![](/images/glo/rodo.webp)
RODO
RODO jest kluczowym instrumentem prawnym w dziedzinie ochrony danych osobowych w Unii Europejskiej, a jego celem jest zapewnienie większej ochrony prywatności i danych osobowych obywateli UE. Rozporządzenie narzuca szereg wymogów i zasad dotyczących przetwarzania danych osobowych przez podmioty, w tym firmy, instytucje publiczne czy organizacje non-profit.Usługi związane z ochroną danych osobowych zgodnie z RODO to kompleksowe podejście, które skupia się na zapewnieniu pełnej zgodności z przepisami prawa oraz skutecznym zabezpieczeniu danych osobowych Państwa organizacji. Nasz zespół ekspertów doskonale rozumie złożoność wymagań RODO i jest gotowy zapewnić wsparcie na każdym etapie procesu dostosowania się do tych przepisów.
1. Usługi doradcze
- Przeprowadzenie analizy ryzyka procesów przetwarzania danych osobowych wraz z przekazaniem raportu poaudytowego oraz planem postępowania z ryzykiem;
- doradztwo przy przetwarzaniu danych dla celów stworzenia oraz rozwoju nowych rozwiązań technologicznych, a także nowatorskich projektów (start-upów) obejmujących min. wykorzystanie baz danych, biometrię, szyfrowanie danych, profilowanie;
- pomoc w zakresie przetwarzania danych osobowych przy użyciu rozwiązań chmurowych;
- opiniowanie możliwości wykorzystywania aplikacji, systemów oraz innych technologii służących do przetwarzania danych w świetle przepisów o ochronie danych osobowych;
- wykonanie pre-DPIA (weryfikacja podlegania obowiązkowi wykonania oceny skutków) oraz oceny skutków dla czynności przetwarzania zgodnie z obowiązującymi przepisami prawa oraz wytycznymi Prezesa Urzędu Ochrony Danych Osobowych;
- opiniowanie planowanych przez Klienta rozwiązań i projektów w zakresie zgodności z przepisami prawa ochrony danych osobowych (Privacy by Design i Privacy by Default);
- ocena wpływu transferu danych na prawa i wolności osób fizycznych (Transfer Impact Assessment – TIA) w celu oceny ryzyka związanego z przekazywaniem danych osobowych do państwa trzeciego;
- opracowywanie Rejestru czynności przetwarzania danych osobowych oraz Rejestru wszystkich kategorii czynności przetwarzania;
- wykonywanie testów równowagi w celu ustalenia, czy możliwe jest przetwarzanie danych osobowych na podstawie prawnie uzasadnionego interesu Administratora danych (art. 6 ust. 1 lit. f) RODO);
- współpraca z organem nadzorczym oraz pełnienie punktu kontaktowego dla Prezesa Urzędu Ochrony Danych Osobowych;
- ocena strony internetowej Administratora danych wraz z przygotowaniem niezbędnej dokumentacji np. treści Polityki prywatności i plików cookies, obowiązków informacyjnych, zgód na przetwarzanie danych osobowych;
- ocena stron www sklepów internetowych Klienta wraz z przygotowaniem raportu poaudytowego oraz dokumentacji np. w postaci Regulaminu serwisu;
- wsparcie w ramach przetwarzania danych osobowych w e-commerce - analiza zasady wykorzystania cookies i innych technologii;
- doradztwo przy tworzeniu strategii marketingowej w zakresie przetwarzania danych osobowych;
- ocena relacji podmiotów gospodarczych w ramach funkcjonowania Grupy Kapitałowej, w tym przygotowywanie umów powierzenia, udostępnienia danych, współadministrowania, transgranicznego przekazywania danych;
- wsparcie w przygotowaniu odpowiedzi na żądania podmiotów danych;
- przeprowadzane okresowych planowych i doraźnych audytów w podmiotach, którym Klienci powierzyli przetwarzanie danych osobowych;
- konsultacje i wsparcie merytoryczne z zakresu ochrony danych osobowych;
- opracowywanie niezbędnej dokumentacji wymaganej na gruncie obowiązującego prawodawstwa, w tym np. pracy zdalnej, badania trzeźwości, zgłaszania nieprawidłowości w zakresie Sygnalistów itp.
2. Audyt zgodności z RODO
Etap O: Weryfikacja stopnia wdrożenia przez Administratora systemu ochrony danych osobowych, w tym m.in:- przegląd Polityki Ochrony Danych Osobowych;
- przegląd procedur, regulaminów, innych wewnętrznych regulacji w kontekście wymagań, określonych w obowiązujących przepisach prawa z zakresu ochrony danych osobowych (zarówno RODO, jak i przepisach branżowych);
- weryfikacja umów powierzenia przetwarzania danych osobowych; umów dotyczących udostępniania danych, umów o współadministrowanie danymi osobowymi;
- przegląd wydawanych upoważnień do przetwarzania danych osobowych oraz oświadczeń o zachowaniu poufności;
- weryfikacja treści Polityki prywatności i plików cookies, regulaminów oraz innych dokumentów, zamieszczonych na stronie internetowej Administratora;
- przegląd przeprowadzonej przez Administratora analizy ryzyka procesów przetwarzania danych;
- weryfikacja treści rejestru czynności przetwarzania danych osobowych, rejestru wszystkich kategorii czynności przetwarzania danych;
- przegląd treści rejestru naruszeń, incydentów danych osobowych;
- przegląd stosowanych przez Administratora treści klauzul obowiązków informacyjnych oraz zgód pod kątem przepisów RODO;
- weryfikacja wykonanej przez Administratora oceny skutków dla ochrony danych (DPIA).
