DPO pienākumu nodošanas lieta GDPR un ISO/IEC 27701 vajadzībām

Paziņojums nonāca Marijas iesūtnē ar nekaitīgu tematu: “Komandas jaunumi”. Deivids, datu aizsardzības speciālists (DPO) viņas strauji augošajā FinTech uzņēmumā, bija pieņēmis jaunu amatu. Pēc divām nedēļām viņš uzņēmumā vairs nestrādās.

Sākumā Marija, informācijas drošības vadītāja (CISO), to uztvēra kā jebkuru citu augstākā līmeņa darbinieka aiziešanu. Personāla funkcija noformēs darba attiecību izbeigšanu, IT atspējos piekļuvi, Juridiskais dienests pārskatīs atvērtos jautājumus, un jaunais DPO saņems nodošanas zvanu. Tad sākās īstie jautājumi.

“Kur ir DPIA biometriskās pieteikšanās funkcionalitātei?”

“Vai varu redzēt saraksti ar Beļģijas DPA par pagājušā gada pārrobežu datu plūsmas pieprasījumu?”

“Kāds bija pamatojums atlikušā privātuma riska pieņemšanai AI vadītajā kredītvērtēšanas modelī?”

Nākamajā pirmdienā plkst. 08:17 valde vēlējās apliecinājumu, ka GDPR pārskatatbildība joprojām ir nodrošināta. Liels uzņēmuma klients bija atsūtījis privātuma padziļinātās izpētes anketu, pieprasot jaunāko RoPA, DPIA reģistru, pārkāpumu žurnālu, apakšapstrādātāju sarakstu, glabāšanas grafiku un privātuma konsultāciju pierādījumus. Produkta komanda vēlējās apstiprinājumu analītikas izmaiņai. Atbalsta komandas rīcībā bija trīs datu subjektu pieprasījumi. Iepirkumu funkcija pārrunāja apstrādātāja līgumu. Drošības komanda izmeklēja notikumu, kas varētu ietvert personas datus.

Deivida pienākumu nodošana bija 30 minūšu zvans un koplietots disks ar nekonsekventiem mapju nosaukumiem. Konteksts, diskusijas, riska apetītes lēmumi, regulatoru vēsture un neformālās konsultācijas bija aizgājušas kopā ar viņu.

Tieši šādā brīdī privātuma pārvaldība vai nu pierāda, ka tā ir pārvaldības sistēma, vai atklāj, ka tā bija viena cilvēka atmiņa.

DPO pienākumu nodošanas lieta GDPR un ISO/IEC 27701:2025 vajadzībām nav personāla aiziešanas dokumentu pakete. Tā ir pārskatatbildības nepārtrauktības lieta. Tā ienākošajam DPO, privātuma vadītājam, PIMS vadītājam, auditoram, regulatoram vai izpildsponsoram parāda, kas tiek apstrādāts, kāpēc apstrāde ir likumīga, kuri riski ir atvērti, kur atrodas pierādījumi, kam pieder nākamā darbība un kurus termiņus nedrīkst nokavēt.

Slēptais privātuma risks: pārskatatbildība, kas iesprostota vienā lomā

GDPR pārskatatbildību nosaka nepārprotami. Article 5(2) prasa, lai pārziņi būtu atbildīgi par atbilstību likumības, godprātības un pārredzamības, nolūka ierobežojuma, datu minimizēšanas, precizitātes, glabāšanas ierobežojuma, integritātes un konfidencialitātes pamatprincipiem un spētu šo atbilstību pierādīt. Articles 4, 6, 9, 10 un 30 papildina operacionālo terminoloģiju un pierādījumu prasības, kurām jāiztur lomas maiņa: personas dati, apstrāde, tiesiskais pamats, īpašu kategoriju nosacījumi, pārkāpumu definīcijas un apstrādes darbību ierakstu reģistrs.

Jautājums nav par to, vai organizācijai bija kompetents DPO. Jautājums ir par to, vai privātuma programma spēj darboties, kad DPO mainās.

Kad DPO aiziet, organizācijai joprojām jāzina:

• Kuras apstrādes darbības ir aktīvas, apturētas, izbeigtas vai tiek pārskatītas.
• Kādi tiesiskie pamati un īpašu kategoriju nosacījumi atbalsta katru darbību.
• Kuros DPIA ir neatrisināti riski vai nosacīti apstiprinājumi.
• Kuri datu subjektu pieprasījumi ir atvērti, pagarināti, noraidīti vai pārsūdzēti.
• Par kuriem pārkāpumiem ir paziņots, par kuriem nav paziņots un kuri vēl tiek izvērtēti.
• Kādi apstrādātāji, apakšapstrādātāji un datu nosūtīšanas mehānismi ir spēkā.
• Kura regulatoru komunikācija, klientu saistības un audita darbības vēl nav pabeigtas.
• Kādas privātuma konsultācijas tika sniegtas, kad tās tika sniegtas un uz kādiem pieņēmumiem tās balstījās.

