Darbuotojų BDAR mokymai: ką privalu žinoti kiekvienam

Darbuotojų BDAR mokymai — organizacinė asmens duomenų apsaugos priemonė, kuria darbuotojai supažindinami su BDAR reikalavimais, savo pareigomis ir rizikų atpažinimu. Mokymai grindžiami BDAR 39 str. 1 d. (b) punktu (DPO pareiga mokyti darbuotojus) ir atskaitomybės principu (5 str. 2 d.), pagal kurį valdytojas privalo gebėti įrodyti, kad darbuotojai apmokyti. Nedokumentuoti mokymai praktikoje laikomi atitikties spraga.

Įsivaizduokite: klientų aptarnavimo darbuotojas gauna laišką „prašau ištrinti visus mano duomenis iš jūsų sistemos". Ką jis daro? Ignoruoja, nes „čia ne mano reikalas"? Pats ištrina viską iš CRM? Ar atpažįsta, kad tai BDAR 17 straipsnio teisės būti pamirštam užklausa, ir nukreipia ją atsakingam asmeniui per nustatytą terminą? Skirtumas tarp šių trijų reakcijų yra mokymas — ir tas skirtumas gali kainuoti įmonei baudą arba reputaciją.

BDAR mokymai dažnai suvokiami kaip nuobodus formalumas — kartą per metus pravesta prezentacija, kurią visi pamiršta išėję iš salės. Toks požiūris klaidingas dviem aspektais. Pirma, mokymai yra teisinis reikalavimas, kurio nebuvimas pats savaime yra atitikties pažeidimas. Antra, būtent darbuotojas — ne sistema, ne politika — kasdien priima sprendimus, kurie lemia, ar duomenys saugomi tinkamai.

Kodėl BDAR mokymai privalomi, o ne pasirenkami

BDAR tiesiogiai nesako „rengkite mokymus kas X mėnesių". Vietoj to ši pareiga išplaukia iš kelių straipsnių, kurie kartu nepalieka pasirinkimo laisvės.

BDAR 39 straipsnis — DPO pareiga mokyti

BDAR 39 str. 1 d. (b) punktas tarp duomenų apsaugos pareigūno užduočių aiškiai nurodo darbuotojų, dalyvaujančių duomenų tvarkyme, sąmoningumo didinimą ir mokymą. Jei įmonėje DPO privalomas (pavyzdžiui, dėl didelės apimties stebėjimo ar ypatingų kategorijų duomenų tvarkymo), ši pareiga įrašyta tiesiai į jo funkcijas. Plačiau apie tai, kada DPO būtinas — vadove apie duomenų apsaugos pareigūną.

BDAR 32 straipsnis — mokymai kaip organizacinė priemonė

32 straipsnis reikalauja techninių ir organizacinių priemonių, atitinkančių riziką. Šifravimas ir prieigos kontrolė yra techninės priemonės. Mokymai, instruktažai, vidaus tvarkos — organizacinės. Geriausios techninės sistemos neapsaugo, jei darbuotojas pats atsiunčia duomenis sukčiui, todėl mokymas yra tiesioginė saugumo priemonė, ne papildoma gerovė.

BDAR 5 straipsnis — atskaitomybės principas

Štai kur slypi dažniausia klaida. Atskaitomybės principas (5 str. 2 d.) reikalauja ne tik laikytis taisyklių, bet ir gebėti tai įrodyti. Praktikoje tai reiškia: net jei mokymai įvyko, bet niekur neužfiksuoti, BDAR požiūriu jų tarsi nebuvo. Inspektorius nepriima „mes tikrai pasakojome darbuotojams" — jis prašo dalyvių sąrašo, datos, turinio.

Ką kiekvienas darbuotojas privalo žinoti

Darbuotojui nereikia tapti duomenų apsaugos teisininku. Jam reikia atpažinti rizikingas situacijas ir žinoti, ką daryti — dažniausiai tai reiškia „nukreipti tinkamam asmeniui, o ne spręsti pačiam". Bazinis minimumas, kurį turi apimti kiekvieno darbuotojo mokymas, yra septyni dalykai.