Etap I: Analiza formalno-prawna procesów przetwarzania danych osobowych:
- spotkanie otwierające dla przedstawicieli poszczególnych komórek organizacyjnych Administratora/właścicieli procesów;
- identyfikacja procesów, czynności przetwarzania danych osobowych, w tym podmiotów danych oraz zakresu przetwarzanych danych osobowych;
- weryfikacja przesłanek, legalizujących proces przetwarzania danych osobowych;
- weryfikacja celów przetwarzania danych osobowych; weryfikacja źródeł przetwarzanych danych;
- weryfikacja retencji danych osobowych;
- weryfikacja form przetwarzanych w organizacji danych osobowych;
- weryfikacja Odbiorców danych osobowych, w tym m.in.: Podmiotów przetwarzających, Współadministratorów;
- weryfikacja transferu danych do kraju trzeciego lub organizacji międzynarodowej;
- wizja lokalna obszaru przetwarzania danych osobowych pod kątem stosowania zabezpieczeń organizacyjnych i technicznych.
Etap II: Audyt IT:
- ocena obowiązków osób odpowiedzialnych za właściwe działanie oraz bezpieczeństwo infrastruktury teleinformatycznej;
- weryfikacja systemów/aplikacji, w których przetwarzane są dane osobowe pod kątem rozliczalności, poufności, integralności, pseudonimizacji, anonimizacji, szyfrowania danych osobowych;
- weryfikacja uwierzytelniania użytkowników;
- weryfikacja zabezpieczeń sieci;
- weryfikacja procesu wykonywania kopii zapasowych, ciągłości działania;
- weryfikacja stosowanego przez Administratora oprogramowania zabezpieczającego przed szkodliwym oprogramowaniem;
- weryfikacja zabezpieczania nośników wymiennych, za pośrednictwem których są przetwarzane dane osobowe;
- weryfikacja niszczenia/utylizacji nośników elektronicznych;
- weryfikacja procesu stosowania zabezpieczeń kryptograficznych;
- weryfikacja procesu serwisowania i wsparcia systemów informatycznych przez podmioty zewnętrzne, współpracujące z Administratorem;
- wizja lokalna obszaru przetwarzania danych osobowych, w tym stosowanie zabezpieczeń informatycznych np. w serwerowni;
- pobranie próbek adekwatnych do sporządzenia rzetelnej oceny przetwarzania danych osobowych w formie elektronicznej.
Etap III: Przygotowanie raportu poudytowego wraz z rekomendacjami minimalizującymi ryzyko naruszenia ochrony danych osobowych, zawierającego m.in.:
- ocenę udostępnionej przez Administratora dokumentacji pod kątem kompletności i poprawności zapisów zgodnie z obowiązującymi przepisami prawa;
- ocenę procesów przetwarzania danych osobowych pod kątem zgodności z przepisami prawa, w tym wskazanie niezgodności wraz z podstawą prawną oraz rekomendacjami;
- ocenę wdrożonych przez Administratora zabezpieczeń organizacyjnych i technicznych;
- ocenę konieczności prowadzenia rejestru czynności przetwarzania danych osobowych oraz rejestru wszystkich kategorii czynności przetwarzania danych;
- ocenę konieczności powołania Inspektora Ochrony Danych Osobowych;
- wskazanie obszarów, które będą wymagały zmian zgodnie z obowiązującym prawodawstwem;
- prezentacja raportu zamykającego.
- opracowanie metodyki przeprowadzonej analizy ryzyka;
- inwentaryzacja aktywów danych osobowych oraz ich właścicieli;
- wykonanie szacowania ryzyka dla identyfikowanych procesów przetwarzania danych;
- wykonanie oceny skutków operacji przetwarzania danych osobowych (DPIA);
- przygotowanie raportu poudytowego, zawierającego przedstawienie wyników szacowania i oceny ryzyka wraz z rekomendacjami oraz planu postępowania z ryzykiem;
- omówienie raportu poudytowego z Administratorem.
Etap V: Wsparcie Administratora w aktualizacji dokumentacji z zakresu ochrony danych osobowych:
- opracowanie dokumentacji zgodnie z rekomendacjami poaudytowymi, w tym przygotowanie m.in. Polityki Ochrony Danych Osobowych wraz z załącznikami, obowiązków informacyjnych, zgód na przetwarzanie danych osobowych, Polityki prywatności i plików cookie itp.;
- doradztwo w zakresie doboru środków technicznych i organizacyjnych, zapewniających adekwatny stopień bezpieczeństwa przetwarzanych danych osobowych.
