RODO po roku

W trakcie seminarium przeprowadzono ankietę, składającą się z kilku pytań, w której udział wzięły osoby obecne na miejscu oraz uczestnicy online. Poniżej pytania oraz cztery najpopularniejsze odpowiedzi.

Image

Image

Image

Image

Sondaż przeprowadzony wśród uczestników konferencji „RODO po roku” Stowarzyszenia Emitentów Giełdowych w dniu 22 maja 2019 r. Wnioski z badania mają charakter informacyjno-edukacyjny. Głosowania przeprowadzone zostały dzięki wsparciu technologicznemu Unicomp-WZA.

Konrad Gałaj-Emiliańczyk w swoim pierwszym panelu „Poziom świadomości personelu w zakresie RODO” zwrócił uwagę, że w każdej organizacji inaczej podchodzi się do ochrony danych osobowych, różnie są zbudowane struktury przetwarzania danych i różnie wygląda świadomość personelu w tych kwestiach. Bardzo często okazuje się, że w praktyce procedury nie działają i zalegają w przysłowiowej szufladzie.

Aby sprawdzić jak wygląda poziom świadomości w zakresie ochrony danych osobowych można wykonać pretesty weryfikujące wiedzę pracowników, na przykład po roku od wdrożenia procedur. Przeprowadza się także wewnętrzne audyty, podczas których sprawdza się m.in. jak wygląda kontrola dostępu do danych osobowych, jak wygląda niszczenie dokumentów, a nawet co ląduje w koszu na śmieci. Ponieważ personel często jest trudno skłonić do przestrzegania przepisów RODO, stosuje się różne mechanizmy, aby go to tego zmobilizować. Najpowszechniejszym rozwiązaniem jest wyciąganie konsekwencji uzależnione od formy zatrudnienia pracownika (kary dyscyplinarne, finansowe, wpis do akt osobowych, etc.), jednak praktyka pokazuje, że po ukaraniu, sytuacja często wraca do normy, czyli do nieprzestrzegania wewnętrznych procedur. Dlatego lepszą metodą jest warunkowanie instrumentalne, polegające na systemie punktów i nagród dla pracowników dbających o bezpieczeństwo danych w firmie, np. poprzez odpowiednie niszczenie dokumentów, blokowanie stacji roboczych na czas oddalania się od nich czy zakończenia pracy. Praktyka pokazuje, że ta metoda działa lepiej niż karanie i przyczynia się do sukcesywnego podnoszenia jakości przestrzegania przepisów RODO.

W celu podniesienia świadomości personelu w zakresie RODO i bezpieczeństwa informacji stosuje się kilka narzędzi:

• Szkolenia stacjonarne. Powszechnie uchodzą one za kosztowne, czasochłonne i mało efektywne. Jednak ich jakość zależy w dużej mierze od sposobu ułożenia szkolenia i samego trenera. Jeśli nudna dla pracowników sucha teoria zostanie  zobrazowana praktycznymi przypadkami, zdarzeniami, które miały miejsce i stanowią zagrożenie dla organizacji w zakresie RODO oraz sytuacjami radzenia sobie z nimi, z pewnością zwiększy to atrakcyjność szkolenia i efekty.
• E-learning. Mimo że jest to narzędzie bardzo elastyczne i cechuje się wysokim stopniem mierzalności, to nie osiąga dużej skuteczności ze względu na monotonność i brak interakcji z trenerem. E-learning również można uzupełnić pre- i post-testami.
• Instruktarze stanowiskowe, czyli tzw. dekalogi zawierające 10 podstawowych zasad ochrony danych osobowych. To proste rozwiązanie bywa bardzo skuteczne, dzięki temu, że oddziałuje na pracowników z różnych miejsc. Znajdujące się przy stacjach roboczych, w pomieszczeniach socjalnych, w windach, atrakcyjne i przejrzyste infografiki w przystępny sposób podają odbiorcy informacje jak postępować i stanowią doskonałe uzupełnienie innych narzędzi.
• Aktualizowane biuletyny wewnętrzne. Opisują sytuacje, które mogą się zdarzyć, przypominają co robić w przypadku ich wystąpienia. Jest to narzędzie najtańsze, ale wymaga czasu na przygotowanie i nie jest szczególnie efektywne.
• Okresowe audyty. To najbardziej skuteczne narzędzie, jednak wymaga audytorów, których działania wymagają koordynacji, odpowiedniej logistyki wewnątrz organizacji i wiąże się to z dodatkowymi kosztami.

