Autor: Igor Barlek, osnivač, vlasnik i direktor tvrtke BI CONSULT d.o.o., Chief Compliance Officer u PRAGMATEKH d.o.o., autor i urednik referentnog nacionalnog portala o zaštiti privatnosti GDPR Croatia i predavač na Akademiji za poduzetništvo
Prilikom usklađivanja s GDPR obvezama prvo se sami moramo zapitati, ulažemo li u GDPR usklađenost jer želimo izbjeći kazne nadzornog tijela (u Hrvatskoj je Agencija za zaštitu osobnih podataka, AZOP) ili smo strateški opredijeljeni poštivati sve norme, propise i obveze i jer želimo i na tom planu pokazati da smo tvrtka visoke reputacije i tržišni sudionik koji se time ističe u odnosu na svoje konkurente.
Bez obzira na izvršeno ulaganje u vremenu i novcu i vlastitu stratešku opredijeljenost za postizanjem GDPR usklađenosti, možda još nismo dovoljno svjesni da neusklađenost poslovanja našeg poslovnog partnera u svojstvu angažiranog dobavljača usluga ili njegovog podugovornog poslovnog partnera može donijeti i nama značajne rizike, počevši od financijskih do reputacijskih.
Kako? Približit ćemo temu na konkretnom primjeru.
Angažirali smo dobavljača usluga izrade i održavanja poslovnog IT sustava u obliku programskog rješenja za vođenje evidencija naših zaposlenika, od dosjea zaposlenika do radnog vremena, evidencija osposobljavanja iz zaštite na radu i liječničkih pregleda, obračuna putnih naloga, edukacija, obračuna plaća, bonusa i isplatnih lista, bolovanja, alimentacija, ovrha i drugih ustezanja s plaća. Odabrali smo ga kao najboljeg temeljem pomno utvrđenih kriterija, utvrdili rokove, uvjete i cijene isporuka usluga i poslovna suradnja kreće punim zamahom.
U vrhuncu dinamike ugovorenih poslovnih aktivnosti, od strane nadzornog tijela za zaštitu podataka neočekivano dobivamo dopis kojim nas u ostavljenom kratkom roku traže detaljno očitovanje o okolnostima javno objavljenih isplatnih lista naših zaposlenika na internetu i obavještavaju nas o terminu nadzora koji će obaviti u našim poslovnim prostorima. Nama je to prva informacija i ostavlja nas zatečene. Žurno organiziramo sastanak uprave i voditelja pojedinih organizacijskih jedinica koje bi mogle biti involvirane. Zaustavljamo sve aktivnosti našeg IT odjela kako bismo prioritetno pronašli uzroke incidentne situacije i saznajemo da je moguće da je do “curenja” isplatnih lista došlo kod našeg dobavljača programskog rješenja.
Nazivamo kontakte dobavljača, njihov prodajni predstavnik s kojim smo dogovarali uvjete nije upoznat sa situacijom, njihov tehnički odjel se ne odaziva jer ih pritišću rokovi isporuke velikih projekata, direktor im je na putu, ali srećom u tvrtki je ostao najmlađi član IT tima koji nam odaje tajnu da je vjerojatnije da je “stvar” pukla kod njihovog pružatelja Cloud usluga.
Koga? Tko je to? Kako?
Istovremeno i naši zaposlenici otkrivaju da su njihovi vrlo osjetljivi osobni podaci, ne samo iznosi plaća, već i podaci o kućnoj adresi, OIB-u, bolovanjima ili ovrhama javno dostupni širem krugu ljudi i da mediji već pišu o tome.
Sad nam još samo fali Andrija Jarak…
Već je sad lako uočiti da nam se sprema nemjerljiva reputacijska šteta, nadzorno tijelo nam dolazi u inspekciju, prijete nam kazne i pitamo se zašto mi trpimo posljedice a nismo ništa krivi.
No, jel’ tome zaista tako?
Najkraće rečeno, naša tvrtka je pogriješila u samom postupku selekcije i ugovaranja poslovnog odnosa s dobavljačem programskog rješenja.
Da pojasnimo, kada angažiramo druge poslovne subjekte ili suradnike, bez obzira radilo se o trgovačkim društvima ili obrtima ili fizičkim osobama na ugovor o djelu, sa svrhom da u naše ime i za naš račun vrše određenu vrstu obrade osobnih podataka, npr. naših bivših i sadašnjih zaposlenika, naših kupaca ili korisnika, posjetitelja ili gostiju, takvi se poslovni subjekti prema GDPR-u nalaze u ulozi naših izvršitelja obrade, dok je naša tvrtka voditelj obrade.
Primjeri takvog angažmana su najčešće u području isporuke i održavanja programskih rješenja, održavanja IT sustava i računala, održavanja sustava praćenja prisutnosti na radnom mjestu, video nadzora, praćenja vozila GPS nadzorom, pohrane dokumentacije putem Cloud servisa, usluge knjigovodstva ili osposobljavanja u području zaštite na radu i zaštite od požara ili pak usluge tehničko-fizičke zaštite i vođenja evidencije posjetitelja. Mnoštvo je mogućnosti i teško je zamisliti ijednu tvrtku bez barem jednog izvršitelja obrade osobnih podataka.
