Source: https://www.e-regulaminy.pl/2019/02/27/dokumentacja-przetwarzania-danych-osobowych-zgodnie-rodo/
Timestamp: 2019-12-11 14:18:26+00:00

Document:
Dokumentacja przetwarzania danych osobowych zgodnie z RODO - e-Regulaminy.pl
W Rozporządzeniu Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – dalej RODO) nie ma jakichkolwiek wymagań formalnych w zakresie prowadzenia dokumentacji przetwarzania danych osobowych na wzór nieobowiązującego już Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim muszą odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. Art. 24 ust. 2 RODO podaje tylko, iż jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki organizacyjne i techniczne obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.
W odpowiedzi na liczne pytania dotyczące zagadnienia jak należy konstruować dokumentację RODO, Urząd Ochrony Danych Osobowych w dniu 28 maja 2018 r. opublikował na swojej stronie internetowej zalecenia / propozycje dotyczące dokumentacji, którą powinien wdrożyć administrator danych.
Poniżej cytujemy zasadniczą treść stanowiska PUODO.
1.	Wymagania formalne dotyczące dokumentacji przetwarzania określone w RODO
W aktualnym systemie prawnym dotyczącym przetwarzania danych osobowych administrator danych w większości obszarów dowolnie może kształtować i opisywać rozwiązania dotyczące przyjętych zasad i procedur przetwarzania. Pośród obszarów, w odniesieniu do których RODO nakreślono jednak pewne wymagania formalne dotyczące zakresu dokumentowania pozostały takie zagadnienia jak:
RODO nie wymaga jednak, aby dokument zawierający wspomniane wyżej, obligatoryjne elementy dokumentacji miał konkretną nazwę, czy strukturę. Ważne jest tylko, aby administrator danych wykazał, iż wymienione wyżej rejestry, czy raporty posiadał i żeby ich zawartość była zgodna z wskazanymi wyżej wymaganiami tj. wymaganiami wskazanymi odpowiednio w art. 30, art. 33 ust 3 i 5 oraz art. 35 ust 7 RODO.
Należy jednak zwrócić uwagę na to, że wskazane w RODO wymagania wymienione w art. 30, art. 33 ust 3 i 5 oraz art. 35 ust 7 nie są jedynymi, jakie należy uwzględnić w dokumentacji przetwarzania. Są one jedynie specyficzne pod tym względem, iż wskazany jest zakres informacji, jaki w danym obszarze powinien być uwzględniony.
2.	Jakie elementy powinna zawierać dokumentacja przetwarzania, aby spełniała wymagania RODO
Jak już wspomniano wcześniej, nieprawdą jest, jak twierdzą wprost niektórzy z ekspertów, iż RODO znosi „uciążliwy dotąd” obowiązek prowadzenia dokumentacji przetwarzania danych tj. dokumentacji, na która składa się polityka bezpieczeństwa i instrukcja zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych.
Obecnie, w nowym systemie prawnym dotyczącym przetwarzania danych osobowych, nie podaję się dokumentów jakie administrator powinien posiadać, żeby wykazać zgodność realizowanych czynności przetwarzania, poza elementami wymienionymi w rozdziale 1. Z treści art. 24 ust 1 RODO wynika jednak, iż administrator danych ma być w stanie wykazać całościowo zgodność przetwarzania danych. W praktyce oznacza to, że administrator ma obowiązek wykazać, że:
zapewnia bezpieczeństwo przetwarzania danych uwzględniając charakter zakres, kontekst oraz cele przetwarzania danych – art. 32- 36 RODO,
zapewnia kontrolę nad przetwarzaniem danych w postaci monitorowanie przestrzegania przepisów i przyjętych procedur przetwarzania przez Inspektora Ochrony Danych lub podmioty certyfikujące, czy też monitorujące przestrzeganie przyjętych kodeksów postepowania – art. 27- 43,
stosuje się do wymagań w zakresie przekazywania danych do państw trzecich oraz instytucji międzynarodowych – art. 44 – 49 RODO.
Trzeba jednak zaznaczyć, iż zgodnie z art. 24 oraz art. 32 RODO przy wykonywaniu wyżej przedstawionych obowiązków w zakresie zapewniania zgodności należy uwzględniać stan wiedzy technicznej, koszty, charakter, zakres, kontekst, cele przetwarzania oraz ryzyka na jakie są narażone przetwarzane dane.
3.	Czy dotychczas stosowana dokumentacja przetwarzania może być wykorzystana?
Obecnie prowadzona dokumentacja, w której skład wchodzą polityka bezpieczeństwa i instrukcja zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych, z powodzeniem może być wykorzystana w celu stworzenia dokumentacji, której celem będzie wykazanie zgodności realizowanych procesów przetwarzania z wymaganiami RODO. Obowiązek wykazania przestrzegania stosowania przepisów RODO wynikający z art. 24 RODO nie podaje bowiem w jaki sposób, poprzez jakie dokumenty, czy inne instrumenty zarządzania powinien być zrealizowany. Przepis art. 24 RODO stanowi jedynie, że administrator ma wykazać, że wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z RODO. Opracowana w powyższy sposób dokumentacja, powinna więc opisywać zastosowane w powyższym celu procedury i środki techniczne.
