GDPR לחברת הזנק בקפריסין: רשימת בדיקה מעשית

התחילו בזרימות המידע האמיתיות של החברה

רשמו פעילויות הכוללות אנשים מזוהים: פניות, חשבונות לקוחות, חיוב, גיוס, שכר, תמיכה, שיווק ומדידת אתר. כללו מידע על אנשי קשר עסקיים גם כשהלקוחות חברות. כתובת דוא״ל של עובד מזוהה או היסטוריית תמיכה של משתמש מזוהה עשויות להיות מידע אישי. העובדה שהעסק מוכר לעסקים אינה מסירה את הצורך לבדוק אנשים המופיעים ברישומיו.

עקבו אחר עסקה לדוגמה מאיסוף עד מחיקה. לפנייה, זהו טופס אתר, משלוח דוא״ל, CRM, גישת יועץ וארכוב סופי. לשכר, זהו רישומי עובד, ספק שכר, תהליך תשלום ורישומים חוקיים. כללו גיליונות וכוננים משותפים שמחוץ למערכת העיקרית. מיפוי מעשי זה חושף לעיתים עותקים והרשאות גישה שמדיניות כללית תחמיץ.

השתמשו במדריך EDPB לעסקים קטנים כנקודת פתיחה רשמית. המסגרת המשפטית היא התקנה הכללית להגנת מידע. מאמר זה מארגן תרגיל יישום למייסדים; הוא אינו מאשר ציות ואינו מחליף בדיקה של העיבוד המסוים, הענף וההסדרים חוצי הגבולות של החברה.

זהו תפקידי בעל שליטה במידע ומעבד לכל פעילות

חברה המחליטה מדוע וכיצד מידע אישי מעובד היא בעלת שליטה לגבי אותה פעילות. ספק המעבד מידע אישי מטעם ארגון אחר לפי הוראותיו עשוי להיות מעבד. הנחיות EDPB לתפקידים מסבירות הבחנות אלו, לרבות בעלי שליטה משותפים ומעבדי משנה. החילו אותן על העובדות ולא בחרו תווית רק כי תבנית חוזה משתמשת בה.

חברת תוכנה יכולה להיות בעלת שליטה במידע על עובדיה ואנשי קשר לחיוב, ובמקביל לעבד חלק מהמידע שלקוחות מעלים בשמם. התשובה עשויה להשתנות בין תכונות מוצר. אם החברה מחליטה להשתמש מחדש בנתוני לקוח למטרה נפרדת משלה, ההחלטה דורשת בדיקה עצמאית. אל תניחו שתווית אחת לחברה פותרת כל זרימה במוצר.

רשמו את ההנמקה ואת החובות המתאימות. בעיבוד מטעם לקוח, בדקו הוראות, חובות סיוע, הסדרי מעבדי משנה והתחייבויות אבטחה. כאשר החברה היא בעלת שליטה, ודאו שהיא יכולה להסביר מטרות, בסיסים חוקיים וגילויים רלוונטיים. מדריך חברת תוכנה ו-SaaS עוסק במבנה העסק הרחב; ניתוח התפקיד נותר ספציפי לשירות ולתפעולו.

בחרו בסיסים חוקיים ואספו רק מה שנחוץ

לכל מטרת עיבוד, בדקו בסיס חוקי מתאים לפי סעיף 6. צורך חוזי, חובה משפטית, אינטרסים לגיטימיים והסכמה הם בסיסים נפרדים עם תנאים משלהם. אל תבקשו מאנשים ״להסכים ל-GDPR״ כתחליף לזיהוי המטרה והבסיס. הסכמה אינה פתרון כללי לרישומי עובדים, הנהלת חשבונות חוקית או כל פעולה הדרושה לאספקת שירות.

כאשר נשקלים אינטרסים לגיטימיים, בדקו ותעדו מטרה, צורך ואיזון מול זכויות ואינטרסים של יחידים. כאשר מסתמכים על הסכמה, עצבו בחירה אמיתית ותהליך חזרה מהסכמה שעובד. מידע מקטגוריות מיוחדות ומידע על עבירות פליליות מחייבים ניתוח נוסף מעבר לבחירת בסיס לפי סעיף 6. הימנעו מאיסוף מידע רגיש רק כי בתבנית יש שדה נוח.

