Досие за предаване на функциите на DPO за GDPR и ISO 27701

Уведомлението пристигна във входящата поща на Мария с безобидна тема: „Актуализация за екипа“. Дейвид, длъжностното лице по защита на данните (DPO) в бързо растящата ѝ финтех компания, беше приел нова позиция. След две седмици щеше да напусне.

Първоначално Мария, CISO, прие това като всяко друго напускане на висш ръководител. Човешки ресурси щеше да проведе процедурата по напускане, ИТ щеше да деактивира достъпите, правният отдел щеше да прегледа отворените въпроси, а новият DPO щеше да проведе разговор за предаване. След това започнаха същинските въпроси.

„Къде е DPIA за функцията за биометрично вписване?“

„Мога ли да видя кореспонденцията с белгийския DPA относно миналогодишното запитване за трансграничния поток от данни?“

„Каква беше обосновката за приемане на остатъчния риск за защитата на личните данни при модела за кредитно скориране, управляван от изкуствен интелект?“

В 08:17 следващия понеделник управителният съвет поиска уверение, че отчетността по GDPR остава непокътната. Голям корпоративен клиент беше изпратил въпросник за надлежна проверка на защитата на личните данни, с който поиска последния RoPA, регистъра на DPIA, регистъра на нарушенията, списъка с подизпълнители обработващи лични данни, графика за съхранение и доказателства за консултации по защита на личните данни. Продуктовият екип искаше одобрение за промяна в аналитиката. Поддръжката задържаше три искания от субекти на данни. Отделът по закупуване предоговаряше споразумение с обработващ лични данни. Екипът по сигурност разследваше събитие, което можеше да включва лични данни.

Предаването от Дейвид се състоеше от 30-минутен разговор и споделен диск с непоследователно именувани папки. Контекстът, обсъжданията, решенията за апетита към риск, историята на взаимодействията с регулатори и неформалните консултации бяха излезли през вратата заедно с него.

Точно там управлението на защитата на личните данни или доказва, че е система за управление, или разкрива, че е било паметта на един човек.

Досието за предаване на функциите на DPO за GDPR и ISO/IEC 27701:2025 не е пакет от Човешки ресурси при напускане. То е досие за непрекъснатост на отчетността. То показва на встъпващия DPO, ръководителя по защита на личните данни, мениджъра на PIMS, одитора, регулатора или изпълнителния спонсор какво се обработва, защо обработването е законосъобразно, кои рискове са отворени, къде се намират доказателствата, кой е собственик на следващото действие и кои срокове не могат да бъдат пропуснати.

Скритият риск за защитата на личните данни: отчетност, заключена в една роля

GDPR прави отчетността изрична. Article 5(2) изисква администраторите да носят отговорност за и да могат да докажат съответствие с основните принципи на законосъобразност, добросъвестност и прозрачност, ограничение на целите, свеждане на данните до минимум, точност, ограничение на съхранението, цялостност и поверителност. Articles 4, 6, 9, 10 и 30 добавят оперативния речник и очакванията за доказателства, които трябва да оцелеят при промяна на роля: лични данни, обработване, правно основание, условия за обработване на специални категории лични данни, дефиниции за нарушения и регистър на дейностите по обработване.

Въпросът не е дали организацията е имала компетентен DPO. Въпросът е дали програмата за защита на личните данни може да функционира, когато DPO се смени.

Когато DPO напусне, организацията трябва да продължи да знае:

• Кои дейности по обработване са активни, спрени, изведени от употреба или в процес на преглед.
• Кои правни основания и условия за обработване на специални категории лични данни подкрепят всяка дейност.
• Кои DPIA съдържат нерешени рискове или условни одобрения.
• Кои искания от субекти на данни са отворени, удължени, отхвърлени или обжалвани.
• Кои нарушения са докладвани, не са докладвани или все още се оценяват.
• Кои обработващи лични данни, подизпълнители обработващи лични данни и механизми за предаване са приложими.
• Кои комуникации с регулатори, ангажименти към клиенти и одитни действия са висящи.
• Каква консултация по защита на личните данни е дадена, кога е дадена и при какви допускания.

