Profesjonalna Dokumentacja RODO dla Twojej firmy

Profesjonalna Dokumentacja RODO dla Twojej firmy to zestaw dokumentów opracowanych tak, aby odpowiadały wymaganiom prawnym RODO z jednej strony i podnosiły poziom bezpieczeństwa przetwarzania danych osobowych w Twojej firmie z drugiej. Bez dokumentacji, która służy między innymi usystematyzowaniu wszelkich czynności w obszarach ochrony danych osobowych, po pierwsze nie jesteśmy w stanie skutecznie chronić osób, których dane osobowe przetwarzamy, a po drugie, wykazać przetwarzania zgodnie z prawem.

Rejestry

Procedury

Procedury

Polityki

Umowy i inne dokumenty

Dokumentacja RODO

Dlaczego warto?

Dlaczego warto powierzyć nam RODO

Profesjonalna Dokumentacja RODO zawiera także:

Rejestr czynności przetwarzania danych (RCPD) Rejestr kategorii czynności przetwarzania (RKCP)

Prowadzenie powyższych rejestrów to obowiązek każdego Administratora danych. Aby wykonać go rzetelnie, należy zidentyfikować wszystkie procesy w organizacji, w których zachodzi przetwarzanie danych osobowych a następnie zmapować je na czynności przetwarzania. Tak wyodrębnione czynności wpisujemy do rejestru, uzupełniając go o szereg dodatkowych informacji. Nasze rejestry, gotowe do zastosowania, wypełnione są danymi zawierającymi najczęściej występujące czynności przetwarzania:

RCPD dla biznesu

RCPD dla placówek medycznych, szpitali, przychodni, aptek

Profesjonalna Dokumentacja RODO zawiera także:

Procedury dla czynności ochrony danych osobowych

Nie obejdziemy się także bez szerokiego zestawu procedur.  Pozwalają one usystematyzować działania i czynności jakie nakładają na nas przepisy o ochronie danych osobowych. Są wewnętrznymi drogowskazami zgodnie z którymi postępujemy w różnych sytuacjach. Ich prawidłowe zastosowanie zapewnia nam także spełnienie obowiązku rozliczalności i pośrednio przyczynia się do ochrony osób, których dane przetwarzamy, dając nam jednocześnie poczucie wewnętrznego bezpieczeństwa i zgodności z przepisami.

Powinniśmy chronić osoby, których dane osobowe przetwarzamy lub projektujemy przetwarzanie a zatem ochronę uwzględnić musimy z jednej strony już na etapie projektowania takiego przetwarzania jednocześnie pilnując by ochrona ta była zapewniona domyślnie, stąd nazwa: procedura ochrony danych w fazie projektowania oraz domyślnej ochrony danych. Procedurę stosujemy  w przypadku projektowania nowych czynności lub operacji przetwarzania, modyfikacji lub zmiany istniejących czynności i zawsze w sytuacji gdy dla tych nowych czynności lub operacji współczynnik ryzyka jest wysoki. Procedurę należy więc poprzedzić oceną ryzyka. 

Procedura odnosi się do ryzyk w kontekście naruszenia praw i wolności osób, których dane przetwarzamy. W szczególności ryzyk: naruszenia prawa do prywatności, naruszenia dobrego imienia, poufności danych oraz kradzieży tożsamości.

Procedura pozwala nam na:

  • Identyfikację ryzyka wynikającego z planowanych lub stosowanych czynności przetwarzania danych osobowych z uwzględnieniem poszczególnych operacji przetwarzania,
  • Ocenę ryzyka wynikającego z planowanych lub stosowanych operacji przetwarzania,
  • Postępowanie z ryzykiem w celu jego redukcji,
  • Monitorowanie ryzyka,
  • Informowanie o ryzyku.

Zastosowanie procedury pozwala nam zidentyfikować i ocenić skutek dla konkretnej czynności przetwarzania danych. Dla każdej czynności powinniśmy wykonać tzw. test konieczności wykonania oceny. A zatem procedura pozwala nam na:

  • określenie konieczności wykonania oceny;
  • przygotowanie dokumentacji związanej z oceną skutków dla ochrony danych;
  • podjęcie decyzji o rozpoczęciu, modyfikacji lub zaniechaniu używania ocenianych operacji przetwarzania;
  • podjęcie decyzji o uruchomieniu procedury uprzednich konsultacji z organem nadzorczym;
  • gromadzenie zapisów z ocenianych operacji przetwarzani celem spełnienia obowiązku rozliczalności.

Stosowanie procedury zapewnia nam zgodność procesu przechowywania danych osobowych z przepisami o ochronie danych osobowych, poprzez:

  • ograniczenie okresu przechowywania danych osobowych do ścisłego minimum,
  • ustalenie terminu usuwania danych osobowych i kryteriów ustalania tego terminu lub okresowego przeglądu.