• Kas yra asmens duomenys. Ne tik vardas ir pavardė — bet ir el. paštas, telefono numeris, IP adresas, nuotrauka, vietos duomenys. Daugelis nesuvokia, kiek plačiai BDAR 4 str. apibrėžia šią sąvoką.
• Tvarkymo teisėtumas. Bazinis supratimas, kad duomenis galima tvarkyti tik turint pagrindą (sutikimas, sutartis, teisinė pareiga, teisėtas interesas) — ir kad „mums būtų patogu" pagrindu nelaikoma.
• Duomenų subjektų teisės. Kaip atpažinti, kad gauta užklausa yra teisės įgyvendinimo prašymas, ir kam ją perduoti.
• Pažeidimo atpažinimas. Ką laikyti incidentu (laiškas ne tam adresatui, pamestas įrenginys, įtartinas prisijungimas) ir kaip greitai apie tai pranešti viduje.
• Slaptumo pareiga. Kad prieiga prie duomenų nereiškia teisės jais dalintis — net su kolegomis, kuriems jų nereikia darbui.
• Švaraus stalo principas. Nepalikti dokumentų su asmens duomenimis matomoje vietoje, užrakinti ekraną, neperskaityti duomenų balsu atviroje erdvėje.
• Saugus duomenų naikinimas. Popieriaus smulkinimas, ne išmetimas; failų saugus trynimas; nereikalingų duomenų neperlaikymas.

Šis sąrašas atrodo paprastas, bet būtent paprastumas yra tikslas. Mokymas, kuris bombarduoja darbuotoją straipsnių numeriais ir teisine terminologija, neveikia — žmogus nieko neprisimena ir grįžta prie senų įpročių. Veikia konkretūs scenarijai iš jo kasdienio darbo.

6 BDAR principai paprastai

BDAR 5 str. 1 d. įtvirtina šešis principus, kuriais grindžiamas visas duomenų tvarkymas. Darbuotojui jų nereikia mokėti atmintinai, bet bazinis supratimas padeda suvokti, kodėl egzistuoja įmonės taisyklės.

1. Teisėtumas, sąžiningumas, skaidrumas. Duomenis tvarkome turėdami pagrindą ir aiškiai informuojame žmones, kaip juos naudojame.
2. Tikslo apribojimas. Surinkti vienam tikslui duomenys nenaudojami kitam. Klientų el. paštai pirkimui — ne automatiškai naujienlaiškiui.
3. Duomenų kiekio mažinimas. Renkame tik tiek, kiek būtina. Jei užtenka el. pašto, neprašome asmens kodo.
4. Tikslumas. Duomenys turi būti teisingi ir atnaujinami; netikslūs — ištaisomi ar ištrinami.
5. Saugojimo trukmės apribojimas. Nesaugome ilgiau, nei reikia tikslui ar teisės aktams. „Visam laikui, gal prireiks" — principo pažeidimas.
6. Vientisumas ir konfidencialumas. Duomenys apsaugomi nuo neteisėtos prieigos, praradimo ar sugadinimo.

Daugiau apie teisėto tvarkymo pagrindus — straipsnyje apie BDAR 6 straipsnį, kuris detaliai paaiškina, kada apskritai galima tvarkyti asmens duomenis.

Duomenų subjektų teisės — kaip atpažinti užklausą

Praktiškai dažniausiai darbuotojas su BDAR susiduria tada, kai klientas ar darbuotojas pareiškia savo teisę. Šios užklausos retai būna suformuluotos teisine kalba — žmogus tiesiog parašo „noriu žinoti, ką apie mane turite" arba „ištrinkite mane". Užduotis — atpažinti, kad tai teisės įgyvendinimas, nes nuo gavimo momento pradeda skaičiuotis vieno mėnesio atsakymo terminas.

• Teisė susipažinti (15 str.). „Kokius mano duomenis turite?" — asmuo turi teisę gauti kopiją.
• Teisė ištaisyti (16 str.). „Mano adresas pasikeitė / duomenys neteisingi."
• Teisė ištrinti — būti pamirštam (17 str.). „Ištrinkite visus mano duomenis." Turi išimčių — netrinti savavališkai.
• Teisė apriboti tvarkymą (18 str.). „Kol išsiaiškinsim, nenaudokite mano duomenų."
• Teisė į perkeliamumą (20 str.). „Atiduokite mano duomenis man arba kitam paslaugų teikėjui."
• Teisė nesutikti (21 str.). „Nenoriu gauti jūsų rinkodaros."

Mokymai pagal rolę — kodėl vienodi neveikia

Vienas universalus mokymas visiems darbuotojams yra geriau nei nieko, bet toli gražu ne optimalu. Skirtingos pareigos susiduria su skirtinga rizika ir skirtingais duomenimis, todėl efektyvi sistema derina bazinį modulį visiems su specializuotais pagal funkciją.

• HR ir personalas. Tvarko jautriausius darbuotojų duomenis — sveikatos pažymas, atlyginimus, vertinimus. Reikia gilesnio supratimo apie saugojimo terminus ir ypatingų kategorijų duomenis.
• Buhalterija. Asmens duomenys mokesčių ir socialinio draudimo kontekste, saugojimo terminai, sąsajos su finansiniu reguliavimu.
• IT. Techninės priemonės, prieigos valdymas, incidentų atpažinimas, atsarginių kopijų ir naikinimo praktika.
• Marketingas. Sutikimų valdymas, naujienlaiškių teisėtumas, slapukai, tiesioginės rinkodaros taisyklės.
• Klientų aptarnavimas. Subjektų teisių užklausų atpažinimas, tapatybės patikra prieš atskleidžiant duomenis, telefoninio bendravimo rizikos.

