Předávací dokumentace DPO pro GDPR a ISO 27701

Oznámení dorazilo Marii do schránky s nenápadným předmětem „Týmová aktualizace“. David, pověřenec pro ochranu osobních údajů (DPO) v její rychle rostoucí fintech společnosti, přijal novou roli. Za dva týdny měl odejít.

Maria, CISO, to zpočátku brala jako jakýkoli jiný odchod člena vrcholového vedení. HR provede offboarding, IT odebere přístupová oprávnění, právní oddělení projde otevřené záležitosti a nový DPO dostane předávací hovor. Potom přišly skutečné otázky.

„Kde je DPIA k biometrickému přihlašování?“

„Mohu vidět korespondenci s belgickým dozorovým úřadem k loňskému šetření přeshraničního toku údajů?“

„Jaké bylo odůvodnění přijetí zbytkového rizika pro soukromí u modelu kreditního skórování řízeného AI?“

V pondělí v 08:17 chtěla správní rada ujištění, že odpovědnost podle GDPR zůstala zachována. Velký podnikový zákazník zaslal dotazník náležité péče v oblasti ochrany soukromí a požadoval aktuální RoPA, registr DPIA, evidenci porušení zabezpečení osobních údajů, seznam dílčích zpracovatelů, retenční lhůty a důkazy o stanoviscích k ochraně soukromí. Produktový tým chtěl schválení změny analytiky. Podpora držela tři žádosti subjektů údajů. Nákup znovu vyjednával smlouvu se zpracovatelem. Bezpečnost vyšetřovala událost, která mohla zahrnovat osobní údaje.

Davidovo předání tvořil třicetiminutový hovor a sdílený disk plný nekonzistentních názvů složek. Kontext, diskuse, rozhodnutí o ochotě podstupovat riziko, historie komunikace s dozorovými orgány i neformální doporučení odešly s ním.

Právě zde správa a řízení ochrany soukromí buď prokáže, že je systémem řízení, nebo odhalí, že byla pamětí jedné osoby.

Předávací dokumentace DPO pro GDPR a ISO/IEC 27701:2025 není výstupní balíček HR. Je to dokumentace kontinuity odpovědnosti. Příchozímu DPO, vedoucímu pro ochranu soukromí, manažerovi PIMS, auditorovi, dozorovému orgánu nebo výkonnému sponzorovi říká, co se zpracovává, proč je zpracování zákonné, která rizika zůstávají otevřená, kde jsou uloženy důkazy, kdo vlastní další opatření a které lhůty nesmí být zmeškány.

Skryté riziko pro soukromí: odpovědnost uzamčená v jedné roli

GDPR stanoví odpovědnost výslovně. Article 5(2) vyžaduje, aby správci nesli odpovědnost za dodržování základních zásad zákonnosti, korektnosti a transparentnosti, účelového omezení, minimalizace údajů, přesnosti, omezení uložení, integrity a důvěrnosti a aby toto dodržování byli schopni doložit. Articles 4, 6, 9, 10 and 30 doplňují provozní slovník a očekávání týkající se důkazů, které musí přežít změnu role: osobní údaje, zpracování, právní základ, podmínky pro zpracování zvláštních kategorií osobních údajů, definice porušení zabezpečení a záznamy o činnostech zpracování.

Problém není v tom, zda organizace měla schopného DPO. Problém je v tom, zda program ochrany soukromí dokáže fungovat, když se DPO změní.

Když DPO odchází, organizace musí stále vědět:

• Které činnosti zpracování jsou aktivní, pozastavené, ukončené nebo předmětem přezkumu.
• Které právní základy a podmínky pro zpracování zvláštních kategorií osobních údajů podporují jednotlivé činnosti.
• Která DPIA obsahují nevyřešená rizika nebo podmíněná schválení.
• Které žádosti subjektů údajů jsou otevřené, prodloužené, zamítnuté nebo napadené.
• Která porušení zabezpečení osobních údajů byla oznámena, nebyla oznámena nebo jsou stále posuzována.
• Kteří zpracovatelé, dílčí zpracovatelé a mechanismy předávání jsou zavedeny.
• Která komunikace s dozorovými orgány, závazky vůči zákazníkům a auditní opatření jsou nevyřízené.
• Jaké stanovisko k ochraně soukromí bylo poskytnuto, kdy bylo poskytnuto a za jakých předpokladů.