בדקו כל שדה בטופס מול המטרה המוצהרת. אם פנייה ראשונית על שירות דורשת שם ודוא״ל, שקלו אם צילום דרכון באמת נחוץ אז. הצטרפות מאוחרת לעסק מוסדר עשויה לכלול חובות שונות ותהליך מאובטח נפרד. מדריך מקור הכספים ו-KYC עוסק בהכנת ראיות; אין להשתמש בו להצדקת איסוף כל מסמך אפשרי מכל מבקר באתר.

כתבו הודעות המתאימות לפעילות העסק

סעיפים 13 ו-14 ל-GDPR קובעים דרישות מידע, כאשר הפרטים החלים תלויים בדרך השגת הנתונים. הכינו הודעות מן המצאי ולא באמצעות העתקת אתר חברה אחרת. זהו חברה נכונה, מטרות, בסיסים, מקבלים, העברות רלוונטיות, מידע על שמירה וזכויות, לצד פרטים דרושים אחרים. הנגישו את המידע בשלב האיסוף המתאים.

קהלים שונים עשויים להזדקק להסברים שונים. הודעה לפניית לקוח, הודעת עובד והודעת משתמש מוצר יכולות לשמור על גישה עקבית תוך תיאור פעילויות שונות. אל תבטיחו שמידע לעולם אינו משותף אם ספקי אירוח, שכר או תמיכה מקבלים אותו. אל תבטיחו מחיקה מיידית של כל הרישומים כאשר חובות שמירה חוקיות מחייבות שימור מסוים.

התייחסו לעוגיות ולטכנולוגיות דומות כבדיקה עובדתית ומשפטית נפרדת לצד GDPR. ערכו מצאי של מה שהאתר טוען בפועל ובדקו כללי תקשורת אלקטרונית ודרישות הסכמה חלים. באנר האומר ״אנו מכבדים פרטיות״ אינו ראיה לכך שסקריפטים פועלים לפי בחירת המשתמש. בדקו התנהגות איסוף וביטול, שמרו ניסוח מדויק והסירו כלים שאינם נחוצים לחברה.

הסדירו חוזי ספקים והעברות מידע

למעבדים, סעיף 28 מחייב הסדר מחייב מתאים המכסה נושאים מוגדרים. בדקו תנאי ספק בפועל, הוראות עיבוד, סודיות, אבטחה, סיוע, מחיקה או החזרה והסדרי מעבדי משנה. טענת שיווק של ספק על ציות אינה חוזה המתאים לשימושכם. שמרו את התנאים שהתקבלו ואת תאריך הגרסה במקום להסתמך על דף אינטרנט שיכול להשתנות בלי רישום מקומי.

זהו היכן מידע אישי מעובד ומאיפה ניגשים אליו, כולל תמיכה ומעבדי משנה. כתובת חיוב או תווית ״אירוח באיחוד״ אינן בהכרח מתארות כל נתיב גישה. כאשר יש העברה מחוץ לאזור הכלכלי האירופי, בדקו את מנגנון פרק V החל וכל הערכה או הגנה נוספת דרושה. אל תניחו שסעיף סודיות מסחרי רגיל פותר לבדו דרישת העברה בינלאומית.

צרו בדיקת ספקים במידה המתאימה לפעילות. ספק המטפל ברישומי לקוח רגישים מאוד מצדיק תשומת לב שונה מכלי המקבל רק פרטי קשר עסקיים מוגבלים. רשמו החלטה, הגנות חוזיות ותנאים פתוחים. אם החברה מחליפה ספק או מוסיפה אינטגרציה, עדכנו את מפת המידע לפני מתן גישה לייצור. זו בקרת רכש מעשית, לא תרגיל שרק בקשת לקוח צריכה להפעיל.