Svaki od prethodno navedenih vanjskih izvršitelja obrade ima pristup i uvid u osobne podatke za koje odgovara voditelj obrade, odnosno, naša tvrtka, i definitivno nam kriteriji odabira takvih poslovnih partnera više ne mogu biti samo cijena, uvjeti, rokovi isporuke ili SLA uvjeti.
Od početka pune primjene GDPR-a, točnije od svibnja 2018. godine, jedan od nezaobilaznih kriterija odabira poslovnih partnera i suradnika mora biti i njihova usklađenost i dokazivost usklađenosti s GDPR obvezama.
Kada bi dobavljač programskog rješenja iz prethodno navedenog slučaja bio na taj način izabran, tada bismo već u evaluaciji potencijalnih dobavljača utvrdili da isti osigurava:
- dovoljna jamstva za provedene odgovarajuće tehničke i organizacijske mjere zaštite osobnih podataka,
- striktno slijeđenje svih pisanih uputa koje mu dostavimo u vezi obrade osobnih podataka koje provodi u naše ime,
- bespogovorno sklapanje ugovora o obradi osobnih podataka između voditelja i izvršitelja obrade kojim određujemo da:
- može postupati s osobnim podacima samo onako kako mu mi dozvolimo i pisanim putem naložimo,
- mora osigurati trajnu povjerljivost svojih zaposlenika koji sudjeluju u obradama osobnih podataka koje smo im dali na obradu,
- mora osigurati sve prikladne mjere sigurnosti i zaštite osobnih podataka s obzirom na prethodno utvrđene rizike, uključujući trajnu povjerljivosti, integritet, dostupnost i otpornost sustava i pružanih usluga i mogućnost osiguranja kontinuiteta obrade i nakon eventualnog sigurnosnog incidenta,
- mora omogućiti naše redovito testiranje i provjeru implementiranih mjera za osiguranje sigurnosti obrada osobnih podataka i poštivanja naših pisanih uputa,
- ne smije angažirati svoje podugovaratelje za obradu osobnih podataka bez našeg znanja i bez prethodnog osiguranja njihove dokazane usklađenosti s GDPR obvezama,
- mora sklopiti ugovor o obradi i zaštiti osobnih podataka kojim svom podugovaratelju u cijelosti prenosi sve obveze koje smo mu mi nametnuli kroz naš ugovor,
- nam mora dati svu podršku u našem usklađivanju s GDPR obvezama, posebice ako se radi o našoj obvezi provođenja postupka procjene učinka na zaštitu podataka,
- nam mora u najkraćem roku bez odlaganja javiti svaku sumnju ili saznanje o mogućoj povredi osobnih podataka zajedno s detaljima o istoj,
- ne smije, bez naše pisane upute, zadržavati osobne podatke koje smo mu dali na obradu i da mora izbrisati vlastite evidencije i eventualne kopije.
Kako bismo uopće bili u mogućnosti učinkovito definirati ovakve ugovorne odnose s angažiranim izvršiteljima obrade osobnih podataka, moramo prije svega u “svom dvorištu” izvršiti predradnje:
- moramo prepoznati naše obrade osobnih podataka: identificirati koje osobne podatke kojih kategorija osoba i u koje svrhe te na koji rok želimo ili moramo dati na uvid, pohranu ili svaku drugu vrstu obrade vanjskom izvršitelju, koji će ih u naše ime obrađivati,
- izvršiti sve potrebne procjene i dokazivanje jesu li naši vanjski izvršitelji ili kandidati za vanjske izvršitelje obrade spremni ispuniti sve zahtjeve iz GDPR okvira, štoviše, ako nemamo takva jamstva ne smijemo ih ni angažirati,
- jasno detektirati hoće li naši angažirani vanjski izvršitelji podugovoriti treće strane za svrhe obrade osobnih podataka za koje mi odgovaramo,
- imati puna jamstva da naši vanjski izvršitelji imaju implementirane i testirane procese i procedure za pravovremeno otkrivanje povreda osobnih podataka, uklanjanje negativnih posljedica ako je moguće i naše promptno izvješćivanje o svim činjenicama povrede osobnih podataka koje smo im dali na obradu i na povjerenje.
Praktična preporuka s naše strane je da svim poslovnim subjektima koji bi željeli postati naši poslovni partneri u svojstvu izvršitelja obrade osobnih podataka dostavimo prijedlog ugovora o obradi osobnih podataka sa svim stavkama iz prethodnog dijela teksta i temeljem njihove povratne reakcije lako ćemo prepoznati one koji su spremni na zadane izazove.
Tek nakon ispunjenja ovih radnji možemo sklapati ugovore o poslovnoj suradnji s njima.