Jde o klasickou závislost na klíčové osobě. Hlava DPO se stává hlavním repozitářem rozhodnutí v oblasti ochrany soukromí, posouzení rizik a interakcí s dozorovými orgány. Když tato osoba odejde, organizace neztrácí jen nositele role. Ztrácí dohledatelnost potřebnou k doložení souladu.

Enterprise politika Clarysec Politika rolí, odpovědností a odpovědnosti v oblasti ochrany soukromí [C1] mění přechod role v důkazní povinnost:

[Všichni] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ zaznamenat důkazy o předání role do REG01 a REG12 do 10 pracovních dnů od změny role.

Ze sekce „Implementace“, ustanovení politiky 7.1.6.

Stejná politika také vyžaduje důkazy o komunikaci po přeřazení nebo odchodu:

[Všichni] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ aktualizovat důkazy o komunikaci změny role v REG11 do 10 pracovních dnů po přeřazení role nebo odchodu.

Ze sekce „Důkazy o odpovědnosti a komunikace“, ustanovení politiky 4.5.4.

Tato dvě ustanovení mění personální změnu na auditovatelné opatření ochrany soukromí. Předání už není neformálním přenosem znalostí. Stává se dokumentovaným důkazem PIMS.

Co předávací dokumentace DPO skutečně je

Dobrá předávací dokumentace DPO není jeden soubor PDF. Je to řízený balíček důkazů s indexem, vlastníky, odkazy, stavovými poli, historií rozhodnutí a pravidly dohledání. Měla by příchozímu DPO umožnit pochopit stav ochrany soukromí v organizaci v řádu hodin, nikoli týdnů.

Představte si ji jako letový zapisovač programu ochrany soukromí. Musí ukazovat nejen to, co se stalo, ale také proč byla rozhodnutí přijata a co se musí stát dál.

Praktická předávací dokumentace DPO má odpovědět na čtyři otázky:

1. Které povinnosti a rozhodnutí v oblasti ochrany soukromí jsou aktuálně aktivní?
2. Jaké důkazy prokazují, že jsou tyto povinnosti řízeny?
3. Kdo vlastní každou otevřenou položku během přechodu a po něm?
4. Která rizika, lhůty nebo regulační citlivosti vyžadují okamžitou pozornost?

Dokumentace nemá duplikovat každý záznam. Duplikace vytváří zastaralé důkazy. Místo toho má odkazovat na autoritativní záznam, vysvětlit stav, určit vlastnictví a označit další požadované rozhodnutí.

Enterprise politika Clarysec Politika řízení dokumentovaných informací a důkazů PIMS [C2] stanoví důkazní základ:

[Všichni] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ udržovat index dokumentovaných informací PIMS v REG12 před prvním zveřejněním PIMS a následně čtvrtletně.

Ze sekce „Řízení dokumentovaných informací PIMS“, ustanovení politiky 4.1.1.

Vyžaduje také důkazy o dohledání:

[Všichni] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ zaznamenat žádosti o dohledání auditních důkazů a stav jejich vyřízení v REG12 do pěti pracovních dnů od obdržení žádosti.

Ze sekce „Přístup, ochrana, dohledání a zpřístupnění“, ustanovení politiky 4.4.4.

Předávací dokumentace DPO proto má být postavena kolem REG12 nebo rovnocenného indexu dokumentovaných informací. Pokud důkazy o ochraně soukromí nelze během přechodu rychle najít, nemohou podpořit odpovědnost, když auditor, zákazník nebo dozorový orgán požádá o doložení.

Základní struktura předávací dokumentace DPO připravené pro audit

Implementace Clarysec obvykle dělí předávací dokumentaci DPO do deseti částí. Tyto části dávají příchozímu DPO jednotný provozní pohled, aniž by nahrazovaly autoritativní systémy evidence.

Nejcennější částí dokumentace často nejsou samotné dokumenty. Je to kontext mezi dokumenty. DPIA může ukazovat závěr, ale příchozí DPO také potřebuje vědět, jaké stanovisko bylo poskytnuto, která zbytková rizika byla přijata, jaké podmínky byly připojeny a zda jsou tyto podmínky stále monitorovány.

Opěrná struktura GDPR: RoPA, DPIA, DSR, porušení zabezpečení a právní základ

Předávací dokumentace DPO má začínat provozní opěrnou strukturou GDPR. Právě zde mnoho přechodů selhává, protože odcházející DPO zná historii za záznamy, zatímco příchozí DPO vidí pouze fragmenty.

