Пакетът включва цялостна система от вътрешни правила и процедури, касаещи събирането, обработването, съхранението, използването, предоставянето на трети лица, пренасянето и унищожаването на лични данни. За всяка конкретна фирма или институция се прави анализ на личните данни, които са необходими за дейността. След това се изработват вътрешни правила и процедури за всяко действие по обработването на тези данни. Целта е личните данни на потребителите, клиентите или служителите да бъдат под постоянен контрол. Във всеки един момент трябва да се знае кой отговаря за личните данни, какви права има обработващият данните и какви права имат субектите, предоставящи тези данни.

       Регламентът дава нови права на гражданите на Европа и в частност на България. Те създават нови задължения за фирмите и институциите, които обработват лични данни.

       Нашият пакет ще обвърже всяко действие по обработката на лични данни във вашата фирма или институция, с правила, отговарящи на изискванията на Регламента. В зависимост от сложността и процесите на обработка на лични данни при вас, броят на изготвяните документи може да варира, от 4-ри правилника и процедури (което е минимумът за покриване на изискванията), до десетки правилници и процесни описания, ако във вашата структура има вътрешни отдели, допълнително предоставяне на данни между ваши служители, постянен трансфер на данни към трети лица или страни т.н.

       Обща схема на обработката на лични данни (в зависимост от спецификата на дейността може да са необходими само част от тези пунктове за обработка на лични данни, или да са необходими много повече описани правила и процеси):

1. Какви лични данни събирате - Общи лични данни - например: име, адрес, мейл, IP адрес (ако имате сайт) и други

                                              - ЕГН

                                         - Чувствителни лични данни (при тях имаме много по-строг контрол и изсквания) - здравен статус (обработвате болнични листове на служители, например), етническа или религиозна принадлежност, членство в синдикални организации, политическа принадлежност и други

                                              - Лични данни на деца и лица под 18г. - те са под особено строг надзор.

2. Как придобивате тези данни

   -чрез информирано и изрично съгласие от субекта на лични данни (потребител, клиент...). Това е популярната декларация за обработка на лични данни. Тя в много случаи е излишна, ако се касае за обработка на лични данни по законово задължение или по изпълнение на договор.

   -по силата на договорни отношения (в този случай не се изисква допълнително съгласие, освен в случаите, в които ще използвате личните данни за дейности извън договорните задължения).

   -по силата на законово задължение (в този случай не се изисква допълнително съгласие, освен в случаите, в които ще използвате личните данни за дейности извън договорните задължения). Например вие сте къща за гости. По силата на Закона за туризма събирате личните данни на клиентите си - име, номер на лична карта, адрес. В този случай не се изисква допълнително съгласие от тях, защото вие имате законово задължение да обработите тези данни. В този случай нямате право да кохирате личната карта на клиента, но имате право да поискате личната карта за сравнение на данните. НО ако решите да вземете и имейл на клиента, за да го информирате за ваши промоции, това вече не е ваше законово задължение и за да вземете и обработите мейла на вашия гост, т.е. да го прибавите във вашата мейл листа, за да получава промоционалните новини, вие ще трябва да вземете изричното му писмено съгласие.

3. Къде се съхраняват придобитите лични данни

   - само в електронен вариант - трябва да имате изградена система за вътрешна сигурност и достъп до компютърната система, в която се съхраняват данните. Къде са данните? кой има достъп до тях? Каква е защитата? Това са нъпросите, на които трябва да имате отговор при проверка от КЗЛД

   - само в хартиен вариант - тогава личните данни, в съответните папки се съхраняват в заключен шкаф и трябва да има точни правила кой има достъп до него.

   - и на хартиен носител, и в електронен вариант. Задължително се изпълняват горепосочение изисквания

4. Как обработвате личните данни? - За какво ги ползвате? Какви действия извършвате с тях?

   Например това са ваши служители и вие предоставяте техните данни на счетоводна фирма, която документира ведомостите за заплати и превежда осигоровките. Или имате договор с фирма за Трудова медицина и т.н. На всеки въпрос трябва да имате разписан отговор със съответните правила. А с всяка външна фирма, на която предоставяте лични данни на ваши служители или клиенти трябва да имате изричен договор или анекс към съществуващия договор, който касае начинът на обработка на личните данни, които предоставяте.

5. За колко време съхранявате личните данни и как ги унищожавате след това.

    Регламентът изрично изисква събирането на минимум лични данни и съхраняването им за минимален период. Така че за всички лични данни, които събирате, трябва да определите максимално време на съхранение и след това каква е процедурата по тяхното унищожаване. Обърнете внимание, че по закон някои данни се съпраняват 50 години. Например данни на ваши служители на трудов договор. Други данни трябва унищожите след края на необходимостта от тяхното събиране. Например продавате стока, която е с гаранционен срок от 2 години и нямате извънгаранционни задължения след това. В този случай събраните лични данни от клиента трябва да се унищожат след приключване на двете години гаранционен срок.

6. Регламентът дава право на субектите на лични данни да подават искания и жалби до администратора на лични данни.

    Субектите могат да искат достъп до личните си данни, да искат да променят личните си данни, да искат да им бъдат предоставени личните им данни (ако се касае за копие на документи, например), и дори да искат личните им данни да бъдат изтрити (това е т.нар. "право да бъда забравен). За всяко от тези и други искания администраторът на лични данни трябва да има съответна бланка и вътрешни правила за обработка на искането. Как постъпва искането, на кого се предоставя за обработка. Какви могат да бъдат отговорите. Как се отговаря на жалбоподателя.

7. Ако извършвате видео наблюдение, независимо от какъв характер - наблюдение на пространства с клиенти, наблюдение на служители или паркинг, вие събирате чувствителни лични данни.

8. Ако имате сайт, то вие събирате и сериозен обем от електронни лични данни.

9. Ако имате онлайн магазин, вие обработвате данни на вашите клиенти.

   Трябва да имате описани процедури за всяко едно събиране на лични данни. Ако изпалзвате анонимизиране на лични данни (например потребителите имат право да се регистрират под псевдоним), то вие ще ползвате облекчен режим при обработката на лични данни. Той изисква отделен правилник.

10. Ако обработвате лични данни на деца...

    ПАКЕТЪТ "GDPR ОСНОВЕН" ВКЛЮЧВА ПОДРОБНО ОПИСАНИЕ НА ВСЯКА ЕДНА ОТ ТЕЗИ ПРОЦЕДУРИ, както и други, които биха се изисквали от спецификата на вашата дейност. Точните процедури, правилници и бланки се определят след анализ на вашата дейност и личните данни, които събирате-обработвате.

     За нас няма значение броят на вашите служители, а процесите, провилниците и процедурите, които трябва да опишат вътрешните отношения и задължения по обработването на личните данни.