GDPR одитът

Защитата на личните данни често се възприема като съвкупност от политики, уведомления и договорни клаузи. Същественият въпрос обаче е дали тези документи отразяват действителната дейност на организацията и дали предвидените правила и мерки се прилагат на практика. Именно това проверява GDPR одитът.

Въпросите, на които ръководството трябва да може да отговори

За да управлява съответствието, ръководството трябва да разполага с актуална и надеждна информация за извършваното обработване. Тази информация не може да зависи единствено от паметта на отделен служител или да се съдържа само в папка с документи, несвързани с ежедневните процеси. Организацията следва да може последователно и въз основа на доказателства да отговори поне на следните въпроси:

• Какви категории лични данни се обработват и кои категории физически лица засягат?
• За какви конкретни цели се използват данните и на какво правно основание се извършва обработването?
• В кои информационни системи, облачни услуги, електронни пощи, устройства и физически архиви се съхраняват или използват данните?
• Кои служители и звена имат достъп и на кои доставчици, партньори или други получатели се предоставят данните?
• Предават ли се данни на трети държави или международни организации, включително чрез предоставяне на отдалечен достъп, и въз основа на какъв механизъм или гаранции?
• Колко дълго се съхраняват данните, кой следи спазването на сроковете и как се доказва тяхното изтриване или анонимизиране?
• Как организацията ще открие относимите лични данни и ще изпълни искане за достъп, коригиране, изтриване или упражняване на друго приложимо право?
• Как ще установи естеството и обхвата на евентуално нарушение на сигурността и ще изпълни приложимите задължения за документиране, оценка и уведомяване в съответните срокове?

Непълните или противоречиви отговори не означават автоматично нарушение, но са ясен сигнал за управленски риск. Без достоверна карта на обработването организацията трудно може да оцени законосъобразността, необходимостта, сроковете за съхранение, сигурността и рисковете за физическите лица.

Какво представлява GDPR одитът?

Работна дефиниция. За целите на настоящата статия GDPR одитът е систематична, документирана и основана на доказателства проверка, извършвана в предварително определен обхват и спрямо определени критерии. Чрез нея се оценява дали дейностите по обработване, вътрешните правила, договорните отношения и техническите и организационните мерки на организацията съответстват на приложимите изисквания за защита на личните данни, дали се прилагат на практика и дали постигат предвидения резултат.

Тази работна дефиниция обхваща три различни, но свързани измерения.

Първото е правното съответствие: определени ли са конкретни и законосъобразни цели; налице ли е подходящо правно основание, а когато е необходимо, условие за обработване на специални категории данни; предоставя ли се изискуемата информация на физическите лица; правилно ли са определени ролите на участващите страни; уредени ли са отношенията с обработващите и съвместните администратори; и налице ли са приложимите условия и гаранции при предаване на данни към трети държави или международни организации.

Второто е дизайнът на контролните механизми: приети ли са подходящи спрямо риска правила и процедури; разпределени ли са ясно отговорностите; осигурени ли са необходимите ресурси; и въведени ли са подходящи технически и организационни мерки за предотвратяване, установяване и ограничаване на нарушенията.

Третото е оперативната ефективност: прилагат ли се правилата и мерките последователно в ежедневната работа; може ли тяхното прилагане да бъде доказано чрез надеждни записи и други доказателства; откриват ли се своевременно отклоненията; и водят ли контролните механизми до предвидения резултат.

Поради това GDPR одитът не се изчерпва с прочит на политики и попълване на въпросници. В зависимост от обхвата и риска той може да включва интервюта, наблюдение и проследяване на процеси, демонстрации на информационни системи, проверка на настройки и права за достъп, извадково тестване на изпълнени искания, нарушения, изтривания или други приключени случаи и съпоставка между документираното и действителната практика.

Одитът може да обхване цялата организация, конкретно дружество от група, отделен процес, информационна система, проект или тематична област.