Enterprise Politika ochrany osobních údajů a soukromí [C3] přiřazuje DPO odpovědnost za klíčové záznamy:

Udržuje záznamy o činnostech zpracování (RoPA) v souladu s GDPR Article 30.

Ze sekce „Role a odpovědnosti“, ustanovení politiky 4.2.2.

Dále stanoví:

Vede komunikaci s dozorovými orgány, provádí posouzení vlivu na ochranu osobních údajů (DPIA) a řídí procesy oznamování porušení zabezpečení osobních údajů.

Ze sekce „Role a odpovědnosti“, ustanovení politiky 4.2.3.

A pro správu práv:

Pověřenec pro ochranu osobních údajů (DPO) musí udržovat dokumentované procesy pro příjem, validaci, sledování a vyřízení žádostí subjektů údajů (DSR).

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.4.1.

Nejde o oddělené administrativní úkoly. Tvoří řetězec odpovědnosti.

Pokud subjekt údajů požádá o výmaz, příchozí DPO potřebuje RoPA k identifikaci systémů a zpracovatelů, registr právních základů k posouzení použitelnosti výmazu, harmonogram uchovávání údajů ke kontrole omezení uložení, záznamy o dodavatelích ke koordinaci výmazu v navazujícím zpracování a registr DSR k doložení časové osy a odpovědi. Pokud se DPO změní uprostřed vyřizování žádosti, předávací dokumentace musí tento řetězec zachovat.

Pro menší organizace používá Clarysec Politiku ochrany osobních údajů a soukromí pro SME [C4] se škálovaným zněním, ale zachovává stejný princip odpovědnosti:

Udržuje záznamy o činnostech zpracování

Ze sekce „Role a odpovědnosti“, ustanovení politiky 4.2.1.

Dále vyžaduje:

Koordinátor ochrany soukromí musí udržovat registr všech činností zpracování osobních údajů, včetně kategorií údajů, účelu, právního základu a dob uchovávání.

Ze sekce „Požadavky na správu a řízení“, ustanovení politiky 5.2.1.

A pro žádosti o uplatnění práv:

Všechny odpovědi na žádosti subjektů údajů musí být zaznamenány v zabezpečeném registru, přičemž přístup je omezen na koordinátora ochrany soukromí a generálního ředitele.

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.5.4.

V podnikovém i SME prostředí má předávací dokumentace obsahovat řídicí panel provozu ochrany soukromí, který ukazuje stav RoPA, DPIA, DSR, porušení zabezpečení osobních údajů, přezkumů uchovávání a přezkumů dodavatelů. Tak organizace prokazuje, že odpovědnost podle GDPR nezávisí na jedné osobě.

ISO/IEC 27701:2025: přechod role jako řízený důkaz PIMS

ISO/IEC 27701:2025 rozšiřuje správu a řízení ochrany soukromí do strukturovaného systému řízení informací o soukromí. To znamená, že přechod role má být řízen jako jakýkoli jiný kontrolovaný proces: plánovaný, přiřazený, doložený, přezkoumaný a zlepšovaný.

Předávací dokumentace má u každého významného procesu ochrany soukromí obsahovat pole kontinuity PIMS:

• Název procesu, například DPIA, RoPA, DSR, posouzení porušení zabezpečení osobních údajů nebo přezkum dodavatele z hlediska ochrany soukromí.
• Role v PIMS, například DPO, vedoucí pro ochranu soukromí, manažer PIMS, zástupce správce nebo zástupce zpracovatele.
• Provozní role, například správce, zpracovatel, společný správce nebo dílčí zpracovatel.
• Aktuální vlastník a dočasný zástupce.
• Reference v registru důkazů.
• Datum posledního přezkumu a datum příštího přezkumu.
• Otevřená rozhodnutí a nevyřešená rizika.
• Eskalační cesta.
• Odkazy na ustanovení politik, postupy a šablony.
• Stav auditu, včetně poslední žádosti o důkazy a odpovědi.

Enterprise Politika systému řízení informací o soukromí [C5] stanoví, že samotné stanovisko k ochraně soukromí je důkazní objekt:

[Všichni] Pověřenec pro ochranu osobních údajů / poradce pro ochranu soukromí MUSÍ zaznamenat stanovisko k ochraně soukromí k rozsahu PIMS, kritériím DPIA a vysoce rizikovým rozhodnutím v REG04 před schválením příslušného rozhodnutí.

