DAP perdavimo byla GDPR ir ISO 27701 atitikčiai

Pranešimas Marijos pašto dėžutę pasiekė nekaltai skambančia tema „Komandos naujienos“. Davidas, sparčiai augančios finansinių technologijų įmonės duomenų apsaugos pareigūnas, priėmė naujas pareigas. Po dviejų savaičių jo nebeliks.

Iš pradžių Maria, CISO, tai vertino kaip bet kurį kitą aukštesnio lygmens darbuotojo išėjimą. Personalo skyrius atliks darbo santykių nutraukimo procedūrą, IT panaikins prieigas, teisės skyrius peržiūrės atvirus klausimus, o naujasis DAP dalyvaus perdavimo pokalbyje. Tada prasidėjo tikrieji klausimai.

„Kur yra biometrinio prisijungimo funkcijos DPIA?“

„Ar galiu pamatyti susirašinėjimą su Belgijos duomenų apsaugos priežiūros institucija dėl praėjusių metų paklausimo apie tarpvalstybinį duomenų srautą?“

„Koks buvo pagrindimas priimant liekamąją privatumo riziką dėl DI grindžiamo kredito vertinimo modelio?“

Pirmadienį 08:17 valdyba jau norėjo patikinimo, kad GDPR atskaitomybė išliko nepažeista. Didelis įmonės klientas atsiuntė privatumo deramo patikrinimo klausimyną, prašydamas naujausio RoPA, DPIA registro, pažeidimų žurnalo, subtvarkytojų sąrašo, saugojimo terminų grafiko ir privatumo konsultacijų įrodymų. Produktų komanda norėjo analitikos pakeitimo patvirtinimo. Klientų aptarnavimo komanda turėjo tris duomenų subjektų prašymus. Pirkimų funkcija iš naujo derėjosi dėl duomenų tvarkymo sutarties. Saugumo komanda tyrė įvykį, kuris galėjo būti susijęs su asmens duomenimis.

Davido perdavimas buvo 30 minučių skambutis ir bendras diskas su nenuosekliais aplankų pavadinimais. Kontekstas, diskusijos, sprendimai dėl rizikos apetito, bendravimo su priežiūros institucijomis istorija ir neformalios konsultacijos išėjo kartu su juo.

Būtent čia privatumo valdysena arba įrodo, kad yra vadybos sistema, arba atskleidžia, kad buvo vieno žmogaus atmintis.

DAP perdavimo byla GDPR ir ISO/IEC 27701:2025 atitikčiai nėra personalo išėjimo paketas. Tai atskaitomybės tęstinumo byla. Ji naujam DAP, privatumo vadovui, PIMS vadovui, auditoriui, priežiūros institucijai arba vykdomajam rėmėjui parodo, kas yra tvarkoma, kodėl tai teisėta, kokios rizikos yra atviros, kur saugomi įrodymai, kas atsakingas už kitą veiksmą ir kokių terminų negalima praleisti.

Paslėpta privatumo rizika: atskaitomybė, įstrigusi viename vaidmenyje

GDPR aiškiai įtvirtina atskaitomybę. Article 5(2) reikalauja, kad duomenų valdytojai būtų atsakingi už pagrindinių teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės ribojimo, vientisumo ir konfidencialumo principų laikymąsi ir galėtų tai įrodyti. Articles 4, 6, 9, 10 ir 30 papildo operaciniu žodynu ir įrodymų lūkesčiais, kurie turi išlikti keičiantis vaidmeniui: asmens duomenys, duomenų tvarkymas, teisinis pagrindas, specialių kategorijų asmens duomenų tvarkymo sąlygos, pažeidimų apibrėžtys ir tvarkymo veiklos įrašai.

Klausimas nėra tai, ar organizacija turėjo kompetentingą DAP. Klausimas yra tai, ar privatumo programa gali veikti pasikeitus DAP.

Kai DAP išeina, organizacija vis tiek turi žinoti:

• Kurios tvarkymo veiklos yra aktyvios, sustabdytos, nutrauktos arba peržiūrimos.
• Kokie teisiniai pagrindai ir specialių kategorijų asmens duomenų tvarkymo sąlygos taikomi kiekvienai veiklai.
• Kuriose DPIA yra neišspręstų rizikų arba sąlyginių patvirtinimų.
• Kurie duomenų subjektų prašymai yra atviri, pratęsti, atmesti arba apskųsti.
• Apie kuriuos pažeidimus buvo pranešta, apie kuriuos nepranešta ir kurie dar vertinami.
• Kokie duomenų tvarkytojai, subtvarkytojai ir perdavimo priemonės yra taikomi.
• Kokie priežiūros institucijų pranešimai, klientų įsipareigojimai ir audito veiksmai dar nebaigti.
• Kokia privatumo konsultacija buvo pateikta, kada ir pagal kokias prielaidas.

