Odovzdávací spis zodpovednej osoby pre GDPR a ISO 27701

Oznámenie pristálo v Máriinej e-mailovej schránke s nenápadným predmetom „Tímová aktualizácia“. David, zodpovedná osoba pre ochranu osobných údajov (DPO) jej rýchlo rastúcej fintech spoločnosti, prijal novú rolu. O dva týždne mal odísť.

Maria, CISO, to najprv riešila ako akýkoľvek iný odchod seniorného pracovníka. HR vykoná offboarding, IT deaktivuje prístupy, právne oddelenie preskúma otvorené záležitosti a nový DPO absolvuje odovzdávací hovor. Potom prišli skutočné otázky.

„Kde je DPIA k funkcii biometrického prihlasovania?“

„Môžem vidieť korešpondenciu s belgickým dozorným orgánom o minuloročnom preverovaní cezhraničného toku údajov?“

„Aké bolo odôvodnenie akceptácie zvyškového rizika v oblasti ochrany osobných údajov pri modeli kreditného skórovania založenom na AI?“

Nasledujúci pondelok o 08:17 chcelo predstavenstvo uistenie, že preukázateľná zodpovednosť podľa GDPR zostala zachovaná. Veľký podnikový zákazník poslal dotazník due diligence v oblasti ochrany osobných údajov a žiadal najnovšiu RoPA, register DPIA, evidenciu porušení ochrany osobných údajov, zoznam ďalších sprostredkovateľov, harmonogram uchovávania a dôkazy o poradenstve v oblasti ochrany osobných údajov. Produktový tím potreboval schválenie zmeny v analytike. Podpora evidovala tri žiadosti dotknutých osôb. Obstarávanie opätovne rokovalo o zmluve so sprostredkovateľom. Bezpečnostný tím vyšetroval udalosť, ktorá mohla zahŕňať osobné údaje.

Davidovo odovzdanie bolo 30-minútový hovor a zdieľané úložisko plné nekonzistentných názvov priečinkov. Kontext, diskusie, rozhodnutia o apetíte na riziko, história komunikácie s dozorným orgánom aj neformálne odporúčania odišli spolu s ním.

Práve vtedy správa a riadenie ochrany osobných údajov buď preukáže, že je systémom manažérstva, alebo odhalí, že bola iba pamäťou jednej osoby.

Odovzdávací spis zodpovednej osoby pre GDPR a ISO/IEC 27701:2025 nie je HR balík pri odchode. Je to spis kontinuity preukázateľnej zodpovednosti. Prichádzajúcemu DPO, vedúcemu pre ochranu osobných údajov, manažérovi PIMS, audítorovi, dozornému orgánu alebo výkonnému sponzorovi ukazuje, čo sa spracúva, prečo je to zákonné, ktoré riziká sú otvorené, kde sa nachádzajú dôkazy, kto vlastní ďalší krok a ktoré lehoty nesmú byť zmeškané.

Skryté riziko ochrany osobných údajov: preukázateľná zodpovednosť uzamknutá v jednej role

GDPR výslovne zakotvuje preukázateľnú zodpovednosť. Článok 5(2) vyžaduje, aby prevádzkovatelia zodpovedali za súlad so základnými zásadami zákonnosti, spravodlivosti a transparentnosti, obmedzenia účelu, minimalizácie údajov, správnosti, minimalizácie uchovávania, integrity a dôvernosti a aby tento súlad vedeli preukázať. Články 4, 6, 9, 10 a 30 dopĺňajú prevádzkovú terminológiu a dôkazové očakávania, ktoré musia prežiť zmenu roly: osobné údaje, spracúvanie, právny základ, podmienky spracúvania osobitných kategórií osobných údajov, definície porušení ochrany osobných údajov a záznamy o spracovateľských činnostiach.

Otázkou nie je, či mala organizácia schopného DPO. Otázkou je, či program ochrany osobných údajov dokáže fungovať, keď sa DPO zmení.

Keď DPO odíde, organizácia musí aj naďalej vedieť:

• Ktoré spracovateľské činnosti sú aktívne, pozastavené, vyradené alebo sa preskúmavajú.
• Ktoré právne základy a podmienky spracúvania osobitných kategórií osobných údajov podporujú jednotlivé činnosti.
• Ktoré DPIA obsahujú nevyriešené riziká alebo podmienené schválenia.
• Ktoré žiadosti dotknutých osôb sú otvorené, predĺžené, zamietnuté alebo napadnuté.
• Ktoré porušenia ochrany osobných údajov boli oznámené, neboli oznámené alebo sú stále v posudzovaní.
• Ktorí sprostredkovatelia, ďalší sprostredkovatelia a mechanizmy prenosu sú zavedené.
• Ktorá komunikácia s dozorným orgánom, záväzky voči zákazníkom a auditné úlohy sú otvorené.
• Aké poradenstvo v oblasti ochrany osobných údajov bolo poskytnuté, kedy bolo poskytnuté a za akých predpokladov.

