BDAR dokumentai įmonei: kaina ir kas realiai privaloma
Rinkoje už tą patį dokumentų paketą prašoma nuo 31 iki 900 eurų. Skirtumas ne trisdešimtkartinis, todėl verta žinoti, už ką mokate ir ko pagal reglamentą iš jūsų apskritai reikalaujama.
Kai įmonė ieško BDAR dokumentų, ji greitai atsimuša į du kraštutinumus. Vienoje pusėje trisdešimt eurų kainuojantis šablonų archyvas, kurį reikia pačiam prisitaikyti. Kitoje pusėje septyni šimtai ir daugiau. Per vidurį beveik nieko.
Šitas puslapis paaiškina, kuo tie kraštutinumai skiriasi ir, svarbiausia, ką reglamentas iš jūsų iš tikrųjų reikalauja. Nes dalis to, ką rinka parduoda kaip privaloma, privaloma nėra, o dalis to, apie ką tylima, privaloma visiems.
Kiek ima rinka
| Kas | Kaina | Pastaba |
|---|---|---|
| Šablonų archyvas internete | apie 31 € | pritaikote patys |
| Formos | 450 € | paruošta su jūsų įmonės duomenimis |
| Progarantas, išplėstinis paketas | 699 € be PVM | e-parduotuvė, terminas 3–5 d. d. |
| DUO24, BDAR ir IT saugos paketas | 900 € | 15+ dokumentų |
Palyginimui, ta pati įmonė gaisrinės saugos dokumentus parduoda už 199 €, o civilinės saugos už 149 €. Tai rodo, kad septyni šimtai už BDAR nėra atsitiktinis skaičius: duomenų apsaugos paketas rinkoje kainuoja tris ar keturis kartus brangiau nei bet kuris kitas privalomas dokumentų komplektas.
Lengvata mažoms įmonėms, kuri beveik niekada nesuveikia
Čia dažniausia klaida, ir ji kartojama net konsultantų puslapiuose.
Reglamento 30 straipsnis įpareigoja tvarkyti duomenų tvarkymo veiklos įrašus. To paties straipsnio 5 dalis lyg ir daro išimtį mažiems. Bet perskaitykime, ką ji sako iš tikrųjų:
Pareigos <...> netaikomos įmonei arba organizacijai, kurioje dirba mažiau kaip 250 darbuotojų, išskyrus atvejus, kai dėl jos vykdomo duomenų tvarkymo gali kilti pavojus duomenų subjektų teisėms ir laisvėms, duomenų tvarkymas nėra nereguliarus arba duomenų tvarkymas apima specialių kategorijų asmens duomenis <...>
Atkreipkite dėmesį į vidurinę sąlygą. Dviguba neiginio konstrukcija reiškia paprastą dalyką: jei duomenis tvarkote reguliariai, lengvata jums netaikoma.
O reguliariai duomenis tvarko praktiškai kiekviena veikianti įmonė. Turite darbuotojų, vadinasi tvarkote jų duomenis kas mėnesį. Turite klientų sąrašą, užsakymus, sąskaitas, kamerą prie durų arba naujienlaiškį. Tai ir yra reguliarus tvarkymas.
Praktinė išvada: ta lengvata parašyta nereguliariems atvejams, pavyzdžiui vienkartinei akcijai. Įmonei, kuri dirba kasdien, ji nesuveikia beveik niekada, nors turi tik du darbuotojus.
Duomenų apsaugos pareigūno greičiausiai NEREIKIA
Čia priešinga klaida, ir ji kainuoja pinigus.
Pareigūnas privalomas tik trimis atvejais, ir 37 straipsnis juos išvardija baigtiniu sąrašu:
- duomenis tvarko valdžios institucija arba įstaiga;
- pagrindinė veikla yra tvarkymas, dėl kurio būtina **reguliariai ir sistemingai dideliu mastu
stebėti** duomenų subjektus;
- pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu.
Dviejose iš trijų sąlygų kartojasi žodžiai „pagrindinė veikla" ir „dideliu mastu". Jei jūsų verslas yra kirpykla, statybos ar elektroninė parduotuvė, duomenų tvarkymas nėra jūsų pagrindinė veikla, o mastas nėra didelis. Pareigūno jums nereikia.
Reglamentas leidžia jį paskirti savanoriškai. Bet paskyrus atsiranda pareiga jo kontaktus paskelbti ir pranešti priežiūros institucijai, o pats pareigūnas turi turėti dalykinę kompetenciją. Savanoriškas paskyrimas yra papildomas įsipareigojimas, ne apsauga.
Baudos: du skirtingi dydžiai, o ne vienas
Rinkoje visur cituojami dvidešimt milijonų. Tai netikslu, ir netikslumas veikia jūsų nenaudai, nes verčia pirkti iš baimės.