Tai klasikinė priklausomybė nuo kritinio asmens. DAP atmintis tampa pagrindine privatumo sprendimų, rizikos vertinimų ir sąveikos su priežiūros institucijomis saugykla. Kai tas asmuo išeina, organizacija praranda daugiau nei vaidmens vykdytoją. Ji praranda atsekamumą, reikalingą atitikčiai įrodyti.

Clarysec Enterprise Privatumo vaidmenų, atsakomybių ir atskaitomybės politika [C1] vaidmens perdavimą paverčia įrodymų pareiga:

[All] Privatumo vadovas / PIMS vadovas PRIVALO užregistruoti vaidmens perdavimo įrodymus REG01 ir REG12 per 10 darbo dienų nuo vaidmens pasikeitimo.

Iš skyriaus „Įgyvendinimas“, politikos nuostata 7.1.6.

Ta pati politika taip pat reikalauja komunikacijos įrodymų po vaidmens perskyrimo arba išėjimo:

[All] Privatumo vadovas / PIMS vadovas PRIVALO atnaujinti vaidmens pasikeitimo komunikacijos įrodymus REG11 per 10 darbo dienų po vaidmens perskyrimo arba išėjimo.

Iš skyriaus „Atskaitomybės įrodymai ir komunikacija“, politikos nuostata 4.5.4.

Šios dvi nuostatos personalo pokytį paverčia audituojama privatumo kontrolės priemone. Perdavimo procesas nebėra neformalus žinių perdavimas. Jis tampa dokumentuotais PIMS įrodymais.

Kas iš tikrųjų yra DAP perdavimo byla

Gera DAP perdavimo byla nėra vienas PDF. Tai kontroliuojamas įrodymų paketas su rodykle, atsakingais asmenimis, nuorodomis, būsenos laukais, sprendimų istorija ir įrodymų pateikimo taisyklėmis. Ji turi leisti naujam DAP per kelias valandas, o ne savaites, suprasti organizacijos privatumo būklę.

Laikykite ją privatumo programos skrydžio registratoriumi. Ji turi parodyti ne tik tai, kas įvyko, bet ir kodėl sprendimai buvo priimti bei kas turi įvykti toliau.

Praktinė DAP perdavimo byla turi atsakyti į keturis klausimus:

1. Kokios privatumo pareigos ir sprendimai šiuo metu yra aktyvūs?
2. Kokie įrodymai patvirtina, kad tos pareigos valdomos?
3. Kas yra kiekvieno atviro klausimo savininkas perdavimo metu ir po jo?
4. Kokioms rizikoms, terminams ar reguliaciniams jautrumams reikia skubaus dėmesio?

Byla neturi dubliuoti kiekvieno įrašo. Dubliavimas sukuria pasenusius įrodymus. Vietoj to ji turi nurodyti autoritetingą įrašą, paaiškinti būseną, identifikuoti atsakomybę ir pažymėti kitą reikalingą sprendimą.

Clarysec Enterprise PIMS dokumentuotos informacijos ir įrodymų valdymo politika [C2] nustato įrodymų pagrindą:

[All] Privatumo vadovas / PIMS vadovas PRIVALO palaikyti PIMS dokumentuotos informacijos rodyklę REG12 prieš pradinį PIMS paskelbimą ir vėliau kas ketvirtį.

Iš skyriaus „PIMS dokumentuotos informacijos kontrolė“, politikos nuostata 4.1.1.

Ji taip pat reikalauja įrodymų pateikimo įrodymų:

[All] Privatumo vadovas / PIMS vadovas PRIVALO registruoti audito įrodymų gavimo prašymus ir įvykdymo būseną REG12 per penkias darbo dienas nuo prašymo gavimo.

Iš skyriaus „Prieiga, apsauga, gavimas ir atskleidimas“, politikos nuostata 4.4.4.

Todėl DAP perdavimo byla turėtų būti kuriama remiantis REG12 arba lygiaverte dokumentuotos informacijos rodykle. Jei privatumo įrodymų perėjimo metu negalima greitai rasti, jie negali pagrįsti atskaitomybės, kai auditorius, klientas ar priežiūros institucija paprašo įrodymų.

Pagrindinė auditui tinkamos DAP perdavimo bylos struktūra

Clarysec diegimuose DAP perdavimo byla paprastai skirstoma į dešimt skyrių. Šie skyriai naujam DAP suteikia vieną operacinį vaizdą, nepakeisdami autoritetingųjų įrašų sistemų.