Tā ir klasiska atkarība no atslēgas personas. DPO zināšanas kļūst par primāro repozitoriju privātuma lēmumiem, risku izvērtējumiem un regulatīvajai mijiedarbībai. Kad šī persona aiziet, organizācija zaudē vairāk nekā lomas turētāju. Tā zaudē izsekojamību, kas nepieciešama, lai pierādītu atbilstību.

Clarysec uzņēmuma Privātuma lomu, pienākumu un pārskatatbildības politika [C1] lomas maiņu padara par pierādījumu pienākumu:

[Visiem] Privātuma vadītājam / PIMS vadītājam 10 darbdienu laikā pēc lomas maiņas jāreģistrē lomas nodošanas pierādījumi REG01 un REG12.

No sadaļas “Ieviešana”, politikas punkts 7.1.6.

Tā pati politika pēc pienākumu pārdales vai aiziešanas prasa arī komunikācijas pierādījumus:

[Visiem] Privātuma vadītājam / PIMS vadītājam 10 darbdienu laikā pēc lomas pārdales vai aiziešanas jāatjaunina lomas izmaiņu komunikācijas pierādījumi REG11.

No sadaļas “Pārskatatbildības pierādījumi un komunikācija”, politikas punkts 4.5.4.

Šie divi punkti personāla izmaiņas pārvērš auditējamā privātuma kontroles pasākumā. Nodošana vairs nav neformāla zināšanu pārnese. Tā kļūst par dokumentētiem PIMS pierādījumiem.

Kas patiesībā ir DPO pienākumu nodošanas lieta

Laba DPO pienākumu nodošanas lieta nav viens PDF fails. Tā ir kontrolēta pierādījumu pakete ar indeksu, īpašniekiem, saitēm, statusa laukiem, lēmumu vēsturi un izgūšanas noteikumiem. Tai jāļauj ienākošajam DPO saprast organizācijas privātuma stāvokli dažu stundu, nevis nedēļu laikā.

Uztveriet to kā privātuma programmas lidojuma reģistratoru. Tai jāparāda ne tikai tas, kas notika, bet arī kāpēc lēmumi tika pieņemti un kas jādara tālāk.

Praktiskai DPO pienākumu nodošanas lietai jāatbild uz četriem jautājumiem:

1. Kādi privātuma pienākumi un lēmumi pašlaik ir aktīvi?
2. Kādi pierādījumi apliecina, ka šie pienākumi tiek pārvaldīti?
3. Kam pieder katrs atvērtais jautājums pārejas laikā un pēc tās?
4. Kuriem riskiem, termiņiem vai regulatīvi jutīgiem jautājumiem nepieciešama tūlītēja uzmanība?

Lietai nav jādublē katrs ieraksts. Dublēšana rada novecojušus pierādījumus. Tā vietā lietai jānorāda uz autoritatīvo ierakstu, jāizskaidro statuss, jānorāda atbildība un jāiezīmē nākamais nepieciešamais lēmums.

Clarysec uzņēmuma PIMS dokumentētās informācijas un pierādījumu pārvaldības politika [C2] nosaka pierādījumu pamatu:

[Visiem] Privātuma vadītājam / PIMS vadītājam jāuztur PIMS dokumentētās informācijas indekss REG12 pirms sākotnējās PIMS publicēšanas un pēc tam reizi ceturksnī.

No sadaļas “PIMS dokumentētās informācijas kontrole”, politikas punkts 4.1.1.

Tā prasa arī pierādījumus par izgūšanu:

[Visiem] Privātuma vadītājam / PIMS vadītājam piecu darbdienu laikā pēc pieprasījuma saņemšanas REG12 jāreģistrē audita pierādījumu izgūšanas pieprasījumi un izpildes statuss.

No sadaļas “Piekļuve, aizsardzība, izgūšana un izpaušana”, politikas punkts 4.4.4.

Tāpēc DPO pienākumu nodošanas lieta jāveido ap REG12 vai līdzvērtīgu dokumentētās informācijas indeksu. Ja privātuma pierādījumus pārejas laikā nevar ātri atrast, tie nevar atbalstīt pārskatatbildību brīdī, kad auditors, klients vai regulators pieprasa pierādījumus.

Auditam gatavas DPO pienākumu nodošanas lietas pamata struktūra

Clarysec ieviešanās DPO pienākumu nodošanas lieta parasti tiek sadalīta desmit sadaļās. Šīs sadaļas ienākošajam DPO nodrošina vienotu operacionālu skatījumu, neaizstājot autoritatīvās uzskaites sistēmas.