Jeśli zatem prowadzona wg. dotychczas obowiązujących wymagań dokumentacja zawierała obowiązkowe elementy, takie jak inwentaryzacja zasobów informacyjnych, opis przepływy danych między systemami czy specyfikacje środków organizacyjnych i technicznych zastosowanych do ochrony przetwarzanych danych, czego wymagała polityka bezpieczeństwa to w pełni można je przenieść do nowej dokumentacji.
Nie ma również żadnych przeszkód, aby do problemu nowej dokumentacji, która będzie spełniała nowe wymagania, o których mowa wyżej podejść w sposób odwrotny, t.j uzupełnić do tej pory stosowaną dokumentacje o nowe elementy wymienione w rozdziale 1 takie jak:
jeśli zgodnie z przepisami RODO są wymagane (dotyczy punktu 4).
Należy także pamiętać, że dokumentując przyjęte procedury i wymagania dotyczące przetwarzania danych osobowych, zgodnie z art. 32 ust 1 RODO, musimy mieć na uwadze, aby przyjęte rozwiązania były adekwatne do obecnego stanu wiedzy technicznej. Dotyczy to nie tylko wiedzy technicznej w zakresie dostępnych środków bezpieczeństwa, ale także wiedzy w zakresie systemów zarządzania bezpieczeństwem, do którego należą takie elementy jak standardy w zakresie zarzadzania, dokumentowania zmian, konfiguracji i innych elementów, które powinny być zawarte w dokumentacji przetwarzania.
Trzeba przy tym pamiętać również o innych obowiązujących wymaganiach prawnych nadal obowiązujących takich jak wymagania określone w takich przepisach jak:
W wyżej wymienionych dokumentach, w kontekście dokumentacji przetwarzania warto zwrócić uwagę w szczególności na § 20ust. 1 KRI, który stanowi, iż:
W odniesieniu natomiast do działań jakie chcemy wykazać w kontekście wykazania dbałości o bezpieczeństwo przetwarzanych danych, dobrze jest skorzystać z zaleceń wymienionych w § 20 ust 2 rozporządzenia KRI odnoszących się do zarządzania bezpieczeństwem, które stanowi, że powinno to być zapewniane poprzez:
utrzymywanie aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj oraz konfigurację;
przeprowadzanie okresowych analiz ryzyka utraty integralności, dostępności czy też poufności informacji i podejmowania działań minimalizujących to ryzyko, stosownie do wyników przeprowadzonej analizy;
podejmowanie działań zapewniających, iż osoby zaangażowane w proces przetwarzania informacji posiadają stosowne uprawnienia i uczestniczą w tym procesie w stopniu adekwatnym do realizowanych przez nie zadań oraz obowiązków mających na celu zapewnienie bezpieczeństwa informacji;
ustanowienie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość;
ustalenie zasad postępowania z informacjami, zapewniających minimalizację wystąpienia ryzyka kradzieży informacji oraz środków przetwarzania informacji, w tym urządzeń mobilnych;
bezzwłoczne zgłaszanie incydentów naruszenia bezpieczeństwa informacji w określony oraz z góry ustalony sposób, umożliwiający szybkie podjęcie działań korygujących;
4.	Czy dokumentacja przetwarzania zgodnie z RODO powinna zawierać Instrukcje zarządzania systemami informatycznymi
RODO nie określa wprost, jak należy udokumentować organizację przetwarzania i zarządzanie bezpieczeństwem przetwarzanych danych, w tym instrukcji zarządzania systemami informatycznymi. Wymaga jednak, żeby zastosowane środki bezpie­czeństwa oraz wszystkie podejmowane w tym zakresie działania można było wykazać. Jak stanowi art. 24 RODO, wykazując zgodność przetwarzania z obowiązującymi wymaganiami trzeba uwzględnić:
charakter, zakres, kontekst oraz cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie oraz wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.
Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których wspomina w ust. 1, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.
Dodatkowo obowiązek prowadzenia dokumentacji przetwarzania danych wynika pośrednio także z art. 32 RODO dotyczącego bezpieczeństwa przetwarzania, który stanowi, iż: „Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (…).”