Vertingiausia bylos dalis dažnai yra ne patys dokumentai, o kontekstas tarp dokumentų. DPIA gali parodyti išvadą, tačiau naujam DAP taip pat reikia žinoti, kokia konsultacija buvo pateikta, kokios liekamosios rizikos priimtos, kokios sąlygos nustatytos ir ar tos sąlygos vis dar stebimos.

GDPR pagrindas: RoPA, DPIA, DSR, pažeidimai ir teisinis pagrindas

DAP perdavimo byla turėtų prasidėti nuo GDPR operacinio pagrindo. Būtent čia daugelis perėjimų žlunga, nes išeinantis DAP žino įrašų istoriją, o naujasis DAP mato tik fragmentus.

Enterprise Duomenų apsaugos ir privatumo politika [C3] priskiria DAP atsakomybę už svarbiausius įrašus:

Tvarko tvarkymo veiklos įrašus (RoPA) pagal GDPR Article 30.

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 4.2.2.

Joje taip pat nurodyta:

Vadovauja sąveikai su reguliuotojais, atlieka poveikio duomenų apsaugai vertinimus (DPIA) ir valdo pranešimo apie pažeidimus procesus.

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 4.2.3.

O dėl teisių valdymo:

Duomenų apsaugos pareigūnas (DAP) privalo palaikyti dokumentuotus duomenų subjekto prašymų (DSR) priėmimo, validavimo, sekimo ir atsakymo procesus.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.4.1.

Tai nėra atskiros administracinės užduotys. Jos sudaro atskaitomybės grandinę.

Jei duomenų subjektas prašo ištrinti duomenis, naujam DAP reikia RoPA sistemoms ir duomenų tvarkytojams identifikuoti, teisinio pagrindo registro taikytinumui įvertinti, saugojimo terminų grafiko saugojimo trukmės ribojimui patikrinti, tiekėjų įrašų ištrynimui paskesnėse sistemose koordinuoti ir DSR registro terminams bei atsakymui pagrįsti. Jei DAP pasikeičia prašymo nagrinėjimo metu, perdavimo byla turi išsaugoti šią grandinę.

Mažesnėms organizacijoms Clarysec Duomenų apsaugos ir privatumo politika-sme [C4] taiko proporcingesnę formuluotę, išlaikydama tą patį atskaitomybės principą:

Tvarko tvarkymo veiklos įrašus

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 4.2.1.

Ji taip pat reikalauja:

Privatumo koordinatorius privalo tvarkyti visų asmens duomenų tvarkymo veiklų registrą, įskaitant duomenų kategorijas, tikslą, teisinį pagrindą ir saugojimo laikotarpius

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.2.1.

O dėl teisių prašymų:

Visi atsakymai į duomenų subjektų prašymus turi būti registruojami saugiame registre, prieigą apribojant Privatumo koordinatoriui ir generaliniam vadovui

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.5.4.

Tiek įmonių, tiek SME aplinkose perdavimo byloje turėtų būti privatumo operacijų valdymo skydas, rodantis RoPA, DPIA, DSR, pažeidimų, saugojimo peržiūrų ir tiekėjų peržiūrų būseną. Taip organizacija įrodo, kad GDPR atskaitomybė nepriklauso nuo vieno asmens.

ISO/IEC 27701:2025: vaidmens perdavimas kaip kontroliuojami PIMS įrodymai

ISO/IEC 27701:2025 privatumo valdyseną išplečia į struktūrizuotą privatumo informacijos valdymo sistemą. Tai reiškia, kad vaidmens perdavimas turi būti traktuojamas kaip bet kuris kitas kontroliuojamas procesas: suplanuotas, priskirtas, pagrįstas įrodymais, peržiūrėtas ir tobulinamas.

Perdavimo byloje kiekvienam pagrindiniam privatumo procesui turėtų būti PIMS tęstinumo laukai:

• Proceso pavadinimas, pvz., DPIA, RoPA, DSR, pažeidimo vertinimas arba tiekėjų privatumo peržiūra.
• PIMS vaidmuo, pvz., DAP, privatumo vadovas, PIMS vadovas, duomenų valdytojo atstovas arba duomenų tvarkytojo atstovas.
• Operacinis vaidmuo, pvz., duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas arba subtvarkytojas.
• Dabartinis savininkas ir laikinas delegatas.
• Įrodymų registro nuoroda.
• Paskutinės peržiūros data ir kitos peržiūros data.
• Atviri sprendimai ir neišspręstos rizikos.
• Eskalavimo kelias.
• Nuorodos į politikų nuostatas, procedūras ir šablonus.
• Audito būsena, įskaitant paskutinį įrodymų prašymą ir atsakymą.

Enterprise Privatumo informacijos valdymo sistemos politika [C5] pačią privatumo konsultaciją paverčia įrodymų artefaktu:

[All] Duomenų apsaugos pareigūnas / privatumo konsultantas PRIVALO užregistruoti privatumo konsultaciją dėl PIMS taikymo srities, DPIA kriterijų ir didelės rizikos sprendimų REG04 prieš patvirtinant atitinkamą sprendimą.