Ide o klasickú závislosť od kľúčovej osoby. Hlava DPO sa stane primárnym úložiskom rozhodnutí o ochrane osobných údajov, posúdení rizík a regulačných interakcií. Keď táto osoba odíde, organizácia nestráca len držiteľa roly. Stráca sledovateľnosť potrebnú na preukázanie súladu.

Enterprise politika Clarysec Privacy Roles, Responsibilities and Accountability Policy [C1] robí z prechodu roly dôkazovú povinnosť:

[All] Vedúci pre ochranu osobných údajov / manažér PIMS MUSÍ zaznamenať dôkazy o odovzdaní roly v REG01 a REG12 do 10 pracovných dní od zmeny roly.

Zo sekcie „Implementácia“, ustanovenie politiky 7.1.6.

Tá istá politika vyžaduje aj dôkazy o komunikácii po preradení alebo odchode:

[All] Vedúci pre ochranu osobných údajov / manažér PIMS MUSÍ aktualizovať dôkazy o komunikácii zmeny roly v REG11 do 10 pracovných dní po preradení roly alebo odchode.

Zo sekcie „Dôkazy preukázateľnej zodpovednosti a komunikácia“, ustanovenie politiky 4.5.4.

Tieto dve ustanovenia menia personálnu zmenu na auditovateľnú kontrolu ochrany osobných údajov. Odovzdanie už nie je neformálny prenos znalostí. Stáva sa zdokumentovaným dôkazom PIMS.

Čo odovzdávací spis zodpovednej osoby v skutočnosti je

Kvalitný odovzdávací spis zodpovednej osoby nie je jeden PDF dokument. Je to riadený balík dôkazov s indexom, vlastníkmi, odkazmi, stavovými poľami, históriou rozhodnutí a pravidlami vyhľadania. Prichádzajúcemu DPO má umožniť pochopiť stav ochrany osobných údajov v organizácii v priebehu hodín, nie týždňov.

Predstavte si ho ako letový zapisovač programu ochrany osobných údajov. Musí ukázať nielen to, čo sa stalo, ale aj prečo boli rozhodnutia prijaté a čo sa musí stať ďalej.

Praktický odovzdávací spis zodpovednej osoby má odpovedať na štyri otázky:

1. Ktoré povinnosti a rozhodnutia v oblasti ochrany osobných údajov sú aktuálne aktívne?
2. Aké dôkazy preukazujú, že tieto povinnosti sú riadené?
3. Kto vlastní každú otvorenú položku počas prechodu a po ňom?
4. Ktoré riziká, lehoty alebo regulačne citlivé záležitosti si vyžadujú okamžitú pozornosť?

Spis nemá duplikovať každý záznam. Duplikácia vytvára neaktuálne dôkazy. Namiesto toho má odkazovať na autoritatívny záznam, vysvetľovať stav, identifikovať vlastníctvo a označiť ďalšie požadované rozhodnutie.

Enterprise politika Clarysec PIMS Documented Information and Evidence Management Policy [C2] vytvára základ pre dôkazy:

[All] Vedúci pre ochranu osobných údajov / manažér PIMS MUSÍ udržiavať index zdokumentovaných informácií PIMS v REG12 pred prvým zverejnením PIMS a následne štvrťročne.

Zo sekcie „Riadenie zdokumentovaných informácií PIMS“, ustanovenie politiky 4.1.1.

Vyžaduje aj dôkazy o vyhľadaní:

[All] Vedúci pre ochranu osobných údajov / manažér PIMS MUSÍ zaznamenať žiadosti o vyhľadanie auditných dôkazov a stav ich splnenia v REG12 do piatich pracovných dní od prijatia žiadosti.

Zo sekcie „Prístup, ochrana, vyhľadanie a poskytnutie“, ustanovenie politiky 4.4.4.

Odovzdávací spis zodpovednej osoby má byť preto postavený okolo REG12 alebo rovnocenného indexu zdokumentovaných informácií. Ak sa dôkazy ochrany osobných údajov nedajú počas prechodu rýchlo nájsť, nemôžu podporiť preukázateľnú zodpovednosť, keď audítor, zákazník alebo dozorný orgán požiada o dôkaz.

Základná štruktúra auditne pripraveného odovzdávacieho spisu zodpovednej osoby

Implementácie Clarysec zvyčajne delia odovzdávací spis zodpovednej osoby do desiatich častí. Tieto časti poskytujú prichádzajúcemu DPO jednotný prevádzkový pohľad bez nahrádzania autoritatívnych systémov evidencie.