Kaip surengti mokymus, kurie atlaiko patikrinimą

Veikianti BDAR mokymų sistema nėra vienkartinis renginys — tai ciklas. Žemiau pateikti šeši žingsniai, kurie kartu sudaro atitiktį 39 ir 32 straipsniams bei atskaitomybės principui.

1. Įvertinkite rizikas ir roles. Nustatykite, kas kokius duomenis tvarko ir kokia rizika tai kelia. Tai lemia turinį kiekvienai grupei.
2. Paruoškite bazinį turinį visiems. Bendras sąmoningumo modulis — septyni dalykai iš ankstesnio skyriaus. Privalomas kiekvienam.
3. Pridėkite role-based modulius. Specializuotas turinys HR, buhalterijai, IT, marketingui, klientų aptarnavimui.
4. Įtraukite mokymą į onboarding. Naujas darbuotojas apmokomas per pirmąsias darbo dienas, prieš pradedant tvarkyti duomenis, kartu su slaptumo įsipareigojimo pasirašymu.
5. Patikrinkite žinias ir dokumentuokite. Trumpas testas po mokymo, dalyvių fiksavimas, turinio ir datos įrašymas.
6. Kartokite reguliariai. Metinis atnaujinimas plius mikromokymai pagal aktualijas — po incidento, pasikeitus procesams ar atsiradus naujoms grėsmėms.

Vienas dažnas klausimas — ar mokymai gali būti nuotoliniai. Taip; formatas BDAR nereglamentuotas. Svarbu turinys ir dokumentavimas, ne vieta. El. moduliai gerai tinka reguliariam atnaujinimui, gyvi mokymai — sudėtingesnėms temoms ir diskusijai. Geriausia praktika dažnai mišri.

Dokumentavimas — be jo mokymų tarsi nebuvo

Grįžtame prie atskaitomybės, nes tai dažniausiai praleidžiama dalis. Mokymas, kurio negalima įrodyti, BDAR požiūriu neegzistuoja. Minimalus dokumentavimo rinkinys, kurį verta kaupti nuo pat pradžios:

• Dalyvių sąrašai su parašais arba elektroniniu dalyvavimo patvirtinimu.
• Mokymo data ir trukmė — kad matytųsi reguliarumas laike.
• Turinio programa — kokios temos buvo aptartos.
• Žinių patikrinimo rezultatai — testas ar kita įrodymo forma.
• Onboarding įrašai — kad kiekvienas naujas darbuotojas buvo apmokytas prieš pradėdamas darbą.

Ką daryti toliau

Jei jūsų įmonėje BDAR mokymai vyko „kažkada" arba apsiriboja vienu el. dokumentu, kurį darbuotojai turėjo perskaityti, verta peržiūrėti tris dalykus jau šią savaitę:

1. Patikrinkite, ar turite dokumentaciją. Jei VDAI rytoj paprašytų įrodyti, kad darbuotojai apmokyti — ar turėtumėte ką parodyti? Jei ne, tai pirmoji spraga.
2. Įvertinkite onboarding. Ar nauji darbuotojai apmokomi prieš pradėdami tvarkyti duomenis, ar tiesiog pradeda dirbti?
3. Nustatykite reguliarumo ciklą. Metinis atnaujinimas — minimumas. Be jo žinios išblunka, o atitiktis tampa formali.

BDAR mokymai geriausiai veikia, kai juos veda žmonės, kurie supranta ir teisę, ir praktinę įmonės veiklą — ne abstrakti teorija iš vadovėlio, o konkretūs scenarijai iš jūsų darbo. Veriva veda darbuotojų BDAR mokymus, pritaikytus pagal įmonės veiklą ir roles, su pilnu dokumentavimu atskaitomybės principui. Kadangi mūsų komandoje dirba ir teisininkai, ir IT specialistai, mokymai apima ir teisinę pusę (principai, teisės, pareigos), ir technines grėsmes — pavyzdžiui, kaip darbuotojui atpažinti phishing ataką, kuri dažnai virsta duomenų pažeidimu. Pirmoji konsultacija dažniausiai būna nemokama.

Šaltiniai: Valstybinė duomenų apsaugos inspekcija (VDAI) · BDAR (Reglamentas 2016/679) 5, 32, 39 straipsniai · Europos duomenų apsaugos valdyba (EDPB)