Какво GDPR одитът не е

• Не е сертификат за съответствие. Одитният доклад представя заключения за определен обхват, период или момент и въз основа на наличните доказателства. Той не представлява гаранция за пълно съответствие и не изключва възможността да възникне нарушение.
• Не е еднократно попълване на чеклист. Чеклистът е полезен за определяне на темите, които трябва да бъдат проверени, но сам по себе си не доказва нито действителното прилагане, нито ефективността на съответния контрол.
• Не е само IT проверка. Информационната сигурност е съществена част от одита, но защитата на личните данни включва още цели и правни основания, прозрачност, права на физическите лица, срокове за съхранение, договорни отношения, предаване на данни към трети държави и международни организации и разпределение на отговорностите.
• Не е задача единствено на Длъжностното лице по защита на данните (DPO). Когато е определено такова лице, то информира, съветва и наблюдава съответствието и свързаните с него одити. Отговорността за изпълнението и доказването на приложимите задължения обаче остава на администратора или обработващия лични данни и изисква участие на ръководството, лицата, отговорни за съответните процеси и съответните правни, технически, HR, търговски и оперативни звена.

Правната логика: отчетност, ефективност и доказване

GDPR не установява единен формат, задължителен обхват или универсална периодичност на т.нар. „GDPR одит“. Регламентът не задължава всяка организация да провежда или възлага пълен одит през точно определени интервали. Той обаче създава система от задължения за прилагане на подходящи мерки, наблюдение на съответствието, преразглеждане при необходимост и доказване, че изискванията се изпълняват на практика. Одитът е един от практическите механизми за организиране на независимо или вътрешно проверяване на тези дейности, но не замества конкретните оценки, регистри и процедури, изисквани от GDPR.

• Отчетност – член 5, параграф 2. Администраторът трябва не само да спазва принципите, но и да може да докаже това.
• Отговорност на администратора – член 24. Съобразно естеството, обхвата, контекста и целите на обработването и рисковете за правата и свободите на физическите лица администраторът трябва да прилага подходящи технически и организационни мерки. Тези мерки се преразглеждат и актуализират при необходимост.
• Защита на данните на етапа на проектирането и по подразбиране – член 25. Подходящите мерки и необходимите гаранции трябва да бъдат включени още при определянето на средствата за обработване и да се прилагат през целия му жизнен цикъл. По подразбиране следва да се обработват само личните данни, необходими за конкретната цел.
• Регистри на дейностите по обработване – член 30. Когато задължението е приложимо, регистрите на администратора и обработващия осигуряват структурирана информация за извършваното обработване и подпомагат неговото наблюдение и доказване. Те са важен източник при одита, но не са достатъчни за установяване на действителната практика.
• Сигурност на обработването – член 32. Администраторът и обработващият трябва да прилагат мерки, осигуряващи подходящо на риска ниво на сигурност. Когато е подходящо, това включва процес за редовно изпитване, преценяване и оценяване на ефективността на техническите и организационните мерки.
• Оценка на въздействието върху защитата на данните (DPIA) – член 35. Когато даден вид обработване вероятно ще породи висок риск за правата и свободите на физическите лица, администраторът трябва да извърши оценка на въздействието преди започването на обработването. Одитът може да провери дали необходимостта от DPIA е разпозната, дали оценката е извършена правилно и дали предвидените мерки се прилагат.
• Длъжностно лице по защита на данните (DPO) – член 39. Когато е определено такова лице, то информира и съветва администратора или обработващия, наблюдава съответствието и свързаните с него одити и обучения и при поискване, предоставя съвети относно DPIA и наблюдава нейното извършване. Отговорността за съответствието обаче остава на администратора или обработващия.
• Одити на обработващи – член 28. Договорът с обработващия трябва да предвижда той да предоставя на администратора необходимата информация за доказване на изпълнението на задълженията по член 28 и да допуска и подпомага одити, включително проверки, извършвани от администратора или от упълномощен от него одитор.

Картата на обработването на лични данни: фактическата основа на одита

Одитът не трябва да се ограничава до преглед на политиките и останалата формална документация. Необходимо е те да бъдат съпоставени с действителното обработване през целия жизнен цикъл на данните – от тяхното събиране или получаване до използването, предоставянето, съхранението и изтриването им.

За всяка дейност следва да се установят ролята на организацията, категориите засегнати лица и лични данни, източниците, целите, правните основания, извършваните операции, използваните системи и архиви, отговорните звена, получателите, външните доставчици, достъпите, сроковете за съхранение и евентуалното предаване на данни към трети държави или международни организации. Тази информация трябва да може да бъде съпоставена с уведомленията за поверителност, договорите, оценките на въздействието, правилата за съхранение и изтриване и процедурите за упражняване на права и реакция при нарушения на сигурността.

