Dokumentovanje obuke o zaštiti podataka: učešće, sadržaj i čuvanje

Obuka o zaštiti podataka je pouzdano dokumentovana kada organizacija može povezati razlog obuke, ciljnu grupu, predstavljeni sadržaj i učešće. GDPR ne propisuje određeni obrazac niti jedinstven rok čuvanja. Zahtijeva sistem koji organizaciji omogućava da objasni kako ispunjava svoje obaveze u zaštiti podataka.

Ovaj tekst objašnjava koji podaci pripadaju dokazu učešća, kako evidentirati sadržaj i verzije i kada treba razmotriti brisanje. Posebnu pažnju zahtijevaju pojedinačni rezultati testova i podaci o potrebama za obukom. Oni se razmatraju odvojeno od osnovnog dokaza prisustva. Opšte tehničke i organizacione mjere, praćenje zaposlenih, povrede ličnih podataka i imenovanje službenika za zaštitu podataka zasebne su teme.

Obuka o zaštiti podataka treba obuhvatiti osobe koje obrađuju lične podatke ili organizuju obradu. Član 39 stav 1 tačka b GDPR-a izričito navodi podizanje svijesti i obuku zaposlenih uključenih u postupke obrade kao zadatak službenika za zaštitu podataka. Član 29 GDPR-a zahtijeva da osobe sa pristupom ličnim podacima obrađuju podatke samo prema uputama rukovaoca, osim kada pravo Unije ili države nalaže drugačije.

Obuka je zato jedan dio organizacijske odgovornosti. Član 24 GDPR-a traži da rukovalac primijeni odgovarajuće mjere i da ih po potrebi preispita i ažurira. Član 32 GDPR-a zahtijeva nivo sigurnosti koji odgovara riziku. Osobe koje pristupaju osjetljivim podacima klijenata, zdravlja ili zaposlenih mogu zato trebati drugačiji sadržaj od osoba sa rijetkim i usko ograničenim pristupom.

Ove odredbe ne stvaraju obavezan format potvrde o učešću. Organizacija mora moći pokazati kako je izabrala i primijenila svoje mjere. Dokaz se može sastojati od više povezanih evidencija. One treba da povežu obuku sa ciljnom grupom, razlogom i sadržajem koji odgovara konkretnoj obradi.

Dokaz učešća treba sadržavati samo podatke potrebne za njegovu svrhu. To obično uključuje ime ili drugu jasnu oznaku, datum obuke, ciljnu grupu i status učešća. Kod obuke na daljinu organizacija može evidentirati završetak određene jedinice ili potvrđeno upoznavanje sa sadržajem. Dokaz treba pokazati koje su osobe obuhvaćene.

Spisak imena i datum ne odgovaraju na pitanje šta je predavano. Povežite zato termin sa nazivom obuke, verzijom materijala i odgovarajućom ulogom ili rizikom. Cijela prezentacija ne mora biti priložena svakom spisku. Stabilna oznaka mjesta čuvanja ili jasna bilješka o sadržaju mora ostati dostupna.

Dopunite evidenciju kod naknadnih termina, odlaska iz organizacije i promjene uloge. Propuštene obuke ostavite vidljivim kao otvorene organizacijske zadatke. Evidencija ne treba da postane širok profil radnog učinka. Za dokazivanje usklađenosti uglavnom je dovoljno pokazati da je potrebna obuka održana i kojem sadržaju je pripadala.

Evidencija sadržaja treba opisati materijal dovoljno jasno da se kasnijom provjerom može razumjeti njegova veza sa ciljnom grupom. Teme mogu biti povjerljivost, upute, sigurno dijeljenje, postupanje po zahtjevima lica ili način prijavljivanja sumnjivih događaja. Izbor zavisi od postupaka obrade i rizika u organizaciji. Opšti naziv poput „obuka o zaštiti podataka“ sam po sebi daje malo informacija.

Zabilježite datum objave ili ažuriranja materijala. Važne promjene traže novu verziju ili dokumentovanu bilješku o izmjeni. Tako ostaje vidljivo koje su pravne ili procesne informacije predstavljene na konkretnom terminu. Stare verzije ne moraju neograničeno ostati aktivne. Uređena istorija ipak može biti potrebna dok postoji odgovarajuća svrha dokazivanja.

Ciljna grupa je poseban dio evidencije. Zaposleni sa pristupom personalnim podacima, kontaktom sa klijentima, administracijom sistema ili zadacima vanjske obrade mogu trebati različite primjere i nivo detalja. Kod izvršioca obrade treba navesti i koji ugovorni i organizacijski aranžman obuhvata dokaz o obuci. Unutrašnje i vanjske evidencije mogu biti povezane ako odgovornosti ostanu jasne.

Kratak test znanja može pokazati da li je obuka razumljena. Njegova procjena stvara dodatne lične podatke. Prije upotrebe provjerite da li je potrebno čuvati podatke po imenu ili je za svrhu dovoljna anonimna procjena, potvrda završetka ili zbirni rezultat. Dokazivanje usklađenosti traži provjerljiv dokaz, a ne automatski svaki pojedinačni odgovor.