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 5.1.3.

Ši nuostata perdavimo metu yra kritinė. DPIA ataskaita gali rodyti galutinį patvirtinimą, tačiau REG04 arba lygiavertis privatumo konsultacijų registras išsaugo profesinį sprendimo pagrindimą. Be jo naujasis DAP gali negebėti paaiškinti, kodėl organizacija patvirtino didelės rizikos tvarkymo veiklą arba kokios stebėsenos sąlygos buvo nustatytos.

Clarysec taip pat susieja vaidmens perdavimą su platesne valdysena. Enterprise Valdysenos vaidmenų ir atsakomybių politika [C6] nurodo:

Delegavimai turi būti sekami Vaidmenų ir atsakomybių registre, o pradinis savininkas išlaiko galutinę atskaitomybę.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.2.5.

Tai užkerta kelią pavojingiausiai perėjimo spragai: visi mano, kad kažkas kitas dengia DSR, DPIA, pažeidimų vertinimus arba atsakymus priežiūros institucijoms. Stiprioje DAP perdavimo byloje yra delegavimo lentelė ir aiškiai nurodoma, ar kiekviena atsakomybė yra nuolatinė, laikina ar konsultacinė.

Saugyklos kūrimas pagal Zenith Blueprint

Perdavimo byla yra naudinga tik tiek, kiek naudinga už jos esanti saugykla. Chaotiškas bendras diskas nėra PIMS įrodymų sistema.

Clarysec Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planas [C7] dokumentaciją traktuoja kaip gyvą vadybos sistemą. ISVS pagrindo ir lyderystės etape, 6 žingsnyje „Dokumentuota informacija ir ISVS bibliotekos kūrimas“, Zenith Blueprint organizacijoms rekomenduoja sukurti struktūruotą ISVS dokumentacijos saugyklą:

Dabar tinkamas metas sukurti visos ISVS dokumentacijos saugojimo struktūrą (jūsų „ISVS biblioteką“). Pavyzdžiui:

✓ Pagrindinis aplankas „ISVS dokumentacija“ su poaplankiais, tokiais kaip: ✓ Politikos ir procedūros: patvirtintos politikų versijos (pvz., Informacijos saugumo politika, Priimtino naudojimo politika) ir procedūros (reagavimo į incidentus procedūra, atsarginių kopijų procedūra ir kt.). ✓ Rizikos vertinimas ir SoA: aplankas rizikos vertinimo ataskaitoms, rizikų registrui (darbinis failas) ir Taikytinumo pareiškimui (kai parengtas). ✓ Mokymų ir informuotumo įrašai: mokymų žurnalai, pateikto turinio kopijos, dalyvių sąrašai. ✓ Auditas ir peržiūra: vidaus audito ataskaitos, vadovybės peržiūros posėdžių protokolai, korekcinių veiksmų žurnalai. ✓ Incidentų įrašai: incidentų žurnalas, incidentų ataskaitos, įgytos patirties dokumentai. ✓ Turtas ir apskaita: turto sąrašai, duomenų klasifikavimo rezultatai ir kt. ✓ Annex A kontrolės priemonės (arba „Kontrolių biblioteka“): galimai kontrolės priemonių sąrašas ir dokumentacija, kaip jos įgyvendintos.

Užtikrinkite, kad ši saugykla būtų prieinama, bet saugi. Pavyzdžiui, politikos gali būti viešai skaitomame aplanke visiems darbuotojams, tačiau rizikos vertinimo aplankas gali būti ribojamas ISVS komandai ir aukščiausiajai vadovybei.

Iš ISVS pagrindo ir lyderystės etapo, 6 žingsnis: Dokumentuota informacija ir ISVS bibliotekos kūrimas.

DAP perdavimo bylai tas pats modelis tampa PIMS biblioteka. Praktinis aukščiausio lygio aplankas: „PIMS DAP perdavimas ir atskaitomybė“, su ribota prieiga DAP, privatumo vadovui, teisės skyriui, CISO, vidaus auditui ir patvirtintiems vadovams.

SME atveju tas pats principas gali būti įgyvendintas paprasčiau. Clarysec Audito ir atitikties stebėsenos politika-sme [C8] nurodo:

Visi įrodymai turi būti saugomi centralizuotame audito aplanke.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.2.1.

Brandos lygis gali skirtis, tačiau principas neturi keistis. Privatumo įrodymai turi būti centralizuoti, kontroliuojami, indeksuoti ir greitai pateikiami.

