Profesjonalna Dokumentacja RODO dla Twojej firmy

Profesjonalna Dokumentacja RODO dla Twojej firmy to zestaw dokumentów opracowanych tak, aby odpowiadały wymaganiom prawnym RODO z jednej strony i podnosiły poziom bezpieczeństwa przetwarzania danych osobowych w Twojej firmie z drugiej. Bez dokumentacji, która służy między innymi usystematyzowaniu wszelkich czynności w obszarach ochrony danych osobowych, po pierwsze nie jesteśmy w stanie skutecznie chronić osób, których dane osobowe przetwarzamy, a po drugie, wykazać przetwarzania zgodnie z prawem.

Rejestry

  • Rejestr czynności przetwarzania
  • Kategorii czynności przetwarzania

Procedury

  • Oceny ryzyka
  • Oceny skutków (DPIA)
  • Privacy by design i default
  • Retencji danych
  • Praw osób
  • Wyboru kontrahenta
  • Notyfikacji naruszeń
  • Testu równowagi

Klauzule i zgody

  • Klauzule informacyjne
  • Wzory treści zgód

Polityki

  • Polityka prywatności i plików Cookies
  • Polityka bezpieczeństwa danych

Umowy i inne dokumenty

  • Umowy powierzenia danych
  • Umowa o zachowaniu poufności (NDA)
  • Umowa o świadczeniu usług IOD
  • Upoważnienia do przetwarzania danych
  • Opisy firmy i przesłanki legalizujące
  • Raport poaudytowy
Dokumentacja RODO

Dlaczego warto?

  • Nasza dokumentacja jest kompletna, z przykładami, cały czas ją udoskonalamy
  • Jesteśmy profesjonalistami! Mamy wiedzę, doświadczenie i pracujemy rzetelnie
  • Pełnimy funkcje Inspektorów Ochrony Danych m.in. w dużych podmiotach
  • Nie zostawimy Cię bez wsparcia - zawsze możesz liczyć na naszą pomoc
  • Dokumentacja zawiera gotowe do zastosowania przykłady
  • Znamy się na cyberbezpieczeństwie i IT - możesz liczyć na nasze wsparcie
  • Oferujemy atrakcyjne rabaty w przypadku długoterminowej współpracy
Dlaczego warto powierzyć nam RODO

Profesjonalna Dokumentacja RODO zawiera także:

Rejestr czynności przetwarzania danych (RCPD) Rejestr kategorii czynności przetwarzania (RKCP)

Prowadzenie powyższych rejestrów to obowiązek każdego Administratora danych. Aby wykonać go rzetelnie, należy zidentyfikować wszystkie procesy w organizacji, w których zachodzi przetwarzanie danych osobowych a następnie zmapować je na czynności przetwarzania. Tak wyodrębnione czynności wpisujemy do rejestru, uzupełniając go o szereg dodatkowych informacji. Nasze rejestry, gotowe do zastosowania, wypełnione są danymi zawierającymi najczęściej występujące czynności przetwarzania:

RCPD dla biznesu

  • Kandydaci do pracy
  • Obsługa kadrowa pracowników
  • Obsługa płacowa pracowników
  • BHP i P.POŻ
  • Renty i emerytury
  • Obsługa w związku z chorobami zawodowymi
  • Zakładowy Fundusz Świadczeń Socjalnych (ZFŚS)
  • Staż, praktyki, wolontariat
  • Korespondencja i jej ewidencja
  • Umowy cywilnoprawne
  • Działania marketingowe
  • Utrzymanie ciągłości działania systemów IT
  • Archiwizacja dokumentów
  • Ochrona roszczeń

RCPD dla placówek medycznych, szpitali, przychodni, aptek

  • Obsługa umów w obszarze medycyny
  • Deklaracja wyboru lekarza/pielęgniarki
  • Rejestracja pacjentów
  • Kolejki oczekujących pacjentów
  • Udzielanie świadczeń zdrowotnych
  • Skierowania na badania diagnostyczne
  • Pobranie materiału do badań
  • Wykonywanie badań diagnostycznych
  • Szczepienia ochronne
  • Wystawianie zwolnień lekarskich
  • Udzielanie informacji na temat stanu zdrowia
  • Udostępnianie dokumentacji medycznej
  • Wydawanie recept
  • Obsługa dla rozpoznania choroby zakaźnej
  • Przyjmowanie skarg na działalność i wniosków
  • Opieka środowiskowa
  • Transport sanitarny

Profesjonalna Dokumentacja RODO zawiera także:

Procedury dla czynności ochrony danych osobowych

Nie obejdziemy się także bez szerokiego zestawu procedur.  Pozwalają one usystematyzować działania i czynności jakie nakładają na nas przepisy o ochronie danych osobowych. Są wewnętrznymi drogowskazami zgodnie z którymi postępujemy w różnych sytuacjach. Ich prawidłowe zastosowanie zapewnia nam także spełnienie obowiązku rozliczalności i pośrednio przyczynia się do ochrony osób, których dane przetwarzamy, dając nam jednocześnie poczucie wewnętrznego bezpieczeństwa i zgodności z przepisami.