Reglamento 83 straipsnis skiria dvi pakopas:
| Pažeidimas | Bauda |
|---|---|
| Dokumentacijos ir saugumo pareigos (25–39 straipsniai, tarp jų ir veiklos įrašai) | iki 10 mln. € arba 2 % metinės pasaulinės apyvartos |
| Pagrindiniai tvarkymo principai, sutikimas, duomenų subjektų teisės | iki 20 mln. € arba 4 % apyvartos |
Tai, ką paprastai parduoda dokumentų paketas, yra pirmoji pakopa. Ir dar viena detalė, apie kurią retai kalbama: 83 straipsnio 3 dalis nustato, kad padarius kelis pažeidimus viena operacija bendra bauda nėra didesnė nei suma už rimčiausią pažeidimą. Baudos nesudedamos.
Du terminai, kuriuos reikia sugebėti atlaikyti
Dokumentai patys savaime nieko neapsaugo. Realiai patikrinama tada, kai kas nors atsitinka, o tada svarbu ne popierius, o ar suspėjate.
72 valandos. Įvykus duomenų saugumo pažeidimui apie jį reikia pranešti priežiūros institucijai „nepagrįstai nedelsiant ir, jei įmanoma, praėjus ne daugiau kaip per 72 valandas" nuo sužinojimo. Nespėjus prie pranešimo privaloma pridėti vėlavimo priežastis.
Vienas mėnuo. Gavus duomenų subjekto prašymą atsakyti reikia ne vėliau kaip per vieną mėnesį. Terminą galima pratęsti dar dviem mėnesiais dėl sudėtingumo, bet apie patį pratęsimą reikia informuoti per pirmą mėnesį, kartu nurodant priežastis. Tylėjimas mėnesį ir atsakymas antrą yra pažeidimas net tada, kai atsakymas geras.
Būtent todėl pakete svarbiausi ne politikos tekstai, o prašymų priėmimo tvarka ir pažeidimo registravimo forma. Tai vieninteliai du dokumentai, kurie realiai naudojami esant spaudimui.
Ką turi sudaryti paketas
- privatumo politika svetainėje ir vidaus duomenų apsaugos politika
- duomenų tvarkymo veiklos įrašai pagal 30 straipsnį, su tikslais, duomenų kategorijomis,
gavėjais ir saugojimo terminais
- duomenų subjektų prašymų priėmimo ir atsakymo tvarka su mėnesio terminu
- pažeidimų registravimo žurnalas ir pranešimo šablonas su 72 valandų taku
- darbuotojų informavimo dokumentai ir konfidencialumo pasižadėjimai
- sutikimų formos ten, kur sutikimas realiai reikalingas
- duomenų tvarkymo sutartis su paslaugų teikėjais, kurie jūsų duomenis mato
Jei paketas neturi veiklos įrašų su jūsų duomenų kategorijomis, tai ne paketas, o tekstų rinkinys. Įrašai yra vienintelis dokumentas, kurio šablonu užpildyti neįmanoma, nes jame surašyta tai, ką konkrečiai darote jūs.
Pats ar per mus
Pats. Trisdešimt eurų už šablonus plius jūsų laikas. Realiai sunkiausia dalis yra ne rašymas, o inventorius: išvardyti visas vietas, kur jūsų įmonėje guli žmonių duomenys. Šito už jus nepadarys joks šablonas.
Per mus. 450 €. Užpildote anketą, mes surašome veiklos įrašus pagal jūsų realią veiklą ir paruošiame visą paketą su jūsų įmonės duomenimis. Standartinis terminas trys darbo dienos.
Visos kainos ir skubos priemokos surašytos čia: kainos.
DUK
Ar mažai įmonei reikia BDAR dokumentų
Taip. 30 straipsnio lengvata įmonėms iki 250 darbuotojų netaikoma, jei duomenų tvarkymas yra reguliarus, o reguliarus jis yra beveik visose veikiančiose įmonėse.
Ar reikia skirti duomenų apsaugos pareigūną
Greičiausiai ne. Jis privalomas tik valdžios institucijoms arba kai duomenų stebėjimas dideliu mastu yra jūsų pagrindinė veikla. Paprastam verslui netaikoma.
Kokia bauda gresia už BDAR dokumentų neturėjimą
Dokumentacijos pareigos patenka į pirmąją pakopą: iki 10 mln. eurų arba 2 % pasaulinės apyvartos. Dvidešimt milijonų yra antroji pakopa, skirta pagrindinių tvarkymo principų pažeidimams.
Per kiek laiko reikia pranešti apie duomenų nutekėjimą
Nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo. Vėluojant prie pranešimo pridedamos vėlavimo priežastys.
Per kiek laiko reikia atsakyti žmogui, prašančiam jo duomenų
Per vieną mėnesį. Terminą galima pratęsti dar dviem mėnesiams, bet apie pratęsimą ir jo priežastis reikia pranešti dar per pirmą mėnesį.
Kiek kainuoja BDAR dokumentai Lietuvoje
Šablonai nuo 31 €, paruošti paketai rinkoje 450–900 €. Mūsų kaina 450 €.
Parašykite, ką reikia sutvarkyti
Atsakome tą pačią darbo dieną. Kainą ir terminą pasakome iš karto, be pokalbio telefonu ir be susitikimo.
Toliau viskas eina per mus. Jūsų pusėje lieka vienas paspaudimas Smart-ID, nes taip reikalauja įstatymas. Slaptažodžių neprašome niekada.