ISO kontrolės atramos: vaidmenys, įrašai ir PII apsauga

DAP perdavimo byla stipriai siejasi su trimis ISO/IEC 27002:2022 organizacinėmis kontrolės priemonėmis, pateiktomis Clarysec Zenith Controls: kelių atitikties sričių vadove [C9]. Tai ISO kontrolės priemonės, o ne atskiras Zenith sukurtas kontrolės priemonių rinkinys.

Šios kontrolės priemonės taip pat siejasi su ISO/IEC 27001:2022 vadybos sistemos reikalavimais. Clause 5.3 reikalauja priskirti ir komunikuoti organizacinius vaidmenis, atsakomybes ir įgaliojimus. Clause 7.5 reikalauja kontroliuoti dokumentuotą informaciją. Clause 6.1 reikalauja planuoti rizikas ir galimybes, įskaitant rizikos tvarkymą. Clause 8.1 reikalauja operacinio planavimo ir kontrolės. Clause 9.1 reikalauja stebėsenos ir vertinimo. Clause 10.2 reikalauja korekcinių veiksmų.

DAP perdavimo byla padeda įgyvendinti kiekvieną iš šių lūkesčių, paversdama vaidmens perdavimą kontroliuojamais, audituojamais įrodymais.

Vienos sesijos pratimas DAP perdavimo bylai parengti

Nereikia laukti atsistatydinimo laiško. Atlikite šį pratimą prieš DAP išėjimą, vidaus privatumo audito metu arba paskyrus naują privatumo vadovą.

1 žingsnis: sukurkite perdavimo rodyklę

Atidarykite REG12 arba savo dokumentuotos informacijos rodyklę ir sukurkite skyrių „DAP perdavimo byla“. Pridėkite laukus:

• Įrodymų elementas.
• Proceso sritis.
• Autoritetinga vieta.
• Savininkas.
• Atsarginis savininkas.
• Paskutinė peržiūra.
• Kita peržiūra.
• Konfidencialumo lygis.
• Atviras veiksmas.
• Audito aktualumas.

Užpildykite pirmuosius 25 įrašus. Pradėkite nuo RoPA, DPIA registro, DSR registro, pažeidimų žurnalo, tiekėjų registro, saugojimo terminų grafiko, privatumo konsultacijų registro, susirašinėjimo su priežiūros institucijomis bylos, privatumo rizikos registro ir PIMS taikymo srities.

2 žingsnis: sudarykite 30, 60 ir 90 dienų terminų stebėsenos sąrašą

Sukurkite raudonos zonos valdymo skydą elementams, kurių terminas sueina per artimiausias 30, 60 ir 90 dienų. Įtraukite:

• Atvirus duomenų subjektų prašymus.
• Laukiančius DPIA patvirtinimus.
• Atvirus pažeidimų vertinimus.
• Priežiūros institucijos ar kliento atsakymo terminus.
• Tiekėjų peržiūros datas.
• Perdavimo arba subtvarkytojų pranešimų terminus.
• Saugojimo peržiūros etapus.
• Audito korekcinius veiksmus.

Tai puslapis, kurį naujasis DAP skaito pirmiausia.

3 žingsnis: priskirkite didelės rizikos procesus vardiniams savininkams

Naudokite Vaidmenų ir atsakomybių registrą. Kiekvienam procesui dokumentuokite, ar išeinantis DAP buvo atskaitingas, atsakingas, konsultuojamas ar informuojamas. Kiekvienam aktyviam procesui paskirkite laikiną savininką. Sekite delegavimą ir komunikuokite pokytį pagal Privatumo vaidmenų, atsakomybių ir atskaitomybės politiką ir Valdysenos vaidmenų ir atsakomybių politiką.

4 žingsnis: išsaugokite sprendimų kontekstą

Kiekvienai aktyviai DPIA arba didelės rizikos sprendimui pridėkite glaustą sprendimų istorijos pastabą:

• Kas buvo siūloma?
• Kodėl DPIA buvo reikalinga arba nereikalinga?
• Kokia privatumo konsultacija buvo pateikta?
• Kokios rizikos išlieka?
• Kas priėmė liekamąją riziką?
• Kokios sąlygos turi būti stebimos?

Čia REG04 tampa būtinas. Be užregistruotos konsultacijos naujasis DAP gali matyti tik galutinį patvirtinimą ir nepastebėti už jo esančių apribojimų.

5 žingsnis: patikrinkite įrodymų pateikimą

Paprašykite vidaus audito arba atitikties funkcijos iš perdavimo bylos pateikti penkis elementus:

1. RoPA įrašą dėl didelės rizikos tvarkymo veiklos.
2. Tos pačios veiklos DPIA ir konsultacijos įrašą.
3. Ją pagrindžiančią duomenų tvarkymo sutartį.
4. Duomenims taikomą saugojimo taisyklę.
5. Naujausią DSR arba pažeidimo sprendimą, susijusį su tuo procesu, jei toks yra.