„Nadzór nad podmiotami przetwarzającymi”

Bardzo ważne jest, aby administratorzy danych mieli świadomość, że zawierając umowę powierzenia i przekazując dane podmiotom przetwarzającym, nie są zwolnieni z obowiązku kontroli nad tym co dalej dzieje się z przekazanymi danymi. Bowiem w myśl przepisów RODO odpowiedzialność za bezpieczeństwo danych nie jest przenoszona na procesorów. Skoro przepisy nie pozwalają pozbyć się odpowiedzialności, to w interesie administratora jest podpisanie odpowiednio skonstruowanej umowy, w której podmiot przetwarzający zobowiąże się do rzetelnego zabezpieczenia danych, m.in. pod restrykcją kar umownych. Umowa powinna także precyzyjnie informować co stanie się z danymi po zakończeniu procesu ich przetwarzania, czy zostaną odpowiednio usunięte czy zwrócone administratorowi. Odpowiednio przygotowana umowa daje administratorowi możliwość dochodzenia ewentualnych roszczeń od procesora danych.

W praktyce zdarza się, w szczególności dotyczy to działających na rynku monopolistów z poszczególnych branż, że wykorzystują oni swoją pozycję i wprowadzają do umów klauzule, które np. przewidują wynagrodzenie za możliwość przeprowadzenia audytu własnych danych osobowych. Powszechne są także sytuacje gdy po zawarciu umowy administratorzy danych nie robią nic pod kątem kontroli podmiotów przetwarzających.

METODY NADZORU RODO W PRAKTYCE:

• Ankieta. Mało inwazyjna, wstępna metoda oceny. Ankieta wysłana do procesora pozwala całkiem skutecznie zweryfikować jego poziom znajomości przepisów RODO. Pomaga administratorowi podjąć decyzję, czy warto z danym podmiotem przetwarzającym podpisać umowę jako dostawcą usług. Stosowana okresowo, np. rok po roku, pozwala administratorowi zweryfikować czy dany procesor nadal odpowiednio stosuje przepisy RODO. Co więcej jest dowodem, że administrator dopełnił obowiązku kontroli nad podmiotem przetwarzającym.

• Audyt bezpośredni. Metoda stosowana np. gdy po przeprowadzonej ankiecie administrator ma wątpliwości czy powierzone dane są odpowiednio zabezpieczone. Wykorzystuje się tu takie narzędzia, jak wizja lokalna, analiza dokumentów, wywiady. Audyt jest skuteczną metodą, która pozwala odpowiednio zweryfikować działanie procedur bezpieczeństwa danych u procesora i następnie podjąć decyzję o zawarciu współpracy, kontynuacji bądź jej rozwiązaniu. Najwłaściwszą osobą do przeprowadzania audytów powinien być IOD, gdy nie ma go w organizacji, praktyka pokazuje, że warto to robić poprzez firmy zewnętrzne.

„Certyfikacja zgodności z RODO”

Obecnie trwają prace nad wdrożeniem certyfikacji na zgodność z RODO. Państwa członkowskie, organy nadzorcze, Europejska Rada Ochrony Danych oraz Komisja Europejska zachęcają do ustanawiania mechanizmów certyfikacji oraz znaków jakości i oznaczeń w zakresie ochrony danych osobowych mających świadczyć o zgodności z niniejszym rozporządzeniem operacji przetwarzania prowadzonych przez administratorów i podmioty przetwarzające. Wdrożenie ochrony danych osobowych ma odbywać się w oparciu o najlepsze istniejące standardy i praktyki, m.in. normy ISO 27001 i ISO 29151.

Proces certyfikacji będzie składał się z następujących elementów:

• Wniosek o certyfikację organizacji do jednostki certyfikującej, w którym stwierdzi co chce poddać certyfikacji (produkty, usługi, etc.). Raczej nie będzie certyfikacji dla całych organizacji, a jedynie dla poszczególnych elementów prowadzonej działalności.
• Audyt wstępny – weryfikacja dokumentów.
• Audyt bezpośredni – m.in. wizja lokalna, wywiady osobowe, analiza systemu informatycznego, obiegu informacji.

Po zrealizowaniu tych trzech elementów, będzie wydawana opinia o możliwości certyfikacji, zwykle po 3 miesiącach od złożenia wniosku. Wszystko będzie zależne od ilości dokumentów  koniecznych do weryfikacji. Proces ten będzie dłuższy w przypadku spółek z segmentu B2C (maks. 3 miesiące), krócej powinno zająć procedowanie spółek z sektora B2B (ok 1,5 miesiąca). W cały proces będzie zaangażowany IOD organizacji. Certyfikat będzie publikował Prezes UODO, który z racji przepisów będzie miał możliwość kontroli z urzędu poszczególnych organizacji, w przypadku ewentualnych wątpliwości czy nie dochodzi do naruszeń przyznanego certyfikatu. Certyfikaty będą przyznawane na 3 lata i po tym okresie będzie możliwa recertyfikacja. Koszt certyfikacji realizowanej bezpośrednio przez Prezesa UODO zgodnie z przepisami nie może przekroczyć ok 20 tys. zł., w przypadku jednostek certyfikujących powinna to być zbliżona lub ewentualnie o kilka tysięcy niższa kwota za każdy proces, produkt lub usługę

POTRZEBUJESZ PORADY CZY DODATKOWYCH INFORMACJI?
CHCIAŁBYŚ OTRZYMAĆ KOSZTORYS?