Това е класическа зависимост от ключово лице. Знанието на DPO се превръща в основното хранилище за решения относно защитата на личните данни, оценки на риска и регулаторни взаимодействия. Когато този човек напусне, организацията губи повече от носител на роля. Тя губи проследимостта, необходима за доказване на съответствие.

Корпоративната Политика за роли, отговорности и отчетност при защитата на личните данни [C1] на Clarysec превръща прехода на роля в задължение за доказване:

[All] Ръководителят по защита на личните данни / мениджърът на PIMS ТРЯБВА да запише доказателства за предаване на роля в REG01 и REG12 в срок до 10 работни дни от промяна на роля.

От раздел „Внедряване“, клауза 7.1.6 на политиката.

Същата политика изисква и доказателства за комуникация след преназначаване или напускане:

[All] Ръководителят по защита на личните данни / мениджърът на PIMS ТРЯБВА да актуализира доказателствата за комуникация при промяна на роля в REG11 в срок до 10 работни дни след преназначаване или напускане на роля.

От раздел „Доказателства за отчетност и комуникация“, клауза 4.5.4 на политиката.

Тези две клаузи превръщат промяната в персонала в одитируем контрол за защита на личните данни. Предаването вече не е неформален трансфер на знания. То става документирано доказателство за PIMS.

Какво всъщност представлява досието за предаване на функциите на DPO

Доброто досие за предаване на функциите на DPO не е един PDF файл. То е контролиран пакет с доказателства с индекс, собственици, връзки, полета за статус, история на решенията и правила за извличане. То трябва да позволява на встъпващия DPO да разбере профила на организацията за защита на личните данни за часове, а не за седмици.

Мислете за него като за „черната кутия“ на програмата за защита на личните данни. То трябва да показва не само какво се е случило, а и защо са взети решенията и какво трябва да се случи след това.

Практическото досие за предаване на функциите на DPO трябва да отговаря на четири въпроса:

1. Кои задължения и решения, свързани със защитата на личните данни, са активни в момента?
2. Кои доказателства доказват, че тези задължения се управляват?
3. Кой е собственик на всяка отворена задача по време на и след прехода?
4. Кои рискове, срокове или регулаторни чувствителности изискват незабавно внимание?

Досието не трябва да дублира всеки запис. Дублирането създава остарели доказателства. Вместо това то трябва да сочи към официалния запис, да обяснява статуса, да идентифицира собствеността и да маркира следващото изискуемо решение.

Корпоративната Политика за документирана информация и управление на доказателства в PIMS [C2] на Clarysec установява доказателствената основа:

[All] Ръководителят по защита на личните данни / мениджърът на PIMS ТРЯБВА да поддържа индекс на документираната информация в PIMS в REG12 преди първоначалното публикуване на PIMS и след това на тримесечна база.

От раздел „Контрол на документираната информация в PIMS“, клауза 4.1.1 на политиката.

Тя изисква и доказателства за извличане:

[All] Ръководителят по защита на личните данни / мениджърът на PIMS ТРЯБВА да записва исканията за извличане на доказателства за одит и статуса на изпълнението им в REG12 в срок до пет работни дни от получаване на искането.

От раздел „Достъп, защита, извличане и разкриване“, клауза 4.4.4 на политиката.

Следователно досието за предаване на функциите на DPO трябва да бъде изградено около REG12 или еквивалентен индекс на документираната информация. Ако доказателствата за защита на личните данни не могат да бъдат намерени бързо по време на преход, те не могат да подкрепят отчетността, когато одитор, клиент или регулатор поиска доказателство.

Основна структура на готово за одит досие за предаване на функциите на DPO

Внедряванията на Clarysec обичайно разделят досието за предаване на функциите на DPO на десет раздела. Тези раздели дават на встъпващия DPO единен оперативен изглед, без да заменят официалните системи за записи.

Най-ценната част от досието често не са самите документи. Това е контекстът между документите. DPIA може да показва заключение, но встъпващият DPO трябва да знае и каква консултация е дадена, кои остатъчни рискове са приети, какви условия са приложени и дали тези условия все още се наблюдават.