Ze sekce „Role a odpovědnosti“, ustanovení politiky 5.1.3.

Toto ustanovení je při předání zásadní. Zpráva DPIA může ukazovat konečné schválení, ale REG04 nebo rovnocenný registr stanovisek k ochraně soukromí zachovává odborné odůvodnění rozhodnutí. Bez něj nemusí být nový DPO schopen vysvětlit, proč organizace schválila vysoce rizikovou činnost zpracování nebo jaké monitorovací podmínky byly připojeny.

Clarysec také propojuje přechod role se širší správou a řízením. Enterprise Politika rolí a odpovědností v oblasti správy a řízení [C6] stanoví:

Delegování musí být evidováno v registru rolí a odpovědností a původní vlastník si ponechává konečnou odpovědnost.

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.2.5.

Tím se předchází nejnebezpečnější mezeře v přechodu: všichni předpokládají, že DSR, DPIA, posouzení porušení zabezpečení osobních údajů nebo odpovědi dozorovým orgánům pokrývá někdo jiný. Silná předávací dokumentace DPO obsahuje tabulku delegování a jasně uvádí, zda je každá odpovědnost trvalá, dočasná nebo poradní.

Vybudování repozitáře pomocí Zenith Blueprint

Předávací dokumentace je užitečná jen do té míry, do jaké je užitečný repozitář za ní. Chaotický sdílený disk není systém důkazů PIMS.

Zenith Blueprint: 30kroková roadmapa auditora [C7] od Clarysec chápe dokumentaci jako živý systém řízení. Ve fázi ISMS Foundation & Leadership, v kroku 6 „Dokumentované informace a vybudování knihovny ISMS“, Zenith Blueprint doporučuje organizacím vytvořit strukturovaný repozitář dokumentace ISMS:

Nyní je vhodný čas nastavit strukturu pro ukládání veškeré dokumentace ISMS (vaši „knihovnu ISMS“). Například:

✓ Hlavní složka s názvem „Dokumentace ISMS“ s podsložkami jako: ✓ Politiky a postupy: obsahující schválené verze politik (např. politika InfoSec, zásady přípustného užívání) a postupů (postup reakce na incidenty, postup zálohování apod.). ✓ Posouzení rizik a SoA: složka pro zprávy z posouzení rizik, registr rizik (pracovní soubor) a prohlášení o použitelnosti (po jeho vypracování). ✓ Záznamy o školení a povědomí: záznamy o školení, kopie poskytnutého obsahu, prezenční listiny. ✓ Audit a přezkum: zprávy z interního auditu, zápisy z jednání přezkoumání vedením, evidence nápravných opatření. ✓ Záznamy o incidentech: evidence incidentů, zprávy o incidentech, dokumenty se získanými poznatky. ✓ Aktiva a evidence: seznamy aktiv, výsledky klasifikace dat apod. ✓ Opatření Annex A (nebo „knihovna opatření“): případně seznam opatření a veškerá dokumentace o tom, jak jsou implementována.

Zajistěte, aby byl tento repozitář přístupný, ale zabezpečený. Například politiky mohou být ve složce s oprávněním ke čtení pro všechny zaměstnance, ale složka posouzení rizik může být omezena na tým ISMS a vrcholové vedení.

Z fáze ISMS Foundation & Leadership, krok 6: Dokumentované informace a vybudování knihovny ISMS.

Pro předávací dokumentaci DPO se stejný vzor stává knihovnou PIMS. Praktická složka nejvyšší úrovně může být „PIMS DPO Handover and Accountability“, s omezeným přístupem pro DPO, vedoucího pro ochranu soukromí, právního poradce, CISO, interní audit a schválené členy vedení.

U SME lze stejný princip implementovat jednodušeji. Politika auditu a monitorování souladu pro SME [C8] od Clarysec stanoví:

Všechny důkazy musí být uloženy v centralizované auditní složce.

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.2.1.

Úroveň vyspělosti se může lišit, ale princip nikoli. Důkazy o ochraně soukromí musí být centralizované, řízené, indexované a dohledatelné.