Powinniśmy chronić osoby, których dane osobowe przetwarzamy lub projektujemy przetwarzanie a zatem ochronę uwzględnić musimy z jednej strony już na etapie projektowania takiego przetwarzania jednocześnie pilnując by ochrona ta była zapewniona domyślnie, stąd nazwa: procedura ochrony danych w fazie projektowania oraz domyślnej ochrony danych. Procedurę stosujemy  w przypadku projektowania nowych czynności lub operacji przetwarzania, modyfikacji lub zmiany istniejących czynności i zawsze w sytuacji gdy dla tych nowych czynności lub operacji współczynnik ryzyka jest wysoki. Procedurę należy więc poprzedzić oceną ryzyka. 

Procedura odnosi się do ryzyk w kontekście naruszenia praw i wolności osób, których dane przetwarzamy. W szczególności ryzyk: naruszenia prawa do prywatności, naruszenia dobrego imienia, poufności danych oraz kradzieży tożsamości.

Procedura pozwala nam na:

  • Identyfikację ryzyka wynikającego z planowanych lub stosowanych czynności przetwarzania danych osobowych z uwzględnieniem poszczególnych operacji przetwarzania,
  • Ocenę ryzyka wynikającego z planowanych lub stosowanych operacji przetwarzania,
  • Postępowanie z ryzykiem w celu jego redukcji,
  • Monitorowanie ryzyka,
  • Informowanie o ryzyku.

Zastosowanie procedury pozwala nam zidentyfikować i ocenić skutek dla konkretnej czynności przetwarzania danych. Dla każdej czynności powinniśmy wykonać tzw. test konieczności wykonania oceny. A zatem procedura pozwala nam na:

  • określenie konieczności wykonania oceny;
  • przygotowanie dokumentacji związanej z oceną skutków dla ochrony danych;
  • podjęcie decyzji o rozpoczęciu, modyfikacji lub zaniechaniu używania ocenianych operacji przetwarzania;
  • podjęcie decyzji o uruchomieniu procedury uprzednich konsultacji z organem nadzorczym;
  • gromadzenie zapisów z ocenianych operacji przetwarzani celem spełnienia obowiązku rozliczalności.

Stosowanie procedury zapewnia nam zgodność procesu przechowywania danych osobowych z przepisami o ochronie danych osobowych, poprzez:

  • ograniczenie okresu przechowywania danych osobowych do ścisłego minimum,
  • ustalenie terminu usuwania danych osobowych i kryteriów ustalania tego terminu lub okresowego przeglądu.

Procedurę stosujemy do każdej czynności przetwarzania danych i jej zastosowanie w praktyce oznacza, że należy:

  • sprawdzić czas przechowywania danych osobowych;
  • rozważyć cel lub cele, dla których przechowujemy informacje, aby zdecydować, czy (i jak długo) je zachować;
  • bezpiecznie usuwać informacje, które nie są już potrzebne;
  • aktualizować, archiwizować lub bezpiecznie usuwać informacje, jeśli są one nieaktualne;
  • ustalając okres retencji należy wziąć pod uwagę:
    • obecną i przyszłą wartość informacji;
    • koszty, ryzyko i zobowiązania związane z przetwarzaniem danych;
    • realną możliwość zapewnienia, by dane były aktualne.

Przepisy o ochronie danych osobowych dają osobom fizycznym szereg praw, z których mogą korzystać zawsze gdy przetwarzamy ich dane. Oto podstawowe z nich:

  • prawo dostępu do danych i powiązane z nim prawo do informacji;
  • prawo do sprostowania danych;
  • prawo do usunięcia danych („prawo do bycia zapomnianym”);
  • prawo do ograniczenia przetwarzania;
  • prawo do przenoszenia danych;
  • prawo do sprzeciwu.

Prawa te wiążą się z obowiązkami i sposobami w jakie będziemy je realizować. Wszystkie szczegółowo opisuje procedura.