Гръбнакът на GDPR: RoPA, DPIA, DSR, нарушения и правно основание

Досието за предаване на функциите на DPO трябва да започва с оперативния гръбнак на GDPR. Именно тук много преходи се провалят, защото напускащият DPO разбира историята зад записите, докато встъпващият DPO вижда само фрагменти.

Корпоративната Политика за защита на данните и защита на личните данни [C3] възлага на DPO отговорност за ключови записи:

Поддържа Регистъра на дейностите по обработване (RoPA) в съответствие с GDPR Article 30.

От раздел „Роли и отговорности“, клауза 4.2.2 на политиката.

Тя също така посочва:

Ръководи взаимодействието с регулатори, извършва оценки на въздействието върху защитата на данните (DPIA) и управлява процесите за уведомяване при нарушения.

От раздел „Роли и отговорности“, клауза 4.2.3 на политиката.

А за управлението на права:

Длъжностното лице по защита на данните (DPO) ТРЯБВА да поддържа документирани процеси за приемане, валидиране, проследяване и отговор на искания от субекти на данни (DSR).

От раздел „Изисквания за прилагане на политиката“, клауза 6.4.1 на политиката.

Това не са отделни административни задачи. Те образуват верига на отчетност.

Ако субект на данни поиска изтриване, встъпващият DPO се нуждае от RoPA, за да идентифицира системите и обработващите лични данни, от регистъра на правните основания, за да прецени дали изтриването е приложимо, от графика за съхранение, за да провери ограничението на съхранението, от записите за доставчици, за да координира изтриването надолу по веригата, и от регистъра на DSR, за да докаже хронологията и отговора. Ако DPO се смени по средата на искането, досието за предаване трябва да запази тази верига.

За по-малки организации Политика за защита на данните и защита на личните данни за МСП [C4] на Clarysec използва мащабиран език, като запазва същия принцип на отчетност:

Поддържа записи за дейностите по обработване

От раздел „Роли и отговорности“, клауза 4.2.1 на политиката.

Тя също изисква:

Координаторът по защита на личните данни ТРЯБВА да поддържа регистър на всички дейности по обработване на лични данни, включително категории данни, цел, правно основание и срокове за съхранение

От раздел „Изисквания за управление“, клауза 5.2.1 на политиката.

А за исканията за права:

Всички отговори на искания от субекти на данни ТРЯБВА да се регистрират в защитен регистър, като достъпът е ограничен до координатора по защита на личните данни и генералния мениджър (GM)

От раздел „Изисквания за прилагане на политиката“, клауза 6.5.4 на политиката.

Както за корпоративни, така и за МСП среди, досието за предаване трябва да включва оперативно табло за защитата на личните данни, показващо статуса на RoPA, DPIA, DSR, нарушения, прегледи на сроковете за съхранение и прегледи на доставчици. Така организацията доказва, че отчетността по GDPR не зависи от един човек.

ISO/IEC 27701:2025: преходът на роля като контролирано доказателство за PIMS

ISO/IEC 27701:2025 разширява управлението на защитата на личните данни в структурирана система за управление на информацията за неприкосновеността (PIMS). Това означава, че преходът на роля трябва да се третира като всеки друг контролиран процес: планиран, възложен, доказан, прегледан и подобрен.

Досието за предаване трябва да включва полета за непрекъснатост на PIMS за всеки основен процес по защита на личните данни:

• Име на процеса, например DPIA, RoPA, DSR, оценка на нарушение или преглед на защитата на личните данни при доставчици.
• Роля в PIMS, например DPO, ръководител по защита на личните данни, мениджър на PIMS, представител на администратора или представител на обработващия лични данни.
• Оперативна роля, например администратор, обработващ лични данни, съвместен администратор или подизпълнител обработващ лични данни.
• Текущ собственик и временен делегат.
• Референция към регистъра на доказателствата.
• Дата на последен преглед и дата на следващ преглед.
• Отворени решения и нерешени рискове.
• Маршрут за ескалация.
• Връзки към клаузи на политики, процедури и шаблони.
• Одитен статус, включително последно искане за доказателства и отговор.