Opěrná opatření ISO: role, záznamy a ochrana PII

Předávací dokumentace DPO se silně mapuje na tři organizační opatření ISO/IEC 27002:2022 uvedená v Zenith Controls: průvodci mapováním souladu napříč rámci [C9] od Clarysec. Jde o opatření ISO, nikoli o samostatný soubor opatření vytvořený v Zenith.

Tato opatření se také propojují s požadavky systému řízení ISO/IEC 27001:2022. Clause 5.3 vyžaduje, aby organizační role, odpovědnosti a pravomoci byly přiděleny a komunikovány. Clause 7.5 vyžaduje řízení dokumentovaných informací. Clause 6.1 vyžaduje plánování rizik a příležitostí, včetně ošetření rizik. Clause 8.1 vyžaduje operativní plánování a řízení. Clause 9.1 vyžaduje monitorování a hodnocení. Clause 10.2 vyžaduje nápravné opatření.

Předávací dokumentace DPO podporuje každé z těchto očekávání tím, že mění přechod role na řízené, auditovatelné důkazy.

Jednorázové cvičení k vytvoření předávací dokumentace DPO

Nemusíte čekat na rezignační dopis. Proveďte toto cvičení před odchodem DPO, během interního auditu ochrany soukromí nebo po jmenování nové vedoucí osoby pro ochranu soukromí.

Krok 1: Vytvořte index předání

Otevřete REG12 nebo svůj index dokumentovaných informací a vytvořte sekci s názvem „Předávací dokumentace DPO“. Přidejte pole pro:

• Důkazní položku.
• Procesní oblast.
• Autoritativní umístění.
• Vlastníka.
• Zástupného vlastníka.
• Poslední přezkum.
• Příští přezkum.
• Úroveň důvěrnosti.
• Otevřené opatření.
• Relevanci pro audit.

Vyplňte prvních 25 položek. Začněte RoPA, registrem DPIA, registrem DSR, evidencí porušení zabezpečení osobních údajů, registrem dodavatelů, harmonogramem uchovávání údajů, registrem stanovisek k ochraně soukromí, složkou korespondence s dozorovými orgány, registrem rizik pro soukromí a rozsahem PIMS.

Krok 2: Vytvořte přehled lhůt na 30, 60 a 90 dní

Vytvořte řídicí panel červené zóny pro položky splatné v příštích 30, 60 a 90 dnech. Zahrňte:

• Otevřené žádosti subjektů údajů.
• Čekající schválení DPIA.
• Otevřená posouzení porušení zabezpečení osobních údajů.
• Lhůty pro odpověď dozorovému orgánu nebo zákazníkovi.
• Termíny přezkumu dodavatelů.
• Lhůty pro oznámení předávání nebo dílčího zpracovatele.
• Milníky přezkumu uchovávání.
• Nápravná opatření z auditu.

Toto je stránka, kterou příchozí DPO čte jako první.

Krok 3: Namapujte vysoce rizikové procesy na jmenované vlastníky

Použijte registr rolí a odpovědností. U každého procesu zdokumentujte, zda byl odcházející DPO odpovědný za výsledek, odpovědný za provedení, konzultovaný nebo informovaný. Ke každému živému procesu přiřaďte dočasného vlastníka. Sledujte delegování a komunikujte změnu v souladu s Politikou rolí, odpovědností a odpovědnosti v oblasti ochrany soukromí a Politikou rolí a odpovědností v oblasti správy a řízení.

Krok 4: Zachovejte kontext rozhodnutí

Ke každému aktivnímu DPIA nebo vysoce rizikovému rozhodnutí doplňte stručnou poznámku k historii rozhodnutí:

• Co bylo navrženo?
• Proč bylo DPIA potřebné nebo nepotřebné?
• Jaké stanovisko k ochraně soukromí bylo poskytnuto?
• Jaká rizika zůstávají?
• Kdo přijal zbytkové riziko?
• Jaké podmínky musí být monitorovány?

Právě zde je REG04 nezbytný. Bez zaznamenaného stanoviska může příchozí DPO vidět pouze konečné schválení a přehlédnout omezení, která za ním stojí.

Krok 5: Otestujte dohledání

Požádejte interní audit nebo tým pro compliance, aby si z předávací dokumentace vyžádal pět položek:

1. Záznam RoPA pro vysoce rizikovou činnost zpracování.
2. DPIA a záznam stanoviska pro stejnou činnost.
3. Smlouvu se zpracovatelem, která ji podporuje.
4. Pravidlo uchovávání, které se vztahuje na dané údaje.
5. Nejnovější rozhodnutí DSR nebo rozhodnutí k porušení zabezpečení osobních údajů související s daným procesem, pokud existuje.

