RODO: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Wskaż, kto odpowiada za zgodność, i sprawdź, czy możesz pominąć jakieś rejestry.

1. 1.1

   wskaż, kto odpowiada za ochronę danych

   Administrator odpowiada za zgodność i musi umieć ją wykazać. Zdecyduj, która osoba na poziomie zarządu za nią odpowiada i kto raportuje jej stronę bezpieczeństwa.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu wskazująca odpowiedzialnego właściciela i lidera operacyjnego

   dowód, który zostaje

   protokół z tej decyzji

   strona pracy

   podstawa RODO art. 5(2), 24(1)

2. 1.2

   sprawdź, czy możesz pominąć rejestr czynności przetwarzania

   Poniżej 250 pracowników rejestr można pominąć tylko wtedy, gdy przetwarzanie jest okazjonalne, niskiego ryzyka i nie obejmuje szczególnych kategorii danych. Sprawdź to na dokumentacji pracowniczej, którą przetwarzasz regularnie, i zapisz odpowiedź.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa notatka z odpowiedzią i uzasadnieniem

   dowód, który zostaje

   notatka zatwierdzona przez zarząd

   podstawa RODO art. 30(5)

Zapisz, jakie dane osobowe przetwarzasz i gdzie, i dodaj ryzyko dla osób do analizy ryzyka.

1. 2.1

   prowadź rejestr czynności przetwarzania

   Wypisz każdą czynność przetwarzania z jej celem, rodzajami danych, odbiorcami i systemami, które je przechowują. Zacznij od listy systemów, którą ma już dział IT, i dodaj dokumentację pracowniczą oraz dane dostawców.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   rejestr czynności z systemem i właścicielem każdej

   dowód, który zostaje

   rejestr z datą, sprawdzony przez właściciela

   strona pracyzabezpieczenie: asset-inventory

   podstawa RODO art. 30(1)

2. 2.2

   dodaj ryzyko dla osób do analizy ryzyka

   Bezpieczeństwo ma odpowiadać ryzyku dla osób, które różni się od ryzyka dla firmy. Dodaj dane osobowe jako osobną kolumnę, oceń, co wyciek lub utrata oznaczałyby dla ludzi, i dobierz środki.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   rejestr ryzyk z kolumną ryzyka dla osób i wybranymi środkami

   dowód, który zostaje

   rejestr zatwierdzony przez zarząd

   strona pracyzabezpieczenie: risk-register

   podstawa RODO art. 32(1)

Zrób z tych środków rzeczywistość: dostęp, szyfrowanie, kopie zapasowe i regularne testy.

1. 3.1

   ogranicz, kto ma dostęp do danych osobowych

   Zapewnij poufność systemów, które przechowują dane osobowe, w stopniu odpowiednim do ryzyka. Wypisz, kto ma dostęp do każdego z nich, usuń dostępy, których nikt nie umie wyjaśnić, i przeglądaj listę w ustalonym rytmie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista dostępów dla każdego systemu i datowany przegląd

   dowód, który zostaje

   zapis przeglądu z odnotowanymi usunięciami

   strona pracyzabezpieczenie: access-reviews

   podstawa RODO art. 32(1)(b)

2. 3.2

   szyfruj tam, gdzie ma to sens

   Zdecyduj, gdzie szyfrowanie odpowiada ryzyku, na przykład na laptopach, w składowaniu i w transmisji. Zapisz, kto ma klucze i co się dzieje po ich utracie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   jednostronicowa notatka o szyfrowaniu i kluczach

   dowód, który zostaje

   notatka sprawdzana przez właściciela co roku

   zabezpieczenie: encryption-keys

   podstawa RODO art. 32(1)

3. 3.3

   rób kopie zapasowe, z których odtwarzałeś dane

   Przepis wymaga zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich. Rób kopie systemów, które je przechowują, i odtwarzaj z nich według harmonogramu. Kopia, z której nigdy nie odtwarzałeś, jest nadzieją.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zakres kopii zapasowych i test odtworzenia

   dowód, który zostaje

   zapisy testów odtworzenia z datami i wynikami

   strona pracyzabezpieczenie: backup-recovery

   podstawa RODO art. 32(1)(c)

4. 3.4

   testuj środki w ustalonym rytmie

   Przepis wymaga procesu regularnego testowania i oceny środków. Skanuj to, co jest wystawione na zewnątrz, łataj według priorytetu i zapisuj, czego postanowiłeś nie naprawiać. Zapisz, co zrobiono po każdym nieudanym teście.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   rutyna testów i lista zaakceptowanych ryzyk

   dowód, który zostaje

   wyniki testów, zapisy łatania i lista zaakceptowanych ryzyk

   strona pracyzabezpieczenie: vulnerability-management

   podstawa RODO art. 32(1)(d)

Ustal, kto przetwarza dla Ciebie dane osobowe, i trzymaj go przy warunkach, które wymienia prawo.