Корпоративната Политика за система за управление на информацията за неприкосновеността [C5] превръща самата консултация по защита на личните данни в доказателствен обект:

[All] Длъжностното лице по защита на данните / съветникът по защита на личните данни ТРЯБВА да записва консултациите по защита на личните данни относно обхвата на PIMS, критериите за DPIA и високорисковите решения в REG04 преди одобряване на съответното решение.

От раздел „Роли и отговорности“, клауза 5.1.3 на политиката.

Тази клауза е критична по време на предаване. Докладът от DPIA може да показва окончателното одобрение, но REG04 или еквивалентен регистър на консултациите по защита на личните данни запазва професионалната аргументация зад решението. Без него новият DPO може да не може да обясни защо организацията е одобрила високорискова дейност по обработване или какви условия за мониторинг са били приложени.

Clarysec свързва прехода на роли и с по-широкото управление. Корпоративната Политика за роли и отговорности в управлението [C6] посочва:

Делегиранията ТРЯБВА да се проследяват в Регистъра на ролите и отговорностите, като първоначалният собственик запазва крайната отчетност.

От раздел „Изисквания за прилагане на политиката“, клауза 6.2.5 на политиката.

Това предотвратява най-опасния пропуск при преход: всички предполагат, че някой друг покрива DSR, DPIA, оценки на нарушения или отговори до регулатори. Силното досие за предаване на функциите на DPO включва таблица за делегиране и ясно посочва дали всяка отговорност е постоянна, временна или консултативна.

Изграждане на хранилището със Zenith Blueprint

Досието за предаване е толкова полезно, колкото е полезно хранилището зад него. Хаотичният споделен диск не е система за доказателства на PIMS.

Zenith Blueprint: 30-стъпкова пътна карта на одитора [C7] на Clarysec третира документацията като жива система за управление. В етапа „Основа и лидерство на СУИС“, стъпка 6, „Документирана информация и изграждане на библиотеката на СУИС“, Zenith Blueprint препоръчва организациите да създадат структурирано хранилище за документация на СУИС:

Сега е подходящ момент да създадете структура за съхранение на цялата си документация на СУИС (вашата „библиотека на СУИС“). Например:

✓ Главна папка с име „Документация на СУИС“ с подпапки като: ✓ Политики и процедури: съдържаща одобрените версии на политики (например политика по информационна сигурност, политика за допустимо използване) и процедури (процедура за реагиране при инциденти, процедура за архивиране и др.). ✓ Оценка на риска и SoA: папка за доклади от оценка на риска, регистър на риска (работен файл) и Декларацията за приложимост (когато бъде изготвена). ✓ Записи за обучение и осведоменост: регистри за обучения, копия на предоставено съдържание, присъствени списъци. ✓ Одит и преглед: доклади от вътрешен одит, протоколи от срещи за преглед от ръководството, регистри на коригиращи действия. ✓ Записи за инциденти: регистър на инциденти, доклади за инциденти, документи с извлечени поуки. ✓ Активи и инвентар: списъци на активи, резултати от класификация на данни и др. ✓ Контроли от Annex A (или „Библиотека на контролите“): може да съдържа списъка с контроли и документация за начина, по който са внедрени.

Уверете се, че това хранилище е достъпно, но защитено. Например политиките могат да бъдат в папка с публичен достъп за четене за всички служители, но папката за оценка на риска може да бъде ограничена до екипа на СУИС и висшето ръководство.

От етапа „Основа и лидерство на СУИС“, стъпка 6: Документирана информация и изграждане на библиотеката на СУИС.

За досие за предаване на функциите на DPO същият модел се превръща в библиотека на PIMS. Практична папка от най-високо ниво е „Предаване и отчетност на DPO в PIMS“, с ограничен достъп за DPO, ръководителя по защита на личните данни, правния консултант, CISO, вътрешния одит и одобрени висши ръководители.

