Văn phòng đại diện của EU & GDPR

Tuần 1 · một buổi trò chuyện kéo dài một giờ

Chúng tôi sẽ bắt đầu bằng một cuộc trò chuyện và một cuộc kiểm tra sơ bộ. Quý vị có xử lý dữ liệu cá nhân của những người thuộc Liên minh Châu Âu (EU) hay không, và nếu có: đó là những loại dữ liệu nào, với mục đích gì và thông qua những hệ thống nào? Chúng tôi sẽ rà soát trang web, các kênh bán hàng và các công cụ chính của quý vị, đồng thời đối chiếu với Điều 3 của GDPR — điều khoản quy định liệu luật này có áp dụng cho quý vị hay không.

Khi kết thúc giai đoạn này, bạn sẽ biết được ba điều: liệu Điều 27 có bắt buộc bạn phải chỉ định một đại diện hay không, liệu bạn có cần thêm một cán bộ bảo vệ dữ liệu hay không, và rủi ro lớn nhất của bạn nằm ở đâu. Đôi khi câu trả lời là “ít hơn bạn nghĩ”. Chúng tôi cũng sẽ nói như vậy, và mọi chuyện sẽ dừng lại ở đây.

Tuần 2 đến tuần 3 · Chúng ta bắt tay vào công việc, kèm theo hai cuộc gọi ngắn giữa chừng

Bây giờ chúng ta sẽ phác thảo những gì thực sự đang diễn ra. Hệ thống nào chứa dữ liệu nào, dữ liệu đó được lưu trữ ở đâu về mặt vật lý, ai có quyền truy cập, thời gian lưu trữ là bao lâu và cơ sở pháp lý nào để xử lý dữ liệu đó. Không phải sơ đồ tổ chức — mà là các luồng dữ liệu thực tế, bao gồm bộ phận hỗ trợ khách hàng, hệ thống phân tích, nền tảng tiếp thị và cả ổ đĩa chia sẻ mà chẳng ai còn để ý đến nữa.

Để làm điều đó, chúng tôi sẽ phỏng vấn người phụ trách CNTT của quý công ty, một người từ bộ phận tiếp thị và một người từ bộ phận bán hàng hoặc hỗ trợ khách hàng. Ba người này khi làm việc cùng nhau thường nắm rõ mọi thứ; còn nếu tách riêng ra, không ai có thể nắm được toàn bộ bức tranh.

Có hai vấn đề gần như luôn được phát hiện ở đây: ít nhất một trường hợp chuyển giao dữ liệu ra ngoài châu Âu mà không ai để ý đến, và ít nhất một trường hợp xử lý dữ liệu dựa trên “sự đồng ý” trong khi thực tế có cơ sở pháp lý phù hợp hơn. Bạn sẽ nhận được sổ đăng ký xử lý dữ liệu và sơ đồ luồng dữ liệu để có thể xuất trình.

Tuần 3 đến tuần 4

Các thủ tục giấy tờ, hoàn tất một lần là xong. Chúng tôi sẽ soạn thảo văn bản ủy quyền bằng văn bản, qua đó bạn chỉ định chúng tôi làm đại diện của bạn tại Liên minh, đồng thời cung cấp nội dung và thông tin liên lạc để bạn đưa vào tuyên bố bảo mật của mình — bởi vì một sự chỉ định không được công bố công khai ở bất kỳ đâu sẽ không có giá trị.

Bên cạnh đó, chúng tôi sẽ hoàn thiện các thủ tục liên quan: soạn lại tuyên bố bảo mật của quý vị dựa trên các cơ sở pháp lý của giai đoạn 2, các thỏa thuận xử lý dữ liệu với các nhà cung cấp của quý vị, và khi cần thiết, các điều khoản hợp đồng mẫu kèm theo đánh giá tác động chuyển giao dữ liệu đối với các trường hợp chuyển giao dữ liệu ra ngoài EU.

Nếu quý vị làm việc với một luật sư, chúng tôi sẽ cung cấp hồ sơ theo cách mà luật sư đó chỉ cần xem qua thay vì phải tự lập hồ sơ từ đầu. Điều này thường giúp quý vị tiết kiệm được một khoản gấp nhiều lần so với chi phí của chúng tôi.

Tuần 5 đến 6

Những tài liệu mà không ai biết đến thì không thể mang lại sự bảo vệ. Chính vì vậy, chúng ta sẽ kết thúc bằng phần thực sự tạo nên sự khác biệt trong thực tiễn.

Chúng tôi triển khai các biện pháp kỹ thuật được xác định từ giai đoạn 2 — thời hạn lưu trữ, quyền truy cập, dịch vụ lưu trữ tại châu Âu hoặc theo dõi bên thứ nhất khi cần thiết. Chúng tôi soạn thảo quy trình ứng phó sự cố rò rỉ dữ liệu, bao gồm thời hạn 72 giờ, các kênh liên hệ với cơ quan giám sát có thẩm quyền và phân công nhiệm vụ cụ thể cho từng người. Ngoài ra, chúng tôi sẽ tổ chức khóa đào tạo nửa ngày cho đội ngũ của bạn: rò rỉ dữ liệu là gì, cách nhận diện yêu cầu từ chủ thể dữ liệu, và cách xử lý email khi có người yêu cầu truy cập dữ liệu cá nhân của họ.

Khóa đào tạo này được thiết kế có chủ đích theo hướng thực tiễn. Không có văn bản pháp luật — chỉ có những tình huống mà các bạn thực sự gặp phải.

Liên tục

Từ đây trở đi, vai trò này sẽ tự vận hành. Chúng tôi là đầu mối liên hệ được nêu trong tuyên bố bảo mật của bạn, chúng tôi tiếp nhận các yêu cầu từ các bên liên quan và theo dõi các mốc thời gian, chúng tôi cập nhật sổ đăng ký xử lý dữ liệu, và chúng tôi là số điện thoại bạn cần gọi khi có sự cố xảy ra.

Mỗi năm một lần, chúng ta lại cùng nhau ngồi lại: những công cụ mới nào đã được bổ sung, những thị trường nào, những dữ liệu nào. Quyền riêng tư không bao giờ hết hạn, nhưng doanh nghiệp của bạn thì luôn thay đổi — và hầu hết các vấn đề mà chúng ta gặp phải đều nảy sinh trong hai năm sau khi một dự án tuân thủ thành công được triển khai.