Source: https://www.pps.edu.pl/galeria,i,archiwum/Opracowanie_dokumentacji_wymaganej_na_gruncie_RODO_oraz_prowadzenia_analizy_ryzyka_zgodnie_z_wytycznymi_GIODO/418,,0,17,1
Timestamp: 2018-10-22 13:52:41+00:00
Document Index: 52104331

Matched Legal Cases: ['art. 24', 'art. 30', 'art. 29', 'art. 13', 'art. 7', 'art. 28', 'art. 15']

Przy zgłoszeniu przesłanym do 07 maja 2018
Przy zgłoszeniu przesłanym po 07 maja 2018
Dokumentacja związana z inwentaryzacją procesów przetwarzania danych
Unijne rozporządzenie o ochronie danych (RODO) zastąpi aktualnie obowiązującą w Polsce ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i będzie stosowane wprost we wszystkich krajach członkowskich UE już od 25 maja 2018 r. Pomimo, iż do rozpoczęcia stosowania RODO pozostało zaledwie kilka miesięcy, zdecydowana większość przedsiębiorców nadal ma poważne problemy z faktyczną implementacją nowych wymagań do swojej działalności. Jedną z kluczowych wątpliwości jaka pojawia się przy stosowaniu RODO jest ustalenie, jakiego rodzaju dokumentacja i procedury wewnętrzne powinny zostać przyjęte do stosowania przez organizacje. Innym niezwykle istotnym elementem prawidłowej realizacji wymagań RODO jest wdrożenie metodologii szacowania ryzyka naruszenia praw i wolności osób fizycznych oraz współpracy każdego administratora danych z organem nadzoru w zakresie przeciwdziałania wykrytym naruszeniom ochrony danych.
Podczas warsztatów uczestnicy otrzymają szereg wskazówek w jaki sposób należy opracować dokumenty, które pozwalają zrealizować poszczególne wymagania RODO. Ponadto wspólnie z trenerem opracują przykładowe treści dokumentów i klauzul, które następnie będą mogli wykorzystać w działalności swoich organizacji. Ponadto drugiego dnia warsztatów zostanie przeprowadzone ćwiczenie dotyczące szacowania ryzyka naruszenia praw i wolności osób fizycznych w sposób uwzględniający wymagania RODO (w tym wynikające z art. 24 i 32) oraz najnowsze wytyczne opublikowane przez Generalnego Inspektora Ochrony Danych Osobowych, a także monitorowania naruszeń ochrony danych i współpracy z organem nadzoru w zakresie przeciwdziałania skutkom naruszeń.
METODYKA prowadzenia zajęć – szkolenie zostanie poprowadzone w formie warsztatów.
Każdy z uczestników będzie pracował nad treścią konkretnej dokumentacji / klauzul i zapisów z zakresu ochrony danych osobowych. Z tego też względu rekomendujemy, by uczestnicy zabrali ze sobą laptopy.
Warsztaty poprowadzi mec. Jakub Wezgraj, wieloletni ekspert prawny w zakresie ochrony danych osobowych, znany z prowadzenia szkoleń w sposób bardzo obrazowy i oparty na wielu ćwiczeniach oraz praktycznych przykładach.
ćwiczenia dotyczące opracowania kluczowych dokumentów (procedury, klauzule, wzory umów etc.) służących realizacji wymagań RODO,
przykładowe zapisy i wskazówki odnośnie stosowania rozwiązań proceduralnych zgodnych z RODO,
nabycie wiedzy o zasadach przeprowadzania analizy ryzyka zgodnie z wytycznymi Generalnego Inspektora Ochrony Danych Osobowych,
pozyskanie wiedzy niezbędnej do implementacji opracowanych dokumentów w swojej organizacji.
DZIEŃ I – opracowanie dokumentacji wymaganej na gruncie RODO
1. Dokumentacja związana z inwentaryzacją procesów przetwarzania danych i aktywów z tym związanych:
rejestr operacji przetwarzania danych osobowych (art. 30 RODO) – czyli podstawowy dokument definiujący poszczególne procesy przetwarzania danych w organizacji,
ewidencja zbiorów danych osobowych oraz systemów informatycznych służących do przetwarzania danych osobowych,
zasady inwentaryzacji zbiorów danych osobowych i operacji przetwarzania danych
jak przeprowadzić inwentaryzację zgodnie z wymaganiami RODO?
2. Dokumentacja wewnętrzna związana z bezpieczeństwem fizycznym i organizacyjnym:
opis obszaru przetwarzania danych osobowych – czyli wykaz budynków, pomieszczeń
i części pomieszczeń w których przetwarzane są przetwarzane dane osobowe i wobec których należy stosować środki ochrony fizycznej przed dostępem osób nieuprawnionych,
procedura nadawania upoważnień do przetwarzania danych osobowych,
upoważnienia do przetwarzania danych osobowych i przetwarzanie danych na polecenie administratora danych osobowych (art. 29 RODO),
ewidencja wydanych upoważnień,
zobowiązanie do zachowania w tajemnicy.
