Zaštita ličnih podataka u firmi – odakle uopšte početi?
„Moramo uskladiti firmu sa novim Zakonom o zaštiti ličnih podataka. Šta nam zapravo treba?“
Ovo je pitanje koje u posljednje vrijeme sve češće dobijam od direktora. Vrlo često nakon njega slijedi i drugo: „Možete li nam samo pripremiti dokumente?“
Možemo pripremiti dokumente, ali to nije prvo što radimo.
Prije nego što uopšte počnemo razmišljati o pravilnicima, odlukama i evidencijama, moramo razumjeti kako firma posluje i sa kojim ličnim podacima svakodnevno dolazi u kontakt. Dvije kompanije sa istim brojem zaposlenih mogu imati potpuno različite načine obrade podataka i zbog toga im neće trebati potpuno ista dokumentacija.
Zato svaki novi projekat usklađivanja počinjemo onim što interno zovemo prvim „češljanjem“ poslovanja.
Zaštita ličnih podataka u firmi počinje pregledom podataka
Kada pregledamo zaštitu ličnih podataka u firmi, počinjemo od djelatnosti kompanije, a zatim prolazimo kroz različite dijelove poslovanja u kojima se pojavljuju lični podaci.
Jedan od prvih su zaposleni.
Provjeravamo koje podatke poslodavac prikuplja prilikom zasnivanja radnog odnosa, šta se nalazi u personalnim dosjeima, ko tim dokumentima može pristupiti i koliko dugo se pojedini podaci čuvaju.
Posebno pitanje su kandidati za posao.
Jedna od stvari koje vrlo često pronađemo kod kompanija koje ranije nisu ozbiljnije uređivale zaštitu ličnih podataka jesu stare biografije kandidata. Konkurs je završen prije godinu ili dvije, radnik je zaposlen, ali CV-jevi svih ostalih kandidata još uvijek se nalaze u e-mailu, folderu ili nekoj internoj bazi.
CV kandidata ne treba jednostavno čuvati neograničeno zato što bi vam kandidat možda nekada mogao zatrebati. Nakon završetka postupka zapošljavanja potrebno je urediti šta se sa tim podacima dalje dešava, uključujući situacije kada kompanija želi zadržati podatke kandidata radi eventualnog budućeg kontakta.
Sličnu promjenu vidimo i kod personalnih dosjea. Ranije je praksa često bila: što više dokumentacije imamo o radniku, to bolje. Kod zaštite ličnih podataka logika je upravo suprotna. Treba utvrditi šta je zaista potrebno prikupiti i čuvati, a šta nije potrebno zadržavati samo zato što je radnik dokument jednom donio poslodavcu.
Onda izlazimo iz kadrovske službe
Lični podaci nisu samo podaci zaposlenih.
Zato dalje gledamo šta kompanija prikuplja od svojih kupaca ili klijenata, na koji način ih kontaktira, koje podatke čuva i kome ih eventualno prosljeđuje.
Poseban dio pregleda danas je gotovo uvijek web stranica.
Da li postoji kontakt forma? Newsletter? Webshop? Korisnički račun? Koji kolačići se koriste? Postoje li Google Analytics, Meta Pixel ili drugi analitički i marketinški alati? Gdje se nalaze serveri na kojima se podaci čuvaju i da li vanjske kompanije imaju pristup tim podacima?
Direktor ne mora znati tehnički odgovor na svako od ovih pitanja. Za pojedine odgovore uključujemo IT osobu ili kompaniju koja održava web stranicu. Nama je u tom trenutku važno da utvrdimo gdje podaci nastaju, gdje odlaze i ko im može pristupiti.
Tek tada počinjemo dobijati stvarnu sliku obrade ličnih podataka u kompaniji.
Vanjski saradnici su mjesto na kojem često pronađemo problem
Ovo je dio koji se veoma lako previdi.
