Управління із захисту персональних даних

Що це означає

Управління із захисту персональних даних Словацької Республіки - незалежний наглядовий орган, що стежить за дотриманням GDPR і словацького закону про захист персональних даних. Воно входить до європейської мережі наглядових органів і в транскордонних справах співпрацює з органами інших країн ЄС у межах Європейської ради із захисту даних.

Управління приймає й розглядає скарги та заяви суб'єктів даних, проводить перевірки в контролерів і обробників, приймає повідомлення про порушення захисту персональних даних, видає методичні рекомендації й позиції, призначає заходи з виправлення та штрафи. Штрафи за GDPR можуть сягати десятків мільйонів євро або відсотків світового обороту.

Управлінню повідомляють і контактні дані відповідальної особи, якщо її призначено у фірмі обов'язково чи добровільно. За обробки з високим ризиком, який не вдається достатньо знизити навіть після оцінки впливу, контролер має заздалегідь проконсультуватися з управлінням.

Як це працює на практиці

Для фірми найчастіший контакт з управлінням - повідомлення про порушення захисту даних, наприклад витік бази, надсилання даних не тому отримувачу чи втрату ноутбука. Якщо порушення ймовірно створює ризик для прав людей, контролер має повідомити про нього протягом 72 годин від виявлення. За високого ризику треба повідомити й суб'єктів даних.

Якщо управління розпочинає провадження за скаргою, фірма отримує запит на пояснення й документацію. Вирішальне - уміти довести відповідність: реєстри операцій обробки, правові підстави, договори з обробниками, заходи безпеки й порядок роботи із запитами суб'єктів. Фірма з порядком у документації перебуває в помітно кращому становищі.

Управління видає рекомендації з частих тем, наприклад щодо відеоспостереження, моніторингу працівників чи cookies. Їх варто відстежувати, оскільки вони показують, як управління тлумачить правила. За неясності краще діяти обережно й оцінити порядок ще до початку обробки.

На що звернути увагу

Найчастіша помилка в разі порушення захисту даних - приховування чи запізніле повідомлення. Фірма сподівається, що витік залишиться непоміченим, і строк 72 години спливає. Неповідомлення - окреме порушення GDPR і в разі подальшого розкриття помітно погіршує становище фірми. Навіть неповне первинне повідомлення краще, ніж жодного.

Обережно з шахрайськими листами, які видають себе за управління й вимагають оплату за реєстрацію чи перевірку відповідності GDPR. Управління не бере плати за реєстрацію, а штрафи призначає рішенням в адміністративному провадженні. За сумнівів треба перевірити повідомлення за офіційними контактами управління.