GDPR за мали канцеларии: каде завршуваат податоците

За мала канцеларија GDPR се сведува на едно прашање: каде завршуваат податоците на клиентите и под чија одговорност. Канцеларијата е контролор на податоците што ги собира, секој алат што ги обработува за неа е обработувач, а односот меѓу двете страни се уредува со договор за обработка. Ова е добра практика, не правен совет.

Кој е контролор, а кој обработувач

Контролор е оној што одлучува зошто и како се обработуваат личните податоци; обработувач е оној што ги обработува во негово име и по негови упатства. Кога клиент ви носи лична карта за да му составите договор, вие одлучувате што се прави со тие податоци: вие сте контролор. Кога тие податоци ги внесувате во некој софтвер, електронска пошта или простор за складирање, тој сервис е обработувач за вас. Одговорноста кон клиентот притоа не се сели: клиентот ѝ верувал на канцеларијата, не на серверот. Затоа изборот на обработувач е одлука на контролорот и се проверува пред да се користи, не откако нешто ќе тргне наопаку.

Што важи во Македонија

Македонскиот Закон за заштита на личните податоци, донесен во 2020 година, е усогласен со европската регулатива, вклучително и во обврските на контролорите и обработувачите. Надзорот го врши Агенцијата за заштита на личните податоци, која објавува и подзаконски акти и упатства за примена (извор: azlp.mk). Практично тоа значи дека логиката контролор и обработувач, договор за обработка и грижа за преносот на податоци важи и за канцеларија со двајца вработени во Скопје, не само за големи системи.

Зошто договорот за обработка не е формалност

Договорот за обработка е документот со кој обработувачот се обврзува што смее, а што не смее да прави со податоците што му ги доверувате. Без него канцеларијата предава лични податоци на клиенти врз основа на општи услови што сервисот може да ги менува. Со него постои писмена граница. Пред да потпишете, проверете дали договорот одговара на неколку прашања.

• Предмет и траење: кои податоци се обработуваат, за која цел и до кога.
• Упатства: обработувачот работи само по ваши упатства, не по свои проценки.
• Доверливост и безбедност: кој кај обработувачот има пристап и како се заштитени податоците.
• Подобработувачи: дали сервисот ги предава податоците понатаму и кому.
• Бришење: што се случува со податоците кога соработката ќе заврши.

Зошто е важно серверите да се во ЕУ

Европските правила слободно дозволуваат податоците да се движат во рамки на ЕУ, а за изнесување надвор бараат дополнителни основи и заштитни мерки. За мала канцеларија тоа е разликата меѓу едноставно и комплицирано: сервис со сервери во ЕУ ја остава обработката во просторот за кој правилата се пишувани, а сервис со сервери насекаде ѝ остава на канцеларијата да истражува каде точно патуваат податоците и по кој основ. Најлесната верзија на усогласеност е податоците воопшто да не патуваат далеку.

Тивките патишта по кои истекуваат податоците

Најголемиот ризик во мала канцеларија ретко е серверот на добавувачот. Почесто се навиките: слика од лична карта пратена на приватен телефон, за да се пренесе од терен до канцеларија. Документи на клиенти во бесплатна е-пошта, измешани со лична преписка. Скенови во општи разговорни алатки на интернет, чии поставки за обука и чување никој не ги прочитал. Стар лаптоп со целата архива, без лозинка, во фиока. Ниту еден договор за обработка не покрива навика што го заобиколува договорениот пат.

Како popolni.mk одговара на трите прашања

За popolni.mk тие три одговори стојат вака: податоците се чуваат на заштитени сервери во ЕУ, работата е усогласена со GDPR, со канцеларијата се потпишува договор за обработка на лични податоци, а податоците не се користат за ништо друго освен за пополнување на вашите документи. Корисникот ја проверува секоја внесена вредност и презема готова Word датотека: контролата останува во канцеларијата, како што и налага улогата на контролор.

Кратката верзија

Канцеларијата е контролор и одговара кон клиентот; секој алат што допира лични податоци е нејзин обработувач. Македонскиот закон од 2020 година ја следи европската логика, па правилата важат и за најмалите канцеларии. Со секој обработувач потпишете договор за обработка, бирајте сервери во ЕУ и затворете ги тивките патишта: приватни телефони, мешана е-пошта, непроверени алатки. Три прашања пред секој нов алат чинат пет минути, а одговараат на она што клиентот со право го претпоставува: дека неговите податоци остануваат таму каде што ги оставил.