Dokumentacja ochrony danych osobowych
Niezbędnym elementem wdrożenia systemu ochrony danych osobowych jest opracowanie wymaganej przez prawo dokumentacji ochrony danych osobowych. Jej brak to powszechna niezgodność, którą wykrywamy w trakcie audytów.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) wymaga, aby przede wszystkim firmy wdrożyły polityki ochrony danych, których zawartość pozostaje jednak do decyzji danej firmy.
Do obowiązkowej dokumentacji, jaką powinno się wdrożyć w ramach wdrożenia wymagań RODO, zalicza się m. in.:
- polityka ochrony danych osobowych dostosowana do procesów przetwarzania oraz zakresu ochrony danych osobowych w organizacji
- procedura privacy by design oraz privacy by default, uwzględniająca zasady postępowania z danymi w procesach przetwarzania danych
- procedura odpowiedzi na wnioski osób, których dane dotyczą, zgodnie z zakresem przetwarzania danych ciążących na administratorze, z uwzględnieniem prawnie uzasadnionych interesów osób
- upoważnienia do przetwarzania danych osobowych wraz z ewidencją do kontroli liczby osób upoważnionych
- oświadczenia o zachowaniu poufności i zapoznaniu się z przepisami prawa regulującymi ochronę danych
- umowy powierzenia przetwarzania danych osobowych z podmiotami przetwarzającymi, zawierające dane kontaktowe podmiotu przetwarzającego oraz informacje o przypadku przekazań danych do państw trzecich
- rejestr czynności przetwarzania (RCP) danych osobowych prowadzony przez administratora danych lub przedstawiciela administratora
- rejestr kategorii czynności (RKCP) przetwarzania danych, opisujący poszczególne kategorie danych osobowych i kategorie przetwarzań dokonywanych przez podmiot
- polityka retencji danych określająca cele przetwarzania danych oraz zasady ich usuwania
- rejestr naruszeń ochrony danych osobowych wraz z procedurą prowadzenia rejestru naruszeń oraz zgłaszania naruszeń ochrony danych do organu nadzorczego, a także procedury odtwarzania systemu w przypadku braku dostępności danych
Zarówno RODO, jak i obecnie obowiązująca ustawa o ochronie danych osobowych, nie mówią wprost, jak nazwać dokumenty opisujące wdrożone organizacyjne środki bezpieczeństwa i jaka powinna być ich wyczerpująca lista.
Prowadzi to do wniosku, że dokumentacja ochrony danych osobowych, zawierająca opis zastosowanych zabezpieczeń, w tym polityk organizacyjnych, musi być przygotowana na podstawie przeprowadzonej wcześniej oceny skutków dla ochrony danych (jeśli jest wymagana) lub audytu badającego ryzyko niezgodności z RODO, które wskażą Twojej organizacji m.in., jakie procedury mogą być potrzebne, zwłaszcza przy użyciu nowych technologii i zautomatyzowanym przetwarzaniu.
“Zainwestowanie” w pakiet gotowej dokumentacji mija się z celem. Warunkiem wdrożenia dokumentacji RODO o właściwej treści jest przede wszystkim to, żeby dokumenty zostały przygotowane w należyty i dopasowany do działalności konkretnego podmiotu sposób, co nie zawsze ma miejsce np. gdy korzysta się ze wzorów dostępnych w Internecie.
Bazując na naszym wieloletnim doświadczeniu chętnie Ci pomożemy w skrojeniu polityk ochrony danych na miarę Twojej firmy, z uwzględnieniem zasady rozliczalności oraz świadomości pracowników.
Dlaczego posiadanie prawidłowo sporządzonej dokumentacji RODO jest ważne?
- posiadanie niektórych dokumentów jest wprost wskazane przepisami RODO
- podczas kontroli wyznaczeni pracownicy organu nadzorczego mają prawo wglądu do dokumentacji
- przedsiębiorca musi być w stanie wykazać, że przestrzega przepisy o ochronie danych osobowych, a posiadana dokumentacja ochrony danych osobowych pomoże to udowodnić przed organem ochrony danych osobowych czy w sądzie
- dla pozytywnego PR marki oraz ochrony prywatności osób fizycznych
- po prostu by zadbać o dane swoich pracowników i klientów oraz skuteczne zarządzanie procesami związanymi z ochroną danych
Wewnętrzne czynności przetwarzania to nie wszystko!
Dodatkowo trzeba pamiętać, że wewnętrzne regulacje to nie koniec przygody z dokumentacją ochrony danych. Efekt wdrożenia dokumentacji RODO w naszej organizacji musi być też widoczny na zewnątrz, m.in. dzięki:
- polityce prywatności zamieszczonej na stronie internetowej, zawierającej dane kontaktowe administratora i informacje o celach przetwarzania danych oraz kategoriach odbiorców
- odpowiednim obowiązkom informacyjnym, np. dotyczącym monitoringu, konkursu, zapisu na newsletter, zgodnym z zakresem danych osobowych i prawnie uzasadnionych interesów realizowanych przez administratora
- oferowanym kontrahentom wzorom umowy powierzenia przetwarzania danych osobowych
- treści klauzuli zgody zgodnej z wymogami niniejszego rozporządzenia parlamentu europejskiego
- polityce zarządzania plikami cookies na stronie internetowej, uwzględniającej zasady przetwarzania danych osobowych i ochrony wolności osób
