FAQ

Nawet osoby prowadzące jednoosobową działalność gospodarczą są zobowiązane do przestrzegania RODO, jeżeli w trakcie jej prowadzenia dochodzi do przetwarzania danych osobowych, np. wystawianie faktur na osoby fizyczne lub prowadzące jednoosobową działalność czy kontakt z Klientem i realizacja zamówień przez niego składanych.

Art. 37 RODO wskazuje na obowiązek wyznaczenia Inspektora Ochrony Danych (IOD) w następujących przypadkach:

• Przetwarzania dokonują organ lub podmiot publiczny,
• Główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę,
• Główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych albo danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Pozostałe podmioty dokonują weryfikacji zasadności powołania IOD, która pozwoli określić ewentualną potrzebę wyznaczenia IOD.

Zgodnie z art. 10 ust. 6 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych jedynym sposobem zawiadomienia o wyznaczeniu IOD jest zawiadomienie w postaci elektronicznej, opatrzone kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.

Zawiadomienia dokonuje się poprzez stronę internetową www.uodo.gov.pl

Od maja 2018 r. nie obowiązuje już rozporządzenie MSWiA do ustawy o ochronie danych osobowych, z którego wynikał obowiązek prowadzenia Polityki bezpieczeństwa i Instrukcji zarządzania systemem informatycznym.

Warto zaznaczyć, że dotychczasowa dokumentacja prowadzona przez administratora nie traci całkowicie na znaczeniu po rozpoczęciu stosowania RODO, a także że może stanowić bazę do wdrożenia nowych dokumentów pod warunkiem jej zaktualizowania i uzupełnienia o obowiązki wynikające z RODO.

Zgodnie z art. 24 RODO administrator, biorąc pod uwagę m.in. zakres, kontekst, cele i ryzyko związane z przetwarzaniem danych, wdraża odpowiednie polityki ochrony danych. RODO nie podaje dokładnych metod opracowania dokumentów ani gotowych wzorów, które należy zastosować.

Należy pamiętać, że każda dokumentacja musi być dostosowana do potrzeb i specyfiki danego administratora. Co do zasady dokumentacja powinna zawierać minimalne wymagania niezbędne dla zapewnienia bezpieczeństwa, a administrator powinien móc wykazać w niej, że zastosowane środki są adekwatne do rodzaju i zakresu danych jakie przetwarza.

Każda osoba mająca dostęp do danych osobowych może przetwarzać je wyłącznie na polecenie administratora. Administrator może powierzyć przetwarzanie danych tylko osobie, która posiada odpowiednią wiedzę z tego zakresu.

W związku z odpowiedzialnością jaka ciąży na administratorze w momencie nadania upoważnienia dla takiej osoby, ważne jest aby zapewnił on swoim pracownikom odpowiednią wiedzę z zakresu przetwarzania danych osobowych.

Jako Niepubliczna Placówka Kształcenia Ustawicznego jesteśmy uprawnieni do wystawienia dla każdego uczestnika szkolenia zaświadczenia na drukach według wzorów zgodnie z wytycznymi wynikającymi z Rozporządzenia Ministra Edukacji Narodowej (Dz. U. 2017 poz. 1632 §18 ust. 2). Dzięki temu administrator uzyskuje potwierdzenie, że zapewnił szkolenie dla każdej osoby dopuszczonej przez niego do przetwarzania danych osobowych.

W przypadku powierzenia danych innemu podmiotowi administrator, zgodnie z art. 28 RODO, jest zobowiązany zawrzeć z nim umowę powierzenia danych. Do tego rodzaju sytuacji dochodzi w przypadku outsourcingu, np. usług księgowych, usług kadrowych, BHP, procesów rekrutacyjnych, usług informatycznych.

Tak, ale pod pewnymi warunkami.

Stosowanie monitoringu musi być zgodne m. in. z wytycznymi:

• rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE,
• ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2018 poz. 1000),
• ustawy z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (Dz. U Nr 114, poz. 740 z późn. zm),
• Kodeksu pracy – w przypadku monitoringu wizyjnego prowadzonego przez pracodawcę.

W związku z wejściem w życie RODO każdy administrator powinien przeanalizować dotychczasowe zasady na jakich działa u niego monitoring wizyjny. Dobrą praktyką stosowaną przez administratorów jest wprowadzenie regulaminu monitoringu wizyjnego, jako jednej z polityk ochrony danych, aby udokumentować nadzór nad przestrzeganiem praw osób widocznych na nagraniach z monitoringu

Zatrudnienie firmy zewnętrznej nigdy nie zwalnia administratora z pewnych obowiązków. Nawet jeżeli przy pomocy podmiotu zewnętrznego opracował i wdrożył polityki ochrony danych, to na nim ciąży odpowiedzialność za prawidłowe ich stosowanie. Niezbędne w tej kwestii wydaje się zdobycie przez administratora wiedzy z zakresu stosowania przepisów dotyczących przetwarzania danych osobowych, aby mógł sprawdzić w jakim stopniu firma której powierzył opracowanie dokumentów wywiązała się ze swojego zadania.