Przepisy prawa zobowiązują nas do korzystania wyłącznie z usług takich podmiotów przetwarzających powierzone im dane osobowe, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Weryfikujemy zatem u potencjalnego kontrahenta następujące środki techniczne, organizacyjne i prawne:

  • pseudonimizację i szyfrowania danych osobowych;
  • zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
  • zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
  • regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych;
  • przestrzeganie zasady ochrony danych w fazie projektowania oraz domyślnej ochrony danych (privacy by design i privacy be default);
  • przyjętej u potencjalnego kontrahenta polityki bezpieczeństwa danych osobowych i instrukcji bezpieczeństwa systemów informatycznych, w szczególności w zakresie ich przejrzystości oraz zgodności z obowiązującym prawem.

Weryfikację taką zobowiązani jesteśmy udokumentować, co m.in. zapewnia nam zastosowanie procedury wyboru kontrahenta.

Przepisy zobowiązują nas do:

  • zapewnienia odpowiednich mechanizmów pozwalających na zgłaszanie naruszeń do odpowiedniego organu w wyznaczonym czasie;
  • ustalenia osób odpowiedzialnych za naruszenia i odpowiednią reakcję na działania niepożądane.

W praktyce oznacza to, że musimy:

  • określić czym są naruszenia;
  • określić osoby odpowiedzialne za monitorowanie naruszeń;
  • określić sposób zgłaszania naruszeń do odpowiedniego organu i wyznaczonym czasie;
  • należy wyznaczyć osoby odpowiedzialne za usuwanie skutków naruszeń ochrony danych osobowych;
  • należy określić sposób informowania osób, których dane dotyczą o działaniach niepożądanych.

Procedurę stosujemy zatem w sytuacji, gdy nastąpiło naruszenie danych osobowych co w praktyce oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

  • zniszczenia,
  • utracenia,
  • zmodyfikowania,
  • nieuprawnionego ujawnienia
  • nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Test równowagi stosujemy zawsze gdy jako podstawę prawną stosujemy prawnie uzasadniony interes administratora, czyli art. 6 ust. 1 lit. f. Z jednej strony daje nam on gwarancję, że stosując tę metodę nie naruszamy praw i wolności osoby oraz realizację zasady rozliczalności z drugiej.

Procedura zawiera szablon do przeprowadzenia OPUI (Oceny Prawnie Uzasadnionego Interesu), która staje się dla nas dokumentem gwarantującym rozliczalność przy jednoczesnym podnoszeniu jakości systemu ochrony danych osobowych w organizacji.

Procedury RODO

Profesjonalna Dokumentacja RODO zawiera także:

Klauzule informacyjne i treści zgód

Informowanie osób o szczegółach przetwarzania ich danych osobowych to jeden z podstawowych obowiązków Administratora danych. Chcąc przetwarzać dane, musimy określić cele, podstawę prawną, retencję, odbiorców danych i wiele więcej. I o tym wszystkim informujemy osoby najpóźniej w chwili pozyskiwania danych osobowych. 
Jedną z kilku podstaw prawnych może być zgoda, którą odebrać musimy od osoby, której dane chcemy przetwarzać. Zgoda taka musi być wyrażona zgodnie z przepisami. Ponadto musimy wykazać jej zgodność z przepisami.

Klauzule informacyjne

  • Kandydaci do pracy (rekrutacja)
  • Pracownicy (zatrudnienie)
  • Umowy cywilno-prawne
  • Korespondencja
  • Marketing i przesyłanie informacji handlowej
  • Monitoring wizyjny
  • Monitoring GPS pojazdów służbowych
  • Obsługa formularzy na stronach internetowych
  • Poczta internetowa (e-mail)
  • Wykorzystanie wizerunku
  • Udzielanie świadczeń zdrowotnych

Wzory treści zgód

  • Dostarczanie newslettera
  • Marketing własny drogą mailową
  • Marketing własny drogą telefoniczną
  • Marketing partnerski drogą mailową
  • Marketing partnerski drogą telefoniczną
  • Wykorzystanie wizerunku
Klauzule informacyjne

Profesjonalna Dokumentacja RODO zawiera także:

Wzory umów i upoważnień

Nie obejdziemy się także bez szerokiego zestawu procedur.  Pozwalają one usystematyzować działania i czynności jakie nakładają na nas przepisy o ochronie danych osobowych. Są wewnętrznymi drogowskazami zgodnie z którymi postępujemy w różnych sytuacjach. Ich prawidłowe zastosowanie zapewnia nam także spełnienie obowiązku rozliczalności i pośrednio przyczynia się do ochrony osób, których dane przetwarzamy, dając nam jednocześnie poczucie wewnętrznego bezpieczeństwa i zgodności z przepisami.

