Інструкція з розроблення Політики інформаційної безпеки та роботи з персональними даними

Політика інформаційної безпеки та роботи з персональними даними є важливим інструментом захисту наявної в неприбутковій організації інформації про саму організацію, її бенефіціарів, працівників та інших залучених осіб. Вона гарантує захист даних, визначає обмежене коло осіб, які мають доступ до цих даних, регулює механізми захисту фізичних та електронних даних. Ця політика також регулює процедуру надання згоди на обробку та зберігання даних, адже жодні особисті дані не можуть бути зібрані без попередньої згоди.

Що ви знайдете в інструкції:

• Важливість та цілі політики: Пояснення, як політика захищає внутрішню документацію , регулює доступ до публічних документів , та забезпечує належну обробку та зберігання чутливої інформації (наприклад, про заробітну плату, паспортні дані, банківські реквізити). Особливий акцент зроблено на даних бенефіціарів, особливо вразливих категорій.

• Процес розроблення: Детальний покроковий опис підготовки, що включає аналіз специфіки діяльності організації, визначення груп осіб, з якими працює організація (працівники, волонтери, бенефіціари, партнери) , специфікацію типів інформації, що зберігається , та аналіз наявних способів зберігання даних (цифрових та паперових).

• Визначення потреб та ризиків: Наведені запитання для оцінки потенційних ризиків та потреб у посиленні інформаційної безпеки.

• Законодавчі вимоги та стандарти: Політика базується на Законах України «Про інформацію» та «Про захист персональних даних» , а також може враховувати міжнародні стандарти, такі як GDPR.

• Визначення відповідальних осіб: Опис формування кола відповідальних за політику осіб, включаючи призначення DPO (фахівця з інформаційної безпеки) для великих організацій , та обов'язки відповідальних осіб на всіх рівнях.

• Консультації з експертами: Рекомендації щодо залучення юристів, IT-фахівців та консультацій з донорами.

• Рекомендації щодо заповнення шаблону: Поради щодо адаптації шаблону під потреби організації, відповідності законодавству, зрозумілості мови та залучення фахівців для перевірки.

• Детальний розгляд розділів: Пояснення, що має міститися в кожному розділі політики: від титульної сторінки до шаблонів документів.

• Дії у випадку витоку даних: Алгоритм дій при виявленні витоку персональних даних для мінімізації ризиків та інформування постраждалих.

• Надання даних третім особам: Правила та обмеження щодо передачі персональних даних третім особам.

• Поширені запитання: Відповіді на типові запитання щодо чутливої інформації, використання кейсів бенефіціарів та передачі баз даних.