Rodo

Pamiętaj, że przetwarzanie danych osobowych to każde działanie wykonywane na danych osobowych. Już samo posiadanie danych osobowych w systemach informatycznych, jak i w formie papierowej, jest przetwarzaniem. Jeśli przetwarzasz dane osobowe, jesteś ich administratorem, a więc musisz zapewnić im bezpieczeństwo.

Zastanów się, czy na pewno nie przetwarzasz żadnych danych osobowych. W obecnych realiach naprawdę trudno jest prowadzić działalność w oderwaniu od przetwarzania danych osobowych, którymi są m.in. dane pracowników.

To bardzo dobrze! Wyodrębnienie procesów przetwarzania danych to podstawowa czynność przy dostosowaniu swojej działalności do wymogów związanych z ochroną danych osobowych.

Niedobrze. Powinieneś przeanalizować to, co robisz w ramach swojej działalności gospodarczej i  jakie podejmowane przez Ciebie czynności wymagają korzystania z danych osobowych. Prawidłowe ustalenie procesów przetwarzania danych osobowych pozwoli Ci także uporządkować te procesy i pomoże w ustaleniu, jakiego rodzaju dane są przetwarzane, w jakim celu, gdzie są przesyłane etc.

Zapewne udało Ci się wyodrębnić procesy, ale nie masz pewności co do podstaw przetwarzania danych w każdym z nich, bądź też nie jesteś pewien co do tego, czy dokonałeś tego prawidłowo. Wyodrębnienie procesów przetwarzania może stanowić punkt wyjścia przy wdrażaniu przepisów regulujących ochronę danych osobowych. Dlatego dokonaj ponownie inwentaryzacji danych, zobacz jakie dane przetwarzasz i pogrupuj je w odpowiednie procesy.

Doskonale! Wypełnienie obowiązku informacyjnego względem podmiotów danych to jeden z podstawowych obowiązków administratorów danych osobowych. Klauzula informacyjna powinna być okresowo weryfikowana pod kątem aktualności przetwarzanych danych, zakresu, celu czy charakteru przetwarzanych danych, a także realizowanych praw podmiotów danych.

Niedobrze. Udzielenie informacji podmiotowi, którego dane przetwarzasz, to jeden z podstawowych, najważniejszych obowiązków nałożonych na administratora danych. To także podstawowe prawo osoby, której dane dotyczą do bycia poinformowanym. Brak udzielenia tej informacji może mieć poważne konsekwencje dla administratora, nie tylko wizerunkowe, ale i finansowe.

Prawdopodobnie dysponujesz klauzulą informacyjną, ale nie wiesz do końca komu ją przekazać, w jaki sposób i czy zawiera odpowiednie informacje o Tobie jako administratorze, o prawach przysługujących podmiotom danych, czy też wyodrębnionych procesach i podstawach przetwarzania. Dlatego zweryfikuj posiadane klauzule w oparciu o art 13 i 14 RODO oraz sposób, za pośrednictwem którego informujesz o przetwarzaniu przez Ciebie danych.

Brawo! Pamiętaj, że rejestr wymaga bieżącej weryfikacji i aktualizacji, dlatego dokonuj jego okresowej kontroli. Miej także na uwadze, że treści w nim zawarte stanowią podstawę weryfikacji prawidłowości przetwarzania przez organ nadzoru.

Niedobrze! Prowadzenie rejestru czynności przetwarzania danych osobowych to jeden z podstawowych obowiązków administratorów. Jego brak nie tylko utrudnia Ci kontrolę nad przetwarzanymi danymi, ale może również stanowić naruszenie przepisów dotyczących ochrony danych osobowych.

Być może nie wiesz, czy pewne procesy wymagają umieszczenia w rejestrze lub też jakie dane powinny się w nim znaleźć. Prowadzenie rejestru nie tylko pozwoli Ci wypełnić obowiązek prawny, ale również uporządkuje procesy, których dokonujesz na danych osobowych. Zweryfikuj zatem, jakie dane przetwarzasz i czy możesz pogrupować je w określone procesy, np. proces rekrutacji pracowników.

