RODO: Monitorowanie zgodności przetwarzania danych z przepisami o ochronie danych osobowych
Zaznaczam to zawsze na szkoleniach, a także myślę, że na moim blogu, że najważniejszym, podstawowym obowiązkiem inspektora jest przeprowadzanie audytów. W tym momencie powołując się na przepisy RODO osoba, która zaczyna w zawodzie IOD, może mieć wiele wątpliwości, w jaki sposób powinna ten audyt przeprowadzać.
Od czego zacząć
Osobiście uważam, że warto wrócić do starych, sprawdzonych rozwiązań, jak uchylone rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji, opisano krok po kroku jak dawny inspektor, czyli administrator bezpieczeństwa informacji, które określa w jaki sposób dawny inspektor, czyli ABI powinien prowadzić sprawdzenia zgodności przetwarzania danych osobowych z przepisami. To rozporządzenie lubię szczególnie, ze względu na to, że pojawiły się w nim wytyczne, jak powinno być skonstruowane sprawozdanie ze sprawdzenia prowadzonego przez ABI. Osoby, które zajmują się ochroną danych osobowych od czasów „sprzed RODO” bardzo często kontynuują swoje działania związane z przeprowadzeniem sprawdzeń na takich samych zasadach, jak to robiły zanim nowe przepisy weszły w życie. Przyczyna jest bardzo prosta, stare rozwiązania są logiczne, dobrze się sprawdzają, zostały już wypróbowane i łatwo jest uzasadnić, dlaczego w dalszym ciągu się je stosuje, tzn. były i są częścią dokumentacji ochrony danych osobowych i procedur związanych z ochroną danych osobowych u wielu administratorów. Dzisiaj skupiam się na innym temacie, czyli przygotowaniu do przeprowadzenia sprawdzenia. Sprawdzenia zgodności przetwarzania danych z przepisami możemy podzielić na dwa rodzaje, planowane i doraźne. Planowane to są te, które inspektor przeprowadza regularnie według wcześniej ustalonego planu. Doraźne sprawdzenia są realizowane, jeżeli jest podejrzenie naruszenia ochrony danych osobowych lub administrator danych wyraźnie prosi inspektora, aby dokonał audytu w określonym obszarze. Przygotowując plan audytu inspektor powinien zastanowić się nad tym ile ma czasu na jego realizację, uwzględniając czas niezbędny na opracowanie sprawozdania. Im więcej elementów będzie chciał sprawdzić, tym więcej czasu mu to zajmie. Read More