Jei komanda negali jų pateikti per politikoje nustatytą terminą, perdavimo byla nėra parengta.

Tiekėjų, duomenų tvarkytojų ir debesijos priklausomybės

Daugelis DAP perėjimų žlunga ties privatumo, pirkimų, saugumo ir operacijų riba.

Išeinantis DAP gali žinoti, kad duomenų tvarkytojas turi neišspręstą audito išvadą, kad reikia peržiūrėti subtvarkytojo pranešimą arba kad sutartyje trūksta tinkamų pagalbos dėl incidentų sąlygų. Jei šios žinios neužfiksuotos, naujasis DAP paveldi paslėptą riziką.

Clarysec Trečiųjų šalių ir tiekėjų saugumo politika-sme [C10] nustato įrodymų pagrindą:

Tiekėjų registrą privalo palaikyti ir atnaujinti administracinis arba pirkimų kontaktinis asmuo. Jame turi būti:

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.4.

Perdavimo byla turėtų susieti tiekėjų registrą su:

• Duomenų tvarkymo sutartimis.
• Subtvarkytojų sąrašais.
• Perdavimo dokumentacija.
• Saugumo deramu patikrinimu.
• Pranešimo apie incidentus sąlygomis.
• Audito teisėmis.
• Pasitraukimo ir ištrynimo pareigomis.
• Atvirais taisomaisiais veiksmais.

Čia taip pat svarbios NIS2 ir DORA.

NIS2 reikalauja, kad esminiai ir svarbūs subjektai taikytų tinkamas technines, operacines ir organizacines kibernetinio saugumo rizikos valdymo priemones. Rizikos valdymo sritys apima incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų įsigijimą ir kūrimą, pažeidžiamumų tvarkymą, veiksmingumo vertinimą, kibernetinę higieną, mokymus, kriptografiją, žmogiškųjų išteklių saugumą, prieigos kontrolę ir turto valdymą.

DORA reikalauja, kad finansų sektoriaus subjektai palaikytų IRT valdyseną, IRT rizikos valdymą, incidentų klasifikavimą ir pranešimą, skaitmeninio operacinio atsparumo testavimą ir IRT trečiųjų šalių rizikos valdymą. Svarbioms ar ypatingos svarbos funkcijoms DORA taip pat tikisi stiprių sutartinių apsaugos priemonių, prieigos ir audito teisių, nutraukimo teisių, pasitraukimo strategijų ir perėjimo susitarimų.

DAP perdavimo byla turėtų identifikuoti, kur privatumo požiūriu reikšmingi tiekėjai taip pat patenka į operacinio atsparumo pareigas. Jei duomenų tvarkytojas palaiko kritinę finansinę paslaugą arba svarbią skaitmeninę paslaugą, naujasis DAP turi suprasti tiekėjo nesėkmės, pavėluoto pranešimo apie incidentą arba sutarties trūkumo reguliacinį poveikį.

Incidentų ir pažeidimų tęstinumas

Privatumo pažeidimo kontekstas greitai praranda vertę. DAP perėjimo metu lengva prarasti supratimą, kodėl buvo nuspręsta nepranešti, kodėl pranešimas vėlavo arba kodėl konkreti fizinių asmenų grupė buvo laikoma paveikta.

GDPR asmens duomenų saugumo pažeidimą apibrėžia plačiai, įskaitant atsitiktinį arba neteisėtą asmens duomenų sunaikinimą, praradimą, pakeitimą, neautorizuotą atskleidimą arba prieigą prie jų. Todėl reagavimas į incidentus turi apimti privatumo triažą, o ne tik techninį lokalizavimą.

Zenith Blueprint Kontrolės priemonių taikymo etape, 23 žingsnyje, pabrėžia teisinę sąsają su privatumu susijusiose kontrolės priemonėse:

Ši kontrolės priemonė taip pat įveda teisinę sąsają į ISVS. Privatumo pareigūnai, teisininkai arba duomenų apsaugos pareigūnai (DAP) turi dalyvauti apibrėžiant, kaip tvarkomi asmens duomenys, ypač tarptautinių perdavimų, tarpvalstybinio tvarkymo arba duomenų subjektų teisių, tokių kaip prieiga, ištaisymas ir ištrynimas, atvejais. Tai nėra vien teisės, tai yra operacinės pareigos, kurias turi palaikyti struktūrizuoti, audituojami procesai.

Audito požiūriu ši kontrolės priemonė sulaukia vis daugiau dėmesio. Auditoriai, reguliuotojai ir klientai nori matyti:

✓ Kur yra PII, ✓ Koks teisinis pagrindas reglamentuoja jų tvarkymą, ✓ Kaip ribojama prieiga, ✓ Kaip pranešama apie incidentus, ✓ Ir kaip organizacija įgyvendina teises bei palaiko skaidrumą.