Najhodnotnejšou časťou spisu často nie sú samotné dokumenty. Je to kontext medzi dokumentmi. DPIA môže ukazovať záver, ale prichádzajúci DPO potrebuje vedieť aj to, aké odporúčanie bolo poskytnuté, ktoré zvyškové riziká boli akceptované, aké podmienky boli pripojené a či sa tieto podmienky stále monitorujú.

Chrbtica GDPR: RoPA, DPIA, DSR, porušenia ochrany osobných údajov a právny základ

Odovzdávací spis zodpovednej osoby má začínať prevádzkovou chrbticou GDPR. Práve tu mnohé prechody zlyhávajú, pretože odchádzajúci DPO rozumie histórii za záznamami, zatiaľ čo prichádzajúci DPO vidí iba fragmenty.

Enterprise Data Protection and Privacy Policy [C3] priraďuje DPO zodpovednosť za kľúčové záznamy:

Udržiava záznamy o spracovateľských činnostiach (RoPA) v súlade s GDPR, článok 30.

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 4.2.2.

Uvádza tiež:

Vedie regulačnú komunikáciu, vykonáva posúdenia vplyvu na ochranu osobných údajov (DPIA) a riadi procesy oznamovania porušení ochrany osobných údajov.

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 4.2.3.

A pre správu práv:

Zodpovedná osoba pre ochranu osobných údajov (DPO) musí udržiavať zdokumentované procesy pre príjem, validáciu, sledovanie a vybavenie žiadostí dotknutých osôb (DSR).

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.4.1.

Nie sú to samostatné administratívne úlohy. Tvoria reťazec preukázateľnej zodpovednosti.

Ak dotknutá osoba požiada o výmaz, prichádzajúci DPO potrebuje RoPA na identifikáciu systémov a sprostredkovateľov, register právnych základov na posúdenie, či sa výmaz uplatní, harmonogram uchovávania na overenie minimalizácie uchovávania, záznamy o dodávateľoch na koordináciu následného výmazu a register DSR na preukázanie časovej osi a odpovede. Ak sa DPO zmení uprostred vybavovania žiadosti, odovzdávací spis musí tento reťazec zachovať.

Pre menšie organizácie používa Clarysec Data Protection and Privacy Policy-sme [C4] škálovaný jazyk, pričom zachováva rovnaký princíp preukázateľnej zodpovednosti:

Udržiava záznamy o spracovateľských činnostiach

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 4.2.1.

Vyžaduje tiež:

Koordinátor ochrany osobných údajov musí udržiavať register všetkých spracovateľských činností s osobnými údajmi vrátane kategórií údajov, účelu, právneho základu a lehôt uchovávania

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.2.1.

A pre žiadosti o uplatnenie práv:

Všetky odpovede na žiadosti dotknutých osôb musia byť zaznamenané v zabezpečenom registri s prístupom obmedzeným na koordinátora ochrany osobných údajov a GM

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.5.4.

V podnikových aj SME prostrediach má odovzdávací spis obsahovať prevádzkový dashboard ochrany osobných údajov, ktorý ukazuje stav RoPA, DPIA, DSR, porušení ochrany osobných údajov, preskúmaní uchovávania a preskúmaní dodávateľov. Tak organizácia preukazuje, že preukázateľná zodpovednosť podľa GDPR nezávisí od jednej osoby.

ISO/IEC 27701:2025: prechod roly ako riadený dôkaz PIMS

ISO/IEC 27701:2025 rozširuje správu a riadenie ochrany súkromia do štruktúrovaného Privacy Information Management System. To znamená, že prechod roly sa má riešiť ako akýkoľvek iný riadený proces: plánovaný, priradený, zdokumentovaný, preskúmaný a zlepšovaný.

Odovzdávací spis má obsahovať polia kontinuity PIMS pre každý významný proces ochrany osobných údajov:

• Názov procesu, napríklad DPIA, RoPA, DSR, posúdenie porušenia ochrany osobných údajov alebo preskúmanie ochrany osobných údajov u dodávateľa.
• Rola PIMS, napríklad DPO, vedúci pre ochranu osobných údajov, manažér PIMS, zástupca prevádzkovateľa alebo zástupca sprostredkovateľa.
• Prevádzková rola, napríklad prevádzkovateľ, sprostredkovateľ, spoločný prevádzkovateľ alebo ďalší sprostredkovateľ.
• Aktuálny vlastník a dočasný delegát.
• Odkaz na register dôkazov.
• Dátum posledného preskúmania a dátum ďalšieho preskúmania.
• Otvorené rozhodnutia a nevyriešené riziká.
• Eskalačná trasa.
• Odkazy na ustanovenia politík, postupy a šablóny.
• Stav auditu vrátane poslednej žiadosti o dôkaz a odpovede.