Bieži vērtīgākā lietas daļa nav paši dokumenti. Tā ir saikne starp dokumentiem. DPIA var parādīt secinājumu, taču ienākošajam DPO jāzina arī, kādas konsultācijas tika sniegtas, kuri atlikušie riski tika pieņemti, kādi nosacījumi tika noteikti un vai šie nosacījumi joprojām tiek uzraudzīti.

GDPR pamats: RoPA, DPIA, DSR, pārkāpumi un tiesiskais pamats

DPO pienākumu nodošanas lietai jāsākas ar GDPR operacionālo pamatu. Tieši šeit daudzas pārejas izgāžas, jo aizejošais DPO saprot ierakstu vēsturi, savukārt ienākošais DPO redz tikai fragmentus.

Uzņēmuma Datu aizsardzības un privātuma politika [C3] piešķir DPO atbildību par galvenajiem ierakstiem:

Uztur apstrādes darbību ierakstu reģistru (RoPA) saskaņā ar GDPR Article 30.

No sadaļas “Lomas un pienākumi”, politikas punkts 4.2.2.

Tā arī nosaka:

Vada regulatīvo iesaisti, veic datu aizsardzības ietekmes novērtējumus (DPIA) un pārvalda paziņošanas par pārkāpumiem procesus.

No sadaļas “Lomas un pienākumi”, politikas punkts 4.2.3.

Un attiecībā uz tiesību pārvaldību:

Datu aizsardzības speciālistam (DPO) jāuztur dokumentēti procesi datu subjektu pieprasījumu (DSR) pieņemšanai, validācijai, izsekošanai un atbildēšanai uz tiem.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.4.1.

Tie nav atsevišķi administratīvi uzdevumi. Tie veido pārskatatbildības ķēdi.

Ja datu subjekts pieprasa dzēšanu, ienākošajam DPO ir nepieciešams RoPA, lai identificētu sistēmas un apstrādātājus, tiesiskā pamata reģistrs, lai izvērtētu, vai dzēšana ir piemērojama, glabāšanas grafiks, lai pārbaudītu glabāšanas ierobežojumu, piegādātāju ieraksti, lai koordinētu dzēšanu pakārtotajās sistēmās, un DSR reģistrs, lai pierādītu termiņu un atbildi. Ja DPO mainās pieprasījuma izpildes vidū, nodošanas lietai šī ķēde ir jāsaglabā.

Mazākām organizācijām Clarysec Datu aizsardzības un privātuma politika SME uzņēmumiem [C4] izmanto mērogotu formulējumu, saglabājot to pašu pārskatatbildības principu:

Uztur apstrādes darbību ierakstus

No sadaļas “Lomas un pienākumi”, politikas punkts 4.2.1.

Tā arī prasa:

Privātuma koordinatoram jāuztur visu personas datu apstrādes darbību reģistrs, tostarp datu kategorijas, nolūks, tiesiskais pamats un glabāšanas termiņi

No sadaļas “Pārvaldības prasības”, politikas punkts 5.2.1.

Un attiecībā uz tiesību pieprasījumiem:

Visas atbildes uz datu subjektu pieprasījumiem jāreģistrē drošā reģistrā, un piekļuve tam jāierobežo līdz Privātuma koordinatoram un ģenerāldirektoram

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.5.4.

Gan uzņēmuma, gan SME vidēs nodošanas lietā jāiekļauj privātuma operāciju informācijas panelis, kas parāda RoPA, DPIA, DSR, pārkāpumu, glabāšanas pārskatīšanas un piegādātāju pārskatīšanas statusu. Tā organizācija pierāda, ka GDPR pārskatatbildība nav atkarīga no viena cilvēka.

ISO/IEC 27701:2025: lomas pāreja kā kontrolēti PIMS pierādījumi

ISO/IEC 27701:2025 paplašina privātuma pārvaldību strukturētā privātuma informācijas pārvaldības sistēmā. Tas nozīmē, ka lomas pāreja jāuztver kā jebkurš cits kontrolēts process: plānots, piešķirts, pamatots ar pierādījumiem, pārskatīts un uzlabots.

Nodošanas lietā katram būtiskajam privātuma procesam jāiekļauj PIMS nepārtrauktības lauki:

• Procesa nosaukums, piemēram, DPIA, RoPA, DSR, pārkāpuma izvērtēšana vai piegādātāja privātuma pārskatīšana.
• PIMS loma, piemēram, DPO, privātuma vadītājs, PIMS vadītājs, pārziņa pārstāvis vai apstrādātāja pārstāvis.
• Operacionālā loma, piemēram, pārzinis, apstrādātājs, kopīgs pārzinis vai apakšapstrādātājs.
• Pašreizējais īpašnieks un pagaidu deleģētais īpašnieks.
• Pierādījumu reģistra atsauce.
• Pēdējās pārskatīšanas datums un nākamās pārskatīšanas datums.
• Atvērtie lēmumi un neatrisinātie riski.
• Eskalācijas ceļš.
• Saites uz politikas punktiem, procedūrām un veidnēm.
• Audita statuss, tostarp pēdējais pierādījumu pieprasījums un atbilde.