Procedurę stosujemy do każdej czynności przetwarzania danych i jej zastosowanie w praktyce oznacza, że należy:

  • sprawdzić czas przechowywania danych osobowych;
  • rozważyć cel lub cele, dla których przechowujemy informacje, aby zdecydować, czy (i jak długo) je zachować;
  • bezpiecznie usuwać informacje, które nie są już potrzebne;
  • aktualizować, archiwizować lub bezpiecznie usuwać informacje, jeśli są one nieaktualne;
  • ustalając okres retencji należy wziąć pod uwagę:
    • obecną i przyszłą wartość informacji;
    • koszty, ryzyko i zobowiązania związane z przetwarzaniem danych;
    • realną możliwość zapewnienia, by dane były aktualne.

Przepisy o ochronie danych osobowych dają osobom fizycznym szereg praw, z których mogą korzystać zawsze gdy przetwarzamy ich dane. Oto podstawowe z nich:

  • prawo dostępu do danych i powiązane z nim prawo do informacji;
  • prawo do sprostowania danych;
  • prawo do usunięcia danych („prawo do bycia zapomnianym”);
  • prawo do ograniczenia przetwarzania;
  • prawo do przenoszenia danych;
  • prawo do sprzeciwu.

Prawa te wiążą się z obowiązkami i sposobami w jakie będziemy je realizować. Wszystkie szczegółowo opisuje procedura.

Przepisy prawa zobowiązują nas do korzystania wyłącznie z usług takich podmiotów przetwarzających powierzone im dane osobowe, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Weryfikujemy zatem u potencjalnego kontrahenta następujące środki techniczne, organizacyjne i prawne:

  • pseudonimizację i szyfrowania danych osobowych;
  • zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
  • zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
  • regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych;
  • przestrzeganie zasady ochrony danych w fazie projektowania oraz domyślnej ochrony danych (privacy by design i privacy be default);
  • przyjętej u potencjalnego kontrahenta polityki bezpieczeństwa danych osobowych i instrukcji bezpieczeństwa systemów informatycznych, w szczególności w zakresie ich przejrzystości oraz zgodności z obowiązującym prawem.

Weryfikację taką zobowiązani jesteśmy udokumentować, co m.in. zapewnia nam zastosowanie procedury wyboru kontrahenta.

Przepisy zobowiązują nas do:

  • zapewnienia odpowiednich mechanizmów pozwalających na zgłaszanie naruszeń do odpowiedniego organu w wyznaczonym czasie;
  • ustalenia osób odpowiedzialnych za naruszenia i odpowiednią reakcję na działania niepożądane.

W praktyce oznacza to, że musimy:

  • określić czym są naruszenia;
  • określić osoby odpowiedzialne za monitorowanie naruszeń;
  • określić sposób zgłaszania naruszeń do odpowiedniego organu i wyznaczonym czasie;
  • należy wyznaczyć osoby odpowiedzialne za usuwanie skutków naruszeń ochrony danych osobowych;
  • należy określić sposób informowania osób, których dane dotyczą o działaniach niepożądanych.

Procedurę stosujemy zatem w sytuacji, gdy nastąpiło naruszenie danych osobowych co w praktyce oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

  • zniszczenia,
  • utracenia,
  • zmodyfikowania,
  • nieuprawnionego ujawnienia
  • nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Test równowagi stosujemy zawsze gdy jako podstawę prawną stosujemy prawnie uzasadniony interes administratora, czyli art. 6 ust. 1 lit. f. Z jednej strony daje nam on gwarancję, że stosując tę metodę nie naruszamy praw i wolności osoby oraz realizację zasady rozliczalności z drugiej.

Procedura zawiera szablon do przeprowadzenia OPUI (Oceny Prawnie Uzasadnionego Interesu), która staje się dla nas dokumentem gwarantującym rozliczalność przy jednoczesnym podnoszeniu jakości systemu ochrony danych osobowych w organizacji.

Procedury RODO

Profesjonalna Dokumentacja RODO zawiera także:

Klauzule informacyjne i treści zgód

Informowanie osób o szczegółach przetwarzania ich danych osobowych to jeden z podstawowych obowiązków Administratora danych. Chcąc przetwarzać dane, musimy określić cele, podstawę prawną, retencję, odbiorców danych i wiele więcej. I o tym wszystkim informujemy osoby najpóźniej w chwili pozyskiwania danych osobowych. 
Jedną z kilku podstaw prawnych może być zgoda, którą odebrać musimy od osoby, której dane chcemy przetwarzać. Zgoda taka musi być wyrażona zgodnie z przepisami. Ponadto musimy wykazać jej zgodność z przepisami.