Enterprise Privacy Information Management System Policy [C5] robí zo samotného poradenstva v oblasti ochrany osobných údajov dôkazový objekt:

[All] Zodpovedná osoba pre ochranu osobných údajov / poradca pre ochranu súkromia MUSÍ zaznamenať poradenstvo v oblasti ochrany osobných údajov k rozsahu PIMS, kritériám DPIA a rozhodnutiam s vysokým rizikom v REG04 pred schválením príslušného rozhodnutia.

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 5.1.3.

Toto ustanovenie je pri odovzdaní kritické. Správa DPIA môže ukazovať finálne schválenie, ale REG04 alebo rovnocenný register poradenstva v oblasti ochrany osobných údajov zachováva odborné odôvodnenie rozhodnutia. Bez neho nemusí byť nový DPO schopný vysvetliť, prečo organizácia schválila vysokorizikovú spracovateľskú činnosť alebo aké monitorovacie podmienky boli pripojené.

Clarysec prepája prechod roly aj so širšou správou a riadením. Enterprise Governance Roles and Responsibilities Policy [C6] uvádza:

Delegovania sa musia evidovať v Registri rolí a zodpovedností a pôvodný vlastník si ponecháva konečnú preukázateľnú zodpovednosť.

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.2.5.

Tým sa predchádza najnebezpečnejšej medzere pri prechode: každý predpokladá, že DSR, DPIA, posúdenia porušení ochrany osobných údajov alebo odpovede dozornému orgánu pokrýva niekto iný. Silný odovzdávací spis zodpovednej osoby obsahuje tabuľku delegovaní a jasne uvádza, či je každá zodpovednosť trvalá, dočasná alebo poradná.

Vybudovanie repozitára podľa Zenith Blueprint

Odovzdávací spis je užitočný len do tej miery, do akej je užitočný repozitár za ním. Chaotické zdieľané úložisko nie je dôkazový systém PIMS.

Clarysec Zenith Blueprint: An Auditor’s 30-Step Roadmap [C7] pristupuje k dokumentácii ako k živému systému manažérstva. Vo fáze ISMS Foundation & Leadership, krok 6, „Documented Information and Building the ISMS Library“, Zenith Blueprint odporúča organizáciám vytvoriť štruktúrovaný repozitár dokumentácie ISMS:

Teraz je vhodný čas nastaviť štruktúru na ukladanie celej dokumentácie ISMS (vašu „knižnicu ISMS“). Napríklad:

✓ Hlavný priečinok s názvom „ISMS Documentation“ s podpriečinkami ako: ✓ Politiky a postupy: obsahuje schválené verzie politík (napr. politika informačnej bezpečnosti, politika prijateľného používania) a postupov (postup reakcie na incidenty, postup zálohovania atď.). ✓ Posúdenie rizík a SoA: priečinok pre správy z posúdenia rizík, register rizík (pracovný súbor) a Vyhlásenie o uplatniteľnosti (keď bude vypracované). ✓ Záznamy o školeniach a povedomí: záznamy o školeniach, kópie dodaného obsahu, prezenčné listiny. ✓ Audit a preskúmanie: správy z interného auditu, zápisnice zo stretnutí preskúmania manažmentom, evidencia nápravných opatrení. ✓ Záznamy o incidentoch: evidencia incidentov, správy o incidentoch, dokumenty s poučeniami. ✓ Aktíva a evidencia: zoznamy aktív, výsledky klasifikácie údajov atď. ✓ Kontroly prílohy A (alebo „knižnica kontrol“): prípadne zoznam kontrol a dokumentácia o tom, ako sú implementované.

Uistite sa, že tento repozitár je prístupný, ale bezpečný. Politiky môžu byť napríklad v priečinku s verejným čítaním pre všetkých zamestnancov, ale priečinok posúdenia rizík môže byť obmedzený na tím ISMS a vrcholový manažment.

Z fázy ISMS Foundation & Leadership, krok 6: Documented Information and Building the ISMS Library.

Pre odovzdávací spis zodpovednej osoby sa ten istý vzor stáva knižnicou PIMS. Praktický priečinok najvyššej úrovne je „PIMS DPO Handover and Accountability“ s obmedzeným prístupom pre DPO, vedúceho pre ochranu osobných údajov, právneho zástupcu, CISO, interný audit a schválené vedenie.

Pre MSP možno ten istý princíp implementovať jednoduchšie. Clarysec Audit and Compliance Monitoring Policy-sme [C8] uvádza:

Všetky dôkazy musia byť uložené v centralizovanom auditnom priečinku.