Uzņēmuma Privātuma informācijas pārvaldības sistēmas politika [C5] privātuma konsultācijas pašas par sevi nosaka kā pierādījumu objektu:

[Visiem] Datu aizsardzības speciālistam / privātuma konsultantam pirms attiecīgā lēmuma apstiprināšanas REG04 jāreģistrē privātuma konsultācijas par PIMS darbības jomu, DPIA kritērijiem un augsta riska lēmumiem.

No sadaļas “Lomas un pienākumi”, politikas punkts 5.1.3.

Šis punkts ir kritisks nodošanas laikā. DPIA pārskats var parādīt galīgo apstiprinājumu, taču REG04 vai līdzvērtīgs privātuma konsultāciju reģistrs saglabā profesionālo pamatojumu, kas bija lēmuma pamatā. Bez tā jaunais DPO var nespēt izskaidrot, kāpēc organizācija apstiprināja augsta riska apstrādes darbību vai kādi uzraudzības nosacījumi tika pievienoti.

Clarysec sasaista lomas pāreju arī ar plašāku pārvaldību. Uzņēmuma Pārvaldības lomu un atbildību politika [C6] nosaka:

Deleģējumi jāuzskaita Lomu un atbildību reģistrā, un sākotnējais īpašnieks saglabā galīgo pārskatatbildību.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.2.5.

Tas novērš bīstamāko pārejas nepilnību: visi pieņem, ka kāds cits sedz DSR, DPIA, pārkāpumu izvērtēšanu vai atbildes regulatoram. Spēcīga DPO pienākumu nodošanas lieta ietver deleģējumu tabulu un skaidri norāda, vai katra atbildība ir pastāvīga, pagaidu vai konsultatīva.

Repozitorija izveide ar Zenith Blueprint

Nodošanas lieta ir tik noderīga, cik noderīgs ir repozitorijs, uz kura tā balstās. Haotisks koplietots disks nav PIMS pierādījumu sistēma.

Clarysec Zenith Blueprint: auditora 30 soļu ceļvedis [C7] dokumentāciju uztver kā dzīvu pārvaldības sistēmu. IDPS pamatu un vadības fāzē, 6. solī “Dokumentēta informācija un IDPS bibliotēkas izveide”, Zenith Blueprint iesaka organizācijām izveidot strukturētu IDPS dokumentācijas repozitoriju:

Šis ir piemērots brīdis izveidot struktūru visas IDPS dokumentācijas glabāšanai (jūsu “IDPS bibliotēku”). Piemēram:

✓ Galvenā mape ar nosaukumu “IDPS dokumentācija” un apakšmapēm, piemēram: ✓ Politikas un procedūras: satur apstiprinātās politiku versijas (piemēram, Informācijas drošības politika, Pieņemamas lietošanas politika) un procedūras (incidentu reaģēšanas procedūra, rezerves kopiju procedūra u. c.). ✓ Risku izvērtēšana un SoA: mape risku izvērtēšanas pārskatiem, riska reģistram (darba fails) un Piemērojamības paziņojumam (kad tas ir sagatavots). ✓ Apmācību un informētības ieraksti: apmācību žurnāli, piegādātā satura kopijas, apmeklējuma lapas. ✓ Audits un pārskatīšana: iekšējā audita pārskati, vadības pārskatīšanas sanāksmju protokoli, korektīvo darbību žurnāli. ✓ Incidentu ieraksti: incidentu žurnāls, incidentu pārskati, gūto mācību dokumenti. ✓ Aktīvi un uzskaite: aktīvu saraksti, datu klasifikācijas rezultāti u. c. ✓ Annex A kontroles pasākumi (vai “Kontroles pasākumu bibliotēka”): iespējams, kontroles pasākumu saraksts un dokumentācija par to ieviešanu.

Nodrošiniet, ka šis repozitorijs ir pieejams, bet drošs. Piemēram, politikas var atrasties visiem darbiniekiem publiski lasāmā mapē, savukārt risku izvērtēšanas mape var būt ierobežota līdz IDPS komandai un augstākajai vadībai.

No IDPS pamatu un vadības fāzes, 6. solis: Dokumentēta informācija un IDPS bibliotēkas izveide.

DPO pienākumu nodošanas lietai tas pats modelis kļūst par PIMS bibliotēku. Praktiska augstākā līmeņa mape ir “PIMS DPO nodošana un pārskatatbildība”, ar ierobežotu piekļuvi DPO, privātuma vadītājam, Juridiskajam dienestam, CISO, iekšējam auditam un apstiprinātiem vadītājiem.

SME gadījumā to pašu principu var ieviest vienkāršāk. Clarysec Audita un atbilstības uzraudzības politika SME uzņēmumiem [C8] nosaka:

Visi pierādījumi jāglabā centralizētā audita mapē.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.2.1.