RODO dotyczy wszystkich podmiotów, które w związku z realizacją swoich obowiązków mają dostęp do danych osobowych osób fizycznych, czyli:

• Pracowników,
• zleceniobiorców,
• świadczeniobiorców,
• klientów,
• itp.

Nawet osoby prowadzące jednoosobową działalność gospodarczą są zobowiązane do przestrzegania RODO, jeżeli w trakcie jej prowadzenia dochodzi do przetwarzania danych osobowych, np. w związku z przyjmowaniem zamówień, kontaktem z Klientem, wystawianiem rachunków lub faktur na klientów indywidualnych czy osoby fizyczne prowadzące jednoosobową działalność.

Osoba działająca w imieniu administratora (osoba fizyczna prowadząca działalność gospodarczą, osoba kierująca podmiotem publicznym, zarząd spółki) jest odpowiedzialna za wdrożenie RODO, stosowanie przepisów o ochronie danych osobowych. Z naszego doświadczenia wynika, że osoby pełniące funkcje administratora nie zawsze w pełni świadome są swoich obowiązków, a czasem mimo świadomości trudno im wykorzystać wiedzę w praktyce. Dlatego, by ustrzec się przed konsekwencjami niestosowania prawa administrator powinien:

• systematycznie uczestniczyć w szkoleniach i kursach praktycznych,
• korzystać ze wsparcia specjalistów ds. ochrony danych osobowych,
• wyznaczyć Inspektora ochrony danych (koniecznie w podmiotach publicznych, medycznych i innych, zgodnie z przepisami i przeprowadzoną z uwzględnieniem specyfiku podmiotu analizą zasadności wyznaczenia IOD).

Trzeba pamiętać, że IOD nie powinien być osobą, która wyręcza administratora w realizacji zadań należących do administratora. Rolą IOD jest wpieranie administratora w przestrzeganiu i właściwym stosowaniu przepisów o ochronie danych osobowych, a nie realizowanie jego zadań.

W praktyce często administratorzy, zawierając z IOD umowy o pracę lub świadczenie usług, do zakresu ich zadań wpisują swoje obowiązki. Takie sytuacje wynikają albo z wygodnictwa, albo z błędnego postrzegania inspektora jako osoby, która jako specjalista z zakresu prawa o ochronie danych osobowych odpowiedzialna jest za wykonywanie obowiązków związanych z tymi przepisami.

Administratorzy, którzy wyznaczyli IOD czasem są w błędnym przekonaniu, że od teraz cała odpowiedzialność związana z RODO spada na IOD, podczas gdy z przepisów RODO wprost wynika, że odpowiedzialność za przestrzeganie prawa spoczywa na administratorze.

Każdy podmiot, który przetwarza dane osobowe musi przestrzegać zasad RODO, wdrożyć odpowiednią dokumentację i umieć wykazać realizację swoich obowiązków, zgodnie z zasadą rozliczalności.

W przepisach wprost jest mowa m.in. o obowiązku:

• prowadzenia Rejestru czynności przetwarzania i/lub Rejestru kategorii czynności przetwarzania,
• rejestrowania naruszeń ochrony danych osobowych,
• stosowania klauzul informacyjnych w poszczególnych procesach przetwarzania,
• dokonywania analizy ryzyka przy przetwarzaniu danych,
• wdrożenia odpowiednich polityk ochrony danych z uwzględnieniem m.in. zakresu, kontekstu, celów i ryzyka związanego z przetwarzaniem danych.

Nasi specjaliści badając potrzeby danego podmiotu określają, jakie dokumenty i w jakim zakresie powinny być opracowane i zastosowane, tak by móc wykazać zastosowanie środków ochrony danych osobowych.

RODO wprowadza zasadę podejścia do ochrony i bezpieczeństwa opartego na ryzyku.

Administrator zobowiązany jest do dokonania samodzielnej analizy pozwalającej na określenie stopnia ryzyka w konkretnym procesie przetwarzania danych. Ocena ryzyka powinna być zbadana z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania. RODO nie wskazuje jednej konkretnej metody szacowania ryzyka.

Do metodyk przeprowadzania procesu zarządzania ryzykiem często stosuje się wytyczne francuskiego regulatora CNIL lub techniki bezpieczeństwa zarządzania ryzykiem w bezpieczeństwie informacji zawarte w normie ISO/IEC 27005.Decyzja związana z wyborem metody należy do administratora, a to jaką metodę wybierze, może zależeć od struktury i wielkości podmiotu, możliwości technicznych i organizacyjnych, a także finansowych podmiotu.