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.2.1.

Úroveň zrelosti sa môže líšiť, princíp však nie. Dôkazy ochrany osobných údajov musia byť centralizované, riadené, indexované a vyhľadateľné.

Kotvy kontrol ISO: roly, záznamy a ochrana PII

Odovzdávací spis zodpovednej osoby sa silno mapuje na tri organizačné opatrenia ISO/IEC 27002:2022 predstavené v Clarysec Zenith Controls: The Cross-Compliance Guide [C9]. Ide o kontroly ISO, nie o samostatný súbor kontrol vytvorený Zenith.

Tieto kontroly sa prepájajú aj s požiadavkami systému manažérstva ISO/IEC 27001:2022. Kapitola 5.3 vyžaduje priradenie a komunikovanie organizačných rolí, zodpovedností a právomocí. Kapitola 7.5 vyžaduje riadenie zdokumentovaných informácií. Kapitola 6.1 vyžaduje plánovanie rizík a príležitostí vrátane ošetrenia rizík. Kapitola 8.1 vyžaduje prevádzkové plánovanie a riadenie. Kapitola 9.1 vyžaduje monitorovanie a hodnotenie. Kapitola 10.2 vyžaduje nápravné opatrenia.

Odovzdávací spis zodpovednej osoby podporuje každé z týchto očakávaní tým, že mení prechod roly na riadené, auditovateľné dôkazy.

Jednorazové cvičenie na vytvorenie odovzdávacieho spisu zodpovednej osoby

Nemusíte čakať na výpoveď. Vykonajte toto cvičenie pred odchodom DPO, počas interného auditu ochrany osobných údajov alebo po vymenovaní nového vedúceho pre ochranu osobných údajov.

Krok 1: Vytvorte index odovzdania

Otvorte REG12 alebo svoj index zdokumentovaných informácií a vytvorte sekciu s názvom „Odovzdávací spis zodpovednej osoby“. Pridajte polia pre:

• Položku dôkazov.
• Oblasť procesu.
• Autoritatívne umiestnenie.
• Vlastníka.
• Záložného vlastníka.
• Posledné preskúmanie.
• Ďalšie preskúmanie.
• Úroveň dôvernosti.
• Otvorenú úlohu.
• Relevantnosť pre audit.

Vyplňte prvých 25 položiek. Začnite s RoPA, registrom DPIA, registrom DSR, evidenciou porušení ochrany osobných údajov, registrom dodávateľov, harmonogramom uchovávania, registrom poradenstva v oblasti ochrany osobných údajov, spisom korešpondencie s dozorným orgánom, registrom rizík v oblasti ochrany osobných údajov a rozsahom PIMS.

Krok 2: Vytvorte prehľad lehôt na 30, 60 a 90 dní

Vytvorte dashboard červenej zóny pre položky splatné v najbližších 30, 60 a 90 dňoch. Zahrňte:

• Otvorené žiadosti dotknutých osôb.
• Čakajúce schválenia DPIA.
• Otvorené posúdenia porušení ochrany osobných údajov.
• Lehoty na odpoveď dozornému orgánu alebo zákazníkovi.
• Termíny preskúmania dodávateľov.
• Lehoty oznámení o prenose alebo ďalšom sprostredkovateľovi.
• Míľniky preskúmania uchovávania.
• Nápravné opatrenia z auditu.

Toto je stránka, ktorú si prichádzajúci DPO prečíta ako prvú.

Krok 3: Namapujte vysokorizikové procesy na pomenovaných vlastníkov

Použite Register rolí a zodpovedností. Pri každom procese zdokumentujte, či bol odchádzajúci DPO accountable, responsible, consulted alebo informed. Priraďte dočasného vlastníka pre každý živý proces. Sledujte delegovanie a komunikujte zmenu v súlade s Privacy Roles, Responsibilities and Accountability Policy a Governance Roles and Responsibilities Policy.

Krok 4: Zachovajte kontext rozhodnutí

Pri každom aktívnom DPIA alebo rozhodnutí s vysokým rizikom pridajte stručnú poznámku k histórii rozhodnutia:

• Čo bolo navrhnuté?
• Prečo bola alebo nebola potrebná DPIA?
• Aké poradenstvo v oblasti ochrany osobných údajov bolo poskytnuté?
• Aké riziká zostávajú?
• Kto akceptoval zvyškové riziko?
• Ktoré podmienky sa musia monitorovať?

Práve tu je REG04 nevyhnutný. Bez zaznamenaného odporúčania môže prichádzajúci DPO vidieť iba finálne schválenie a prehliadnuť obmedzenia, ktoré za ním stoja.

