תיקון 13 הוא חובה רציפה, לא שנתית

רוב תוכניות הפרטיות בנויות סביב נקודה בזמן: DPO עורך סקירה, מתעד את מצב הנתונים ומתייק אותו. הבעיה היא שהתנהלות הנתונים אינה עומדת במקום. מוקמות מערכות חדשות, נאספים מאגרי נתונים חדשים, הגישה משתנה, ותוך חודשים המצב המתועד והמצב האמיתי מתרחקים זה מזה. חוק הגנת הפרטיות ותקנות אבטחת המידע, שחוּדדו בתיקון 13, כתובים עבור המצב האמיתי.

היכן יושב הפער הטכני

ממונה הגנת הפרטיות (DPO) הוא תפקיד משפטי וארגוני. חלק גדול ממה שתיקון 13 מצפה לו כעת הוא טכני: לדעת היכן המידע האישי באמת נמצא, כיצד הוא מסווג, מי יכול להגיע אליו, ולהיות מסוגלים להראות זאת לפי דרישה. זה הפער שעבורו בנינו. המטרה אינה להחליף את שיקול הדעת של ה-DPO, אלא לתת לו תמונה עדכנית ומגובה בראיות לעבוד ממנה.

• מיפוי נתונים וסיווג. המידע האישי מאותר ומסווג לרוחב כלל המערכות, כך שלשאלה "איפה הוא ומי יכול לגעת בו" יש תשובה, לא הערכה.
• ניטור רציף. התנהלות הנתונים מנוטרת בין הסקירות, כך ששינוי שאינו בציות מתגלה כשהוא קורה, ולא בבדיקה השנתית הבאה.
• זכויות נושא המידע, מטופלות בזמן. בקשות עיון, תיקון ומחיקה נעקבות מול השעון הסטטוטורי, כך שהמועד נעמד משום שהוא גלוי.

ראיות, לא הצהרות

כשרגולטור או דירקטוריון שואלים כיצד אתם עומדים בחובה, התשובה המועילה היא תיעוד, לא הבטחה. ביקורת רציפה מייצרת את התיעוד הזה כתוצר לוואי של העבודה: תמונה עומדת של האופן שבו הטיפול של הארגון במידע האישי מתיישב עם מה שהחוק דורש, שנשמרת מעודכנת ולא מורכבת בשבוע שלפני שמבקשים אותה.

ה-DPO עדיין הבעלים של ההחלטות. מה שמשתנה הוא שההחלטות נשענות על מה שנכון היום, ושההוכחה כבר כתובה.