יישמו אבטחה, שמירה ובקרות גישה

סעיף 32 מחייב אבטחה המתאימה לסיכון. תרגמו זאת לבקרות שהצוות מפעיל בפועל: חשבונות בשמות, הרשאות מתאימות, אימות חזק, מכשירים מנוהלים, עדכונים, גיבויים ושיתוף מאובטח. האמצעים הנכונים תלויים במידע ובעיבוד. מדיניות המצהירה על הצפנה אינה מועילה אם עובדים שולחים בקביעות קבצים לא מוגנים לחשבונות אישיים מחוץ לתהליך המאושר.

בדקו הסרת גישה כשעובדים וקבלנים עוזבים. זהו בעלי מערכות ונתיבי שחזור כדי שמנהל אחד שעוזב לא ישאיר חברה שאינה מסוגלת לנהל רישומים. הגבילו גישת ייצור לנזקקים לה ובדקו תפקידים בעלי הרשאות יתר. שמרו נתיב ביקורת מתאים לשינויים מהותיים בלי לאסוף עוד מידע אישי ללא הבחנה רק כי כלי מסוגל לרשום אותו.

קבעו כללי שמירה לפי קטגוריה ומטרה, תוך התחשבות בחובות חוקיות. הגדירו מה קורה בתום התקופה וכיצד פועלים מחיקה או ארכוב מוגבל בין עותקים וגיבויים. הימנעו מתקופה גורפת לכל מסמך. רישומי שכר, פניות שלא הבשילו, נתוני חשבון ויומני אבטחה עשויים לשרת מטרות ודרישות שונות. תאמו רישומי תעסוקה עם מדריך רישומי השכר וייעוץ מקצועי על חובות שמירה.

היערכו לבקשות עיון, תיקון ומחיקה

קבעו ערוץ קשר ולמדו את הצוות לזהות בקשת זכויות גם אם אינה משתמשת בשפה משפטית. רשמו מתי הגיעה, מה התבקש ובאילו מערכות עשוי להיות מידע רלוונטי. אמתו זהות באופן מידתי; דרישת מסמכי זהות מופרזים בכל פנייה פשוטה עלולה ליצור בעיית פרטיות נוספת. הסלימו עמימות במקום להשאיר הודעה ללא תשובה בתיבת דואר כללית.

לפי סעיף 12, השיבו ללא דיחוי בלתי מוצדק ובדרך כלל בתוך חודש, עם אפשרות לשני חודשים נוספים בתנאים המוגדרים, ויש להודיע ליחיד בחודש הראשון על הארכה ועל הסיבות. אל תנסחו זאת מחדש ככלל אוניברסלי של 30 יום ואל תניחו שכל בקשה קשה מתירה עיכוב. בדקו זכויות, חריגים ונסיבות בפועל ושמרו החלטה מנומקת.

מחיקה אינה תמיד בלתי מותנית. החברה עשויה לשמור מידע מסוים בשל חובה משפטית או חריג חל אחר תוך עצירת שימושים לא קשורים. הסבירו את ההחלטה במדויק. אם לקוח מבקש למחוק חשבון, בדקו שירותים ומעבדים קשורים ולא רק הסתירו את החשבון בממשק. שמרו רישום מספיק להוכחת המענה בלי לשמור עותקים מיותרים של כל שנמחק.

בנו תגובה לדליפה לפני האירוע הראשון

דליפת מידע אישי יכולה לפגוע בסודיות, בשלמות או בזמינות; היא אינה מוגבלת למסד נתונים שנחשף לציבור. קובץ מצורף שנשלח לכתובת שגויה, מכשיר שאבד או רישומים שאינם זמינים עשויים לדרוש בדיקה. מדריך EDPB לדליפות מסביר חובות הודעה של בעל שליטה וחובת מעבד ליידע אותו ללא דיחוי בלתי מוצדק. קבעו נתיב הסלמה פנימי העובד גם מחוץ לשעות הרגילות של המייסד.

סעיף 33 מחייב הודעה לרשות המפקחת הרלוונטית ללא דיחוי בלתי מוצדק וככל שניתן תוך 72 שעות מרגע הידיעה, אלא אם לא סביר שהדליפה תיצור סיכון לזכויות ולחירויות יחידים. איחור בהודעה מחייב נימוקים. סעיף 34 עוסק בנפרד בהודעה ליחידים שנפגעו כאשר קיים סיכון גבוה, בכפוף לתנאיו ולחריגיו. לא כל אירוע טכני יוצר אותה חובת הודעה.