1. 4.1

   spisz każdy podmiot przetwarzający

   Podmiot przetwarzający przetwarza dane osobowe w Twoim imieniu. Zacznij od listy dostawców z finansów i listy aplikacji od Twojego dostawcy tożsamości. Zaznacz tych, którzy przechowują dane osobowe, i zapytaj każdego, jakich gwarancji udziela.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr podmiotów przetwarzających z danymi, które każdy przetwarza

   dowód, który zostaje

   rejestr i otrzymane gwarancje

   strona pracyzabezpieczenie: supplier-management

   podstawa RODO art. 28(1)

2. 4.2

   sprawdź w każdej umowie wymagane elementy

   Przetwarzanie musi odbywać się na podstawie umowy z wymienionymi elementami, w tym dotyczącymi bezpieczeństwa, pomocy i audytów. Porównaj każdą umowę z tą listą, zaznacz braki i uzupełnij je przy najbliższym odnowieniu albo wcześniej.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   kontrola umowy każdego podmiotu z zaznaczonymi brakami

   dowód, który zostaje

   weryfikacje oraz podpisane zapisy tam, gdzie się zmieniły

   strona pracyzabezpieczenie: supplier-management

   podstawa RODO art. 28(3)

3. 4.3

   zapytaj o dalsze podmioty przetwarzające

   Zapytaj każdego podmiotu przetwarzającego, z jakich dalszych podmiotów korzysta. Te same obowiązki muszą przechodzić na nich w drodze umowy. Zapisz odpowiedzi przy danym podmiocie.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista dalszych podmiotów przetwarzających przy każdym podmiocie

   dowód, który zostaje

   otrzymane odpowiedzi z datami

   strona pracyzabezpieczenie: supplier-management

   podstawa RODO art. 28(4)

Ustal, kto ocenia naruszenie, jak informujesz organ i osoby, których to dotyczy, i jak je rejestrujesz.

1. 5.1

   ustal, kto ocenia naruszenie i kiedy zaczyna biec termin

   Wskaż, kto o każdej porze decyduje, czy zdarzenie bezpieczeństwa jest naruszeniem ochrony danych osobowych. Termin biegnie od chwili, gdy dowiadujesz się o naruszeniu. Europejska Rada Ochrony Danych rozumie przez to rozsądny stopień pewności, że do naruszenia doszło. Czekanie na pełny obraz nie przesuwa początku terminu.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   procedura naruszeń ze wskazanymi rolami i arkuszem kontaktów

   dowód, który zostaje

   procedura i arkusz kontaktów, sprawdzane co roku

   strona pracyzabezpieczenie: incident-management

   podstawa RODO art. 33(1)

2. 5.2

   przygotuj zgłoszenie do organu

   Zgłoś organowi w ciągu 72 godzin od stwierdzenia naruszenia, o ile to możliwe, chyba że naruszenie raczej nie skutkuje ryzykiem dla osób. Jeśli zgłaszasz później, podaj powody. Informacje można przekazywać etapami. Przygotuj wzór, ustal kanał swojego organu i zdecyduj, kto może zgłoszenie wysłać. Propozycja wydłużyłaby termin, ale nie jest prawem.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   wzór zgłoszenia i reguła, kto je wysyła

   dowód, który zostaje

   wzór i próbne zgłoszenie

   strona pracy

   podstawa RODO art. 33(1), 33(4)

3. 5.3

   sprawdź kanał zgłoszenia do organu nadzorczego

   Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO). Krajowa ustawa to ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781. Kanału, jakim przesyła się zgłoszenie naruszenia, nie potwierdzono na stronie urzędu, więc sprawdź go na uodo.gov.pl, zanim ułożysz procedurę.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka z kanałem zgłoszenia i datą sprawdzenia

   dowód, który zostaje

   notatka sprawdzona na stronie urzędu w podanym dniu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 5.4

   zdecyduj, kiedy informujesz osoby, których to dotyczy

   Gdy ryzyko dla osób jest wysokie, poinformuj je bez zbędnej zwłoki. Zapisz, kto ocenia poziom ryzyka i co prostymi słowami mówi wiadomość do nich.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   reguła oceny ryzyka i wzór wiadomości

   dowód, który zostaje

   reguła i wzór zatwierdzone przez zarząd

   strona pracy

   podstawa RODO art. 34(1)

5. 5.5

   prowadź rejestr naruszeń

   Dokumentuj każde naruszenie ochrony danych osobowych, także te, których nie zgłosiłeś: fakty, skutki i podjęte działania, a przy braku zgłoszenia uzasadnienie. Rejestr pozwala organowi sprawdzić zgodność.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr naruszeń ze stałym zestawem pól

   dowód, który zostaje

   rejestr z datowanymi wpisami

   strona pracyzabezpieczenie: incident-management

   podstawa RODO art. 33(5)

Trzymaj dowody razem i raportuj zarządowi.

1. 6.1

   trzymaj dowody w jednym miejscu

   Zbierz wyniki każdego kroku powyżej w jednym folderze: rejestr, rejestr ryzyk, przeglądy dostępów, testy odtworzenia, weryfikacje podmiotów przetwarzających i rejestr naruszeń. Po naruszeniu nadal musisz wykazać, że środki były odpowiednie, i ten folder to umożliwia.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów uporządkowany według środków

   dowód, który zostaje

   folder, z datą przy każdej pozycji

   podstawa RODO art. 5(2), 24(1)

2. 6.2

   przeprowadź ćwiczenie na wypadek naruszenia

   Przeprowadź krótkie ćwiczenie na realistycznym scenariuszu z ludźmi, którzy byliby w pokoju. Zmierz czas kroków do decyzji o zgłoszeniu, zapisz, co poszło źle i kto to naprawia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z ćwiczenia z działaniami i właścicielami

   dowód, który zostaje

   raport i lista działań, zamknięte lub z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   raportuj zarządowi

   Raz w roku pokaż zarządowi stan każdego środka, podmioty przetwarzające z otwartymi brakami i zarejestrowane naruszenia. Zapisz, co zarząd postanowił.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   roczny raport dla zarządu

   dowód, który zostaje

   raport i protokół

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)