Vanjski DPO: usklađenost s GDPR-om bez zapošljavanja stručnjaka
Svaka tvrtka koja obrađuje osobne podatke klijenata ili zaposlenika ima obveze prema GDPR-u, a mnoge trebaju i imenovanog službenika za zaštitu podataka. Zapošljavanje takvog stručnjaka skupo je i često nepotrebno: kao vaš vanjski DPO preuzimamo tu ulogu u cijelosti, od nadzora usklađenosti i edukacije zaposlenika do komunikacije s AZOP-om i vođenja postupka kod povrede podataka.
Što je DPO?
Službenik za zaštitu podataka (Data Protection Officer) osoba je koja prema GDPR-u nadzire kako organizacija obrađuje osobne podatke: savjetuje upravu, educira zaposlenike i služi kao kontakt točka prema nadzornom tijelu i građanima. Za javna tijela te tvrtke koje sustavno prate pojedince ili obrađuju posebne kategorije podataka imenovanje DPO-a je zakonska obveza, a GDPR izričito dopušta da tu ulogu obavlja vanjski pružatelj usluge.
Usklađenost nije papirologija za inspekciju nego povjerenje klijenata: podaci koje čuvate tuđi su, a odgovornost za njih je vaša.
Zašto naš vanjski DPO?
- Stručnost i neovisnost. DPO mora biti neovisan i bez sukoba interesa, što je interno teško izvesti: vanjski DPO tu neovisnost ima po definiciji.
- Ušteda. Dobivate kompletnu DPO funkciju za dio cijene zaposlenika, bez troškova edukacije, certifikacije i praćenja propisa.
- DPO koji razumije IT. Kao IT tvrtka znamo gdje podaci stvarno žive: u bazama, backupima, logovima i cloud servisima, a ne samo u pravilnicima.
- Kontakt s regulatorom. Djelujemo kao vaša službena kontakt točka prema AZOP-u i preuzimamo komunikaciju kod upita, pritužbi i nadzora.
- Spremnost na incidente. Kod povrede podataka vodimo cijeli postupak: procjenu, sanaciju i prijavu nadzornom tijelu u roku od 72 sata.
Što usluga obuhvaća
- Preuzimanje uloge imenovanog službenika za zaštitu podataka
- Savjetovanje o GDPR usklađenosti i analiza procesa obrade
- Procjene utjecaja na zaštitu podataka (DPIA)
- Vođenje evidencija aktivnosti obrade i interne dokumentacije
- Edukacija zaposlenika o sigurnosti i privatnosti podataka
- Komunikacija s AZOP-om i odgovaranje na zahtjeve ispitanika
- Upravljanje povredama podataka i prijave u zakonskim rokovima
Usluga je namijenjena tvrtkama koje obrađuju veće količine osobnih podataka (zdravstvo, e-trgovina, financije), organizacijama koje žele usklađenost bez dodatnog zapošljavanja te IT tvrtkama kojima treba DPO koji razumije njihove sustave i procese.
Kako započeti?
Analiza
Usklađivanje
Kontinuirani nadzor
Trebate imenovanog DPO-a ili niste sigurni odnosi li se ta obveza na vas? Javite nam se na info@zadar-ict.hr ili +385 1 6700 563, a možete i putem kontakt stranice. Prva procjena stanja je besplatna i bez obveze.
Često postavljana pitanja
Što je DPO (službenik za zaštitu podataka)?
DPO (Data Protection Officer) je osoba koja u organizaciji nadzire usklađenost s GDPR-om: savjetuje kod obrade osobnih podataka, educira zaposlenike i kontakt je prema nadzornom tijelu i ispitanicima. Uloga je definirana samim GDPR-om, s naglaskom na neovisnost.
Mora li svaka tvrtka imati DPO-a?
Ne mora. Obveza postoji za tijela javne vlasti te za organizacije čija je osnovna djelatnost sustavno praćenje ljudi velikih razmjera ili obrada posebnih kategorija podataka velikih razmjera. I kad obveze nema, mnoge tvrtke imenuju DPO-a jer je to najjednostavniji način da GDPR bude nečija konkretna odgovornost.
Kada je tvrtki potreban DPO?
