GDPR одит за бизнеса – как да проверите дали фирмата ви е в съответствие

От влизането в сила на Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679, GDPR) през май 2018 г., всяка фирма, обработваща лични данни на физически лица, е задължена да докаже спазването на регламента. Това е т.нар. принцип на отчетността, заложен в чл. 5, §2 от GDPR.

В България този принцип е допълнително уреден чрез Закона за защита на личните данни (ЗЗЛД), съществено изменен през 2019 г. Комисията за защита на личните данни (КЗЛД) е надзорният орган с правомощия да провежда проверки и да налага санкции.

Какво представлява GDPR одитът и защо е необходим

GDPR одитът е независима и систематична проверка, която оценява доколко дадена организация спазва изискванията на Регламент (ЕС) 2016/679 и националното законодателство. Той обхваща преглед на документацията, техническите мерки за сигурност, организационните процедури и реалните практики.

Съгласно чл. 5, §2 от GDPR, администраторът носи отговорност за спазването на основните принципи и трябва да може да докаже съответствието си. Одитът е основният инструмент за това.

Кой се нуждае от GDPR одит

На практика всяка фирма, обработваща лични данни, се нуждае от одит – включително микропредприятия и еднолични търговци. Особено важен е одитът за:

• Фирми с клиенти от ЕС – електронна търговия, облачни платформи (SaaS), мобилни приложения
• Компании, задължени да поддържат регистър на дейностите по обработка (чл. 30 GDPR)
• Организации, обработващи специални категории данни – здравни, биометрични, генетични (чл. 9 GDPR)
• Фирми, използващи AI, профилиране или автоматизирано вземане на решения

Стъпките на един GDPR одит

1. Картографиране на личните данни

Идентифициране на всички категории данни – от имена и електронни адреси на клиенти, до данни на служители, IP адреси и бисквитки. КЗЛД препоръчва този етап като втора стъпка от ръководството „Десет практически стъпки за прилагане на GDPR".

2. Преглед на правното основание

За всяка дейност по обработка трябва да съществува валидно правно основание по чл. 6, §1 от GDPR: съгласие, договор, законово задължение, жизненоважни интереси, обществен интерес или легитимен интерес.

3. Проверка на документацията

4. Технически и организационни мерки

Съгласно чл. 32 от GDPR се проверяват: криптиране, управление на достъпа, 2FA, обучения на служителите и процедури за отговор при инцидент.

5. Проверка на правата на субектите

Проверява се дали фирмата има процедури за отговор на искания по чл. 15–21 от GDPR в срок от един месец (чл. 12, §3 GDPR).

6. Проверка на договорите с подизпълнители

Съгласно чл. 28 от GDPR, всяка обработка от името на администратора трябва да е уредена с DPA, който ясно определя предмета, продължителността, естеството и целта на обработката.

Санкции и глоби

Колко често трябва да се провежда одит

Добрата практика препоръчва поне веднъж годишно, както и при съществена промяна – нова ИТ система, нов доставчик, нов вид обработка или инцидент. Препоръчително е одитът да се извършва от външен специалист за обективност.