Лични данни
Одит по ОРЗД и оценка на въздействието (DPIA)
Лични данни обработва всяка организация, а когато обработването вероятно води до висок риск, ОРЗД изисква предварителна оценка на въздействието. Проверяваме дали обработването е законосъобразно и защитено и изготвяме оценките, които се изискват.
Преди началото потвърждаваме писмено обхвата и цената.
Да обсъдим Вашия случайКога Ви е нужна тази услуга
- Въвеждате видеонаблюдение, биометрия или нова система с лични данни.
- Не сте сигурни, че регистърът на дейностите и уведомленията са актуални.
- КЗЛД (Комисия за защита на личните данни) или клиент пита как спазвате регламента.
Ползата за Вашата организация
- Знаете кои обработвания на лични данни са законосъобразни и кои имат пропуски.
- Обработванията с вероятен висок риск имат оценка на въздействието, преди да започнат.
- Можете да покажете на КЗЛД как спазвате регламента.
Одит по ОРЗД
Регистър на дейностите по обработване, правни основания, уведомления, договори с обработващи, сигурност, нарушения на сигурността, искания на субектите и срокове за съхранение. Доклад и план.
от 2 900 €до 100 служители · 2–3 седмици
Оценка на въздействието
За едно обработване с вероятен висок риск: описание, необходимост и пропорционалност, рискове за хората и мерки. При висок остатъчен риск: подготовка за предварителна консултация с КЗЛД.
от 1 900 €за едно обработване
Примерен резултат
Демонстрационен пример — не е реален клиент.
| Риск за хората | Вероятност | Тежест | Мярка | Остатъчен риск |
|---|---|---|---|---|
| Неразрешен достъп до записи от видеонаблюдение | средна | висока | Достъп за двама души, журнал на достъпа | нисък |
| Съхранение по-дълго от необходимото | висока | средна | Автоматично изтриване след 30 дни | нисък |
Какво изисква ОРЗД
- Администраторът трябва да може да докаже, че спазва принципите (чл. 5, пар. 2 и чл. 24), и води регистър на дейностите по обработване (чл. 30). Ограниченото изключение за организации под 250 души не важи, когато обработването не е инцидентно, носи риск или включва чувствителни данни (чл. 30, пар. 5).
- Обработването изисква правно основание (чл. 6), информация за хората (чл. 13–14), договори с обработващите (чл. 28) и подходяща сигурност (чл. 32).
- Нарушение на сигурността се съобщава на КЗЛД до 72 часа, освен ако е малко вероятно да породи риск, а при висок риск се уведомяват и засегнатите (чл. 33–34).
- Когато обработването вероятно води до висок риск, преди началото му се прави оценка на въздействието (чл. 35). КЗЛД е публикувала списък на операциите, за които оценка се изисква. При висок остатъчен риск се иска предварителна консултация (чл. 36).
Примери, при които проверяваме дали е нужна оценка
- Видеонаблюдение на публични места или в голям мащаб.
- Наблюдение на служители и контрол на достъпа с биометрия.
- Профилиране или автоматизирани решения, които засягат хората, включително с изкуствен интелект.
- Здравни и други чувствителни данни в голям мащаб.
Нужно Ви е и постоянно длъжностно лице по защита на данните? Предлагаме го като външна експертна роля. Употребата на ИИ (изкуствен интелект) проверяваме отделно, в прегледа на употребата и управлението на ИИ.
Какво включва цената и какво предоставяте Вие
- Одит: едно юридическо лице до 100 служители, до 15 дейности по обработване, до 5 основни системи и до 2 обекта или звена.
- Оценка на въздействието: едно обработване, една основна система, до 2 срещи и един кръг корекции.
- Вие предоставяте наличните регистри, уведомления, договори с обработващи и описание на системите. Срокът тече от получаването им.
- Една среща за представяне на резултата и един кръг корекции. Документите са на български или английски.
Граници
- Одитът и оценката не са правно становище. Конкретен правен въпрос се възлага отделно.
- Решенията по обработването и отговорността остават при администратора.
Обща информация, не правно становище.