Klauzule informacyjne

Wzory treści zgód

Klauzule informacyjne

Profesjonalna Dokumentacja RODO zawiera także:

Wzory umów i upoważnień

Nie obejdziemy się także bez szerokiego zestawu procedur.  Pozwalają one usystematyzować działania i czynności jakie nakładają na nas przepisy o ochronie danych osobowych. Są wewnętrznymi drogowskazami zgodnie z którymi postępujemy w różnych sytuacjach. Ich prawidłowe zastosowanie zapewnia nam także spełnienie obowiązku rozliczalności i pośrednio przyczynia się do ochrony osób, których dane przetwarzamy, dając nam jednocześnie poczucie wewnętrznego bezpieczeństwa i zgodności z przepisami.

Wzór zawiera wszystkie wymagane prawem elementy, dając jednak podmiotowi przetwarzającemu przestrzeń do samodzielnego określania zakresu i terminów realizacji poszczególnych obowiązków wynikających z przepisów prawa. Ponadto umowa nie zawiera regresu. Zwykle dobrze jest zastosować ten wzór gdy to my mamy zostać podmiotem przetwarzającym.

Wzór zawiera bardzo szczegółowy wykaz obowiązków, wynikających z przepisów prawa, takich jak pełny zestaw dokumentacji, terminy odpowiedzi i realizacji ustawowych zadań, szczegółowy opis postępowania w przypadku naruszenia danych osobowych a także zapisy o regresie. Wzór stosujemy gdy powierzamy dane osobowe zewnętrznemu podmiotowi.

Umowa o zachowaniu poufności to niezwykle ważny dokument wszędzie tam, gdzie należy dochować obustronnej tajemnicy w związku z przekazywanymi wzajemnie informacjami. Podpisujemy ją zwykle na początku zawierania współpracy, zwykle przed podpisaniem umowy o współpracy.

Dokument zabezpiecza interesy zarówno Administratora danych osobowych, powołującego specjalistę od ochrony danych jak i Inspektora Ochrony Danych. Zawiera szczegółowy zakres obowiązków wynikający z przepisów prawa a także zabezpiecza współdziałanie obu stron. Zawiera także klauzule zachowania poufności.

Zestaw plików Excel i Word, które tworzą tzw. Korespondencję seryjną. W praktyce w Excelu tworzymy listę pracowników, którym nadajemy upoważnienia i Word automatycznie tworzy dla każdego takiego pracownika odrębny dokument – nie musimy dokumentów tworzyć ręcznie. Wzór upoważnienia zawiera wszystkie niezbędne informacje.

Wzory umów i upoważnień

Profesjonalna Dokumentacja RODO zawiera także:

Polityka prywatności i plików cookies,
Polityka bezpieczeństwa danych osobowych

Polityka prywatności i plików cookies to tzw. dokumenty zewnętrzne, powinniśmy zapewnić do nich dostęp naszym klientom, kontrahentom i każdej innej osobie, której dane osobowe będziemy przetwarzać w jakikolwiek sposób. Polityki takie to zbiór wszelkich informacji na temat przetwarzania danych (w tym osobowych), podany prostym i zrozumiałym językiem. Polityka bezpieczeństwa danych osobowych to wewnętrzny dokument porządkujący zasady bezpieczeństwa stosowane w organizacji.

Polityka prywatności

Polityka plików Cookies

Polityka bezpieczeństwa

Polityki RODO

Dlaczego musimy prowadzić Dokumentację RODO?

Przez wiele lat obowiązywało rozporządzenie ministra spraw wewnętrznych i administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych (…), które wprowadzało wymagania formalne w tym zakresie.

W dniu 25 maja 2018 roku zaczęło obowiązywać Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), tzw. RODO, które jednak nie zawiera żadnych wytycznych co do sposobu prowadzenia dokumentacji przetwarzania danych osobowych oraz jej zawartości.

Dla nas oznacza to, że tak naprawdę nie wynika wprost z przepisów prawa, jaką dokumentację powinniśmy prowadzić oraz w jaki sposób to robić. To jest między innymi głównym powodem licznych problemów w jej sporządzeniu i prowadzeniu z jakimi mierzą się wszystkie podmioty zobowiązane do przestrzegania przepisów o ochronie danych osobowych.

W odpowiedzi na te problemy, opracowaliśmy w gronie profesjonalistów w swoich dziedzinach (prawnicy, specjaliści IT, analitycy biznesowi) kompletną i zdecydowanie profesjonalną Dokumentację RODO dla Twojej firmy. Możesz także liczyć na naszą pomoc!