Įmonėse gaji patogi nuomonė: paskyrėme duomenų apsaugos pareigūną, vadinasi, atsakomybė perkelta jam – jei kas nutiks, atsakys specialistas. Tai vienas pavojingiausių duomenų apsaugos mitų. Reglamentas atsakomybę paskirsto visiškai kitaip, ir vadovui šito nežinoti gali kainuoti brangiai. Aptarsime, kas iš tiesų už ką atsako ir kaip ši dviejų vaidmenų sąveika turi veikti sveikoje įmonėje.

Pagrindinė taisyklė: atsakomybė lieka įmonei

Reglamente atsakomybės grandinė aiški: už asmens duomenų tvarkymą atsako duomenų valdytojas – tai yra pati įmonė, o jos vardu sprendimus priima vadovybė. Duomenų apsaugos pareigūnas yra patariamoji ir priežiūros funkcija: jis konsultuoja, stebi, įspėja ir moko, tačiau galutinius sprendimus priima ne jis.

Praktinė išvada paprasta: baudą už pažeidimą gauna įmonė, ne pareigūnas. O žala reputacijai, klientų pasitikėjimo praradimas ir galimi teisminiai ginčai taip pat tenka verslui.

Už ką konkrečiai atsako vadovas?

Vadovybės atsakomybės laukas duomenų apsaugos srityje apima esminius sprendimus:

  • skirti pakankamai išteklių duomenų apsaugai – tiek finansinių, tiek žmogiškųjų,

  • užtikrinti, kad pareigūnas būtų įtraukiamas į sprendimus laiku, o ne po fakto,

  • priimti arba motyvuotai atmesti pareigūno rekomendacijas,

  • patvirtinti vidines tvarkas ir užtikrinti, kad jų būtų laikomasi,

  • formuoti įmonės kultūrą, kurioje duomenų apsauga – ne kliūtis, o standartas.

Svarbi detalė: jei vadovybė atmeta pareigūno rekomendaciją, protinga tai užfiksuoti raštu su motyvais. Ginčo atveju toks įrašas parodo, kad sprendimas buvo apgalvotas, o pareigūnas savo funkciją atliko.

Už ką atsako pareigūnas?

Pareigūno atsakomybė – profesinė ir procedūrinė. Jis privalo laiku informuoti apie rizikas, teikti pagrįstas rekomendacijas, stebėti atitiktį, organizuoti mokymus ir būti pasiekiamas tiek darbuotojams, tiek duomenų subjektams, tiek priežiūros institucijai.

Ko pareigūnas nedaro: nepriima verslo sprendimų, nepasirašinėja sutarčių įmonės vardu, nevykdo pavedimų, prieštaraujančių jo nepriklausomumui. Reglamentas jį net saugo – pareigūno negalima atleisti ar bausti už tai, kad jis vykdo savo pareigas, net jei jo išvados vadovybei nepatogios.

Kur ši sąveika dažniausiai lūžta?

Praktikoje matomos kelios tipinės disfunkcijos.

„Popierinis“ pareigūnas. Paskirtas formaliai, į jokius sprendimus neįtraukiamas, apie naujas sistemas ar kampanijas sužino paskutinis. Patikrinimo metu tokia konstrukcija subyra per pirmą pokalbį.

Pareigūnas be prieigos prie vadovybės. Reglamentas reikalauja, kad pareigūnas atsiskaitytų aukščiausiai vadovybei tiesiogiai. Jei jo ataskaitos „nusėda“ pas vidurinės grandies vadovą, funkcija neveikia.

Interesų konfliktas. Pareigūnu paskiriamas IT ar personalo vadovas, kuris pats priima sprendimus dėl duomenų – ir turėtų pats save prižiūrėti. Priežiūros institucijos tokį modelį vertina kaip pažeidimą.

Ignoruojamos rekomendacijos. Pareigūnas įspėja, vadovybė numoja ranka. Kai rizika realizuojasi, atsakomybė tenka įmonei – o dokumentuoti įspėjimai tampa įrodymu, kad vadovybė apie riziką žinojo.

Kaip turi atrodyti sveikas modelis?

Įmonėje, kur duomenų apsauga veikia realiai, matomi keli požymiai. Pareigūnas dalyvauja planuojant naujus projektus nuo pradžios – ar tai būtų nauja klientų sistema, ar rinkodaros kampanija. Vadovybė bent kartą per pusmetį išklauso jo ataskaitą apie situaciją ir rizikas. Darbuotojai žino, į ką kreiptis kilus klausimui dėl duomenų. O sprendimai dėl rekomendacijų – priimti ar atmesti – fiksuojami raštu.

Toks modelis apsaugo abi puses: pareigūnas gali dirbti profesionaliai, o vadovybė turi įrodymus, kad savo pareigas vykdė rūpestingai.

Ką daryti vadovui jau šiandien?

Jei vadovaujate įmonei, kurioje pareigūnas paskirtas, užduokite sau tris klausimus: kada paskutinį kartą girdėjote jo ataskaitą? Ar jis įtraukiamas į naujus projektus iš anksto? Ar jo rekomendacijos svarstomos, o sprendimai fiksuojami?

Jei bent į vieną klausimą atsakymas neigiamas – jūsų įmonėje veikia formali, o ne reali duomenų apsauga. O formali apsauga nuo baudų nesaugo. Įmonėms, neturinčioms tinkamo specialisto viduje, sprendimu gali tapti išorinė pareigūno paslauga su aiškiai apibrėžta atsakomybe ir atskaitomybe.

Apibendrinimas

Duomenų apsaugos pareigūno paskyrimas atsakomybės nuo vadovo nenuima – jis suteikia vadovui įrankį tą atsakomybę valdyti profesionaliai. Geriausi rezultatai gimsta ten, kur pareigūnas turi realų balsą, o vadovybė – realų norą girdėti. Visa kita yra tik popierius, kuris patikrinimo dieną nepadės.