תעדו עובדות, זמן ידיעה, מידע שהושפע, השלכות סבירות, פעולות בלימה ובדיקת חובת הודעה. אל תמתינו לדוח פורנזי מושלם לפני בדיקת חובה מוגבלת בזמן. שמרו ראיות מועילות ותאמו תגובה טכנית, משפטית וניהולית. יומן אירועים צריך לכלול גם נימוקים להחלטה שאין חובת הודעה. תרגלו בתרחיש מציאותי כדי שהאירוע האמיתי הראשון לא יהיה גם הפעם הראשונה שמחפשים את רשימת הקשר.

בדקו רישומים, DPO ועיבוד בסיכון גבוה

מספר עובדים קטן אינו יוצר פטור כללי מ-GDPR. החריג לחובת רישום בסעיף 30 לגבי ארגונים עם פחות מ-250 עובדים כפוף לתנאים חשובים, לרבות עיבוד שאינו מזדמן, סיכון רלוונטי וסוגי מידע מסוימים. אין לפטור עיבוד שוטף של לקוחות או עובדים רק כי החברה צעירה. נהלו מצאי שימושי ובדקו דרישות רישום חוקיות מסוימות.

ממונה הגנת מידע אינו חובה אוטומטית לכל חברה בקפריסין. סעיף 37 מונה מצבים הכוללים עיבוד רלוונטי בגוף ציבורי ופעילות ליבה מסוימת של ניטור נרחב או עיבוד רחב של מידע רגיש מוגדר. בדקו פעילות בפועל, עצמאות וניגודי עניינים. מתן תואר ״DPO״ למייסד בלי בדיקת התפקיד והניגודים אינו תחליף להערכה.

כאשר עיבוד צפוי ליצור סיכון גבוה, בדקו צורך בהערכת השפעה על הגנת מידע לפי סעיף 35 לפני יישום. דוגמאות הדורשות בחינה כוללות ניטור נרחב, מידע רגיש או עיבוד חדש בעל השפעות משמעותיות על יחידים. אל תראו ברשימת סיכונים רגילה הערכת DPIA שהושלמה אוטומטית. קבלו ייעוץ מוסמך ובדקו הנחיות ורשימות רלוונטיות של הרשות המוסמכת.

בצעו בדיקת יישום מעשית לחברת הזנק

קחו חברה לדוגמה עם טופס פנייה, מוצר מתארח, שני עובדים ורואה חשבון חיצוני. בבדיקתה הראשונה היא ממפה כל זרימה ומפרידה בין עיבוד במוצר לרישומי העובדים והמכירות שלה. אחר כך היא מתאימה הודעות, חוזים והרשאות לזרימות. זו דוגמת תכנון, לא קביעה שכל חברות בעלות פרופיל זה חייבות באותן חובות בדיוק.

• מנו אחראי למצאי המידע ולשאלות הפתוחות.
• בדקו מטרות, בסיסים חוקיים, שדות נחוצים והודעות לפי קהל.
• בדקו מעבדים, העברות, תפקידי גישה והגדרות אבטחה בפועל.
• קבעו הליכי שמירה ובקשות זכויות שהצוות מסוגל לבצע.
• הכינו הסלמת אירועים ובדקו דרישות DPO, רישומים ו-DPIA.
• שמרו ראיות להחלטות ובדקו שינויים לפני הוספת עיבוד חדש.

כללו אחריויות אלו במסירה לאחר ההתאגדות, עם בעלים ופעולות הבאות. בדקו פרטיות כשהחברה מגייסת, מחליפה ספקים או משיקה תכונה חדשה, לא רק בעדכון אתר. התוצאה השימושית היא תהליך תפעולי המתאים לעסק, נתמך במסמכים מדויקים וכולל נתיב ברור לבדיקה מקצועית כשהעובדות מחייבות.