Informacije o posebnim potrebama za obukom mogu otkriti zdravstvene, jezičke ili druge lične okolnosti. Takve podatke ne treba usput dodavati u spisak učesnika. Posebno odredite svrhu, pravni osnov, potreban obim i ovlaštene primaoce. Zdravstveni podaci u smislu člana 4 tačke 15 GDPR-a traže i dodatnu procjenu prema članu 9 GDPR-a.

Organizacija treba razlikovati status obuke od procjene radnog učinka i kada je obuka obavezna. Propušten završetak može dovesti do naknadne organizacijske obuke. Za to obično treba manje informacija od trajnog profila odgovora, grešaka i napretka. Pristup i čuvanje moraju pratiti užu svrhu.

GDPR ne određuje jedinstven broj mjeseci ili godina za dokaze o obuci. Član 5 stav 1 tačka e GDPR-a traži da se lični podaci čuvaju najduže koliko je potrebno za svrhe obrade. Organizacija zato najprije mora odrediti zašto joj je dokaz potreban. Odgovor može biti drugačiji za spisak učesnika, staru verziju sadržaja i pojedinačni rezultat testa.

Član 17 GDPR-a traži brisanje kada lični podaci više nisu potrebni za svrhu i kada ne postoji pretežan razlog za nastavak obrade. Zakonske obaveze čuvanja ili potreba da se dokaže određena okolnost mogu uticati na procjenu. Zbog toga nije pouzdano tvrditi da se svaki materijal obuke mora čuvati jednako dugo.

Uspostavite jednostavnu logiku brisanja za različite vrste dokumenata. Spisak učesnika, materijal obuke, bilješka o verziji i rezultat testa mogu imati različita mjesta čuvanja i različite termine provjere. U procjenu uključite rezervne kopije, izvezene datoteke i kopije kod pružaoca usluge. Redovna provjera sprečava da se stare evidencije čuvaju samo iz navike.

Vanjski pružaoci obuke mogu obrađivati podatke učesnika, podatke za prijavu, rezultate testova ili dokaze o završetku. Najprije odredite ulogu pružaoca u konkretnoj obradi. Ako se lični podaci obrađuju u ime preduzeća, treba uzeti u obzir član 28 GDPR-a. To uključuje obradu prema dokumentovanim uputama, povjerljivost i odgovarajuće tehničke i organizacijske mjere.

Provjerite koje podatke pružalac stvarno prikuplja i koja je potvrda potrebna preduzeću. Za unutrašnji dokaz usklađenosti može biti dovoljan status završetka. Cijela istorija odgovora ili detaljan zapis korištenja može stvoriti dodatnu svrhu. Ugovor treba urediti i način dostave, ispravke, brisanja i vraćanja ili uklanjanja evidencija nakon završetka usluge.

Kod više pružalaca odgovornosti moraju ostati jasne. Preduzeće treba navesti ko odobrava sadržaj, ko provjerava učešće i ko pokreće brisanje. Potvrde ili standardni izvještaji pružaoca mogu podržati vlastiti dokaz. Ne zamjenjuju provjeru da li obim, ciljna grupa i praksa čuvanja odgovaraju konkretnoj obradi.

Obuka ne ostaje prikladna zauvijek samo zato što ima prvobitni datum. Novi sistemi, promijenjene odgovornosti, novi pružaoci ili drugačiji način postupanja sa podacima mogu pokrenuti ažuriranje. Odredite ko prepoznaje takve promjene i ko odlučuje da li je postojeća obuka dovoljna. Razlog treba biti vidljiv u evidenciji kada se koristi ažurirana verzija.

Djelotvornost se može provjeriti srazmjernim metodama. To mogu biti povratne informacije o razumijevanju, kratka anonimna procjena, provjera otvorenih učešća ili potvrda da je promijenjeni postupak poznat u praksi. Test je samo jedna mogućnost. Organizacija treba uskladiti provjeru sa rizikom i ciljnom grupom i iz rezultata izvesti konkretan sljedeći korak.

Odstupanja evidentirajte činjenično. Ako je neko propustio termin ili je tema bila nejasna, može biti dovoljna jasna naknadna obuka sa odgovornom osobom i datumom. Dokumenti treba da objasne organizacijsku odluku. Ne moraju stvarati stalno praćenje svakodnevnog rada. Dokumentacija sa manjim obimom podataka može bolje ispuniti dokaznu svrhu od preopterećenog skupa podataka.

Za početnu provjeru uredite materijal u četiri grupe: razlog i ciljna grupa, sadržaj i verzija, učešće te čuvanje i pristup. Ova struktura pokazuje da li dokaz prikazuje konkretnu obradu. Pregled o zaštiti podataka zaposlenih pomaže kada se obuka odnosi na podatke zaposlenih.

Zatim provjerite vezu između dokaza obuke i drugih organizacijskih dokumenata. Tekst o tehničkim i organizacijskim mjerama objašnjava kako se mogu dokumentovati rizici, odgovornosti i provjere djelotvornosti. Kod vanjskih pružalaca korisna je stranica o izvršiocima obrade i pružaocima usluga.

Na kraju odredite ovlašteni pristup i povod za provjeru za svaku grupu dokumenata. Stranica o usklađenosti i upravljanju privatnošću smješta ove zadatke u organizaciju. Kada dokaz obuke traži ograničenje pristupa, tekst o pravima pristupa podacima zaposlenih može pomoći pri provjeri uloga.