Pokud tým nedokáže tyto položky dohledat ve lhůtě stanovené politikou, předávací dokumentace není připravena.

Závislosti na dodavatelích, zpracovatelích a cloudu

Mnoho přechodů DPO selhává na hranici mezi ochranou soukromí, nákupem, bezpečností a provozem.

Odcházející DPO může vědět, že zpracovatel má nevyřešené zjištění auditu, že je třeba přezkoumat oznámení o dílčím zpracovateli nebo že ve smlouvě chybí odpovídající podmínky součinnosti při incidentu. Pokud se tyto znalosti nezachytí, příchozí DPO přebírá skryté riziko.

Bezpečnostní politika pro třetí strany a dodavatele pro SME [C10] od Clarysec stanoví důkazní základ:

Registr dodavatelů musí být udržován a aktualizován administrativním nebo nákupním kontaktem. Musí obsahovat:

Ze sekce „Požadavky na správu a řízení“, ustanovení politiky 5.4.

Předávací dokumentace má propojit registr dodavatelů s:

• Smlouvami o zpracování osobních údajů.
• Seznamy dílčích zpracovatelů.
• Dokumentací k předávání.
• Bezpečnostní náležitou péčí.
• Doložkami pro oznamování incidentů.
• Právy na audit.
• Povinnostmi ukončení spolupráce a výmazu.
• Otevřenými nápravnými položkami.

Zde jsou relevantní také NIS2 a DORA.

NIS2 vyžaduje, aby základní a důležité subjekty přijaly odpovídající technická, provozní a organizační opatření k řízení rizik v oblasti kybernetické bezpečnosti. Oblasti řízení rizik zahrnují zvládání incidentů, kontinuitu činností, zabezpečení dodavatelského řetězce, bezpečné pořizování a vývoj, řešení zranitelností, posouzení účinnosti, kybernetickou hygienu, školení, kryptografii, bezpečnost lidských zdrojů, řízení přístupu a správu aktiv.

DORA vyžaduje, aby finanční subjekty udržovaly správu a řízení ICT, řízení rizik v oblasti ICT, klasifikaci a hlášení incidentů, testování digitální provozní odolnosti a řízení rizik třetích stran v oblasti ICT. U kritických nebo důležitých funkcí DORA očekává také silné smluvní záruky, práva přístupu a auditu, práva na ukončení, exit strategie a ujednání o přechodu.

Předávací dokumentace DPO má určit, kde jsou dodavatelé relevantní pro ochranu soukromí zároveň součástí povinností provozní odolnosti. Pokud zpracovatel podporuje kritickou finanční službu nebo důležitou digitální službu, příchozí DPO musí rozumět regulačnímu dopadu selhání dodavatele, opožděného oznámení incidentu nebo slabiny ve smlouvě.

Kontinuita incidentů a porušení zabezpečení osobních údajů

Kontext porušení zabezpečení osobních údajů rychle ztrácí hodnotu. Během přechodu DPO lze snadno ztratit informaci, proč bylo rozhodnuto neoznamovat, proč bylo oznámení zpožděno nebo proč byla určitá skupina fyzických osob považována za dotčenou.

GDPR definuje porušení zabezpečení osobních údajů široce, včetně náhodného nebo protiprávního zničení, ztráty, změny, neoprávněného zpřístupnění osobních údajů nebo neoprávněného přístupu k nim. Reakce na incidenty proto musí zahrnovat triáž z hlediska ochrany soukromí, nejen technické zamezení šíření.

Zenith Blueprint ve fázi Controls in Action, krok 23, zdůrazňuje právní rozhraní v opatřeních souvisejících s ochranou soukromí:

Toto opatření také zavádí do ISMS právní rozhraní. Osoby odpovědné za ochranu soukromí, právní poradci nebo pověřenci pro ochranu osobních údajů (DPO) musí být zapojeni do definování způsobu nakládání s osobními údaji, zejména pokud jde o mezinárodní předávání, přeshraniční zpracování nebo práva subjektů údajů, jako je přístup, oprava a výmaz. Nejde jen o práva, ale o provozní povinnosti, které musí být podpořeny strukturovanými, auditovatelnými procesy.