Bez względu na wybór określonego sposobu szacowania ryzyka, najważniejsze jest, aby zastosowana metodyka pozwalała na rzetelną i obiektywną ocenę ryzyka.

Analiza ryzyka powinna być przeprowadzana w odniesieniu do czynności przetwarzania danych przy jednoczesnym uwzględnieniu takich operacji na danych, które to ryzyko generują. Z praktycznego punktu widzenia powinniśmy być w stanie przewidzieć, co może stać się z danymi przetwarzanymi w ramach konkretnej czynności. W następnej kolejności powinniśmy ocenić prawdopodobieństwo wystąpienia takiego zdarzenia oraz określić jakie będzie mieć to skutki dla osób, których dane dotyczą. Należy też określić jaki poziom ryzyka jest tolerowany.

RODO nie wskazuje konkretnych środków i procedur w zakresie bezpieczeństwa, jakie powinny zostać wdrożone przez administratora, bo ich wybór uzależniony jest od wyników przeprowadzonej oceny ryzyka.

Podejście oparte na ryzyku jest procesem ciągłym, wymaga regularności i uwzględniania zmian zachodzących w specyfice podmiotu, narzędzi wykorzystywanych do przetwarzania i postępu technologicznego.

Opracowane przez nas narzędzia do oceny ryzyka pozwalają na sprawne i profesjonalne przeprowadzenie analizy, a nasi specjaliści pomagają Klientom w jego skutecznym zastosowaniu.

Wszystkie dokumenty dla naszych Klientów opracowujemy na podstawie szczegółowych informacji zebranych podczas realizacji. Nie mamy w ofercie „gotowców”, a wszystkie zlecenia realizujemy indywidualnie. W celu opracowania dokumentacji „szytej na miarę” niezbędny jest kontakt z Zamawiającym: mailowy telefoniczny lub osobisty. Poznając specyfikę podmiotu i wykorzystując nasze wieloletnie doświadczenie przygotowujemy dokumenty zgodne z przepisami prawa i uwzględniające organizację wewnętrzną i potrzeby podmiotu.

Audyt zgodności z RODO to pierwszy krok do zapewnienia w podmiocie bezpieczeństwa w obszarze ochrony danych osobowych. Celem audytu jest oszacowanie stopnia realizacji obowiązków wynikających z przepisów RODO i ustawy o ochronie danych osobowych. Na jego podstawie przygotowujemy rozwiązania dostosowane do profilu firmy. Audyt obejmuje w szczególności:

• weryfikację wdrożonych procedur ochrony danych,
• weryfikację adekwatności, aktualności i zgodności ze specyfika dokumentacji wewnętrznej (polityki, regulaminy, rejestry, procedury, itp.),
• weryfikację adekwatności zastosowanych zabezpieczeń danych osobowych,
• doradztwo mające na celu dostosowanie się do wymogów w zakresie zasad przetwarzania i zabezpieczania danych osobowych zgodnie z przepisami.

Wdrożenie odpowiednich rozwiązań oraz dostosowanie poszczególnych procesów przetwarzania danych, pozwoli na.

Dokładna weryfikacja stanu faktycznego oraz obiektywna ocena spełnienie wszystkich obowiązków wynikających z RODO, zakończona jest szczegółowym raportem poaudytowym, który zawiera m.in. wykaz zaleceń.

Organizujemy szkolenie dla kadry zarządzającej i osób upoważnionych do przetwarzania danych osobowych dotyczące zasad przetwarzania i zabezpieczania danych osobowych zgodnie z obowiązującymi przepisami prawa z zakresu ochrony danych osobowych z uwzględnieniem wytycznych UODO oraz sprawdzonych praktyk.

Zakres szkolenia ustalany jest indywidualnie z Zamawiającym na podstawie „Ankiety potrzeb szkoleniowych”. Zależy nam, żeby informacje przedstawiane podczas szkolenia odpowiadały potrzebom uczestników i dostosowane były do branży oraz dotychczasowego poziomu wiedzy uczestników, tak by efekty szkoleniowe były jak najbardziej skuteczne.

Przygotowujemy też dla naszych Klientów szkolenia tematyczne, np. w zakresie:

• zasad legalnego przetwarzania danych osobowych,
• zasad RODO w komunikacji mailowej,
• bezpieczeństwa danych i zarządzania incydentami,
• ochrony danych osobowych na potrzeby realizacji pracy zdalnej.

Mimo, że wprost z przepisów obowiązek szkoleniowy nie wynika, to ważne są wytyczne Urzędu Ochrony Danych Osobowych, który wskazuje m.in., że: „Każdy pracownik danej organizacji powinien zostać przeszkolony i dobrze znać swoje zadania w zakresie ochrony danych osobowych. Tylko świadomi swoich obowiązków pracownicy będą mogli prawidłowo stosować obowiązujące ich procedury.”