Картата на обработването на данни е практически инструмент, чрез който се изгражда тази цялостна картина. Тя може да бъде поддържана като таблица, схема на потоците или специализирана информационна система. GDPR не изисква отделен документ с такова наименование, но картографирането подпомага изпълнението и доказването на приложимите задължения.

Регистърът на дейностите по обработване по член 30 е основен елемент на тази картина, но не е достатъчен за всички цели на одита. Регистърът и картата трябва да отразяват действителното, а не само предвиденото във вътрешните правила обработване. Затова документалният преглед обичайно се допълва с интервюта, проследяване на конкретни процеси, демонстрации на системи и извадкова проверка на настройки, достъпи, договори или други доказателства. Използваните способи и тяхната задълбоченост следва да бъдат съобразени с обхвата и риска на одита.

Пример от практиката. Дружеството е описало HR системата и payroll доставчика, но при интервю се установява, че медицински документи се получават по електронна поща, пазят се в лични папки и се препращат към външен консултант. Политиката може да изглежда правилна, но реалният поток създава различни рискове, получатели и срокове за съхранение.

Какво трябва да съдържа картата

• категории субекти, данни и специални категории данни;
• източник, цел и правно основание за всяка дейност;
• системи, файлове, физически архиви и отговорни звена;
• получатели, обработващи, подизпълнители и съвместни администратори;
• местоположение на данните и международни трансфери;
• срок или критерии за съхранение и механизъм за изтриване;
• роли и права за достъп;
• връзки към уведомления, договори, DPIA и приложими процедури.

Каква е практическата полза за бизнеса?

Ползата от GDPR одита не се изчерпва с намаляването на регулаторния риск. Добре проведената проверка дава на ръководството по-надеждна представа за процеси, зависимости, информационни активи и слабости, които невинаги се виждат в обичайното финансово или оперативно отчитане.

• По-информирани управленски решения. Одитът показва къде и защо се обработват специални категории лични данни, данни за присъди и нарушения и други данни с повишен риск, кои процеси зависят от външни доставчици и за кои дейности или рискове не са определени ясни отговорности.
• Ограничаване на ненужното обработване. Могат да бъдат установени дублирани масиви, остарели архиви, ненужни копия и данни, съхранявани без ясно определена цел или срок. Това подпомага прилагането на принципите за свеждане на данните до минимум и ограничение на съхранението.
• По-последователно изпълнение на правата на физическите лица. Когато системите, местоположението на данните, получателите и отговорните лица са установени, организацията може по-надеждно да приема, проверява и изпълнява искания за достъп, коригиране, изтриване, ограничаване, преносимост и възражение в приложимите срокове. Одитът може да установи и случаи, в които искането не е било изпълнено изцяло или са необходими допълнителни организационни и технически мерки.
• По-добър контрол върху обработващите и останалите доставчици. Проверката съпоставя договорните условия с действително предоставяните услуги, използваните подизпълнители, местоположението и предаването на данните, мерките за сигурност и начина за наблюдение на изпълнението. При отношения с обработващи се проверяват и задълженията за предоставяне на информация и съдействие при одити и проверки.
• По-ранно и по-ефективно управление на промените. Когато защитата на личните данни е включена още при проектирането или същественото изменение на CRM система, AI решение, облачна услуга или маркетингова технология, проблемите могат да бъдат установени преди внедряването им. Това обикновено намалява необходимостта от по-скъпи последващи промени и подпомага прилагането на защитата на данните на етапа на проектирането и по подразбиране.
• По-добра подготовка за регулаторни проверки и сделки. Актуалните регистри, ясно определените отговорности и проследимите доказателства улесняват отговорите при проверки от надзорни органи, договорни въпросници, обществени поръчки, инвестиционни процедури, сливания и придобивания.
• Системно учене от инциденти и установени слабости. Проверката помага да се установят причините за даден проблем, засегнатите сходни процеси и необходимостта от по-широки коригиращи мерки. Последващият контрол показва дали тези мерки са въведени и дали действително намаляват установения риск.

Одитът не премахва риска и не гарантира пълно съответствие. Неговата практическа стойност е, че прави обработването и свързаните с него рискове по-видими, свързва установените слабости с конкретни отговорни лица и позволява ресурсите да бъдат насочени приоритетно към областите с най-съществено възможно въздействие върху правата и свободите на физическите лица. Наред с това той подпомага организацията да докаже, че мерките ѝ са подходящи, прилагат се на практика и се преразглеждат при необходимост съгласно принципа за отчетност.

