GDPR: 5 проверки, преди да изпратите лични данни

Сканирана лична карта, досие от отдел „Човешки ресурси“, списък с клиенти: щом един файл съдържа данни, позволяващи да се идентифицира дадено лице, изпращането му е обработване на лични данни по смисъла на GDPR — а използваният инструмент става брънка от тази верига. Ето петте проверки, които да направите, преди да кликнете върху „изпрати“.

Засяга ли ви това? (спойлер: да)

GDPR не се прилага само за големите платформи: счетоводната кантора, която получава фишове за заплати, фотографът, който доставя портрети, малката фирма, която изпраща досие на служител — всички те обработват лични данни. Отговорността не може да се делегира на инструмента, но изборът на инструмент ви обвързва.

1. Къде се хостват данните

Първият въпрос към вашата услуга за трансфер: къде се съхраняват файловете? Хостингът в Европейското икономическо пространство радикално опростява съответствието; трансфер извън ЕИП изисква допълнителни гаранции (решение относно адекватното ниво на защита, стандартни договорни клаузи). TransferNow хоства в Европа, с избор на регион според плана.

2. Договорната рамка (DPA)

Ако действате от името на юридическо лице, услугата за трансфер е ваш обработващ лични данни по смисъла на член 28: споразумение за обработка на данни (DPA) трябва да урежда отношенията. Проверете дали то съществува и е достъпно — това е документ, който вашето длъжностно лице по защита на данните ще поиска. Нашето е публично, достъпно от нашата политика за поверителност.

3. Срокът на съхранение

GDPR изисква данните да не се съхраняват по-дълго от необходимото. Преведено на езика на трансфера на файлове: линк с изтичащ срок е предимство за съответствието. Предпочетете срок, който отговаря на реалната нужда — 7 дни често са достатъчни — и услуга, която ви позволява да деактивирате линка веднага щом предаването е приключило.

4. Проследимостта

Ако възникне въпрос — от клиент, от компетентен орган — трябва да можете да кажете кой е имал достъп до данните. Поименното известие при всяко изтегляне осигурява тази следа без допълнителна процедура: кой е взел файла и кога.

5. Свеждането на данните до минимум

Най-простият и най-забравян принцип: изпращайте само необходимото. Пълната папка „за всеки случай“ умножава излагането на риск. Преди всяко чувствително изпращане — един въпрос: този получател има ли нужда от всички тези файлове?

Тези пет точки не заместват правна консултация — но покриват това, което едно длъжностно лице по защита на данните ще провери първо. За техническата страна нашият чеклист за сигурност допълва този.