Krok 5: Otestujte vyhľadanie

Požiadajte interný audit alebo compliance, aby si vyžiadali päť položiek z odovzdávacieho spisu:

1. Záznam RoPA pre vysokorizikovú spracovateľskú činnosť.
2. DPIA a záznam odporúčania k tej istej činnosti.
3. Zmluvu so sprostredkovateľom, ktorá ju podporuje.
4. Pravidlo uchovávania vzťahujúce sa na údaje.
5. Najnovšie rozhodnutie DSR alebo rozhodnutie o porušení ochrany osobných údajov týkajúce sa daného procesu, ak existuje.

Ak tím nedokáže tieto položky vyhľadať v časovom rámci stanovenom politikou, odovzdávací spis nie je pripravený.

Závislosti od dodávateľov, sprostredkovateľov a cloudu

Mnohé prechody DPO zlyhávajú na hranici medzi ochranou osobných údajov, obstarávaním, bezpečnosťou a prevádzkou.

Odchádzajúci DPO môže vedieť, že sprostredkovateľ má nevyriešené auditné zistenie, že oznámenie o ďalšom sprostredkovateľovi si vyžaduje preskúmanie alebo že zmluve chýbajú primerané ustanovenia o súčinnosti pri incidente. Ak sa tieto znalosti nezachytia, prichádzajúci DPO zdedí skryté riziko.

Clarysec Third-Party and Supplier Security Policy-sme [C10] nastavuje základ pre dôkazy:

Register dodávateľov musí udržiavať a aktualizovať administratívny alebo obstarávací kontakt. Musí obsahovať:

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.4.

Odovzdávací spis má prepojiť register dodávateľov s:

• Zmluvami o spracúvaní osobných údajov.
• Zoznamami ďalších sprostredkovateľov.
• Dokumentáciou prenosov.
• Bezpečnostným due diligence.
• Ustanoveniami o oznamovaní incidentov.
• Právami na audit.
• Povinnosťami pri ukončení a výmaze.
• Otvorenými nápravnými položkami.

Práve tu sú dôležité aj NIS2 a DORA.

NIS2 vyžaduje, aby základné a dôležité subjekty prijali primerané technické, prevádzkové a organizačné opatrenia riadenia kybernetických rizík. Oblasti riadenia rizík zahŕňajú riešenie incidentov, kontinuitu činností, bezpečnosť dodávateľského reťazca, bezpečné obstarávanie a vývoj, riešenie zraniteľností, posúdenie účinnosti, kybernetickú hygienu, školenia, kryptografiu, bezpečnosť ľudských zdrojov, riadenie prístupu a správu aktív.

DORA vyžaduje od finančných subjektov udržiavať správu a riadenie IKT, riadenie rizík IKT, klasifikáciu a hlásenie incidentov, testovanie digitálnej prevádzkovej odolnosti a riadenie rizík IKT tretích strán. Pri kritických alebo dôležitých funkciách DORA očakáva aj silné zmluvné záruky, práva na prístup a audit, práva na ukončenie, stratégie ukončenia a prechodové opatrenia.

Odovzdávací spis zodpovednej osoby má identifikovať, kde sú dodávatelia relevantní pre ochranu osobných údajov zároveň súčasťou povinností prevádzkovej odolnosti. Ak sprostredkovateľ podporuje kritickú finančnú službu alebo dôležitú digitálnu službu, prichádzajúci DPO musí rozumieť regulačnému dopadu zlyhania dodávateľa, oneskoreného oznámenia incidentu alebo slabiny v zmluve.

Kontinuita incidentov a porušení ochrany osobných údajov

Kontext porušenia ochrany osobných údajov rýchlo stráca hodnotu. Počas prechodu DPO je ľahké stratiť dôvod, prečo bolo prijaté rozhodnutie neoznamovať, prečo bolo oznámenie oneskorené alebo prečo sa určitá skupina osôb považovala za dotknutú.

GDPR definuje porušenie ochrany osobných údajov široko vrátane náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov alebo neoprávneného prístupu k nim. Reakcia na incidenty preto musí zahŕňať triáž ochrany osobných údajov, nielen technické zamedzenie šírenia.

Zenith Blueprint vo fáze Controls in Action, krok 23, zdôrazňuje právne rozhranie pri kontrolách súvisiacich s ochranou súkromia:

Kontrola zároveň zavádza do ISMS právne rozhranie. Osoby zodpovedné za ochranu súkromia, právni poradcovia alebo zodpovedné osoby pre ochranu osobných údajov (DPO) musia byť zapojené do definovania spôsobu nakladania s osobnými údajmi, najmä pri medzinárodných prenosoch, cezhraničnom spracúvaní alebo právach dotknutých osôb, ako sú prístup, oprava a výmaz. Nie sú to len práva, ale prevádzkové povinnosti a musia byť podporené štruktúrovanými, auditovateľnými procesmi.