Какви рискове възникват, когато организацията няма достатъчна видимост върху действителното обработване?

Рискове за физическите лица

Незаконосъобразното, непрозрачното, прекомерното или недостатъчно защитеното обработване може да доведе до загуба на контрол върху личните данни, измама или кражба на самоличност, дискриминация, ограничаване на права, финансови загуби, вреди за личната или професионалната репутация и други физически, материални или нематериални вреди. При прилагането на основан на риска подход по GDPR водещо е възможното въздействие върху правата и свободите на физическите лица, а не единствено вероятността организацията да понесе санкция или финансова загуба.

Регулаторни и правни рискове

Жалба, нарушение или секторна проверка може да доведе до искане за доказателства, достъп до документи и системи, задължителни коригиращи мерки, ограничаване или прекратяване на обработването, изтриване на данни и административни санкции. Лицата, претърпели материални или нематериални вреди вследствие на нарушение на GDPR, могат да претендират и обезщетение. За критичен процес разпореждането да бъде преустановено определено обработване може да има по-тежко оперативно отражение от самата имуществена санкция.

Рискове за информационната сигурност

Неизвестните системи и масиви почти неизбежно водят до неизвестни достъпи, остарели профили, неконтролирани копия, липса на логове, непроверени доставчици и съхранение без краен срок. При инцидент организацията може да не е в състояние да установи какви данни са засегнати, кои лица трябва да бъдат уведомени и дали е налице задължение за съобщаване на надзорния орган.

Оперативни и финансови рискове

Липсата на карта и отговорни ръководители на процесите затруднява намирането на данни, води до различна практика между отдели и създава зависимост от отделни служители. Реакцията след инцидент обикновено е по-скъпа: налага спешна инвентаризация, правен анализ, технически промени, комуникации и евентуално преработване на системи под натиск.

Търговски и репутационни рискове

Клиенти, партньори и инвеститори все по-често изискват конкретна и доказуема информация за защитата на личните данни, информационната сигурност, използваните доставчици и предаването на данни извън Европейското икономическо пространство. Липсата на ясни и последователни отговори може да забави или осуети сключването на договор, участието в обществена поръчка, инвестиция или придобиване. Ако след публичен инцидент се установи, че организацията не спазва собствените си политики или предварително заявените практики, вредата за доверието може да бъде по-сериозна и трайна от въздействието на самия технически инцидент.

Ключов риск. Установеното несъответствие може да бъде оценено и коригирано чрез конкретен план. По-сериозен риск възниква, когато организацията не е идентифицирала дадена дейност по обработване и поради това не контролира нейната цел, правно основание, достъпи, получатели, срокове за съхранение и мерки за сигурност.

Кога е подходящо да се проведе одит?

GDPR не определя универсална периодичност за извършването на цялостен одит, която да е приложима към всички организации. Честотата, обхватът и задълбочеността на проверките следва да бъдат определени и периодично преразглеждани според естеството и мащаба на дейността, категориите и обема на обработваните данни, броя и категориите на засегнатите лица, използваните технологии, зависимостта от доставчици, предаването на данни към трети държави, настъпилите инциденти и резултатите от предходни проверки.

Практичният подход съчетава периодичен преглед на цялостната рамка за защита на личните данни с по-чести тематични проверки на високорисковите процеси и контроли. Необходимостта от цялостен или тематичен одит следва да бъде разгледана по-специално:

• при първоначално изграждане или основно обновяване на програмата за съответствие;
• преди или във връзка с въвеждането на нова или съществено променена информационна система, услуга или технология, която включва обработване на лични данни – например AI, профилиране, автоматизирано вземане на решения, систематично наблюдение или мащабна аналитична дейност;
• при миграция към облачна среда или съществена промяна на ключов доставчик или обработващ;
• при сливане, придобиване, преструктуриране или интегриране на информационни системи и бази данни;
• при започване на предаване на лични данни към нова трета държава или международна организация или при съществена промяна във веригата от обработващи и подизпълнители;
• след сериозно нарушение на сигурността на личните данни, поредица от основателни жалби или повтарящи се затруднения при изпълнението на искания на субекти на данни;
• след нормативна, технологична или организационна промяна, която може да засегне законосъобразността на обработването или ефективността на въведените мерки;
• когато предходна проверка е установила съществени слабости или е необходимо да се потвърди ефективността на предприетите коригиращи действия;
• когато ръководството не разполага с актуална, проверена и достатъчно надеждна информация за действителното обработване, съществуващите рискове и прилаганите мерки.

