Вътрешен GDPR одит — методология за екипи по съответствие преди КЗЛД да дойде

Външният GDPR одит от консултант ви дава снимка веднъж годишно. Вътрешният одит ви позволява да следите съответствието постоянно — и да поправите грешки преди КЗЛД да дойде. По чл. 5, ал. 2 GDPR администраторът трябва да може да докаже спазването. По ISO/IEC 27701:2019 — стандартът за системи за управление на лични данни (Privacy Information Management Systems) — има структурирана методология за такъв одит. Това ръководство дава практически модел: четирите фази на одитния цикъл, осемте ключови области за покриване, разпределение на ролите и шаблон за доклад към ръководството. За длъжностни лица по защита на данните, вътрешен одит и директори по съответствие в големи компании.

Защо е нужен вътрешен одит, а не само външен?

Директен отговор: Външният одит дава независимост и експертиза, но е скъп и се прави веднъж годишно, което оставя пропуски в наблюдението между два одита. Вътрешният одит е по-чест, по-евтин и по-дълбок, защото екипът познава процесите, и открива проблемите превантивно. Двата се допълват, а не се заместват.

Външният GDPR одит (от външен консултант) има две предимства: независимост и експертиза. Но има и две сериозни ограничения:

• Времева ограниченост — обикновено веднъж годишно, понякога на 2 години. Между одитите имате „пропуски в наблюдението".
• Разход — пълен външен одит за голяма компания струва EUR 15 000 – 50 000. Това ограничава честотата.

Вътрешният одит запълва тези пропуски. Той е:

• По-чест — обикновено годишен пълен + тримесечни целеви
• По-евтин — основно вътрешни ресурси
• По-дълбок — вътрешният екип познава процесите и системите
• Превантивен — открива проблеми преди да са се превърнали в инциденти

На какво правно основание стъпва вътрешният одит?

Директен отговор: Изрично задължение за вътрешен одит в GDPR няма. То произтича косвено от принципа за отчетност по чл. 5, ал. 2, от задължението по чл. 24 мерките да се проверяват и актуализират, от чл. 32, ал. 1, б. „г" за редовно тестване на ефективността и от чл. 39, ал. 1, б. „б" — наблюдение на съответствието от длъжностното лице.

Изричното задължение за вътрешен одит не е в GDPR — но косвено произтича от няколко източника:

Кои са трите вида GDPR одит?

Директен отговор: Вътрешен одит — самооценка и превенция, извършван от функцията „Вътрешен одит“, длъжностното лице или екипа по съответствие, със средна тежест пред КЗЛД. Външен одит — независимо потвърждение от консултант или сертифициращ орган, с най-висока тежест. Compliance review — бърз преглед при конкретно събитие, обикновено вътрешен документ.

Не всички одити са еднакви. В практиката по съответствие има три различни типа, всеки с различна цел и обхват:

Кои са четирите фази на одитния цикъл?

Директен отговор: Планиране — обхват, рискови приоритети и писмен план, одобрен от ръководството. Изпълнение — преглед на документация, интервюта и тестове на контроли, с работни листи и констатации. Доклад — констатации по риск с препоръки, срокове и отговорници. Проследяване — потвърждаване, че препоръките са изпълнени, с тримесечни прегледи.

Стандартният одитен цикъл, базиран на ISO 27701 и общоприетите стандарти на Института на вътрешните одитори (IIA), и по-специално International Standards for the Professional Practice of Internal Auditing, има четири фази:

Кои са осемте ключови области за одит?

Директен отговор: Регистърът на дейностите по чл. 30, правните основания и съгласията по чл. 6 и 9, договорите за обработване по чл. 28, оценките на въздействието по чл. 35, техническите и организационните мерки по чл. 32, правата на субектите по чл. 12-22, нарушенията на сигурността по чл. 33-34 и длъжностното лице и обучението по чл. 37-39.

Минималното покритие на GDPR одит трябва да включва осем ключови области:

Допълнителни области за специфични сектори

• Международни трансфери (чл. 44-49) — за компании с глобална активност
• AI системи (чл. 22 GDPR + AI Act) — за компании с AI инструменти
• Видеонаблюдение и мониторинг на служители — за компании с работни помещения, кол-центрове
• Бисквитки и онлайн проследяване — за уебсайт и мобилни приложения
• Whistleblowing канал — за компании 50+ служители

Как се разпределят ролите при вътрешния одит?

Директен отговор: Зависи от размера. В малка и средна компания одитът се изпълнява от длъжностното лице по защита на данните с външна помощ, а отговорността носи директорът по съответствие. В голяма компания изпълнител е независимата функция „Вътрешен одит“, отговорност носи главният директор по нормативно съответствие, а одитният комитет се информира.

Зависи от размера на компанията. По модела RACI (Responsible, Accountable, Consulted, Informed):

Шаблон за доклад към ръководството

Директен отговор: Докладът съдържа изпълнително резюме от една-две страници за борда, обхват и методология, констатации по всяка от осемте ключови области с оценка на риска, препоръки с отговорник, срок и очакван разход, сравнение с предишния одит и приложения с доказателствата и работните листи.

Качественият доклад от вътрешен GDPR одит е защитен документ — представя се пред ръководството, одитен комитет, при необходимост пред КЗЛД. Минимална структура:

Контролен списък за директора по съответствие

Директен отговор: Директорът по съответствие следи да са налице документирана политика за вътрешен одит, годишен план, основан на риска, назначен независим одитор, различен от длъжностното лице, стандартизирана методология и шаблони, регистър на констатациите с отговорници и срокове, тримесечни прегледи и годишен доклад до одитния комитет.

• Документирана политика за вътрешен GDPR одит, приета със заповед на управителния орган; преглед на 12 месеца;
• Годишен план на одита с обхват и приоритетни области, основан на оценка на риска; одобрен от одитния комитет до края на първото тримесечие;
• Назначен независим вътрешен одитор, различен от длъжностното лице по защита на данните, без подчиненост към одитираните функции;
• Бюджет за одита — заделено време и средства за външна експертиза при нужда; одобрен заедно с годишния план;
• Стандартизирана методология (ISO/IEC 27701:2019 или собствена методологична рамка), документирана и поддържана;
• Шаблони за работни листи по осемте ключови области, актуализирани при законодателни промени;
• Процедура за интервюта с ключови служители — въпросници, протоколи, подписи на интервюираните;
• Процедура за тестване на контролите чрез извадка — критерии за подбор, размер на извадката, документиране на резултатите;
• Шаблон за доклад до ръководството (изпълнително резюме + констатации + препоръки + срокове);
• Регистър на констатациите с отговорни лица, срокове и статус; поддържа се от длъжностното лице по защита на данните;
• Тримесечни прегледи на статуса на изпълнението на препоръките, докладвани до одитния комитет;
• Годишен доклад до одитния комитет или до управителния съвет — задължителен;
• Архив на одитните доклади за минимум пет години (давност за административна отговорност по ЗАНН);
• Координация с външния одит — взаимно признаване на доказателства, недопускане на дублиране;
• План за реакция при значими констатации — отговорници: ДЛЗД и Главен директор по нормативно съответствие; документ: писмен протокол с мерки и срокове; уведомяване на управителния орган в седемдневен срок.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова разработват методологии за вътрешен GDPR одит, провеждат външни одити и обучават екип по съответствие в над 90 български компании — банки, телекоми, технологични фирми и държавни органи.