Vis daugiau Lietuvos įmonių duomenų apsaugos funkciją patiki ne vidiniam darbuotojui, o išorės specialistui. Toks sprendimas dažniausiai kyla iš praktinių priežasčių: viduje trūksta kompetencijų, o samdyti atskirą darbuotoją vien šiai funkcijai daugumai įmonių tiesiog neapsimoka. Šiame straipsnyje aptarsime, kada išorinė paslauga yra racionalus pasirinkimas, kaip ji veikia praktiškai ir į ką atkreipti dėmesį sudarant sutartį.

Kodėl vidinis modelis dažnai neveikia?

Teoriškai bet kuri įmonė gali paskirti duomenų apsaugos pareigūną iš savo darbuotojų. Praktikoje šis modelis stringa dėl kelių priežasčių.

Pirma, reglamentas reikalauja, kad pareigūnas būtų nepriklausomas ir neatsidurtų interesų konflikte. Tai reiškia, kad IT vadovas, personalo specialistas ar finansų direktorius šių pareigų eiti paprastai negali – jie patys sprendžia, kaip tvarkomi duomenys, todėl negalėtų savęs prižiūrėti.

Antra, kompetencijos. Duomenų apsauga apima teisę, informacijos saugumą ir procesų valdymą. Darbuotojas, kuriam ši funkcija „pridėta“ prie pagrindinio darbo, retai turi laiko gilintis į besikeičiančią priežiūros institucijų praktiką.

Trečia, kaina. Kvalifikuoto specialisto etatas su mokesčiais įmonei kainuoja kelias dešimtis tūkstančių eurų per metus – suma, kurios mažam ar vidutiniam verslui ši funkcija tiesiog neverta.

Kaip veikia išorinė paslauga?

Išorinis duomenų apsaugos pareigūnas – tai specialistas arba komanda, kuri pagal sutartį atlieka visas reglamente numatytas pareigūno funkcijas: konsultuoja vadovybę, prižiūri duomenų tvarkymo procesus, rengia dokumentaciją, moko darbuotojus ir atstovauja įmonei bendraujant su Valstybine duomenų apsaugos inspekcija.

Įprastai bendradarbiavimas prasideda nuo situacijos audito: specialistas išsiaiškina, kokius duomenis įmonė tvarko, kokiais pagrindais, kur jie saugomi ir kokios rizikos egzistuoja. Po audito parengiamas veiksmų planas, o toliau paslauga vyksta nuolatiniu režimu – peržiūros, konsultacijos, incidentų valdymas.

Kada išorinis modelis apsimoka labiausiai?

Praktika rodo, kad išorinė paslauga geriausiai tinka šiais atvejais:

  • įmonėje dirba iki kelių šimtų darbuotojų ir atskiras etatas ekonomiškai nepagrįstas,

  • veikla susijusi su jautriais duomenimis – sveikatos įstaigos, draudimo tarpininkai, personalo atrankos įmonės,

  • naudojamas vaizdo stebėjimas arba klientų elgsenos analizė,

  • įmonė dirba su užsienio partneriais, kurie reikalauja įrodomos atitikties,

  • viduje nėra nė vieno žmogaus, galinčio užimti pareigas be interesų konflikto.

Kiek kainuoja ir iš ko susideda kaina?

Išorinės paslaugos kaina priklauso nuo įmonės dydžio, tvarkomų duomenų apimties ir rizikos lygio. Mažoms įmonėms tai dažniausiai fiksuotas mėnesinis mokestis, kuris sudaro tik dalį vieno darbuotojo atlyginimo. Didesnėms organizacijoms kaina auga kartu su darbų apimtimi.

Vertinant pasiūlymus, svarbu išsiaiškinti, kas įtraukta į bazinę kainą:

  • ar numatytos reguliarios atitikties peržiūros,

  • ar įskaičiuoti darbuotojų mokymai,

  • kaip apmokestinamas incidentų valdymas,

  • ar specialistas dalyvauja patikrinimuose ir atsako į duomenų subjektų prašymus.

Pigi paslauga, kurioje visi realūs darbai apmokestinami papildomai, galiausiai kainuoja daugiau nei skaidrus visa apimantis pasiūlymas.

Ko tikėtis pirmaisiais mėnesiais?

Rimtas specialistas per pirmuosius du–tris mėnesius paprastai atlieka šiuos darbus:

  • duomenų tvarkymo auditą ir rizikos vertinimą,

  • duomenų tvarkymo veiklos įrašų parengimą arba atnaujinimą,

  • privatumo pranešimų ir vidaus tvarkų peržiūrą,

  • sutarčių su duomenų tvarkytojais patikrinimą,

  • incidentų valdymo plano parengimą,

  • pirminius darbuotojų mokymus.

Jei paslaugos teikėjas iš karto siūlo tik „dokumentų paketą“ be įsigilinimo į realią įmonės veiklą – tai ženklas, kad gausite šabloną, o ne apsaugą.

Dažniausi nesusipratimai

„Pareigūnas perima visą atsakomybę.“ Ne – atsakomybė už duomenų tvarkymą visada lieka įmonei. Pareigūnas pataria, prižiūri ir padeda, tačiau sprendimus priima vadovybė.

„Užtenka paskirti ir pamiršti.“ Paskyrimas be realaus bendradarbiavimo vertės nekuria. Pareigūnas turi būti įtraukiamas į sprendimus, susijusius su duomenimis – nuo naujos rinkodaros kampanijos iki naujos IT sistemos diegimo.

„Tai aktualu tik didelėms įmonėms.“ Priežiūros institucijos praktika rodo priešingai – nemažai baudų skirta būtent mažoms įmonėms, kurios duomenų apsaugą laikė nereikalinga biurokratija.

Apibendrinimas

Išorinis duomenų apsaugos pareigūnas daugeliui Lietuvos įmonių yra racionaliausias būdas užtikrinti atitiktį: gaunama specialisto kompetencija be etato kaštų, išvengiama interesų konfliktų, o rizikos valdomos nuolat, ne tik „prieš patikrinimą“. Svarbiausia – rinktis paslaugą, kuri remiasi realiu jūsų veiklos pažinimu, o ne universaliais šablonais.