Z pohľadu auditu je táto kontrola čoraz viac v centre pozornosti. Audítori, regulátori aj zákazníci chcú vidieť:

✓ Kde sa PII nachádza, ✓ aký právny základ riadi ich spracúvanie, ✓ ako je obmedzený prístup, ✓ ako sa hlásia incidenty, ✓ a ako organizácia rešpektuje práva a udržiava transparentnosť.

Z fázy Controls in Action, krok 23: Organizačné opatrenia (5.19–5.37).

Pre každý otvorený alebo nedávno uzavretý incident týkajúci sa osobných údajov má odovzdávací spis obsahovať list kontinuity porušenia ochrany osobných údajov.

Tým sa podporujú aj očakávania NIS2 a DORA v oblasti incidentov. NIS2 používa postupné hlásenie významných incidentov vrátane včasného varovania, oznámenia, aktualizácií tam, kde sa vyžadujú, a záverečnej správy. DORA vyžaduje od finančných subjektov detegovať, riadiť, klasifikovať a oznamovať závažné incidenty súvisiace s IKT vrátane úvodného, priebežného a záverečného hlásenia a analýzy koreňovej príčiny. Nový DPO musí vedieť rozlíšiť bezpečnostný incident, porušenie ochrany osobných údajov, významný incident podľa NIS2 a závažný incident súvisiaci s IKT podľa DORA vrátane situácií, keď jedna udalosť spustí viacero pracovných tokov.

Uchovávanie a likvidácia: tiché riziko odovzdania

Pravidlá uchovávania často počas prechodov rolí zastarávajú, pretože ležia medzi právnym oddelením, správou záznamov, IT a vlastníkmi procesov. GDPR však podľa zásady minimalizácie uchovávania vyžaduje, aby sa osobné údaje neuchovávali dlhšie, než je nevyhnutné na účely spracúvania.

Enterprise Data Retention and Disposal Policy [C11] priraďuje kontrolnú rolu v oblasti ochrany osobných údajov:

Preskúmava a validuje harmonogramy uchovávania osobných údajov s cieľom zabezpečiť právny základ pre pokračujúce uchovávanie.

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 4.3.2.

Odovzdávací spis má identifikovať harmonogramy uchovávania vyžadujúce preskúmanie, systémy, v ktorých je výmaz technicky obmedzený, právne blokácie, archivované súbory údajov, problémy uchovávania záloh a závislosti výmazu u sprostredkovateľov.

Užitočný test je jednoduchý. Vyberte jeden záznam RoPA a opýtajte sa, či prichádzajúci DPO dokáže určiť lehotu uchovávania, spúšťač výmazu, vlastníka systému, zapojenie sprostredkovateľa, zaobchádzanie so zálohami a dôkaz o poslednom preskúmaní. Ak nie, preukázateľná zodpovednosť za uchovávanie nie je pripravená na prechod.

Mapovanie súladu naprieč rámcami: jeden spis, mnoho očakávaní

Silný odovzdávací spis zodpovednej osoby nenahrádza zákonné povinnosti, ale audítorom a dozorným orgánom poskytuje koherentnú dôkazovú stopu naprieč rámcami.

NIST CSF 2.0 je obzvlášť užitočný ako komunikačná vrstva. Jeho funkcia GOVERN očakáva, že zákonné, regulačné, zmluvné, súkromnostné a občianskoprávne povinnosti budú pochopené a riadené. Metóda Organizational Profiles pomáha organizáciám definovať aktuálny a cieľový stav, zhromaždiť politiky a vstupy o rizikách, identifikovať medzery a vytvoriť prioritizované akčné plány.

Presne toto robí odovzdávací spis zodpovednej osoby. Definuje aktuálny stav ochrany osobných údajov, identifikuje cieľové požiadavky kontinuity a vytvára prioritizovaný zoznam nápravných opatrení.

Ako audítori skúmajú proces odovzdania DPO

Seriózny audítor sa nezastaví pri otázke na meno DPO. Otestuje, či je funkcia ochrany osobných údajov odolná.

Najčastejším zistením nie je to, že odovzdávací spis neexistuje. Je to to, že spis neprepája dôkazy s rozhodnutiami. Audítori nechcú iba dokumenty. Chcú sledovateľnosť.

Bežné vzorce zlyhania a nápravné riešenia Clarysec

Prvým vzorcom zlyhania je odovzdanie cez e-mailovú schránku. Odchádzajúci DPO prepošle e-maily, ale neexistuje indexovaný register dôkazov. Clarysec to rieši tým, že presúva dôkazy do REG12 a prepája každú položku s procesom, vlastníkom a dátumom preskúmania.