След нарушение на сигурността одитът или тематичната проверка се извършват наред с, а не вместо незабавните действия за ограничаване и оценяване на инцидента и изпълнението на приложимите задължения за уведомяване. Наличието на някое от посочените обстоятелства не налага непременно одит на цялата организация – обхватът може да бъде ограничен до засегнатия процес, система, доставчик или контрол.

Кой носи отговорност и кой участва?

Отговорността за спазването на GDPR е на администратора или обработващия – всеки в рамките на приложимите за него задължения. Когато една организация действа като администратор за едни дейности и като обработващ за други, отговорностите трябва да бъдат определени поотделно.

Ръководството трябва да осигури необходимите управленски решения, правомощия, ресурси и приоритет, както и да проследява изпълнението на коригиращите мерки. Ръководителите и отговорниците за бизнес процесите следва да осигуряват фактическата точност на информацията, да прилагат мерките в своите звена и да представят доказателства за тяхното изпълнение.

DPO информира и съветва организацията и служителите, наблюдава съответствието и може да подпомага одитната програма. За да изпълнява тези функции, той трябва да бъде своевременно включван във въпросите, свързани със защитата на личните данни, да разполага с необходимите ресурси и достъп до висшето ръководство и да действа независимо. DPO не трябва да получава указания как да изпълнява задачите си или да бъде превръщан в единствен отговорник за оперативните решения и коригиращите мерки. Конфликт на интереси може да възникне, ако той определя целите и средствата на обработването или впоследствие трябва да оценява независимо собствените си решения и действия.

Основни роли при одита

• Възложител на одита – обикновено представител на висшето ръководство или компетентен управленски орган, който одобрява целта и обхвата, осигурява необходимите ресурси и получава резултатите.
• Ръководител и членове на одитния екип – вътрешни одитори, служители с подходяща експертиза или независими външни специалисти, които планират проверката, събират и оценяват доказателствата и формулират констатациите. Те не трябва да оценяват дейности, за които носят пряка оперативна отговорност.
• DPO, правен екип и екип по нормативно съответствие – предоставят специализирана информация и становища и могат да подпомагат проверката, доколкото това не засяга нейната обективност. Когато се оценява дейността на DPO или област, за която той носи оперативна отговорност, проверката следва да се извърши от друго независимо лице.
• IT и информационна сигурност – съдействат при проверката на системите, достъпа, логовете, техническите настройки, съхранението и мерките за сигурност.
• Отговорници за процеси, системи и доставчици – представят информация и доказателства за действителното обработване и отговарят за изпълнението на одобрените коригиращи мерки.
• Представители на проверяваните звена – например HR, маркетинг, продажби и обслужване на клиенти, които участват в интервюта, демонстрират практическото изпълнение на процесите и проверяват фактическата точност на констатациите.

Необходимата степен на независимост зависи от целта, обхвата и риска на проверката. Самооценката е подходяща за първоначално установяване на пропуски и за вътрешно проследяване на предприетите мерки. Когато се проверява високорискова дейност, съществува възможен конфликт на интереси, оценява се работата на DPO или е необходимо независимо заключение пред ръководството, клиент, инвеститор или надзорен орган, е целесъобразно да бъде включен вътрешният одит или независим външен експерт.

Как протича един GDPR одит?

Добрата одитна методика е основана на риска и е добре документирана. От одитния доклад трябва да става ясно не само какви проблеми са установени, но и защо са избрани конкретният обхват, проверените случаи и използваните доказателства.