За МСП същият принцип може да се приложи по-опростено. Политика за одит и мониторинг на съответствието за МСП [C8] на Clarysec посочва:

Всички доказателства ТРЯБВА да се съхраняват в централизирана папка за одит.

От раздел „Изисквания за прилагане на политиката“, клауза 6.2.1 на политиката.

Нивото на зрялост може да варира, но принципът не трябва. Доказателствата за защита на личните данни трябва да бъдат централизирани, контролирани, индексирани и извлекаеми.

Опорни ISO контроли: роли, записи и защита на PII

Досието за предаване на функциите на DPO се съпоставя силно с три организационни контрола от ISO/IEC 27002:2022, представени в Zenith Controls: ръководство за съпоставяне на съответствието между рамки [C9] на Clarysec. Това са ISO контроли, а не отделен набор от контроли, създаден от Zenith.

Тези контроли се свързват и с изискванията към система за управление по ISO/IEC 27001:2022. Clause 5.3 изисква организационните роли, отговорности и правомощия да бъдат възложени и комуникирани. Clause 7.5 изисква документираната информация да бъде контролирана. Clause 6.1 изисква планиране на рискове и възможности, включително третиране на риска. Clause 8.1 изисква оперативно планиране и контрол. Clause 9.1 изисква мониторинг и оценяване. Clause 10.2 изисква коригиращо действие.

Досието за предаване на функциите на DPO подкрепя всяко от тези очаквания, като превръща прехода на роля в контролирани, одитируеми доказателства.

Едносесийно упражнение за изграждане на досието за предаване на функциите на DPO

Не е необходимо да чакате заявление за напускане. Проведете това упражнение преди напускане на DPO, по време на вътрешен одит на защитата на личните данни или след назначаване на нов ръководител по защита на личните данни.

Стъпка 1: Създайте индекса за предаване

Отворете REG12 или вашия индекс на документираната информация и създайте раздел с име „Досие за предаване на функциите на DPO“. Добавете полета за:

• Доказателствен елемент.
• Процесна област.
• Официално местоположение.
• Собственик.
• Резервен собственик.
• Последен преглед.
• Следващ преглед.
• Ниво на поверителност.
• Отворено действие.
• Одитна релевантност.

Попълнете първите 25 записа. Започнете с RoPA, регистъра на DPIA, регистъра на DSR, регистъра на нарушенията, регистъра на доставчиците, графика за съхранение, регистъра на консултациите по защита на личните данни, досието за кореспонденция с регулатори, регистъра на риска за личните данни и обхвата на PIMS.

Стъпка 2: Изградете списък за наблюдение на сроковете за 30, 60 и 90 дни

Създайте табло за „червена зона“ за елементи със срок през следващите 30, 60 и 90 дни. Включете:

• Отворени искания от субекти на данни.
• Висящи одобрения на DPIA.
• Отворени оценки на нарушения.
• Срокове за отговор до регулатор или клиент.
• Дати за преглед на доставчици.
• Срокове за уведомления за предаване или за подизпълнител обработващ лични данни.
• Ключови етапи за преглед на съхранението.
• Коригиращи действия по одит.

Това е страницата, която встъпващият DPO чете първа.

Стъпка 3: Съпоставете високорисковите процеси с именувани собственици

Използвайте Регистъра на ролите и отговорностите. За всеки процес документирайте дали напускащият DPO е бил отчетен, отговорен, консултиран или информиран. Определете временен собственик за всеки активен процес. Проследете делегирането и комуникирайте промяната в съответствие с Политиката за роли, отговорности и отчетност при защитата на личните данни и Политиката за роли и отговорности в управлението.

Стъпка 4: Запазете контекста на решенията

За всяка активна DPIA или високорисково решение добавете кратка бележка за историята на решението:

• Какво беше предложено?
• Защо беше необходима или не беше необходима DPIA?
• Каква консултация по защита на личните данни беше дадена?
• Какви рискове остават?
• Кой прие остатъчния риск?
• Какви условия трябва да бъдат наблюдавани?

Тук REG04 става съществен. Без записана консултация встъпващият DPO може да види само окончателното одобрение и да пропусне ограниченията зад него.