Z pohledu auditu je toto opatření stále více v centru pozornosti. Auditoři, dozorové orgány i zákazníci chtějí vidět:

✓ Kde se PII nacházejí, ✓ jaký právní základ řídí jejich zpracování, ✓ jak je omezen přístup, ✓ jak jsou hlášeny incidenty, ✓ a jak organizace plní práva a udržuje transparentnost.

Z fáze Controls in Action, krok 23: Organizační opatření (5.19–5.37).

U každého otevřeného nebo nedávno uzavřeného incidentu týkajícího se osobních údajů má předávací dokumentace obsahovat list kontinuity porušení zabezpečení osobních údajů.

To podporuje také očekávání NIS2 a DORA v oblasti incidentů. NIS2 používá fázované hlášení významných incidentů, včetně včasného varování, oznámení, případných aktualizací a závěrečné zprávy. DORA vyžaduje, aby finanční subjekty detekovaly, řídily, klasifikovaly a oznamovaly závažné incidenty související s ICT, včetně počátečního, průběžného a závěrečného hlášení a analýzy kořenové příčiny. Nový DPO musí být schopen rozlišit bezpečnostní incident, porušení zabezpečení osobních údajů, významný incident podle NIS2 a závažný incident související s ICT podle DORA, včetně situací, kdy jedna událost spustí více pracovních postupů.

Uchovávání a likvidace: tiché riziko předání

Pravidla uchovávání při změnách rolí často zastarávají, protože leží mezi právním oddělením, správou záznamů, IT a vlastníky podnikových procesů. GDPR však v rámci omezení uložení vyžaduje, aby osobní údaje nebyly uchovávány déle, než je nezbytné pro účely zpracování.

Enterprise Politika uchovávání a likvidace údajů [C11] přiřazuje roli v opatřeních ochrany soukromí:

Přezkoumává a validuje retenční lhůty pro osobní údaje, aby zajistila právní základ pro pokračující uchovávání.

Ze sekce „Role a odpovědnosti“, ustanovení politiky 4.3.2.

Předávací dokumentace má identifikovat retenční lhůty vyžadující přezkum, systémy, kde je výmaz technicky omezen, legal hold, archivované datové sady, otázky uchovávání záloh a závislosti na výmazu u zpracovatelů.

Užitečný test je jednoduchý. Vyberte jeden záznam RoPA a zeptejte se, zda příchozí DPO dokáže určit dobu uchovávání, spouštěcí událost výmazu, vlastníka systému, zapojení zpracovatele, nakládání se zálohami a důkazy o posledním přezkumu. Pokud ne, odpovědnost za uchovávání není připravena na přechod.

Mapování souladu napříč rámci: jedna dokumentace, mnoho očekávání

Silná předávací dokumentace DPO nenahrazuje právní povinnosti, ale dává auditorům a dozorovým orgánům ucelenou důkazní stopu napříč rámci.

NIST CSF 2.0 je obzvlášť užitečný jako komunikační vrstva. Jeho funkce GOVERN očekává, že právní, regulační, smluvní, soukromoprávní a občanskoprávní povinnosti budou pochopeny a řízeny. Metoda Organizational Profiles pomáhá organizacím definovat aktuální a cílový stav, shromáždit politiky a rizikové vstupy, identifikovat mezery a vytvořit prioritizované akční plány.

Přesně to předávací dokumentace DPO dělá. Definuje aktuální stav ochrany soukromí, identifikuje cílové požadavky na kontinuitu a vytváří prioritizovaný seznam nápravných opatření.

Jak auditoři posuzují proces předání DPO

Seriózní auditor neskončí u dotazu na jméno DPO. Otestuje, zda je funkce ochrany soukromí odolná.

Nejčastějším zjištěním není, že žádná předávací dokumentace neexistuje. Je to to, že dokumentace nepropojuje důkazy s rozhodnutími. Auditoři nechtějí jen dokumenty. Chtějí dohledatelnost.

Běžné vzorce selhání a nápravy Clarysec

Prvním vzorcem selhání je předání přes e-mailovou schránku. Odcházející DPO přepošle e-maily, ale neexistuje indexovaný registr důkazů. Clarysec to řeší tím, že vynucuje ukládání důkazů do REG12 a propojuje každou položku s procesem, vlastníkem a datem přezkumu.