Brawo! Upewnij się tylko, czy prawidłowo ustaliłeś ramy czasowe przechowywania danych osobowych, w szczególności czy długość okresu uzależniłeś od celu przetwarzania.

Niedobrze! Brak określenia okresu retencji danych osobowych naraża Cię na ryzyko przetwarzania danych przez okres dłuższy (bądź krótszy), niż jest to wymagane. Takie postępowanie może stanowić podstawę do stwierdzenia przez organ nadzorczy naruszenia przepisów ochrony danych osobowych.

Być może nie jesteś pewien, czy w sposób prawidłowy ustaliłeś ramy czasowe przetwarzania danych osobowych lub nie wiesz ile one wynoszą. Ustalenie okresu retencji jest uzależnione od celu, w jakim przetwarzasz dane osobowe. Zweryfikuj, w jakim celu przetwarzasz dane osobowe oraz czy ów cel dalej posiadasz.

Brawo! Pamiętaj, że w Twojej organizacji musi istnieć realny mechanizm pozwalający na realizację praw przysługujących podmiotom danych.

To niedobrze. Z prawem każdej osoby, której dane przetwarzasz, związany jest Twój obowiązek udzielenia odpowiedzi na złożone zapytanie. Czas na taką odpowiedź jest ograniczony, a brak odpowiedzi może stanowić podstawę do wszczęcia postępowania przez organ nadzorczy.

Prawdopodobnie masz świadomość, że musisz odpowiadać na zapytania, lecz nie wiesz w jakim terminie, w jakim zakresie, czy też w jaki sposób to robić. Zweryfikuj, czy w Twojej organizacji posiadasz realne mechanizmy pozwalające na wywiązanie się przez Ciebie z nałożonego obowiązku.

Brawo! Prawidłowa procedura związana z naruszeniami ochrony danych pozwala nie tylko wykrywać je odpowiednio wcześnie, a także reagować na nie. Pozwala to również wykazać przed organem nadzoru, że administrator jest świadom swoich obowiązków wynikających z przepisów o ochronie danych osobowych.

Niedobrze! Pamiętaj, że przetwarzane dane osobowe podlegają ochronie, a naruszenie ich bezpieczeństwa może mieć negatywne konsekwencje. Dlatego stwórz procedurę na wypadek wystąpienia naruszenia. Istnienie jasnej procedury pozwoli Ci  między innymi obrać kierunek działań w zakresie ustalenia kręgu osób, których prawa mogły zostać naruszone.

Być może nie jesteś pewien, czy opracowane przez Ciebie procedury rzeczywiście działają. Zgodnie z RODO, naruszenie ochrony danych osobowych powinno być zgłoszone do organu nadzorczego, jednak nie później niż w terminie 72 godzin od stwierdzenia naruszenia.

Brawo! Jeśli masz świadomość, że powierzenie danych osobowych do przetwarzania wiąże się z koniecznością zawarcia stosownych umów powierzenia, to jesteś na dobrej drodze do spełnienia wymogów wymaganych przez RODO.

Niedobrze! Przekazanie danych innym podmiotom bez uprzedniego zawarcia stosownej umowy powierzenia stanowi jedno z poważniejszych naruszeń ochrony danych osobowych.

Być może zawarłeś umowy powierzenia, jednak nie zrobiłeś tego ze wszystkimi podmiotami lub też nie jesteś pewien co do minimalnej treści takich umów. Dokonaj weryfikacji podmiotów, jak i umów, które zwarłeś z tymi podmiotami.

To świetnie! Wdrożenie odpowiednich środków technicznych i organizacyjnych to podstawowy obowiązek administratora wiążący się z koniecznością zabezpieczenia przetwarzanych przez administratora danych.

Niedobrze. Brak wdrożenia odpowiednich środków bezpieczeństwa stanowi jedno z najpoważniejszych naruszeń ochrony danych osobowych, mogących skutkować nałożeniem kary administracyjnej przez organ nadzorczy.

Pamiętaj, że wdrożenie środków bezpieczeństwa to nie tylko zapewnienie np. szaf zamykanych na klucz, ale również skonstruowanie określonych procedur pracy na danych osobowych.