Brieduma līmenis var atšķirties, bet princips nedrīkst mainīties. Privātuma pierādījumiem jābūt centralizētiem, kontrolētiem, indeksētiem un izgūstamiem.

ISO kontroles enkuri: lomas, ieraksti un PII aizsardzība

DPO pienākumu nodošanas lieta cieši sasaistās ar trim ISO/IEC 27002:2022 organizatoriskajiem kontroles pasākumiem, kas izklāstīti Clarysec Zenith Controls: savstarpējās atbilstības ceļvedis [C9]. Tie ir ISO kontroles pasākumi, nevis atsevišķs Zenith izveidots kontroles kopums.

Šie kontroles pasākumi ir saistīti arī ar ISO/IEC 27001:2022 pārvaldības sistēmas prasībām. Clause 5.3 prasa piešķirt un komunicēt organizatoriskās lomas, pienākumus un pilnvaras. Clause 7.5 prasa kontrolēt dokumentēto informāciju. Clause 6.1 prasa risku un iespēju plānošanu, tostarp riska apstrādi. Clause 8.1 prasa darbības plānošanu un kontroli. Clause 9.1 prasa uzraudzību un izvērtēšanu. Clause 10.2 prasa korektīvās darbības.

DPO pienākumu nodošanas lieta atbalsta katru no šīm gaidām, pārvēršot lomas pāreju kontrolētos, auditējamos pierādījumos.

Vienas sesijas vingrinājums DPO pienākumu nodošanas lietas izveidei

Nav jāgaida atlūguma vēstule. Veiciet šo vingrinājumu pirms DPO aiziešanas, iekšējā privātuma audita laikā vai pēc jauna privātuma vadītāja iecelšanas.

1. solis: izveidojiet nodošanas indeksu

Atveriet REG12 vai savu dokumentētās informācijas indeksu un izveidojiet sadaļu “DPO pienākumu nodošanas lieta”. Pievienojiet laukus:

• Pierādījumu vienība.
• Procesa joma.
• Autoritatīvā atrašanās vieta.
• Īpašnieks.
• Rezerves īpašnieks.
• Pēdējoreiz pārskatīts.
• Nākamā pārskatīšana.
• Konfidencialitātes līmenis.
• Atvērtā darbība.
• Audita nozīmīgums.

Aizpildiet pirmos 25 ierakstus. Sāciet ar RoPA, DPIA reģistru, DSR reģistru, pārkāpumu žurnālu, piegādātāju reģistru, glabāšanas grafiku, privātuma konsultāciju reģistru, regulatoru sarakstes lietu, privātuma risku reģistru un PIMS darbības jomu.

2. solis: izveidojiet 30, 60 un 90 dienu termiņu uzraudzības sarakstu

Izveidojiet sarkanās zonas informācijas paneli jautājumiem, kuru termiņš pienāk nākamo 30, 60 un 90 dienu laikā. Iekļaujiet:

• Atvērtus datu subjektu pieprasījumus.
• Gaidošus DPIA apstiprinājumus.
• Atvērtus pārkāpumu izvērtējumus.
• Regulatora vai klienta atbildes termiņus.
• Piegādātāju pārskatīšanas datumus.
• Datu nosūtīšanas vai apakšapstrādātāju paziņojumu termiņus.
• Glabāšanas pārskatīšanas kontrolpunktus.
• Audita korektīvās darbības.

Šī ir lapa, ko ienākošais DPO lasa pirmo.

3. solis: sasaistiet augsta riska procesus ar vārdā nosauktiem īpašniekiem

Izmantojiet Lomu un atbildību reģistru. Katram procesam dokumentējiet, vai aizejošais DPO bija pārskatatbildīgs, atbildīgs, konsultēts vai informēts. Katram aktīvajam procesam piešķiriet pagaidu īpašnieku. Uzskaitiet deleģējumu un komunicējiet izmaiņas saskaņā ar Privātuma lomu, pienākumu un pārskatatbildības politiku un Pārvaldības lomu un atbildību politiku.

4. solis: saglabājiet lēmumu kontekstu

Katram aktīvajam DPIA vai augsta riska lēmumam pievienojiet īsu lēmuma vēstures piezīmi:

• Kas tika ierosināts?
• Kāpēc DPIA bija vai nebija nepieciešams?
• Kādas privātuma konsultācijas tika sniegtas?
• Kādi riski saglabājas?
• Kurš pieņēma atlikušo risku?
• Kādi nosacījumi jāuzrauga?

Šeit REG04 kļūst būtisks. Bez reģistrētām konsultācijām ienākošais DPO var redzēt tikai galīgo apstiprinājumu un nepamanīt ar to saistītos ierobežojumus.