Стъпка 5: Тествайте извличането

Поискайте от вътрешния одит или функцията по съответствие да заяви пет елемента от досието за предаване:

1. Записа в RoPA за високорискова дейност по обработване.
2. DPIA и записа за консултация за същата дейност.
3. Споразумението с обработващия лични данни, което я подкрепя.
4. Правилото за съхранение, което се прилага към данните.
5. Най-скорошното решение по DSR или нарушение, включващо този процес, ако има такова.

Ако екипът не може да ги извлече в срока, определен от политиката, досието за предаване не е готово.

Зависимости от доставчици, обработващи лични данни и облачни услуги

Много преходи на DPO се провалят на границата между защитата на личните данни, закупуването, сигурността и операциите.

Напускащият DPO може да знае, че обработващ лични данни има нерешена одитна констатация, че уведомление за подизпълнител обработващ лични данни се нуждае от преглед или че договорът няма адекватни условия за съдействие при инциденти. Ако това знание не бъде уловено, встъпващият DPO наследява скрит риск.

Политика за сигурност на трети страни и доставчици за МСП [C10] на Clarysec задава доказателствената основа:

Регистърът на доставчиците ТРЯБВА да се поддържа и актуализира от административния контакт или контакта по закупуване. Той ТРЯБВА да включва:

От раздел „Изисквания за управление“, клауза 5.4 на политиката.

Досието за предаване трябва да свързва регистъра на доставчиците със:

• Споразумения за обработване на лични данни.
• Списъци на подизпълнители обработващи лични данни.
• Документация за предавания.
• Надлежна проверка по сигурността.
• Клаузи за уведомяване при инциденти.
• Права на одит.
• Задължения за изход и изтриване.
• Отворени елементи за отстраняване.

Тук NIS2 и DORA също имат значение.

NIS2 изисква съществените и важните субекти да приемат подходящи технически, оперативни и организационни мерки за управление на риска в киберсигурността. Областите ѝ на управление на риска включват обработване на инциденти, непрекъсваемост на дейността, сигурност на веригата на доставки, сигурно придобиване и разработка, обработване на уязвимости, оценка на ефективността, киберхигиена, обучение, криптография, сигурност на човешките ресурси, контрол на достъпа и управление на активите.

DORA изисква финансовите субекти да поддържат ИКТ управление, управление на ИКТ риска, класификация и докладване на инциденти, тестване на цифровата оперативна устойчивост и управление на риска от ИКТ трети страни. За критична или важна функция DORA очаква и силни договорни предпазни мерки, права за достъп и одит, права на прекратяване, стратегии за изход и преходни договорености.

Досието за предаване на функциите на DPO трябва да идентифицира къде доставчиците, релевантни за защитата на личните данни, са и част от задълженията за оперативна устойчивост. Ако обработващ лични данни поддържа критична финансова услуга или важна цифрова услуга, встъпващият DPO трябва да разбира регулаторното въздействие от отказ на доставчика, забавено уведомяване при инцидент или слабост в договора.

Непрекъснатост при инциденти и нарушения

Контекстът на нарушение на сигурността на личните данни е силно нетраен. По време на преход на DPO е лесно да се загуби защо е взето решение да не се уведомява, защо уведомяването е било забавено или защо конкретна група лица е счетена за засегната.

GDPR дефинира нарушение на сигурността на личните данни широко, включително случайно или незаконосъобразно унищожаване, загуба, промяна, неоторизирано разкриване на или достъп до лични данни. Следователно реагирането при инциденти трябва да включва триаж за защита на личните данни, а не само техническо ограничаване.

Zenith Blueprint, в етапа „Контроли в действие“, стъпка 23, подчертава правния интерфейс при контроли, свързани със защитата на личните данни:

Контролът въвежда и правен интерфейс в СУИС. Специалистите по защита на личните данни, правните съветници или длъжностните лица по защита на данните (DPO) трябва да участват в определянето на начина, по който се обработват личните данни, особено когато става дума за международни предавания, трансгранично обработване или права на субектите на данни, като достъп, корекция и изтриване. Това не са просто права, а оперативни задължения и те трябва да бъдат подкрепени със структурирани, одитируеми процеси.

