Consultanță GDPR & Protecția Datelor
Protecția datelor personale, dincolo de documente
Conformitatea reală se măsoară în sistemele IT, nu în bibliorafturi
Aproape orice organizație prelucrează date cu caracter personal: ale angajaților, ale clienților, ale furnizorilor sau ale vizitatorilor site-ului. Regulamentul (UE) 2016/679 nu cere doar existența unor politici într-un dosar. Cere ca datele să fie efectiv protejate, iar organizația să poată demonstra acest lucru la un control sau după un incident.
În practică, cele mai multe probleme de conformitate nu apar în documente, ci în sistemele IT. Apar în foldere partajate la care are acces toată lumea, în conturi care nu au fost dezactivate, în backup-uri necriptate, în date păstrate ani la rând fără motiv. Consultanța GDPR EnergySoft leagă cerințele regulamentului de modul în care funcționează concret infrastructura și procesele dumneavoastră.
Cu ce vă putem ajuta
Evaluarea conformității
Analizăm situația actuală a organizației: ce date personale prelucrați, în ce scop, unde sunt stocate, cine are acces la ele și cât timp sunt păstrate. Identificăm diferențele față de cerințele GDPR și stabilim ce trebuie corectat cu prioritate.
Cartografierea fluxurilor
Urmărim traseul datelor personale prin organizație: de unde sunt colectate, prin ce aplicații trec, către ce furnizori sau parteneri sunt transmise și unde ajung în final. Această hartă stă la baza oricărei conformări reale.
Registrul activităților
Vă ajutăm să întocmiți și să mențineți la zi registrul cerut de art. 30 din GDPR, corelat în mod fidel cu situația reală din sistemele IT, aplicațiile de business și stocările din cloud.
Măsuri tehnice de protecție
Aici diferența dintre hârtie și realitate devine vizibilă: controlul accesului pe principiul „least privilege”, criptarea datelor și a mediilor portabile, backup securizat și testat, jurnalizarea accesului, reguli de retenție și ștergere.
Politici și proceduri
Elaborăm procedurile interne necesare: securitatea datelor, răspunsul la cererile persoanelor vizate (DSAR), procedura de incidente și regulamentul de utilizare a echipamentelor și e-mailului. (Documentele cu componentă juridică sunt realizate în colaborare cu avocați și juriști parteneri).
Evaluarea impactului (DPIA)
Pentru prelucrările cu risc ridicat (monitorizare sistematică, date sensibile, tehnologii noi sau automatizări), vă sprijinim complet în realizarea evaluării de impact asupra protecției datelor.
Gestionarea incidentelor
Vă pregătim să reacționați corect în cazul unei breșe: identificare rapidă, limitarea efectelor, izolare tehnică și respectarea termenului legal de 72 de ore pentru notificarea ANSPDCP când este obligatorie.
Instruirea practică
Cele mai multe incidente pornesc de la eroare umană: email trimis greșit, link de phishing, parolă slabă. Organizăm sesiuni practice, prin care angajații învață ce au de făcut, nu doar litera legii.
De ce contează partea tehnică
Un set de politici GDPR preluat dintr-un model nu protejează datele dacă sistemele IT funcționează după alte reguli. La un control sau după un incident, contează ce s-a întâmplat efectiv cu datele, nu ce scrie în proceduri. De aceea tratăm conformitatea GDPR împreună cu securitatea infrastructurii: documentele descriu ce faceți, iar măsurile tehnice garantează că faceți ce ați descris.
Ce primiți la final
La finalul proiectului aveți o imagine clară asupra datelor personale din organizație, registrul activităților de prelucrare, procedurile interne necesare și un set de măsuri tehnice implementate sau planificate. Toate sunt documentate, astfel încât să puteți demonstra conformitatea în fața autorității (ANSPDCP) sau a partenerilor de afaceri.