Jak często należy przeprowadzać analizę ryzyka?

Jeden z czytelników bloga zapytał, z jaką częstotliwością należy robić analizę ryzykę przetwarzania danych osobowych w niedużej firmie usługowej. Na to pytanie, nie ma jednoznacznie poprawnej odpowiedzi. Prawda jest taka, że tylko od Was zależy jak często będziecie to robić, bo żaden przepis o ochronie danych nie obliguje administratora danych do przeprowadzania analizy ryzyka z określoną częstotliwością (*jednak należy pamiętać, że mogą być przepisy sektorowe, odnoszące się nie bezpośrednio do ochrony danych, a do bezpieczeństwa informacji, które nakładają obowiązek przeprowadzania analizy ryzyka dla bezpieczeństwa informacji, np. raz do roku).
W analizie ryzyka istotne jest to, że musi ona stanowić punkt wyjścia do doboru odpowiednich środków technicznych i organizacyjnych ochrony danych (art 32 RODO). I w zasadzie dopóki jest dobrze, to jest dobrze. Oznacz to, że dopóki nie ma u nas naruszenia, można powiedzieć że nic nie musimy robić, bo wszystko działa prawidłowo i nikt nam nie może nam zarzucić, że coś zrobiliśmy źle.
Read More