1. Възлагане и определяне на обхвата. Определят се целта на одита, приложимите правни и вътрешни изисквания, проверяваните дружества, звена, процеси и информационни системи, периодът на проверката, одитният екип, необходимият достъп до информация и очакваният краен резултат.
2. Предварителна оценка на риска. Анализират се естеството и обемът на обработваните данни, наличието на специални категории лични данни и данни за присъди и нарушения, броят и категориите на засегнатите лица, постъпилите жалби и искания, нарушенията на сигурността на личните данни, използваните технологии, предаването на данни към трети държави или международни организации и резултатите от предходни проверки.
3. Картографиране на действителното обработване. Установява се как личните данни фактически се събират, използват, съхраняват, споделят, предават и изтриват. Установеното се съпоставя с регистрите по член 30 GDPR, информацията, предоставяна на субектите на данни, договорите с обработващи, правилата за съхранение и извършените оценки на въздействието върху защитата на данните.
4. Преглед на документите. Анализират се политиките и процедурите, уведомленията за поверителност, договорите, оценките на въздействието и риска, регистрите на нарушенията и исканията на субекти на данни, документацията за проведените обучения, управленските отчети и решенията на компетентните органи.
5. Интервюта и наблюдение на процесите. Провеждат се интервюта със служители и отговорни лица и се наблюдава работата на процесите и системите, за да се установи как обработването се извършва на практика, а не само как е описано в документацията.
6. Проверка на избрани реални случаи. Когато не е възможно или необходимо да се провери всяка операция, се избират представителни и високорискови случаи – например изпълнени искания на субекти на данни, закрити потребителски профили, изтрити записи, нарушения на сигурността, проведени обучения, договори с обработващи или оценки на доставчици.
7. Формулиране и приоритизиране на констатациите. Всяка констатация се свързва с конкретно правно или вътрешно изискване, събраните доказателства, причината за несъответствието, риска за правата и свободите на физическите лица и отражението върху организацията. Посочват се препоръчаната мярка, нейният приоритет и необходимостта от незабавно действие, когато е приложимо.
8. План за корекции и последваща проверка. За всяка мярка се определят отговорно лице, срок, необходим ресурс и доказателства за изпълнение. След изтичането на срока се проверява не само дали мярката формално е въведена, но и дали действително работи и намалява установения риск. Констатацията се закрива само при наличие на достатъчно доказателства за ефективността на мярката.

Ограничение на одита. Всеки одит е моментна снимка в определен обхват. Ако дадена система, дружество или период е извън обхвата, докладът не може да се тълкува като заключение за него.

Политиката не доказва, че контролът работи

Една от най-важните функции на одита е да сравни формално приетите правила с тяхното реално прилагане. Наличието на политика, процедура или регистър доказва единствено, че съответният документ е създаден. За да се установи дали контролът е ефективен, са необходими доказателства за неговото практическо изпълнение.

• Политиката изисква личните данни да бъдат изтрити след три години, но приложението продължава да ги съхранява след изтичането на този срок и не е въведен автоматизиран или ръчен механизъм за тяхното изтриване или преглед.
• Процедурата изисква прекратяване на достъпа при напускане, но проверената извадка от потребителски профили показва, че профили на бивши служители остават активни.
• Документацията посочва само основния обработващ, но при предоставянето на услугата фактически се използват допълнителни облачни подизпълнители, а свързаните с тях достъп или предаване на данни към трети държави не са отразени и оценени.
• Уведомлението за поверителност описва първоначалната услуга, но не отразява нова аналитична, базирана на AI или маркетингова функционалност, която включва ново или съществено променено обработване на лични данни.
• Регистрите показват, че служителите са преминали обучение, но при интервюта или практически тестове те не могат да разпознаят искане за упражняване на права или нарушение на сигурността на личните данни и не знаят как да ги докладват.

Затова одиторът следва да търси комбинация от документи, интервюта, системни настройки, договори, екранни снимки, логове, отчети, кореспонденция и т.н. Доказателствата трябва да са достатъчни за констатацията, но събирането им също трябва да спазва принципите на минимизиране и сигурност.

Как трябва да се управляват личните данни след одита?

Докладът не е крайната цел. Ако констатациите останат в презентация или таблица, без за изпълнението им да бъдат определени отговорно лице, срок и необходим бюджет, организацията е получила информация за проблемите, но не е намалила произтичащия от тях риск. Устойчивото управление превръща резултатите от одита в постоянен цикъл на контрол.