Druhým je šablonové předání. Organizace má šablony DPIA a DSR, ale žádný aktuální stav. Clarysec to řeší řídicím panelem červené zóny pro otevřené lhůty, vysoce riziková rozhodnutí a nevyřešená opatření.

Třetím je politika bez delegování. Politiky říkají, že DPO vlastní ochranu soukromí, ale nikdo nezaznamenává dočasnou odpovědnost. Clarysec to řeší prostřednictvím registru rolí a odpovědností, důkazů o předání role v REG01 a REG12 a důkazů o komunikaci v REG11.

Čtvrtým je slepé místo u dodavatelů. Záznamy o zpracovatelích z hlediska ochrany soukromí nejsou propojeny se záznamy nákupu a bezpečnosti. Clarysec to řeší propojením registru dodavatelů, repozitáře DPA, seznamu dílčích zpracovatelů, doložek k incidentům, výstupních povinností a bezpečnostní náležité péče.

Pátým je mezera v kontextu incidentu. Technický záznam incidentu existuje, ale odůvodnění porušení zabezpečení osobních údajů chybí. Clarysec to řeší požadavkem na listy kontinuity porušení zabezpečení osobních údajů, které zachovávají analýzu oznamování, dopad na subjekty údajů, rozhodnutí dozorových orgánů a získané poznatky.

Třicetidenní kontrolní seznam připravenosti na předání DPO

Pokud by se váš DPO nebo vedoucí osoba pro ochranu soukromí změnili zítra, dokázali byste prokázat kontinuitu? Použijte tento kontrolní seznam.

• Ověřte, že DPO, vedoucí pro ochranu soukromí, manažer PIMS a jejich zástupci jsou zaznamenáni v registru rolí.
• Zaznamenejte důkazy o předání role v REG01 a REG12 do 10 pracovních dnů.
• Aktualizujte důkazy o komunikaci změny role v REG11 do 10 pracovních dnů.
• Ověřte, že index dokumentovaných informací PIMS v REG12 je aktuální.
• Vytvořte přehled lhůt ochrany soukromí na 30, 60 a 90 dní.
• Přezkoumejte otevřené DSR a potvrďte vlastníky odpovědí.
• Přezkoumejte všechna aktivní DPIA a vysoce riziková rozhodnutí.
• Potvrďte, že REG04 obsahuje stanoviska k ochraně soukromí pro rozsah PIMS, kritéria DPIA a vysoce riziková rozhodnutí.
• Slaďte RoPA se systémy, dodavateli a harmonogramy uchovávání údajů.
• Přezkoumejte otevřená a nedávná posouzení porušení zabezpečení osobních údajů.
• Potvrďte, že záznamy o zpracovatelích, dílčích zpracovatelích a dodavatelích jsou úplné.
• Validujte retenční lhůty pro osobní údaje.
• Otestujte dohledání pěti kritických důkazních položek.
• Nahlaste stav přechodu vedení.
• Přidejte získané poznatky do plánu zlepšování PIMS.

Připravte kontinuitu ochrany soukromí na audit dříve, než se role změní

Nejlepší čas pro vytvoření předávací dokumentace DPO je před tím, než kdokoli rezignuje, před tím, než se zeptá dozorový orgán, a před tím, než incident vynutí řešení.

Clarysec pomáhá organizacím převést správu a řízení ochrany soukromí na provozní důkazy kombinací šablon politik, registrů PIMS, předávacích pracovních postupů, repozitářů připravených pro audit a mapování souladu napříč rámci. Začněte s Zenith Blueprint pro 30krokovou implementační roadmapu, použijte Zenith Controls k propojení opatření ISO/IEC 27002:2022 s širšími očekáváními v oblasti souladu a slaďte svá interní ustanovení s politikami Clarysec pro ochranu soukromí a řízení důkazů.

Pokud by se váš DPO změnil zítra, zachovala by si vaše organizace kontext za každým DPIA, rozhodnutím k porušení zabezpečení osobních údajů, záznamem RoPA a závazkem vůči dozorovému orgánu?

Pokud odpověď není jistá, další krok je praktický. Vytvořte tento týden index předání, namapujte důkazy, přiřaďte dočasné vlastníky a otestujte dohledání. Clarysec vám může pomoci, aby tato dokumentace byla úplná, řízená a připravená pro audit.