5. solis: pārbaudiet izgūšanu

Lūdziet iekšējam auditam vai atbilstības funkcijai pieprasīt piecas vienības no nodošanas lietas:

1. RoPA ierakstu augsta riska apstrādes darbībai.
2. DPIA un konsultācijas ierakstu tai pašai darbībai.
3. Apstrādātāja līgumu, kas šo darbību atbalsta.
4. Datiem piemērojamo glabāšanas noteikumu.
5. Ja tāds ir, jaunāko DSR vai pārkāpuma lēmumu, kas saistīts ar šo procesu.

Ja komanda nevar tos izgūt politikā noteiktajā termiņā, nodošanas lieta nav gatava.

Piegādātāju, apstrādātāju un mākoņpakalpojumu atkarības

Daudzas DPO pārejas izgāžas uz robežas starp privātumu, iepirkumiem, drošību un operācijām.

Aizejošais DPO var zināt, ka apstrādātājam ir neatrisināts audita konstatējums, ka jāpārskata apakšapstrādātāja paziņojums vai ka līgumā trūkst pietiekamu incidentu atbalsta noteikumu. Ja šīs zināšanas netiek fiksētas, ienākošais DPO pārmanto slēptu risku.

Clarysec Trešo pušu un piegādātāju drošības politika SME uzņēmumiem [C10] nosaka pierādījumu pamatu:

Piegādātāju reģistrs jāuztur un jāatjaunina administratīvajai vai iepirkumu kontaktpersonai. Tajā jāiekļauj:

No sadaļas “Pārvaldības prasības”, politikas punkts 5.4.

Nodošanas lietai jāsasaista piegādātāju reģistrs ar:

• Datu apstrādes līgumiem.
• Apakšapstrādātāju sarakstiem.
• Datu nosūtīšanas dokumentāciju.
• Drošības padziļināto izpēti.
• Incidentu paziņošanas klauzulām.
• Audita tiesībām.
• Izstāšanās un dzēšanas pienākumiem.
• Atvērtiem trūkumu novēršanas jautājumiem.

Tieši šeit nozīme ir arī NIS2 un DORA.

NIS2 prasa būtiskām vienībām un svarīgām vienībām ieviest atbilstošus tehniskos, operacionālos un organizatoriskos kiberdrošības risku pārvaldības pasākumus. Tā risku pārvaldības jomas ietver incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, drošu iegādi un izstrādi, ievainojamību apstrādi, efektivitātes izvērtēšanu, kiberdrošības higiēnu, apmācību, kriptogrāfiju, personāla drošību, piekļuves kontroli un aktīvu pārvaldību.

DORA prasa finanšu vienībām uzturēt IKT pārvaldību, IKT risku pārvaldību, incidentu klasifikāciju un ziņošanu, digitālās darbības noturības testēšanu un IKT trešo pušu riska pārvaldību. Kritiskām vai svarīgām funkcijām DORA sagaida arī stingrus līgumiskos aizsardzības pasākumus, piekļuves un audita tiesības, izbeigšanas tiesības, izstāšanās stratēģijas un pārejas kārtību.

DPO pienākumu nodošanas lietai jāidentificē, kur privātumam nozīmīgi piegādātāji vienlaikus ietilpst operacionālās noturības pienākumos. Ja apstrādātājs atbalsta kritisku finanšu pakalpojumu vai svarīgu digitālu pakalpojumu, ienākošajam DPO jāsaprot piegādātāja kļūmes, aizkavētas incidenta paziņošanas vai līguma nepilnības regulatīvā ietekme.

Incidentu un pārkāpumu nepārtrauktība

Privātuma pārkāpuma konteksts ātri zaudē aktualitāti. DPO pārejas laikā ir viegli pazaudēt, kāpēc tika pieņemts lēmums nepaziņot, kāpēc paziņošana tika aizkavēta vai kāpēc konkrēta personu grupa tika uzskatīta par skartu.

GDPR personas datu aizsardzības pārkāpumu definē plaši, ietverot nejaušu vai nelikumīgu iznīcināšanu, zudumu, pārveidošanu, nesankcionētu izpaušanu vai piekļuvi personas datiem. Tāpēc incidentu reaģēšanā jāiekļauj privātuma triāža, ne tikai tehniskā ierobežošana.

Zenith Blueprint sadaļā “Kontroles pasākumi darbībā”, 23. solī, uzsver juridisko saskarni ar privātumu saistītos kontroles pasākumos:

Šis kontroles pasākums IDPS ievieš arī juridisku saskarni. Privātuma speciālistiem, juridiskajiem konsultantiem vai datu aizsardzības speciālistiem (DPO) jābūt iesaistītiem personas datu apstrādes kārtības definēšanā, īpaši attiecībā uz starptautiskām nosūtīšanām, pārrobežu apstrādi vai datu subjektu tiesībām, piemēram, piekļuvi, labošanu un dzēšanu. Tās nav tikai tiesības, tās ir operacionāli pienākumi, un tie jāatbalsta ar strukturētiem, auditējamiem procesiem.

