Dokumentacja

Analiza ryzyka bierze swój początek w art. 24 RODO. Zgodnie z nim administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie danych odbywało się zgodnie z RODO uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze.

Dokument ten pokazuje organizację pod kątem ryzyk czyli prawdopodobieństwa wystąpienia skutków określonych zdarzeń, wpływających bezpośrednio na bezpieczeństwo danych. Każda Analiza ryzyka kończy się Planem postępowania z ryzykiem, w którym wspólnie z administratorem zastanawiamy się jakie elementy działania organizacji możemy poprawić, w jakim czasie i za pomocą jakich środków.

RODO o Polityce ochrony danych mówi niewiele, delikatnie rzecz ujmując. W naszym rozumieniu dokument ten określa podstawowe zasady i sposoby ochrony danych na terenie i w systemach informatycznych administratora. Musi być więc dostosowany do jego wymogów, infrastruktury i poziomu zaawansowania technologicznego itd. Zwykle POD określa takie zagadnienia jak:

– kwestie odpowiedzialności za ochronę danych

– sposoby określania czynności przetwarzania danych

– sposoby ochrony fizycznej obiektu, pomieszczeń, stosowanie monitoringu wizyjnego itp.

– sposoby ochrony teleinformatycznej

– kwestie powierzenia i udostępnienia danych

– zarządzanie ryzykiem

– reakcje na przypadki naruszenia ochrony danych

– itp.

To podstawowy dokument wśród całej dokumentacji administratora. Podstawą i obowiązkiem jego utworzenia jest art. 30 RODO, który określa czym jest i jak powinien wyglądać RCP.

W dużym skrócie jest on wykazem wszystkich czynności przetwarzania danych jakie wykonuje administrator. Onegdaj wyróżniano zbiory danych i na rejestrze zbiorów opierano wiedzę o przetwarzanych w organizacji danych osobowych. Po wejściu w życie RODO każdy zbiór musieliśmy niejako „rozbić” na poszczególne czynności przetwarzania. W zależności od kategorii osób, które opisujemy, ilość czynności jest różna, a ich opis bardziej lub mniej skomplikowany.

O RKCP również mówi art. 30 RODO, ale rejestr ten odnosi się do podmiotu przetwarzającego, a nie do administratora. RKCP z reguły nie jest tak obszerny i zawiera mniej informacji od RCP.

Klauzule informacyjne, ich stosowanie i zakres regulują przepisy art. 13 i 14 RODO. Jest on znacznie szerszy od tych, które obowiązywały w starej ustawie o ochronie danych osobowych z 1997 r. Informacje, wymagane obecnie obejmują między innymi:

– dane na temat administratora

– dane kontaktowe inspektora ochrony danych

– cel i podstawę przetwarzania danych

– wykaz odbiorców

– informację o przekazywaniu danych do państw trzecich

– okres przez który będą przechowywane dane przez administratora

– prawa, które przynależą osobom fizycznym, w związku przetwarzaniem ich danych

– i inne.

Jednocześnie europejski prawodawca nakłada obowiązek takiej redakcji klauzuli informacyjnej, która zrozumiała jest dla ostatecznego odbiorcy. Ta sama klauzula zatem, nie będzie wyglądała identycznie gdy skierujemy ją do dzieci, osób dorosłych czy osób w podeszłym wieku.

Umowy powierzenia danych czy może mniej historycznie, a bardziej zgodnie z nomenklaturą RODO – umowy przetwarzania w imieniu administratora, wynikają z art. 28 RODO. To, że mówi o nich jeden artykuł, wcale nie oznacza, że umowa taka jest prosta do napisania. Pierwszą trudnością, którą napotkamy, to prawidłowe określenie relacji pomiędzy dwoma podmiotami, które chcą przekazywać sobie dane osobowe. Może to być relacja:

– dwóch odrębnych administratorów danych

– współadministratorów

– administratora i podmiotu przetwarzającego

Tylko w ostatniej relacji zachodzi powierzenie danych, a w umowie trzeba dokładnie określić przedmiot i czas trwania takiej umowy, charakter i cel przetwarzania oraz rodzaj powierzanych danych, kategorię osób i wzajemne obowiązki administratora i podmiotu przetwarzającego.

Takiego dokumentu RODO nie wymaga. Uważamy jednak, że znakomicie wpisuje się on w budowanie świadomości przetwarzania danych u administratora. Warto wiedzieć jakie dane przetwarzamy i kto konkretnie to robi, ale warto też wiedzieć jakie dane powierzamy, na jak długo i na podstawie jakich umów. Bez takiego wykazu trudno też zaplanować audyty u podmiotów przetwarzających, o których mówi RODO w art. 28.

Rejestr naruszeń ochrony danych czy też rejestr incydentów jest elementem dokumentacji powstałej po ewentualnym naruszeniu danych. Tworząc wzór takiego rejestru zawsze życzymy naszym Klientom, żeby nigdy nie musieli z niego skorzystać. Jeśli jednak nasze życzenie się nie spełni, dokument ten – poza formularzami zgłoszeń incydentów do Prezesa Urzędu Ochrony Danych – będzie stanowił ważny dowód w ewentualnych sporach o odszkodowanie, o jakie może się starać osoba, której dane utraciliśmy w wyniku nieszczęśliwego incydentu.

O ocenie skutków mówi się często DPIA (od Data Protection Impact Assessment), a napisano o niej w art. 35 RODO. Wg niego jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Dokument ten dotyczy tylko niektórych czynności przetwarzania, więc nie jest obligatoryjny we wszystkich przypadkach. Zawsze jednak przygotowujemy analizę czy DPIA powinna być wykonywana, czy też nie.