Szkolenia z RODO są uznawane przez UODO za ważny element skutecznej ochrony danych, ponieważ administrator jest odpowiedzialny za „wdrożenie odpowiednich środków technicznych i organizacyjnych”, aby przetwarzanie odbywało się zgodnie z RODO. Administrator jest też zobowiązany do wykazania podjętych działań - w razie kontroli musi umieć udowodnić swoje działania na rzecz ochrony danych osobowych, np. przedstawiając dowody na realizację szkoleń (listy obecności, zaświadczenia, certyfikaty pracowników z odbytych szkoleń).

Udział w szkoleniu pozwala na poznanie sprawdzonych praktyk związanych z zasadami przetwarzania i zabezpieczania danych, a zdobycie wiedzy ograniczenia wystąpienie niebezpiecznych zdarzeń, a tym samym chroni administratora przed nieprzyjemnymi konsekwencjami wynikającymi z nieznajomości przepisów.

UODO rekomenduje by szkolenia z RODO odbywały się cyklicznie, najlepiej co roku.

W związku z odpowiedzialnością jaka ciąży na administratorze powinien on zadbać o własną wiedzę oraz regularnie organizować szkolenia dla osób upoważnionych do przetwarzania danych.

Realizujemy szkolenia w formie zdalnej lub stacjonarnej. Wybór formy zależy od Zamawiającego, a uzależniony jest od możliwości czasowych i organizacyjnych. Pomagamy w wyborze formy szkolenia uwzględniając specyfikę podmiotu, grupę i ilość uczestników oraz indywidualne preferencje, często wynikające z dotychczasowych doświadczeń szkoleniowych.

Spełniając oczekiwania Klientów w sprawie zakresu szkolenia określamy czas, jaki uczestnicy powinni zarezerwować na udział w szkoleniu.

Szkolenia stacjonarne cieszą się niezmienną popularnością – zajęcia są prowadzone w formie wykładu z prezentacją oraz dyskusją pozwalającą pobudzić aktywność uczestników.

Szkolenia online, np. w formie nagranej prezentacji doceniane są ze względu na ciekawy sposób przedstawienia omawianych zagadnień, brak dezorganizacji pracy i oszczędność czasu.

Szkolenie może być zakończone krótkim testem egzaminacyjnym weryfikującym zdobytą przez uczestników wiedzę, a dodatkowo możemy wystawić imienne zaświadczenia o ukończeniu szkolenia.

Organizujemy otwarte kursy dla Inspektorów ochrony danych , ale też indywidualne, w formie online lub stacjonarnej.

Zakres kursu ustalany jest w ogłoszeniu o kursie lub indywidualnie z Zamawiającym na podstawie „Ankiety potrzeb szkoleniowych”. Zależy nam, żeby informacje przedstawiane podczas kursu odpowiadały potrzebom uczestników i dostosowane były do branży, w której IOD pełni swoją funkcję. Uwzględniamy również dotychczasowy poziom wiedzy teoretycznej i praktycznej IOD, tak by efekty kursu były jak najbardziej skuteczne.

Potwierdzeniem zdobycia wiedzy i uczestnictwa w kursie jest krótki test weryfikujący zdobytą wiedzę oraz zaświadczenie o odbyciu kursu.

Administrator powinien realizować aktywną kontrolę nad przypadkami naruszeń

i podejrzeniami naruszeń oraz wprowadzić zasady pomagających w wykrywaniu
i właściwym reagowaniu na przypadki naruszania bezpieczeństwa danych.

W przypadku wystąpienia naruszenia należy postępować zgodnie z wewnętrzną procedurą reagowania na naruszenia (powinna obowiązywać w każdym podmiocie), a w szczególności trzeba:

• dokonać analizy przyczyn powstania incydentu,
• zbadać na czym polegało naruszenie,
• dążyć do minimalizacji skutków naruszenia,
• ocenić skutki incydentu w zakresie ryzyka naruszenia praw i wolności osób, których dane są przetwarzane,
• w zależności od wyniku oceny: zgłosić naruszenie do UODO, zawiadomić
  o naruszeniu osoby, których dane dotyczą.

Ważne: Na zgłoszenie naruszenia w UODO administrator ma tylko 72 godziny od powzięcia informacji o naruszeniu, więc wprowadzenie odpowiednich procedur dopiero po wystąpieniu naruszenia jest praktycznie niemożliwe, a o naruszeniach trzeba myśleć, zanim one wystąpią.

Dlatego pomagamy w przygotowaniu dokumentacji organizacyjnej i realizujemy szkolenia, które pomagają uchronić administratora przed naruszeniami i konsekwencjami z nimi związanymi.