Vispārīgā datu aizsardzības regula

• Pilna procesu un jomu pārbaude, kuras ietvaros mēs pārbaudām vai uzņēmuma veiktā datu apstrāde atbilst GDPR prasībām
• Atsevišķu jomu GDPR atbilstības pārbaude, piemēram, mārketings, personālvadība, pārdošana

Nodevums: Ziņojums par identificētiem riskiem, to klasifikāciju un rekomendācijām atbilstības nodrošināšanai. Ziņojums ietvers ieteikumus un rekomendācijas, ko novērst / uzlabot.

Izmantotie rīki: G.A.T. (gap assessment tool), ar kura palīdzību ir iespējams novērtēt uzņēmuma gatavību GDPR prasībām būtiskākajās uzņēmuma darbības jomās. 

Darba apraksts:

1. Prezentācijas ar mērķi pārrunāt identificēto risku klasifikāciju.

2. Intervijas ar atbildīgajām personām ar mērķi identificēt esošo situāciju uzņēmumā un identificēt riskus.

3.  Analīzes [2]  veikšana par uzņēmuma darbības juridiskajiem un IT aspektiem personas datu apstrādes jomā:

• dokumentu (izstrādātās politikas, darba līgumu standarti, datu subjektu piekrišanas u.c. dokumenti) izpēte un to atbilstības GDPR novērtējums;
• personu datu plūsmu analīze, identificējot, vai personas dati tiek sūtīti uz trešajām valstīm, vai uzņēmumam ir zināms, kur uzņēmuma ietvaros tiek glabāti personas dati, kā faktiski notiek datu plūsma starp uzņēmuma nodaļām, kādiem piegādātājiem/apakšuzņēmējiem tiek nodoti personas dati u.tml. (datu plūsmu analīze netiek veikta, ja uzņēmums šādu analīzi jau ir sagatavojis); 
• IT kontroļu novērtējums uzņēmuma informācijas sistēmām, kurās tiek apstrādāti strukturēti personu dati, iekļaujot šādus būtiskākos aspektus: datu apstrādes vispārējie principi un to ievērošana, piekļuves vadība, datu apstrādes drošības kontroles, datu apstrādes darbību reģistrēšana un uzraudzība, datu dzēšanas iespējas.

4. Ziņojuma par identificētajiem riskiem un ieteikumiem šo risku samazināšanai sagatavošana un prezentēšana uzņēmuma vadībai.

[2] Analīzes ietvaros veicamās IT darbības nav uzskatāmas par IT auditu.

Rekomendāciju izstrāde, piemēram, standartizētu dokumentu izstrāde:

• Vispārīgo personas datu apstrādes politika;
• Privātuma paziņojuma izstrāde (fiziskām personām, kas nav nodarbinātas uzņēmumā – darba meklētājiem, potenciālajiem klientiem, pircējiem, sadarbības partneriem);
• Datu subjekta (klienta) piekrišanas standarta formas izstrāde,
• Datu subjekta (darbinieka) piekrišanas standarta formas izstrāde,
• Datu apstrādes līguma projekts (pārzinis- apstrādātājs);
• Datu drošības pārkāpuma ziņošanas procedūra;
• Risku novērtēšanas procedūra;
• Interešu līdzsvarošanas testa procedūra;
• Novērtējuma par ietekmi uz datu aizsardzību procedūra;
• Apstrādātāju uzraudzības kārtība;
• Datu apstrādes reģistra formas izveide;

• Informācijas drošības politika;
• Nepārtrauktas darbības nodrošināšanas un darbības atjaunošanas plāns;
• Incidentu pārvaldības politika.

Datu aizsardzības konsultanta pakalpojums ietver (un ne tikai):

• Datu aizsardzības konsultanta norīkošana gadījumos, kad to kā pienākumu paredz GDPR (GDPR 37.pants);
• Gadījumos, kad būs nepieciešama tūlītēja palīdzība saistībā ar datu aizsardzības incidentu, datu subjekta pieprasījumu, personas datu apstrādes politiku vai citu atbilstošo dokumentu praktisku piemērošanu, PwC Legal datu aizsardzības konsultants spēs sniegt mutiskas konsultācijas un/ vai sagatavot nepieciešamo dokumentāciju; 
• vienas kontaktpersonas nozīmēšanu par jautājumiem, kas saistīti ar izstrādāto dokumentāciju personas datu apstrādes jomā;
• PwC Legal nozīmēta kontaktpersona sniedz nepieciešamo atbalstu pēc uzņēmuma darbinieku pieprasījuma tādu periodu pēc personas datu apstrādes dokumentācijas ieviešanas, par kuru PwC Legal un Uzņēmums vienosies.
• elektronisku mācību materiālu par personas datu apstrādes jautājumiem izstrāde (e-mācības, mācību materiāli, kas tiek izvietoti uzņēmuma iekšējās sistēmās u.tml.);
• uzņēmuma saistošo noteikumu (Binding Corporate Rules) izstrāde, ņemot vērā, ka starptautiskām kompānijām, kas veic personas datu pārsūtīšanu starp saviem uzņēmumiem, kas atrodas valstīs ārpus Eiropas Ekonomiskās zonas dalībvalstīm un kas likuma līmenī nenodrošina adekvātas personas datu aizsardzības prasības, ir iespēja sagatavot šādus noteikumus, kas tiek apstiprināti kādas Eiropas Savienības dalībvalsts datu inspekcijā un kas dod tiesības likumīgi veikt datu pārsūtīšanu uz uzņēmumiem, kas atrodas trešajās valstīs;
• datu aizsardzības izpētes veikšana uzņēmuma nolīgtajiem datu operatoriem, izvērtējot datu operatora personas datu apstrādes atbilstību GDPR prasībām tieši attiecībā uz uzņēmuma datu apstrādi;
• datu inventarizācijas veikšana, analizējot nestrukturētu datu glabāšanu uzņēmuma sistēmās, tādējādi identificējot praktiskās piemērošanas nepilnības;
• informācijas sistēmu audits, novērtējot uzņēmuma informācijas sistēmu brieduma pakāpi, ņemot vērā GDPR prasības.

Mēs organizējam apmācības uzņēmumu darbiniekiem saistībā ar personas datu apstrādes dažādiem GDPR aspektiem.