No audita skatpunkta šis kontroles pasākums arvien biežāk ir uzmanības centrā. Auditori, regulatori un klienti vēlas redzēt:

✓ Kur atrodas PII, ✓ Kāds tiesiskais pamats regulē tās apstrādi, ✓ Kā tiek ierobežota piekļuve, ✓ Kā tiek ziņots par incidentiem, ✓ Un kā organizācija ievēro tiesības un uztur pārredzamību.

No sadaļas “Kontroles pasākumi darbībā”, 23. solis: Organizatoriskie kontroles pasākumi (5.19–5.37).

Katram atvērtam vai nesen slēgtam personas datu incidentam nodošanas lietā jāiekļauj pārkāpuma nepārtrauktības lapa.

Tas atbalsta arī NIS2 un DORA incidentu prasības. NIS2 nozīmīgiem incidentiem izmanto pakāpenisku ziņošanu, tostarp agrīnu brīdinājumu, paziņojumu, nepieciešamos atjauninājumus un galīgo ziņojumu. DORA prasa finanšu vienībām atklāt, pārvaldīt, klasificēt un paziņot būtiskus ar IKT saistītus incidentus, izmantojot sākotnējo, starpposma un galīgo ziņošanu un pamatcēloņa analīzi. Jaunam DPO jāspēj nošķirt drošības incidentu, personas datu aizsardzības pārkāpumu, nozīmīgu NIS2 incidentu un būtisku DORA ar IKT saistītu incidentu, tostarp situācijās, kad viens notikums aktivizē vairākas darbplūsmas.

Glabāšana un likvidēšana: klusais nodošanas risks

Glabāšanas noteikumi lomu pārejas laikā bieži noveco, jo tie atrodas starp juridisko funkciju, ierakstu pārvaldību, IT un uzņēmējdarbības īpašniekiem. Tomēr GDPR glabāšanas ierobežojums prasa neglabāt personas datus ilgāk, nekā nepieciešams apstrādes nolūkiem.

Uzņēmuma Datu glabāšanas un likvidēšanas politika [C11] piešķir privātuma kontroles lomu:

Pārskata un validē personas datu glabāšanas grafikus, lai nodrošinātu tiesisku pamatu turpmākai glabāšanai.

No sadaļas “Lomas un pienākumi”, politikas punkts 4.3.2.

Nodošanas lietai jāidentificē glabāšanas grafiki, kuri jāpārskata, sistēmas, kur dzēšanu ierobežo tehniski apstākļi, juridiskā saglabāšana, arhivētas datu kopas, rezerves kopiju glabāšanas jautājumi un apstrādātāju dzēšanas atkarības.

Noderīgs tests ir vienkāršs. Izvēlieties vienu RoPA ierakstu un pajautājiet, vai ienākošais DPO var noteikt glabāšanas termiņu, dzēšanas trigeri, sistēmas īpašnieku, apstrādātāja iesaisti, rīcību ar rezerves kopijām un pēdējās pārskatīšanas pierādījumus. Ja nevar, glabāšanas pārskatatbildība nav gatava pārejai.

Savstarpējās atbilstības kartēšana: viena lieta, daudzas prasības

Spēcīga DPO pienākumu nodošanas lieta neaizstāj juridiskos pienākumus, bet auditoriem un regulatoriem nodrošina saskaņotu pierādījumu ķēdi starp ietvariem.

NIST CSF 2.0 ir īpaši noderīgs kā komunikācijas slānis. Tā GOVERN funkcija sagaida, ka tiesiskie, regulatīvie, līgumiskie, privātuma un pilsonisko brīvību pienākumi tiek saprasti un pārvaldīti. Tā Organizatorisko profilu metode palīdz organizācijām definēt pašreizējos un mērķa stāvokļus, apkopot politikas un risku ievades, identificēt nepilnības un izveidot prioritizētus rīcības plānus.

Tieši to dara DPO pienākumu nodošanas lieta. Tā definē pašreizējo privātuma stāvokli, identificē mērķa nepārtrauktības prasības un izveido prioritizētu trūkumu novēršanas sarakstu.

Kā auditori pārbauda DPO pienākumu nodošanas procesu

Nopietns auditors neapstāsies pie DPO vārda pieprasīšanas. Viņš pārbaudīs, vai privātuma funkcija ir noturīga.

Visbiežāk sastopamais konstatējums nav tas, ka nodošanas lietas nav. Tas ir tas, ka lieta nesasaista pierādījumus ar lēmumiem. Auditoriem vajadzīgi ne tikai dokumenti. Viņiem vajadzīga izsekojamība.