От гледна точка на одита този контрол е все по-често във фокус. Одитори, регулатори и клиенти искат да видят:

✓ Къде се намира PII, ✓ Какво правно основание управлява обработването ѝ, ✓ Как е ограничен достъпът, ✓ Как се докладват инцидентите, ✓ И как организацията зачита правата и поддържа прозрачност.

От етапа „Контроли в действие“, стъпка 23: Организационни контроли (5.19–5.37).

За всеки отворен или наскоро приключен инцидент с лични данни досието за предаване трябва да включва лист за непрекъснатост при нарушение.

Това подкрепя и очакванията за инциденти по NIS2 и DORA. NIS2 използва поетапно докладване на значителни инциденти, включително ранно предупреждение, уведомяване, актуализации, когато са изисквани, и окончателен доклад. DORA изисква финансовите субекти да откриват, управляват, класифицират и уведомяват за съществени инциденти, свързани с ИКТ, с първоначално, междинно и окончателно докладване и анализ на първопричините. Новият DPO трябва да може да разграничава инцидент по сигурността, нарушение на сигурността на личните данни, значителен инцидент по NIS2 и съществен инцидент, свързан с ИКТ по DORA, включително когато едно събитие задейства множество работни потоци.

Съхранение и унищожаване: тихият риск при предаване

Правилата за съхранение често остаряват по време на преходи на роли, защото се намират между правния отдел, управлението на записи, ИТ и собствениците на бизнес процеси. Въпреки това ограничението на съхранението по GDPR изисква личните данни да не се съхраняват по-дълго от необходимото за целите на обработването.

Корпоративната Политика за съхранение и унищожаване на данни [C11] възлага контролна роля по защита на личните данни:

Преглежда и валидира графиците за съхранение на лични данни, за да гарантира правно основание за продължаващо съхранение.

От раздел „Роли и отговорности“, клауза 4.3.2 на политиката.

Досието за предаване трябва да идентифицира графици за съхранение, които изискват преглед, системи, при които изтриването е технически ограничено, правни задържания, архивирани набори от данни, въпроси със съхранение на резервни копия и зависимости от обработващи лични данни при изтриване.

Полезният тест е прост. Изберете един запис в RoPA и попитайте дали встъпващият DPO може да определи срока за съхранение, критерия за изтриване, собственика на системата, участието на обработващ лични данни, третирането на резервните копия и доказателствата за последния преглед. Ако не може, отчетността за съхранението не е готова за преход.

Съпоставяне на съответствието между рамки: едно досие, много очаквания

Силното досие за предаване на функциите на DPO не заменя правните задължения, но дава на одиторите и регулаторите последователна доказателствена следа между рамките.

NIST CSF 2.0 е особено полезен като комуникационен слой. Неговата функция GOVERN очаква правните, регулаторните, договорните, свързаните със защитата на личните данни и гражданските свободи задължения да бъдат разбрани и управлявани. Методът му Organizational Profiles помага на организациите да дефинират текущо и целево състояние, да съберат политики и входни данни за риск, да идентифицират пропуски и да създадат приоритизирани планове за действие.

Точно това прави досието за предаване на функциите на DPO. То дефинира текущия профил за защита на личните данни, идентифицира целевите изисквания за непрекъснатост и създава приоритизиран списък за отстраняване.

Как одиторите проверяват процеса за предаване на функциите на DPO

Сериозният одитор няма да спре с въпроса за името на DPO. Той ще тества дали функцията по защита на личните данни е устойчива.

Най-честата констатация не е, че няма досие за предаване. Тя е, че досието не свързва доказателствата с решенията. Одиторите не искат само документи. Те искат проследимост.

Чести модели на неуспех и корекции с Clarysec

Първият модел на неуспех е предаване чрез входящата поща. Напускащият DPO препраща имейли, но няма индексиран регистър на доказателствата. Clarysec коригира това, като налага доказателствата да влизат в REG12 и свързва всеки елемент с процес, собственик и дата за преглед.