Druhým je šablónové odovzdanie. Organizácia má šablóny DPIA a DSR, ale nemá aktuálny stav. Clarysec to rieši dashboardom červenej zóny pre otvorené lehoty, rozhodnutia s vysokým rizikom a nevyriešené úlohy.

Tretím je politika bez delegovania. Politiky hovoria, že DPO vlastní ochranu osobných údajov, ale nikto nezaznamenáva dočasnú zodpovednosť. Clarysec to rieši prostredníctvom Registra rolí a zodpovedností, dôkazov o odovzdaní roly v REG01 a REG12 a dôkazov o komunikácii v REG11.

Štvrtým je slepé miesto pri dodávateľoch. Záznamy o ochrane osobných údajov u sprostredkovateľov nie sú prepojené so záznamami obstarávania a bezpečnosti. Clarysec to rieši prepojením registra dodávateľov, repozitára DPA, zoznamu ďalších sprostredkovateľov, ustanovení o incidentoch, povinností pri ukončení a bezpečnostného due diligence.

Piatym je medzera v kontexte incidentu. Technický záznam incidentu existuje, ale chýba odôvodnenie porušenia ochrany osobných údajov. Clarysec to rieši požiadavkou na listy kontinuity porušenia ochrany osobných údajov, ktoré zachovávajú analýzu oznámenia, dopad na dotknuté osoby, rozhodnutia dozorného orgánu a poučenia.

Váš 30-dňový kontrolný zoznam pripravenosti na odovzdanie DPO

Ak by sa váš DPO alebo vedúci pre ochranu osobných údajov zmenil zajtra, vedeli by ste preukázať kontinuitu? Použite tento kontrolný zoznam.

• Potvrďte, že DPO, vedúci pre ochranu osobných údajov, manažér PIMS a zástupcovia sú zaznamenaní v registri rolí.
• Zaznamenajte dôkazy o odovzdaní roly v REG01 a REG12 do 10 pracovných dní.
• Aktualizujte dôkazy o komunikácii zmeny roly v REG11 do 10 pracovných dní.
• Overte, že index zdokumentovaných informácií PIMS v REG12 je aktuálny.
• Vytvorte prehľad lehôt ochrany osobných údajov na 30, 60 a 90 dní.
• Preskúmajte otvorené DSR a potvrďte vlastníkov odpovedí.
• Preskúmajte všetky aktívne DPIA a rozhodnutia s vysokým rizikom.
• Potvrďte, že REG04 obsahuje poradenstvo v oblasti ochrany osobných údajov k rozsahu PIMS, kritériám DPIA a rozhodnutiam s vysokým rizikom.
• Zosúlaďte RoPA so systémami, dodávateľmi a harmonogramami uchovávania.
• Preskúmajte otvorené a nedávne posúdenia porušení ochrany osobných údajov.
• Potvrďte, že záznamy o sprostredkovateľoch, ďalších sprostredkovateľoch a dodávateľoch sú úplné.
• Validujte harmonogramy uchovávania osobných údajov.
• Otestujte vyhľadanie piatich kritických dôkazových položiek.
• Nahláste stav prechodu manažmentu.
• Pridajte poučenia do plánu zlepšovania PIMS.

Pripravte kontinuitu ochrany osobných údajov na audit skôr, než sa rola zmení

Najlepší čas na vytvorenie odovzdávacieho spisu zodpovednej osoby je pred tým, ako niekto podá výpoveď, pred tým, ako sa opýta dozorný orgán, a pred tým, ako incident vynúti riešenie.

Clarysec pomáha organizáciám premieňať správu a riadenie ochrany osobných údajov na prevádzkové dôkazy kombináciou šablón politík, registrov PIMS, pracovných tokov odovzdania, repozitárov pripravených na audit a mapovania súladu naprieč rámcami. Začnite s Zenith Blueprint pre 30-krokovú cestovnú mapu implementácie, použite Zenith Controls na prepojenie kontrol ISO/IEC 27002:2022 so širšími očakávaniami súladu a zosúlaďte svoje interné ustanovenia s politikami Clarysec pre ochranu osobných údajov a správu dôkazov.

Ak by sa váš DPO zmenil zajtra, zachovala by si vaša organizácia kontext za každým DPIA, rozhodnutím o porušení ochrany osobných údajov, záznamom RoPA a záväzkom voči dozornému orgánu?

Ak je odpoveď neistá, ďalší krok je praktický. Vytvorte index odovzdania, namapujte dôkazy, priraďte dočasných vlastníkov a tento týždeň otestujte vyhľadanie. Clarysec vám pomôže urobiť tento spis úplným, riadeným a pripraveným na audit.