Biežākie kļūmju modeļi un Clarysec risinājumi

Pirmais kļūmju modelis ir nodošana ar iesūtni. Aizejošais DPO pārsūta e-pastus, bet nav indeksēta pierādījumu reģistra. Clarysec to risina, liekot pierādījumus ievietot REG12 un sasaistot katru vienību ar procesu, īpašnieku un pārskatīšanas datumu.

Otrais ir veidņu nodošana. Organizācijai ir DPIA un DSR veidnes, bet nav aktuāla statusa. Clarysec to risina ar sarkanās zonas informācijas paneli atvērtiem termiņiem, augsta riska lēmumiem un neatrisinātām darbībām.

Trešais ir politika bez deleģējuma. Politikas nosaka, ka DPO pieder privātums, bet neviens nereģistrē pagaidu atbildību. Clarysec to risina ar Lomu un atbildību reģistru, lomas nodošanas pierādījumiem REG01 un REG12, kā arī komunikācijas pierādījumiem REG11.

Ceturtais ir piegādātāju aklā zona. Apstrādātāju privātuma ieraksti nav sasaistīti ar iepirkumu un drošības ierakstiem. Clarysec to risina, savienojot piegādātāju reģistru, DPA repozitoriju, apakšapstrādātāju sarakstu, incidentu klauzulas, izstāšanās pienākumus un drošības padziļināto izpēti.

Piektais ir incidenta konteksta nepilnība. Tehniskais incidenta ieraksts pastāv, bet privātuma pārkāpuma pamatojuma trūkst. Clarysec to risina, prasot pārkāpuma nepārtrauktības lapas, kas saglabā paziņošanas analīzi, ietekmi uz datu subjektiem, regulatora lēmumus un gūtās mācības.

Jūsu 30 dienu DPO pienākumu nodošanas gatavības kontrolsaraksts

Ja jūsu DPO vai privātuma vadītājs mainītos rīt, vai jūs varētu pierādīt nepārtrauktību? Izmantojiet šo kontrolsarakstu.

• Apstipriniet, ka DPO, privātuma vadītājs, PIMS vadītājs un rezerves personas ir reģistrētas lomu reģistrā.
• 10 darbdienu laikā reģistrējiet lomas nodošanas pierādījumus REG01 un REG12.
• 10 darbdienu laikā atjauniniet lomas izmaiņu komunikācijas pierādījumus REG11.
• Pārbaudiet, ka REG12 PIMS dokumentētās informācijas indekss ir aktuāls.
• Izveidojiet 30, 60 un 90 dienu privātuma termiņu uzraudzības sarakstu.
• Pārskatiet atvērtos DSR un apstipriniet atbilžu īpašniekus.
• Pārskatiet visus aktīvos DPIA un augsta riska lēmumus.
• Apstipriniet, ka REG04 ietver privātuma konsultācijas par PIMS darbības jomu, DPIA kritērijiem un augsta riska lēmumiem.
• Salīdziniet RoPA ar sistēmām, piegādātājiem un glabāšanas grafikiem.
• Pārskatiet atvērtos un nesenos pārkāpumu izvērtējumus.
• Apstipriniet, ka apstrādātāju, apakšapstrādātāju un piegādātāju ieraksti ir pilnīgi.
• Validējiet personas datu glabāšanas grafikus.
• Pārbaudiet piecu kritisku pierādījumu vienību izgūšanu.
• Ziņojiet vadībai par pārejas statusu.
• Pievienojiet gūtās mācības PIMS uzlabošanas plānam.

Padariet privātuma nepārtrauktību auditam gatavu pirms lomas maiņas

Labākais brīdis izveidot DPO pienākumu nodošanas lietu ir pirms kāds iesniedz atlūgumu, pirms jautājumu uzdod regulators un pirms incidents piespiež to risināt.

Clarysec palīdz organizācijām pārvērst privātuma pārvaldību operacionālos pierādījumos, apvienojot politiku veidnes, PIMS reģistrus, nodošanas darbplūsmas, auditam gatavus repozitorijus un savstarpējās atbilstības kartējumus. Sāciet ar Zenith Blueprint 30 soļu ieviešanas ceļvedim, izmantojiet Zenith Controls, lai sasaistītu ISO/IEC 27002:2022 kontroles pasākumus ar plašākām atbilstības prasībām, un saskaņojiet savus iekšējos punktus ar Clarysec privātuma un pierādījumu pārvaldības politikām.

Ja jūsu DPO mainītos rīt, vai organizācija saglabātu kontekstu aiz katra DPIA, pārkāpuma lēmuma, RoPA ieraksta un regulatoram dotās saistības?

Ja atbilde nav pārliecinoša, nākamais solis ir praktisks. Izveidojiet nodošanas indeksu, kartējiet pierādījumus, piešķiriet pagaidu īpašniekus un šonedēļ pārbaudiet izgūšanu. Clarysec var palīdzēt padarīt šo lietu pilnīgu, kontrolētu un gatavu auditam.