Ochrona danych osobowych i funkcja Inspektora

Dokumentacja RODO w wielu firmach powstała jednorazowo w 2018 roku i od tego czasu nie była aktualizowana. Tymczasem zmieniły się systemy informatyczne, dostawcy usług i zakres przetwarzanych danych. Prace obejmują doprowadzenie dokumentacji do stanu zgodnego z rzeczywistością oraz stały nadzór.

Firma bez dokumentacji

Brak rejestru czynności przetwarzania, umów powierzenia lub upoważnień dla pracowników.

Firma z dokumentacją nieaktualną

Dokumenty opracowane kilka lat temu, nieuwzględniające obecnych systemów i dostawców usług.

Firma potrzebująca Inspektora

Podmioty zobowiązane do wyznaczenia IOD lub takie, które chcą powierzyć tę funkcję na zewnątrz.

Rejestr czynności przetwarzania

Wykaz procesów przetwarzania danych wraz z celami, podstawami prawnymi, kategoriami danych i okresami przechowywania.

Analiza ryzyka

Ocena ryzyka dla praw i wolności osób, a w uzasadnionych przypadkach ocena skutków dla ochrony danych.

Umowy powierzenia

Weryfikacja umów z dostawcami usług oraz przygotowanie brakujących umów powierzenia przetwarzania.

Procedury i upoważnienia

Procedura obsługi żądań osób, procedura postępowania w przypadku naruszenia oraz upoważnienia dla pracowników.

Szkolenia pracowników

Szkolenie prowadzone na przykładach z firmy, wraz z listą obecności i materiałami.

Stały nadzór

Okresowe przeglądy zgodności, aktualizacje dokumentacji oraz bieżące konsultacje.

Przegląd zgodności

Ustalenie, jakie dane firma przetwarza, w jakich systemach i na jakiej podstawie.

Rezultat

Opracowanie dokumentacji

Powstaje rejestr, procedury, umowy powierzenia i upoważnienia.

Rezultat

Szkolenie i wdrożenie

Przeszkolenie pracowników oraz przekazanie zasad postępowania.

Rezultat

Nadzór bieżący

Pełnienie funkcji IOD lub wsparcie osoby wyznaczonej w firmie.

Rezultat

Pytanie: Czy każda firma musi wyznaczyć Inspektora Ochrony Danych?

Nie. Obowiązek dotyczy organów publicznych oraz podmiotów, których podstawowa działalność polega na monitorowaniu osób na dużą skalę albo przetwarzaniu na dużą skalę danych szczególnych kategorii. Pozostałe podmioty mogą wyznaczyć Inspektora dobrowolnie.

Pytanie: Czy dokumentacja z 2018 roku wymaga wymiany?

Zwykle nie w całości. Rejestr czynności przetwarzania niemal zawsze wymaga przebudowy, ponieważ zmieniły się systemy i dostawcy. Część procedur pozostaje aktualna po korekcie.

Pytanie: Co zrobić w przypadku naruszenia ochrony danych?

Naruszenie należy ocenić pod kątem ryzyka dla osób, których dane dotyczą, i w uzasadnionych przypadkach zgłosić organowi nadzorczemu w terminie 72 godzin. Procedura opisująca ten tryb wraz z formularzami wchodzi w zakres opracowywanej dokumentacji.