkytojas ir jie to prašo. Slaptažodžių ar tinklo detalės lieka viduje.

Kiek priemonių pakanka?
Tiek, kiek reikia jūsų rizikai. Maža įmonė su tvarkinga prieiga, šifravimu, atsarginėmis kopijomis ir tiekėjų sutartimis dažniausiai padengia pagrindinę riziką.

Ar mokymai darbuotojams yra privalomi?
BDAR jų tiesiogiai nemini kaip atskiros pareigos, bet 32 str. 4 d. reikalauja imtis priemonių, kad darbuotojai tvarkytų duomenis tik pagal nurodymus. Mokymai yra įprastas būdas tai padaryti ir įrodyti.

• Kas įmonėje gali matyti darbuotojų duomenis?
• Tvarkymo veiklų registras: 30 straipsnio laukai paprastai
• Ką daryti įvykus duomenų saugumo pažeidimui?

Teisė ir rizika: Iš ko susideda BDAR dokumentų paketas ir kodėl jį rengiame tik po audito – dat.lt

• Specialių kategorijų (biometriniai) duomenys – BDAR 9 str. 1 ir 2 d.; VDAI direktoriaus 2019-03-14 įsakymas Nr. 1T-35 (1.12.E), sąrašo 4 punktas.
• Tinkamos saugumo priemonės ir keturi pavyzdžiai – BDAR 32 str. 1 d. a–d p.; rizikos, į kurias atsižvelgiama – 32 str. 2 d.; sertifikavimas kaip įrodymas – 32 str. 3 d.; darbuotojai tvarko tik pagal nurodymus – 32 str. 4 d.
• Vientisumo ir konfidencialumo principas – BDAR 5 str. 1 d. f p.
• Pareiga įrodyti atitiktį – BDAR 24 str. 1 d.
• Pritaikytoji duomenų apsauga – BDAR 25 str. 1 d.
• Tvarkytojo pareiga taikyti 32 straipsnio priemones – BDAR 28 str. 3 d. c p.
• Saugumo priemonės registre – BDAR 30 str. 1 d. g p.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.