Вторият е предаване чрез шаблони. Организацията има шаблони за DPIA и DSR, но няма актуален статус. Clarysec коригира това с табло за „червена зона“ с отворени срокове, високорискови решения и нерешени действия.

Третият е политика без делегиране. Политиките казват, че DPO притежава защитата на личните данни, но никой не записва временна отговорност. Clarysec коригира това чрез Регистъра на ролите и отговорностите, доказателства за предаване на роля в REG01 и REG12 и доказателства за комуникация в REG11.

Четвъртият е сляпата зона при доставчици. Записите за обработващи лични данни не са свързани със записите за закупуване и сигурност. Clarysec коригира това, като свързва регистъра на доставчиците, хранилището на DPA, списъка на подизпълнители обработващи лични данни, клаузите за инциденти, задълженията при изход и надлежната проверка по сигурността.

Петият е пропускът в контекста на инцидента. Техническият запис за инцидента съществува, но аргументацията за нарушението на сигурността на личните данни липсва. Clarysec коригира това, като изисква листове за непрекъснатост при нарушения, които запазват анализа за уведомяване, въздействието върху субектите на данни, решенията за регулатора и извлечените поуки.

Вашият 30-дневен контролен списък за готовност за предаване на функциите на DPO

Ако вашият DPO или ръководител по защита на личните данни се смени утре, можете ли да докажете непрекъснатост? Използвайте този контролен списък.

• Потвърдете, че DPO, ръководителят по защита на личните данни, мениджърът на PIMS и резервните лица са записани в регистъра на ролите.
• Запишете доказателства за предаване на роля в REG01 и REG12 в срок до 10 работни дни.
• Актуализирайте доказателствата за комуникация при промяна на роля в REG11 в срок до 10 работни дни.
• Проверете дали индексът на документираната информация за PIMS в REG12 е актуален.
• Създайте списък за наблюдение на сроковете за защита на личните данни за 30, 60 и 90 дни.
• Прегледайте отворените DSR и потвърдете собствениците на отговорите.
• Прегледайте всички активни DPIA и високорискови решения.
• Потвърдете, че REG04 включва консултации по защита на личните данни за обхвата на PIMS, критериите за DPIA и високорисковите решения.
• Съгласувайте RoPA със системите, доставчиците и графиците за съхранение.
• Прегледайте отворените и скорошните оценки на нарушения.
• Потвърдете, че записите за обработващи лични данни, подизпълнители обработващи лични данни и доставчици са пълни.
• Валидирайте графиците за съхранение на лични данни.
• Тествайте извличането на пет критични доказателствени елемента.
• Докладвайте статуса на прехода на ръководството.
• Добавете извлечените поуки към плана за подобрение на PIMS.

Направете непрекъснатостта на защитата на личните данни готова за одит преди промяната на ролята

Най-добрият момент да изградите досие за предаване на функциите на DPO е преди някой да подаде оставка, преди регулатор да поиска информация и преди инцидент да наложи това.

Clarysec помага на организациите да превърнат управлението на защитата на личните данни в оперативни доказателства чрез комбиниране на шаблони на политики, регистри на PIMS, работни потоци за предаване, готови за одит хранилища и съпоставяния на съответствието между рамки. Започнете със Zenith Blueprint за 30-стъпковата пътна карта за внедряване, използвайте Zenith Controls, за да свържете контролите от ISO/IEC 27002:2022 с по-широките очаквания за съответствие, и съгласувайте вътрешните си клаузи с политиките на Clarysec за защита на личните данни и управление на доказателства.

Ако вашият DPO се смени утре, ще запази ли организацията ви контекста зад всяка DPIA, решение при нарушение, запис в RoPA и ангажимент към регулатор?

Ако отговорът е несигурен, следващата стъпка е практична. Изградете индекса за предаване, картографирайте доказателствата, назначете временни собственици и тествайте извличането още тази седмица. Clarysec може да ви помогне да направите това досие пълно, контролирано и готово за одит.