Iš Kontrolės priemonių taikymo etapo, 23 žingsnis: Organizacinės kontrolės priemonės (5.19–5.37).

Kiekvienam atviram arba neseniai uždarytam asmens duomenų incidentui perdavimo byloje turėtų būti pažeidimo tęstinumo lapas.

Tai taip pat padeda įgyvendinti NIS2 ir DORA incidentų lūkesčius. NIS2 reikšmingiems incidentams taiko etapais vykdomą pranešimą, įskaitant ankstyvąjį perspėjimą, pranešimą, prireikus atnaujinimus ir galutinę ataskaitą. DORA reikalauja, kad finansų sektoriaus subjektai aptiktų, valdytų, klasifikuotų ir praneštų apie didelius su IRT susijusius incidentus, teikdami pirmines, tarpines ir galutines ataskaitas bei pagrindinės priežasties analizę. Naujasis DAP turi gebėti atskirti saugumo incidentą, asmens duomenų saugumo pažeidimą, reikšmingą NIS2 incidentą ir didelį DORA su IRT susijusį incidentą, įskaitant atvejus, kai vienas įvykis paleidžia kelias darbo eigas.

Saugojimas ir sunaikinimas: tylioji perdavimo rizika

Saugojimo taisyklės vaidmenų perėjimo metu dažnai pasensta, nes jos yra tarp teisės, įrašų valdymo, IT ir verslo savininkų. Tačiau GDPR saugojimo trukmės ribojimas reikalauja, kad asmens duomenys nebūtų saugomi ilgiau, nei būtina tvarkymo tikslams.

Enterprise Duomenų saugojimo ir sunaikinimo politika [C11] priskiria privatumo kontrolės vaidmenį:

Peržiūri ir validuoja asmens duomenų saugojimo terminus, siekiant užtikrinti teisinį pagrindą tolesniam saugojimui.

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 4.3.2.

Perdavimo byla turėtų identifikuoti peržiūros reikalaujančius saugojimo terminus, sistemas, kuriose ištrynimas techniškai ribotas, teisinio saugojimo apribojimus, archyvuotus duomenų rinkinius, atsarginių kopijų saugojimo klausimus ir priklausomybes nuo duomenų tvarkytojų atliekamo ištrynimo.

Naudingas testas paprastas. Pasirinkite vieną RoPA įrašą ir paklauskite, ar naujasis DAP gali nustatyti saugojimo laikotarpį, ištrynimo inicijavimo sąlygą, sistemos savininką, duomenų tvarkytojo dalyvavimą, atsarginių kopijų tvarkymą ir paskutinės peržiūros įrodymus. Jei ne, saugojimo atskaitomybė nėra pasirengusi perėjimui.

Kelių atitikties sričių susiejimas: viena byla, daug lūkesčių

Stipri DAP perdavimo byla nepakeičia teisinių pareigų, tačiau auditoriams ir priežiūros institucijoms suteikia nuoseklų įrodymų pėdsaką per skirtingas sistemas.

NIST CSF 2.0 ypač naudinga kaip komunikacijos sluoksnis. Jo GOVERN funkcija tikisi, kad teisinės, reglamentavimo, sutartinės, privatumo ir pilietinių laisvių pareigos būtų suprastos ir valdomos. Organizacinių profilių metodas padeda organizacijoms apibrėžti esamą ir tikslinę būsenas, surinkti politikas ir rizikos įvestis, identifikuoti spragas ir sukurti prioritetizuotus veiksmų planus.

Būtent tai ir daro DAP perdavimo byla. Ji apibrėžia esamą privatumo būklę, identifikuoja tikslinius tęstinumo reikalavimus ir sukuria prioritetizuotą trūkumų šalinimo sąrašą.

Kaip auditoriai vertina DAP perdavimo procesą

Rimtas auditorius neapsiribos DAP vardo paklausimu. Jis tikrins, ar privatumo funkcija yra atspari.

Dažniausia išvada nėra ta, kad perdavimo bylos nėra. Dažniausia išvada yra ta, kad byla nesusieja įrodymų su sprendimais. Auditoriai nori ne tik dokumentų. Jie nori atsekamumo.

Dažniausi nesuveikimo dėsningumai ir Clarysec sprendimai

Pirmasis nesuveikimo dėsningumas yra perdavimas per pašto dėžutę. Išeinantis DAP persiunčia el. laiškus, tačiau nėra indeksuoto įrodymų registro. Clarysec tai sprendžia nukreipdama įrodymus į REG12 ir susiedama kiekvieną elementą su procesu, savininku ir peržiūros data.

