Audyt RODO ma na celu weryfikację obecnego stanu ochrony danych osobowych oraz ocenę stopnia wdrożenia wymogów wynikających z ogólnego rozporządzenia o ochronie danych (RODO/GDPR).
Dlaczego audyt?
W firmach cały czas dochodzi do przetwarzania danych osobowych. Pojawia się więc pytanie, czy wiemy skąd je pozyskujemy? Czy posiadamy odpowiednie podstawy prawne do ich przetwarzania (zgodę, przepis prawa, umowę, itp)? Czy spełniliśmy odpowiedni obowiązek informacyjny wobec naszych klientów (tzn. czy zbierając dane podaliśmy jasne i pełne informacje o okolicznościach przetwarzania danych, np. celu, źródle, okresie przechowywania, odbiorcach danych)? Czy nasze działy marketingu, sprzedaży panują nad zbieranymi danymi osobowymi? Czy dane są usuwane, gdy już ich nie potrzebujemy? Tylko sprawnie przeprowadzony audyt pozwoli odpowiedzieć nam na powyższe pytania!
Efektem końcowym audytu jest raport przedwdrożeniowy prezentujący opis niezgodności, w tym wykryte naruszenia prawa, dowody potwierdzające niezgodności oraz rekomendacje, co do sposobu likwidacji niezgodności.
Dzięki raportowi w przejrzysty sposób znajdziesz odpowiedź na pytanie, w jakim stopniu przetwarzanie danych osobowych w Twojej firmie jest obarczone ryzykiem oraz czego brakuje Ci do pełnej zgodności z przepisami.
Ponadto w raporcie wskazujemy jakie działania należy podjąć, by osiągnąć zgodność z wymaganiami RODO, w szczególności zaś:
Wdrożenie RODO obejmuje dwa etapy:
Znając wyniki audytu i wiedząc, jaka praca jest do wykonania, sporządzimy propozycję harmonogramu wdrożenia wymagań RODO tak, aby osiągnąć zgodność z przepisami.
W ramach dostosowania procesów przetwarzania danych klient otrzyma dokumenty składające się na kompleksową politykę ochrony danych (ostateczny zakres zależy od wyników audytu i analizy ryzyka), m.in.:
W celu dostosowania środowiska IT zostaną dostarczone klientowi zalecenia dotyczące m.in. procedury zarządzania użytkownikami i uprawnieniami, wykonywania i odzyskiwania kopii zapasowych, obsługi incydentów bezpieczeństwa.
Omawianą usługę możemy rozszerzyć o propozycje wdrożenia przydatnych narzędzi IT, które wspierałyby spełnianie wymogów RODO w zakresie bezpieczeństwa IT, a zwłaszcza:
Jeżeli jesteś zainteresowany opracowaniem mapy procesów, możemy to dla Ciebie zrobić po przeprowadzeniu audytu data discovery, kiedy badamy w szczególności:
W ramach udokumentowania data discovery dla każdego zinwentaryzowanego procesu możemy przygotować mapę procesu. W czytelny, graficzny sposób obrazujemy “życie” danych osobowych w danym procesie. Wszystkie istotne elementy procesu są zagregowane w formie jednej mapy, dzięki temu nawet po audycie osoby zaangażowane w dany proces będą potrafiły w łatwy sposób odnaleźć kluczowe informacje. Mapa procesu pełni też niezwykle ważną rolę w nadzorowaniu zmian, jakie zachodzą w danym procesie. Każdą taką zmianę przejrzyście można wprowadzić do mapy, co stanowi przydatne narzędzie w dokumentowaniu modyfikacji i posiadania aktualnych informacji.
Należy pamiętać, że RODO to nie tylko dokumenty. Ważni są ludzie, którzy pracują na danych osobowych w firmie. Niestety czynnik ludzki jest najczęstszym powodem naruszeń. Dlatego poza wdrożeniem odpowiednich procedur i zabezpieczeń informatycznych, należy przeszkolić wszystkich pracowników. W tym celu zapewniamy:
Oczywiście, że samo "papierowe" wdrożenie RODO nie jest wystarczające dla faktycznej ochrony danych osobowych. RODO zawiera ogólne stwierdzenia, że zabezpieczenia muszą być odpowiednie w stosunku do ryzyka, a przeniesienie ich na papier w formie dokumentacji to jedynie pewien element drogi do sukcesu w realnym wdrożeniu RODO. RODO, dzięki ogólnym założeniom dotyczącym zabezpieczeń, jest neutralne (technologicznie), a przez brak szczegółowych wytycznych nie powinno szybko się zestarzeć. Pułapką takiego rozwiązania legislacyjnego jest niestety wielka niewiadoma przy procesie wdrażania RODO. W końcu nie ma żadnego odniesienia – czy robimy coś dobrze, czy źle. Szukać pomocy można w innych normach, np. ISO. Dlatego w naszym zespole mamy certyfikowanych audytorów Systemu Zarządzania Bezpieczeństwem Informacji wg normy ISO 27001. Normy serii ISO 27000 stanowią jedne z najważniejszych, powszechnie akceptowanych dokumentów prezentujących aktualny stan wiedzy technicznej w zakresie stosowania środków bezpieczeństwa i zarządzania bezpieczeństwem. Urząd Ochrony Danych Osobowych także zaleca brać je pod uwagę.
Przy analizie naruszeń ochrony danych osobowych można kierować się zaleceniami Agencji Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji (ENISA). Mamy jednak nadzieję, że zagrożeń bezpieczeństwa w Twojej organizacji nie będzie, ale gdyby były – jesteśmy przygotowani, by dostarczać Ci za każdym razem analizę naruszenia.
Oferujemy naszą pomoc we wdrożeniu RODO
Doświadczeni pracownicy iSecure pomogą Ci zarówno przy audycie, jak i dostosowaniu dokumentacji, stron internetowych czy systemów IT, a także w szkoleniu pracowników.
Z nami nie ma rzeczy niemożliwych, a właściwe wdrożenie RODO w organizacji pozwoli spać spokojnie i zminimalizuje ryzyko nałożenia kar lub domagania się odszkodowań za nieodpowiednie przetwarzanie danych osobowych.
