Od 25 maja 2018 każdy musi stosować się do przepisów RODO – rozporządzenia ogólnego o ochronie danych osobowych. Jest to szczególnie istotna kwestia dla przedsiębiorstw i innych podmiotów, które prowadzą działalność gospodarczą, w ramach której posługują się danymi osobowymi i przetwarzają je w codziennej działalności. Wprowadzone zmiany w prawie do dziś przysparzają zmartwień właścicielom firm, dla wielu z nich jest to w dalszym ciągu spore wyzwanie – zarówno na szczeblu organizacyjnym, jak i prawnym. Jak zadbać o zgodność z RODO?
Na czym polega audyt RODO?
Przedsiębiorstwa, które przetwarzają dane osobowe, mają prawny obowiązek stosować się do zasad RODO. Aby w pełni wdrożyć zmiany i mieć pewność, że zostały wprowadzone w pełni zgodnie z prawem, warto przeprowadzić audyt RODO. Wiele firm decyduje się na zorganizowanie takiego audytu po to, by sprawdzić, czy dotychczas wprowadzone zmiany i procedury są w pełni zgodne. By mieć pewność – warto w tej kwestii zaufać specjalistom od RODO, którzy wyprowadzą cenne wnioski i zwrócą uwagę na kwestie wymagające dopracowania, bowiem każde przedsiębiorstwo (w zależności od ilości przetwarzanych danych oraz ich charakteru) ma różne potrzeby, możliwości oraz inne oczekiwania – jednak każdy, bez wyjątku musi się do zasad RODO stosować.
Czego dotyczy audyt? Oto najważniejsze jego punkty:
- poznanie procesów przetwarzania danych, ich skali, rodzaju danych, uczestników przetwarzania, miejsc, systemów, zewnętrznych podmiotów, mających dostęp do danych;
- weryfikacja mająca na celu sprawdzenie, czy wszystkie techniczne i organizacyjne środki ochrony danych, ewidencje, procedury, rejestry i inne są zgodne z RODO, m.in.: zabezpieczenia systemów, zabezpieczenia sprzętów, dokumentacja, a także umowy, klauzule, formularze, druki, regulaminy i inne;
- inwentaryzacja oraz ocena wprowadzonych dotychczas procesów mających na celu zaistnienie zgodności z RODO;
- analiza środków technicznych, które podnoszą poziom bezpieczeństwa danych;
- sprawdzenie, czy została przeprowadzona analiza ryzyka związanego z przetwarzaniem danych osobowych i jakie są jej wyniki;
- wskazanie aktualnych ryzyk niezgodności z RODO;
- wyciągnięcie wniosków oraz rekomendacji, na podstawie których wprowadza się zmiany;
- sprawdzenie stanu szkoleń dla pracowników w zakresie RODO;
- ocena, czy powołanie Inspektora Ochrony Danych jest konieczne.
Wdrożenie RODO – jak się do tego zabrać?
Po przeprowadzeniu audytu – dysponując szeregiem informacji, wniosków oraz propozycji koniecznych zmian, które muszą nastąpić, by działalność przedsiębiorstwa była w pełni zgodna z RODO, należy wdrożyć zmiany, które zostały zaproponowane. Tutaj także nieoceniona jest pomoc specjalistów, którzy na co dzień zajmują się wdrażaniem RODO dla firm, ponieważ są to zespoły wykwalifikowanych pracowników, którzy nieustannie monitorują zmiany w prawie i na bieżąco zapoznają się z opiniami, wytycznymi, czy decyzjami właściwych organów, a także potrafią przekazać informacje w przystępny dla nas sposób.
Wdrażanie RODO powinno odbywać się dwuetapowo: najpierw należy dostosować wszelkie procesy, w ramach których przetwarzane są dane, a następnie powinno się przekształcić i dostosować do aktualnie obowiązujących norm całe środowisko teleinformatyczne.
Pierwszy etap polega na przygotowaniu dokumentacji, która stanowi politykę bezpieczeństwa firmy. Znajdują się w niej w szczególności:
- procedura oceny ryzyka;
- analiza skutków idących za przetwarzaniem danych osobowych;
- rejestr czynności lub kategorii czynności przetwarzania danych;
- kompetencje Inspektora Ochrony Danych;
- szczegółowy opis zasad dotyczący współpracy z zewnętrznymi podmiotami, którym przekazujemy dane osobowe, w tym minimalny poziom oczekiwanych zabezpieczeń.
Aby dostosować systemy teleinformatyczne do wdrożenia RODO, należy przygotować oraz wdrożyć m. in. procedury dotyczące zarządzania uprawnieniami użytkowników,, wykonywania kopii zapasowych, obsługi incydentów i tym podobne. Warto na tym etapie zadbać także o szereg narzędzi teleinformatycznych pomocnych przy wdrażaniu i utrzymywaniu zgodności z RODO. W szczególności chodzi tutaj o systemy np. klasyfikacji informacji, czy systemy, które będą zapobiegały wyciekowi informacji.
Źródło: ISecure – ochrona danych osobowych