3. Szkolenia
- podstawy prawne, odnoszące się do przetwarzania danych osobowych;
- materialny i terytorialny zakres stosowania Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679;
- najważniejsze definicje, wynikające z RODO (w tym m.in. pojęcie danych osobowych, Administratora, IOD);
- przesłanki legalizujące proces przetwarzania danych osobowych;
- zasady przetwarzania danych osobowych (art. 5 RODO);
- obowiązki informacyjne oraz ich implementacja;
- warunki wyrażenia zgód na przetwarzanie danych osobowych;
- obowiązki Administratora (w tym m.in. prowadzenie dokumentacji w postaci np. Polityki Ochrony Danych Osobowych, Rejestru czynności przetwarzania, wewnętrznych procedur);
- role podmiotów w systemie ochrony danych osobowych;
- prawa osób, których dane dotyczą;
- zabezpieczenia organizacyjne i techniczne danych osobowych;
- analiza ryzyka i ocena skutków dla operacji przetwarzania danych osobowych;
- incydenty i naruszenia ochrony danych;
- ochrona danych osobowych na gruncie przepisów sektorowych, odnoszących się do prowadzonej przez Administratora działalności gospodarczej, w tym np. Ustawy Kodeks pracy, Ustawy o Zakładowym Funduszu Świadczeń Socjalnych, Ustawy o świadczeniu usług drogą elektroniczną; Ustawy Prawo telekomunikacyjne;
- kontrola funkcjonującego u Administratora systemu ochrony danych przez organ nadzorczy;
- odpowiedzialność karna Administratora danych osobowych oraz osobista Pracowników;
- omówienie wybranych decyzji organów nadzorczych UE, w tym RP.
4. OUTSOURCING FUNKCJI INSPEKTORA OCHRONY DANYCH
Etap I: Ocena funkcjonującego u Administratora systemu ochrony danych osobowych:
- analiza formalno-prawna oraz audyt informatyczny procesów przetwarzania danych osobowych, weryfikujący stopień wdrożenia wymagań RODO oraz przepisów sektorowych w organizacji;
- przygotowanie raportu poaudytowego ze zrealizowanych czynności, o których mowa w pkt. 1 powyżej wraz z rekomendacjami;
- wsparcie we wdrożeniu rekomendacji poaudytowych.
Etap II: Wykonywanie funkcji Inspektora Ochrony Danych:
- informowanie Administratora danych oraz Pracowników Administratora o obowiązkach, wynikających z obowiązujących przepisów prawa dotyczących ochrony danych osobowych;
- monitorowanie przestrzegania RODO oraz przepisów branżowych odnoszących się do przetwarzania danych;
- szkolenia wstępne i okresowe Pracowników Administratora z zakresu wymagań dotyczących bezpiecznego przetwarzania danych;
- przeprowadzanie cyklicznych czynności sprawdzających (audytów) nadzoru w zakresie zgodności z przepisami prawa według indywidualnych ustaleń z Administratorem;
- przygotowanie oraz wsparcie we wdrożeniu działań usprawniających, w tym adekwatnych do ryzyk zabezpieczeń danych osobowych;
- współpraca z organem nadzorczym oraz pełnienie punktu kontaktowego dla Prezesa Urzędu Ochrony Danych Osobowych;
- bieżąca aktualizacja dokumentacji ochrony danych osobowych, w tym Polityki Ochrony Danych, procedur, regulaminów, ewidencji i rejestrów;
- opiniowanie i nadzór warunków współpracy Administratora z podmiotami zewnętrznymi pod kątem powierzenia danych osobowych, udostępniania danych, współadministrowania danymi;
- weryfikacja zgodności przekazania danych do państwa trzeciego lub organizacji międzynarodowej;
- cykliczne szacowanie ryzyka procesów przetwarzania danych osobowych oraz oceny skutków operacji przetwarzania dla ochrony danych osobowych (DPIA) – w przypadku wystąpienia takiej konieczności;
- ocena zdarzeń, noszących znamiona incydentów/naruszeń ochrony danych osobowych wraz z przygotowaniem treści wniosku zgłoszeniowego do PUODO, poinformowania podmiotów danych, których zdarzenie dotyczy oraz rejestru niniejszych zdarzeń;
- opiniowanie udostępnionych Inspektorowi Ochrony Danych dokumentów pod kątem zgodności z wymaganiami ochrony danych osobowych;
- opiniowanie planowanych procesów przetwarzania danych w zakresie zgodności z przepisami prawa w zakresie przetwarzania danych osobowych (Privacy by Design i Privacy by Default);
- wsparcie Pracowników Administratora danych w zgłaszanych problemach, odnoszących się do przetwarzania danych osobowych.