Kompanija ima eksterno računovodstvo kojem redovno dostavlja podatke zaposlenih. IT kompanija ima pristup sistemima. Marketinška agencija obrađuje podatke prikupljene preko web stranice. Firma za fizičku zaštitu možda ima pristup snimcima videonadzora.
Zato provjeravamo ko od vanjskih saradnika dolazi u kontakt sa ličnim podacima i kako je taj odnos uređen.
Jedno od prvih pitanja jeste postoji li, kada je to potrebno s obzirom na uloge strana, odgovarajući ugovor kojim je uređena obrada ličnih podataka.
Upravo tu vrlo često pronađemo propust. Poslovna saradnja postoji godinama, osnovni ugovor je uredno potpisan, fakture se redovno plaćaju, ali niko nikada nije posebno razmatrao šta se dešava sa ličnim podacima koje jedna kompanija daje drugoj.
Tek nakon toga počinjemo pripremati dokumentaciju
Zbog toga ne vjerujem u pristup u kojem se kompaniji jednostavno pošalje isti paket dokumenata koji je prethodno dobilo još deset drugih firmi.
Nakon prvog pregleda poslovanja pripremamo detaljna pitanja prilagođena konkretnoj kompaniji. Zavisno od djelatnosti i načina poslovanja, klijent za pripremu dokumentacije dobije oko 50 pitanja.
Tek iz tih odgovora možemo vidjeti kakva je dokumentacija toj kompaniji stvarno potrebna i šta u njoj treba urediti.
Cilj nije imati folder pod nazivom „Zaštita ličnih podataka“.
Cilj je da dokumentacija opisuje ono što se u kompaniji zaista događa.
Dokumenti sami po sebi nisu dovoljni
Ovo je drugi dio usklađivanja koji se lako zanemari.
Možete imati odlično pripremljene procedure, ali ako osoba koja prima CV kandidata ne zna šta sa njim treba uraditi nakon konkursa, ako radnik ne zna kome smije poslati određene podatke ili ako osoba zadužena za zahtjeve građana ne zna kako treba postupiti kada neko zatraži pristup svojim podacima, dokumenti vam neće mnogo pomoći.
Zato nakon pripreme dokumentacije slijedi obuka zaposlenih.
Radnici moraju razumjeti šta se od njih očekuje i kako pravila koja su donesena treba primijeniti u svakodnevnom radu. Tek tada dokumentacija prestaje biti nešto što postoji samo u registratoru i postaje dio stvarnog poslovnog procesa.
Zašto ovo pitanje više nije dobro ostavljati za kasnije?
Novi Zakon o zaštiti ličnih podataka donio je i značajno ozbiljniji sistem sankcija. Za najteže povrede propisane su kazne koje mogu doseći 40 miliona KM ili 4% ukupnog svjetskog godišnjeg prometa iz prethodne finansijske godine, zavisno od toga koji je iznos veći. To, naravno, ne znači da će svaka greška automatski rezultirati takvom kaznom. Prilikom odlučivanja o sankciji uzimaju se u obzir okolnosti konkretne povrede, njena težina, trajanje, broj pogođenih osoba i drugi relevantni faktori.
Međutim, visina mogućih kazni dovoljno govori o tome koliko je zaštita ličnih podataka postala ozbiljan dio poslovne odgovornosti kompanije.
Zato, kada me direktor pita odakle treba početi, moj odgovor nije: „Od pravilnika.“
Počnite od svog poslovanja.
Utvrdite koje lične podatke imate, zašto ih imate, gdje se nalaze, koliko dugo ih čuvate, ko im može pristupiti i kome ih dalje dostavljate. Tek kada imate odgovore na ta pitanja, ima smisla početi govoriti o dokumentima.
Ako niste sigurni koliko je vaše trenutno poslovanje usklađeno sa pravilima zaštite ličnih podataka, Norma Consulting može vam pomoći da pregledate postojeće stanje, utvrdite šta je potrebno urediti i uspostavite dokumentaciju i procedure prilagođene načinu na koji vaša kompanija zaista posluje.