GDPR analüüs ja nõustamine
Euroopa Liidus uuendati isikuandmete kaitse üldmäärust (ingl. k. lühend GDPR). Ajakirjanduse „kaasaabil“ tekkis 2018. a kevadel paljude organisatsioonide seas väiksemat sorti paanika, mis tõi kaasa postkastide ummistumise erinevate GDPRile viitavate kirjadega. Paljud määruse nõudeid tutvustavad koolitused tekitasid reeglina rohkem küsimusi kui vastuseid ja nii on paljud organisatsioonid mures.
Isikuandmete kaitse temaatika on igal juhul aktuaalne kõigi organisatsioonide jaoks. Lisaks GDPR-ile on olemas ka mitmeid teisi õigusakte, mille nõudeid tuleb järgida. Kuna määruse ja teiste seonduvate õigusaktide sõnastused jätavad piisavalt tõlgendamisruumi, siis on igal organisatsioonil oluline saada aru, kui suures ulatuses nõuded neile kohalduvad ja mida on mõistlik ette võtta. Vastasel korral on oht halduskoormust märkimisväärselt suurendada ning tehtavad pingutused ei pruugi tarvilikud olla ega väärtust lisada.
Tüüpiliselt jagunevad GDPR-projektid kaheks osaks:
1. GDPR-analüüsi ja selle järel
2. GDPR-nõustamisprojekti läbiviimiseks
Eesmärk
Analüüsi eesmärgiks on selgitada välja, kui suures osas on andmekaitsega seonduvatest nõuded praeguse töökorralduse puhul täidetud ja mille osas on vaja veel tööd teha, koostada kokkuvõte ja pakkuda välja asjakohane tegevuskava.
Nõustamise eesmärgiks on aidata kõrvaldada tuvastatud mittevastavused nii õigusaktide kui vajadusel ka organisatsioonisiseste nõuetega ja viia ellu arendusvõimalused.
Projekti sisu ja tegevused
Analüüsi käigus viiakse tüüpiliselt läbi järgmised tegevused:
- Vaadatakse läbi organisatsiooni sisemine töökorraldus, sh isikuandmete kaitsega seonduvad sisemised dokumendid, isikuandmete kogumise ja käsitlemise ning hävitamisega seonduv töökorraldus;
- Viiakse läbi analüütilised intervjuud ja süsteemide ülevaatus;
- Hinnatakse määruse jt õigusaktide nõuete kohaldumist sh, selgitatakse välja, kui suures osas on andmekaitsega seonduvatest nõuded praeguse töökorralduse puhul täidetud ja mille osas on vaja veel tööd teha;
- Koostatakse asjakohane kokkuvõte koos soovitustega töökorralduse parendamiseks ja vajalike meetmete tarvituselevõtuks, et kõik kohalduvad nõuded saaksid täidetud;
- Tulemused arutatakse kliendiga läbi.
Nõustamisprotsessi käigus viiakse tüüpiliselt läbi järgmised tegevused:
- Aidatakse ellu viia kokkulepitud tegevuskava;
- Tegevused võivad sisaldada isikuandmete kogumise-käsitlemise kaardistuse läbiviimist ning mõju- ja riskihinnangut ning seonduvate meetmete kirjeldamist-rakendamist, sageli ka infoturbega seonduvate teemade käsitlemist;
- Protsesside ja reeglite korrastamisele järgneb uuendatud süsteemi tutvustamine töötajatele (vajadusel asjakohaste koolituste läbiviimine);
- Tegevuste sisu sõltub otseselt analüüsi käigus väljaselgitatust ja kokkulepitust (nt GDPRi nõuete täitmise kõrval on võimalik rakendada meetmeid ka sisemise töökorralduse tulemuslikkuse suurendamiseks vms).
Ajagraafik
GDPR-analüüs viiakse tavaliselt läbi 2-3 nädala jooksul. Nõustamisprojekti kestvus sõltub organisatsiooni suurusest ja olemasoleva töökorralduse tasemest. Tavaliselt on projekti kestuseks 3-6 kuud.