3. Zapisy i klauzule stosowane w relacjach z osobami fizycznymi (podmiotami danych):
klauzule obowiązku informacyjnego – art. 13 i 14 RODO,
klauzule zgody na przetwarzanie danych osobowych zgodne z wymaganiami art. 7 RODO,
przykłady dokumentów i kanałów komunikacji wykorzystywanych do prawidłowego spełnienia polityki informacyjnej oraz pozyskiwania zgód na przetwarzanie danych
(jak skutecznie wprowadzić klauzule informacyjne i zgody na przetwarzanie danych do dokumentacji kadrowej, klienckiej, marketingowej, regulaminów konkursów etc.?).
4. Zapisy umowne z zakresu ochrony danych osobowych stosowane z kontrahentami:
umowa powierzenia danych osobowych zgodna z wymaganiami art. 28 RODO – opracowanie przykładowej treści umowy,
zasady współpracy z podwykonawcami podmiotu przetwarzającego dane na podstawie umowy powierzenia,
elementy umowy powierzenia danych, na które należy zwrócić szczególną uwagę
np. prawo audytu, współpraca pomiędzy stronami w ramach realizacji uprawnień podmiotu danych etc.
5. Inne przykłady procedur, które warto wdrożyć by zapewnić zgodność funkcjonowania z RODO:
procedury związane z realizacją uprawnień podmiotu danych (art. 15-22 RODO),
procedury związane z podejściem privacy by design i privacy by default.
DZIEŃ II – prowadzenie analizy ryzyka, podejmowanie decyzji w oparciu o wyniki analizy, przeciwdziałanie naruszeniom ochrony danych, zgłaszanie naruszeń do organu nadzoru oraz informowanie podmiotu danych
1. Prowadzenie analizy ryzyka zgodnie z wytycznymi Generalnego Inspektora Ochrony Danych Osobowych:
ustalenie kontekstu przetwarzania danych,
badanie podatności aktywów oraz prawdopodobieństwa wystąpienia zagrożeń,
podejmowanie decyzji w oparciu o wyniki analizy ryzyka.
2. Przeciwdziałanie naruszeniom ochrony danych, współpraca z organem nadzoru w zakresie naruszenia, zawiadamianie osób fizycznych o naruszeniach ochrony danych
zasady monitorowania naruszeń ochrony danych,
rejestr incydentów ochrony danych,
szacowanie poziomu ryzyka dla osób fizycznych wynikającego z naruszenia ochrony danych,
forma i zakres zgłoszenia naruszenia ochrony danych do organu nadzoru,
sposób komunikowania informacji o naruszeniu do osób fizycznych (których to naruszenie dotyczy),
przykładowe zapisy procedury monitorowania naruszeń ochrony danych.
Radca prawny, ekspert w dziedzinie ochrony danych osobowych, partner zarządzający kancelarii „ODOekspert” specjalizującej się w tematyce ochrony danych osobowych. Dotychczas zrealizował ponad 200 projektów audytowych i wdrożeniowych w obszarze ochrony danych osobowych między innymi na rzecz podmiotów z branży ubezpieczeniowej, leasingowej, faktoringowej, bankowej, nowych technologii, energetycznej, przemysłu ciężkiego, medycznej, telekomunikacyjnej, motoryzacyjnej, produkcyjnej oraz administracji publicznej. Pełnił funkcję Administratora Bezpieczeństwa Informacji w kilkunastu podmiotach z różnych sektorów rynku. Realizował szkolenia i warsztaty dotyczące ochrony danych osobowych m.in. dla kadry kierowniczej Komisji Nadzoru Finansowego, Agencji Rozwoju Przemysłu S.A., Rządowego Centrum Bezpieczeństwa, KRUS, Zakładu Emerytalno – Rentowego MSW, a także szkolenia zamknięte i otwarte na rzecz polskich i międzynarodowych przedsiębiorstw. W jego szkoleniach dotychczas uczestniczyło ponad 5000 osób. Jest autorem ponad 150 eksperckich warsztatów rozwoju kompetencji Administratorów Bezpieczeństwa Informacji oraz osób zawodowo zajmujących się tematyką ochrony danych osobowych. Autor książki „Zawód – Administrator Bezpieczeństwa Informacji” dostępnej w wersji elektronicznej na stronie internetowej kancelarii (www.odoekspert.pl). Udziela wypowiedzi jako ekspert ds. bezpieczeństwa informacji dla Wiadomości TVP 1, TVN oraz Programu Pierwszego Polskiego Radia. Pełni również rolę eksperta prawnego w zespole Cyberbezpieczeństwa Fundacji im. Kazimierza Pułaskiego, a także eksperta ds. ochrony danych osobowych w Forum