Antrasis – šabloninis perdavimas. Organizacija turi DPIA ir DSR šablonus, bet neturi dabartinės būsenos. Clarysec tai sprendžia raudonos zonos valdymo skydu, kuriame rodomi atviri terminai, didelės rizikos sprendimai ir neišspręsti veiksmai.

Trečiasis – politika be delegavimo. Politikose nurodyta, kad DAP valdo privatumą, bet niekas nefiksuoja laikinos atsakomybės. Clarysec tai sprendžia per Vaidmenų ir atsakomybių registrą, vaidmens perdavimo įrodymus REG01 ir REG12 bei komunikacijos įrodymus REG11.

Ketvirtasis – tiekėjų akloji zona. Duomenų tvarkytojų privatumo įrašai nesusieti su pirkimų ir saugumo įrašais. Clarysec tai sprendžia susiedama tiekėjų registrą, duomenų tvarkymo sutarčių saugyklą, subtvarkytojų sąrašą, incidentų sąlygas, pasitraukimo pareigas ir saugumo deramą patikrinimą.

Penktasis – incidento konteksto spraga. Techninis incidento įrašas yra, tačiau trūksta privatumo pažeidimo pagrindimo. Clarysec tai sprendžia reikalaudama pažeidimo tęstinumo lapų, kurie išsaugo pranešimo analizę, poveikį duomenų subjektams, sprendimus dėl priežiūros institucijos informavimo ir įgytą patirtį.

Jūsų 30 dienų DAP perdavimo pasirengimo kontrolinis sąrašas

Jei jūsų DAP arba privatumo vadovas pasikeistų rytoj, ar galėtumėte įrodyti tęstinumą? Naudokite šį kontrolinį sąrašą.

• Patvirtinkite, kad DAP, privatumo vadovas, PIMS vadovas ir atsarginiai asmenys įrašyti vaidmenų registre.
• Užregistruokite vaidmens perdavimo įrodymus REG01 ir REG12 per 10 darbo dienų.
• Atnaujinkite vaidmens pasikeitimo komunikacijos įrodymus REG11 per 10 darbo dienų.
• Patikrinkite, ar REG12 PIMS dokumentuotos informacijos rodyklė yra aktuali.
• Sukurkite 30, 60 ir 90 dienų privatumo terminų stebėsenos sąrašą.
• Peržiūrėkite atvirus DSR ir patvirtinkite atsakymo savininkus.
• Peržiūrėkite visas aktyvias DPIA ir didelės rizikos sprendimus.
• Patvirtinkite, kad REG04 apima privatumo konsultacijas dėl PIMS taikymo srities, DPIA kriterijų ir didelės rizikos sprendimų.
• Suderinkite RoPA su sistemomis, tiekėjais ir saugojimo terminais.
• Peržiūrėkite atvirus ir nesenus pažeidimų vertinimus.
• Patvirtinkite, kad duomenų tvarkytojų, subtvarkytojų ir tiekėjų įrašai yra išsamūs.
• Validuokite asmens duomenų saugojimo terminus.
• Patikrinkite penkių kritinių įrodymų elementų pateikimą.
• Pateikite perėjimo būseną vadovybei.
• Įtraukite įgytą patirtį į PIMS tobulinimo planą.

Pasirūpinkite auditui tinkamu privatumo tęstinumu dar prieš pasikeičiant vaidmeniui

Geriausias laikas parengti DAP perdavimo bylą yra prieš kam nors atsistatydinant, prieš priežiūros institucijai paprašant ir prieš incidentui priverčiant tai daryti.

Clarysec padeda organizacijoms privatumo valdyseną paversti operaciniais įrodymais, derindama politikų šablonus, PIMS registrus, perdavimo darbo eigas, auditui tinkamas saugyklas ir kelių atitikties sričių susiejimus. Pradėkite nuo Zenith Blueprint 30 žingsnių įgyvendinimo planui, naudokite Zenith Controls, kad susietumėte ISO/IEC 27002:2022 kontrolės priemones su platesniais atitikties lūkesčiais, ir suderinkite vidines nuostatas su Clarysec privatumo ir įrodymų valdymo politikomis.

Jei jūsų DAP pasikeistų rytoj, ar organizacija išsaugotų kiekvienos DPIA, pažeidimo sprendimo, RoPA įrašo ir įsipareigojimo priežiūros institucijai kontekstą?

Jei atsakymas neaiškus, kitas žingsnis yra praktinis. Šią savaitę sukurkite perdavimo rodyklę, susiekite įrodymus, paskirkite laikinuosius savininkus ir patikrinkite įrodymų pateikimą. Clarysec gali padėti užtikrinti, kad ši byla būtų išsami, kontroliuojama ir tinkama auditui.