• Актуален регистър и карта на данните. Промените в системите, целите на обработването, доставчиците и сроковете за съхранение трябва своевременно да се отразяват в документацията, а не да се изчаква следващият цялостен одит.
• Отговорници за процесите. За всяка ключова дейност по обработване трябва да бъде определен бизнес отговорник, който да следи за фактическата точност на информацията и за практическото прилагане на предвидените мерки.
• Контролирани политики и процедури. Всеки документ трябва да има версия, отговорник, срок за преглед и връзка с конкретните действия, чрез които се прилага на практика.
• Защита на данните на етапа на проектирането и управление на промените. Новите системи, функционалности, процеси и доставчици трябва да преминават през предварителна оценка, а когато е необходимо – през DPIA и съответното вътрешно одобрение преди въвеждането им.
• Управление на целия жизнен цикъл на доставчиците. Контролът не приключва с подписването на договора. Следва да се наблюдават промените в услугата, използваните подизпълнители, международните трансфери, възникналите инциденти и действията при прекратяване на отношенията.
• Срокове за съхранение, изтриване и достъп. Правилата трябва да бъдат технически приложени, наблюдавани и периодично тествани, така че данните да не се съхраняват ненужно и достъпът до тях да остава ограничен до оправомощените лица.
• Права на субектите и нарушения на сигурността. Трябва да съществуват ясни канали за подаване и обработване на искания от субектите на данни и за вътрешно докладване на нарушения на сигурността. Необходими са определени отговорни лица, срокове за реакция, съответни регистри и периодично тествани процедури.
• Обучение според ролята. Общото обучение трябва да бъде допълнено със специализирано обучение и практически инструкции за служителите в HR, IT, маркетинга, обслужването на клиенти и ръководните звена.
• Управленско отчитане. Ръководството трябва периодично да получава информация за просрочените коригиращи действия, исканията на субекти на данни, нарушенията на сигурността, обученията, доставчиците, извършените DPIA и планираните високорискови промени.
• Повторно тестване. Приемането на нова или изменена политика не доказва само по себе си, че проблемът е отстранен. Следва да се провери дали процесите и системите действително са променени, дали мерките са ефективни и дали постигнатият резултат се запазва във времето.

Така съответствието се превръща от еднократен проект в постоянен управленски цикъл: идентифициране на промените и рисковете, оценяване, предприемане на мерки, доказване на тяхното изпълнение и периодично преразглеждане. Одитът е периодичната проверка дали този цикъл продължава да отразява реалните процеси и рискове на организацията.

Чести заблуди

• „Имаме политики, следователно сме в съответствие.“ Наличието на документи само по себе си не доказва съответствие. Трябва да се провери дали политиките са актуални, познати на служителите, прилагат се на практика и предвидените в тях мерки са ефективни.
• „IT отделът отговаря за GDPR.“ IT отделът управлява съществени технически мерки, но целите на обработването, правните основания, прозрачността, упражняването на права и сроковете за съхранение изискват съвместни бизнес, правни, организационни и технически решения.
• „DPO носи цялата отговорност.“ DPO информира, съветва и наблюдава съответствието, но не взема вместо организацията решенията относно целите и средствата на обработването. Отговорността за съответствието остава на администратора или обработващия, а ръководството трябва да осигури необходимите правомощия и ресурси.
• „След като сме възложили обработването на доставчик, той носи отговорността.“ Възлагането не освобождава администратора от задължението да избере подходящ обработващ, да уреди отношенията с договор и да контролира изпълнението. Обработващият също има собствени задължения по GDPR.
• „Малките дружества не са засегнати.“ Размерът на организацията влияе върху мащаба и сложността на подходящите мерки, но не премахва основните принципи и задължения.
• „Веднъж направен, одитът важи безсрочно.“ Системите, хората, доставчиците и технологиите се променят; констатацията е валидна за конкретен момент и обхват.
• „Одитът гарантира, че няма да има нарушение.“ Одитът намалява неизвестността и подобрява контрола, но не може да елиминира всички човешки, технически и външни рискове.
• „Достатъчно е да попълним чеклист.“ Чеклистът подпомага систематичния преглед, но не замества проверката на доказателства, интервютата, извадковото тестване и професионалната оценка на действителната ефективност на мерките.

Заключение: одитът като инструмент за управление

GDPR одитът не е упражнение за намиране на виновни и не е колекция от шаблони. Неговата стойност е да покаже как личните данни действително преминават през организацията, къде правилата не съответстват на практиката и кои слабости могат да причинят най-значима вреда.

За бизнеса това е едновременно инструмент за съответствие, управление на риска и по-добро корпоративно управление. Най-разумната първа стъпка не е приемането на още една обща политика, а съставянето на достоверна карта на обработването, определянето на лицата и звената, отговорни за съответните процеси, и проверката на един критичен процес от начало до край. След това одитният цикъл трябва да продължи с конкретен план, управленски контрол и повторно тестване.

Накратко. Добрият GDPR одит не обещава, че рискът ще изчезне. Той дава на организацията знанието, доказателствата и управленския механизъм, необходими рискът да бъде разпознат и контролиран навреме.