Wzór zawiera wszystkie wymagane prawem elementy, dając jednak podmiotowi przetwarzającemu przestrzeń do samodzielnego określania zakresu i terminów realizacji poszczególnych obowiązków wynikających z przepisów prawa. Ponadto umowa nie zawiera regresu. Zwykle dobrze jest zastosować ten wzór gdy to my mamy zostać podmiotem przetwarzającym.

Wzór zawiera bardzo szczegółowy wykaz obowiązków, wynikających z przepisów prawa, takich jak pełny zestaw dokumentacji, terminy odpowiedzi i realizacji ustawowych zadań, szczegółowy opis postępowania w przypadku naruszenia danych osobowych a także zapisy o regresie. Wzór stosujemy gdy powierzamy dane osobowe zewnętrznemu podmiotowi.

Umowa o zachowaniu poufności to niezwykle ważny dokument wszędzie tam, gdzie należy dochować obustronnej tajemnicy w związku z przekazywanymi wzajemnie informacjami. Podpisujemy ją zwykle na początku zawierania współpracy, zwykle przed podpisaniem umowy o współpracy.

Dokument zabezpiecza interesy zarówno Administratora danych osobowych, powołującego specjalistę od ochrony danych jak i Inspektora Ochrony Danych. Zawiera szczegółowy zakres obowiązków wynikający z przepisów prawa a także zabezpiecza współdziałanie obu stron. Zawiera także klauzule zachowania poufności.

Zestaw plików Excel i Word, które tworzą tzw. Korespondencję seryjną. W praktyce w Excelu tworzymy listę pracowników, którym nadajemy upoważnienia i Word automatycznie tworzy dla każdego takiego pracownika odrębny dokument – nie musimy dokumentów tworzyć ręcznie. Wzór upoważnienia zawiera wszystkie niezbędne informacje.

Wzory umów i upoważnień

Profesjonalna Dokumentacja RODO zawiera także:

Polityka prywatności i plików cookies,
Polityka bezpieczeństwa danych osobowych

Polityka prywatności i plików cookies to tzw. dokumenty zewnętrzne, powinniśmy zapewnić do nich dostęp naszym klientom, kontrahentom i każdej innej osobie, której dane osobowe będziemy przetwarzać w jakikolwiek sposób. Polityki takie to zbiór wszelkich informacji na temat przetwarzania danych (w tym osobowych), podany prostym i zrozumiałym językiem. Polityka bezpieczeństwa danych osobowych to wewnętrzny dokument porządkujący zasady bezpieczeństwa stosowane w organizacji.

Polityka prywatności

  • Informacje o nas
  • Postanowienia ogólne
  • Cele wykorzystania danych osobowych
  • Zasady i podstawy przetwarzania danych
  • Przysługujące prawa w związku z przetwarzaniem
  • Sposoby kontaktu
  • Terminy spełnienia żądań
  • Podmioty współpracujące
  • Zabezpieczenia danych osobowych
  • Retencja danych osobowych
  • Upoważnienia do danych

Polityka plików Cookies

  • Czym jest plik Cookie
  • Jakie są zalety stosowania plików Cookie
  • Jak kontrolować i usuwać pliki Cookie
  • Jakie rodzaje plików Cookie stosujemy
  • Jak zmienić ustawienia przeglądarek internetowych

Polityka bezpieczeństwa

  • Cel stosowania polityki bezpieczeństwa
  • Zakres stosowania
  • Ograniczenia stosowania
  • Postanowienia ogólne
  • Reguły przetwarzania danych osobowych
  • Obowiązki pracowników w zakresie przetwarzania
Polityki RODO

Dlaczego musimy prowadzić Dokumentację RODO?

Przez wiele lat obowiązywało rozporządzenie ministra spraw wewnętrznych i administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych (…), które wprowadzało wymagania formalne w tym zakresie.

W dniu 25 maja 2018 roku zaczęło obowiązywać Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), tzw. RODO, które jednak nie zawiera żadnych wytycznych co do sposobu prowadzenia dokumentacji przetwarzania danych osobowych oraz jej zawartości.

Dla nas oznacza to, że tak naprawdę nie wynika wprost z przepisów prawa, jaką dokumentację powinniśmy prowadzić oraz w jaki sposób to robić. To jest między innymi głównym powodem licznych problemów w jej sporządzeniu i prowadzeniu z jakimi mierzą się wszystkie podmioty zobowiązane do przestrzegania przepisów o ochronie danych osobowych.

W odpowiedzi na te problemy, opracowaliśmy w gronie profesjonalistów w swoich dziedzinach (prawnicy, specjaliści IT, analitycy biznesowi) kompletną i zdecydowanie profesjonalną Dokumentację RODO dla Twojej firmy. Możesz także liczyć na naszą pomoc!