Osim zakonske obveze, praktična potreba nastaje kad obrađujete veće količine osobnih podataka (kupci, zaposlenici, kandidati, video nadzor, marketing baze), kad klijenti u ugovorima traže dokaz usklađenosti ili kad interno nitko ne zna odgovoriti tko što smije s podacima.
Što uključuju DPO usluge?
Snimku stanja i evidenciju obrada, izradu i održavanje GDPR dokumentacije, procjene rizika i DPIA-e, edukaciju zaposlenika, postupanje kod zahtjeva ispitanika i povreda podataka te komunikaciju s AZOP-om. Sve kontinuirano, ne jednokratno.
Koje su odgovornosti DPO-a?
Informirati i savjetovati upravu o obvezama, nadzirati provedbu politika zaštite podataka, sudjelovati u procjenama učinka, biti kontakt točka za nadzorno tijelo i ispitanike. DPO ne smije primati upute o tome kako će obavljati te zadaće niti biti u sukobu interesa.
Može li se DPO angažirati kao vanjska usluga?
Može, GDPR to izričito dopušta. Vanjski DPO je za većinu malih i srednjih tvrtki najisplativija opcija: dobivate stručnjaka s iskustvom iz više organizacija bez novog radnog mjesta.
Koja je razlika između internog i vanjskog DPO-a?
Interni DPO bolje poznaje organizaciju iznutra, ali je teško osigurati neovisnost i kontinuiranu edukaciju, a funkcija često padne na nekoga tko već ima drugi posao. Vanjski DPO donosi neovisnost, širinu iskustva i predvidiv mjesečni trošak.
Smije li DPO biti netko iz IT odjela ili uprave?
U pravilu ne: voditelj IT-a, voditelj HR-a ili član uprave sami određuju svrhe i načine obrade podataka, pa bi kao DPO nadzirali sami sebe. To je sukob interesa koji AZOP i europski regulatori redovito sankcioniraju, i čest razlog zašto tvrtke biraju vanjskog DPO-a.
Kako DPO pomaže u usklađenju s GDPR-om?
Pretvara GDPR iz apstraktne regulative u konkretan popis: koje podatke imate, po kojoj osnovi ih obrađujete, koliko ih čuvate, tko im pristupa i što nedostaje. Zatim redom zatvara rupe: dokumentacija, procedure, edukacija, tehničke mjere.
Što DPO provjerava u poslovanju tvrtke?
Evidencije obrada, privole i pravne osnove, ugovore s izvršiteljima obrade (knjigovodstvo, IT dobavljači, marketing alati), rokove čuvanja, video nadzor, obradu podataka zaposlenika te tehničke i organizacijske mjere zaštite.
Kada je potrebna procjena učinka na zaštitu podataka (DPIA)?
Kad obrada vjerojatno predstavlja visok rizik za prava ljudi: sustavno praćenje, obrada posebnih kategorija podataka velikih razmjera, nove tehnologije poput biometrije ili opsežnog profiliranja. DPIA se radi prije početka takve obrade, a DPO vodi postupak.
Što učiniti u slučaju povrede osobnih podataka?
Povredu treba dokumentirati odmah, procijeniti rizik za ispitanike i, ako rizik postoji, prijaviti je AZOP-u u roku od 72 sata od saznanja. Kod visokog rizika obavještavaju se i pogođene osobe. DPO vodi cijeli postupak i priprema prijavu.
Kako DPO komunicira s nadzornim tijelom?
DPO je službena kontakt točka prema AZOP-u: odgovara na upite, vodi komunikaciju kod prijava povreda i predstavlja tvrtku u nadzoru. Time uprava dobiva sugovornika koji jezik regulative prevodi u konkretne korake.
Koliko koštaju DPO usluge?
Vanjski DPO kao kontinuirana usluga kreće od 500 EUR mjesečno, ovisno o veličini organizacije i količini obrada. Procjena učinka (DPIA) se kreće od 500 do 1500 EUR. Detalji su u cjeniku, a prve konzultacije su besplatne.
Niste sigurni trebate li naše usluge?
Pošaljite nam kratki opis, ne naplaćujemo prve konzultacije