Biorąc zaś pod uwagę fakt, iż jednym z najistotniejszych, powszechnie akceptowanych dokumentów przedstawiających aktualny stan wiedzy technicznej w zakresie stosowania środków bezpieczeństwa i zarządzania bezpieczeństwem są m.in. normy ISO/IEC z serii 27000, w tym: norma PN-EN ISO/IEC 27001:2017 Technologia informacyjna - Techniki zabezpieczeń, oraz norma PN-EN ISO/IEC 27002:2017 Technika informatyczna - Technika bezpieczeństwa - Praktyczne zasady zabezpieczania informacji, warto zaznaczyć, że wyraźnie podkreśla się w nich fakt, że polityka bezpieczeństwa informacji powinna być: dostępna w formie udokumentowanej informacji, ogłoszona wewnątrz organizacji oraz dostępna dla zainteresowanych stron, jeśli jest to właściwe.
Jeżeli chodzi o zawartość dokumentacji przetwarzania, to należy mieć na uwadze wymienione m.in. w art. 24 i 32 RODO wymaganie wskazujące, że opracowana polityka bezpieczeństwa powinna uwzględniać zakres, kontekst i cele przetwarzania oraz ryzyka naruszenia praw i wolności, w tym prawdopodobieństwo ich wystąpienia. Odwołując się w powyższym zakresie do aktualnego stanu wiedzy, można się posłużyć z kolei normą PN-EN ISO/IEC 27002:2017, która zaleca w tym zakresie uwzględnić takie elementy, jak:
kontrole dostępu (rejestrowanie i wyrejestrowywanie użytkowników, zarządzanie hasłami oraz użycie uprzywilejowanych programów narzędziowych),
bezpieczeństwo fizyczne i środowiskowe i bezpieczeństwo eksploatacji (zarządzanie zmianami, zarządzanie pojemnością, zapewnienie ciągłości działania, rejestrowanie zdarzeń i monitorowanie),
zgodność z wymogami prawnymi i umownymi.
Niektóre z wymienionych wyżej elementów zgodnie z obowiązującymi dotychczas wymaganiami powinny być zawarte w prowadzonej dotychczas instrukcji zarządzania systemami informatycznymi. A więc elementy te również można wykorzystać dla wykazania w nowej dokumentacji zgodności, o której mowa art. 24 RODO.
5.	O jakie elementy należy uzupełnić dotychczas prowadzoną dokumentacje przetwarzania aby spełniała wymagania RODO?
Przygotowując dokument, którego celem ma być wykazanie zgodności przetwarzania danych z wymaganiami określonymi w RODO należy podejść elastycznie wykorzystując do tej pory prowadzoną dokumentację. Oznacza to, że należy zweryfikować dotychczasowe elementy występujące nie tylko w wymaganej dokumentacji na którą składała się polityka bezpieczeństwa i instrukcja zarządzania systemami informatycznymi, ale równie takie elementy jak ewidencję prowadzonych upoważnień do przetwarzania danych, czy uprawnień do poszczególnych funkcji użytkowanych systemów informatycznych.
Reasumując, nową, zgodną z RODO dokumentację przetwarzania danych osobowych, która będzie także instrumentem wykazującym zgodność wykonywanych czynności przetwarzania z przepisami prawa, występujące w dotychczasowej dokumentacji elementy należy uzupełnić dodatkowo o takie elementy jak:
procedurę na wypadek wystąpienia naruszeń mogących powodować wysokie ryzyko naruszenia praw oraz wolności osób, w zakresie ich informowaniu o działaniach jakie powinni wykonać, aby ryzyko to ograniczyć – art. 34 RODO
procedurę prowadzenia wewnętrznej dokumentacji stanowiącej rejestr naruszeń ochrony danych, o którym wsponiano w art. 33 ust 5 RODO;
procedury odtwarzania systemu po awarii, oraz ich testowania – art. 32 ust 1 pkt c d RODO.
Wymieniony powyżej zakres dokumentacji przetwarzania danych zgodnie z podejściem opartym na analizie ryzyka można w istotny sposób ograniczyć w przypadkach, gdzie brak jest niektórych ryzyk z uwagi na zastosowane tam rozwiązania.
Źródło: https://uodo.gov.pl/pl/138/273
Ze swojej strony zachęcamy do skorzystania z oferty wzorów dokumentacji, które zakupić można na stronie www.rododla.pl.
Prowadzenie dokumentacji może ułatwić specjalny program do zarządzania dokumentacją. Serdecznie polecamy - https://niezbednikrodo.pl/pl/.
Zachęcamy do zapoznania się z naszymi pozostałymi artykułami z serii # poradniki RODO.
RODO - poradnik dla sektora FINTECH (wydany przez Ministerstwo Cyfryzacji)
← „„Gotowi na RODO””	„Decyzje administracyjne bez numeru PESEL – wytyczne organu nadzorczego” →

References: Art. 24
 art. 30
 art. 33
 art. 35
 art. 30
 art. 33
 art. 35
 art. 24
 art. 32
 art. 27
 art. 44
 art. 24
 art. 32
 art. 24
 art. 24
 art. 32
 art. 24
 art. 32
 art. 24
 art. 24
 art. 34
 art. 33
 art. 32