Source: https://chron-dane.eu/narzedzie-do-weryfikacji-zgodnosci-z-rodo/
Timestamp: 2019-01-20 09:39:37
Legal References Found: Art. 2
 Art. 3
 Art. 3
 Art. 27
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 24
 Art. 24
 Art. 25
 Art. 25
 Art. 26
 Art. 26
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 30
 Art. 29
 Art. 30
 Art. 24
 Art. 32
 Art. 33
 Art. 33
 Art. 34
 Art. 35
 Art. 29
 Art. 37
 Art. 38
 Art. 38
 Art. 38
 Art. 38

Document Content:
Narzędzie do weryfikacji zgodności z RODO | Chroń Dane Osobowe
Sprawdź na ile twoja organizacja jest zgodna z RODO. Zidentyfikuj procesy przetwarzania danych osobowych i dowiedz się jak dostosować się do RODO.
Zidentyfikuj zasoby biorące udział w procesach przetwarzania danych osobowych i przeprowadź wobec nich analizę ryzyka. Dowiedz się jaki jest poziom ryzyka.
Przeprowadź ocenę skutków przetwarzania danych osobowych w poszczególnych procesach (Data Protection Impact Assassment). Oceń ryzyko naruszenia prywatności.
Przygotuj dokumentację ochrony danych osobowych zgodną z RODO. Pozyskaj narzędzia nadzoru nad zgodnym z prawem przetwarzaniem danych osobowych.
Zapoznaj pracowników z nowymi zasadami ochrony danych oraz nowymi procedurami postępowania. Podnieś poziom świadomości pracowników.
SZKOLENIA INSPEKTORÓW OCHRONY DANYCH (IOD)
Zapewnij wiedzę i praktyczne umiejętności swojemu Inspektorowi Ochrony Danych (IOD). Wyznacz pracownika do pełnienia nadzoru nad zgodnością z RODO.
PRZEJĘCIE FUNKCJI INSPEKTORA OCHRONY DANYCH (IOD)
Skorzystaj z usługi przejęcia funkcji Inspektora Ochrony Danych (IOD). Zapewnij stały nadzór nad systemem ochrony danych osobowych w twojej organizacji. W ramach jednej opłaty abonamentowej zapewnij zgodność swojej organizacji z przepisami RODO.
Narzędzie do weryfikacji zgodności z RODO.
Odpowiedz na ok. 50 pytań i pobierz Raport zgodności z RODO twojej organizacji. Przygotowane narzędzie nie pobiera żadnych danych i nie identyfikuje jednoznacznie organizacji. Raport jest czysto poglądowy. Raport zawiera praktyczne odniesienia do wytycznych ERODO oraz motywów RODO. Sam sprawdź czy dostosowałeś swoją organizację do RODO zanim zrobią to inni.
Analiza zgodności organizacji z RODO
1. Czy administrator danych przetwarza dane osobowe objęte zakresem prawa UE, włączone Traktatem UE pod jurysdykcje UE lub w ramach działalności zawodowej, zarobkowej lub statutowej?
Rekomendacja: W związku z tym, że organizacja przetwarza dane osobowe nie objęte zakresem prawa UE, wyłączone Traktatem UE spod jurysdykcji UE lub w ramach działalności o czysto osobistym lub domowym charakterze RODO nie ma zastosowania i dalsze uzupełnianie formularza jest bezcelowe. Art. 2 ust. 2 RODO (Motyw 16, 18, 19)
PRZEDSTAWICIEL ADMINISTRATORA DANYCH
2. Czy administrator danych nie ma siedziby w UE i przetwarza dane osobowe w związku z oferowaniem towarów i usług osobom znajdującym się na terenie UE.
Rekomendacja: W związku z tym, że organizacja nie ma siedziby w UE, ale przetwarza dane osobowe w związku z oferowaniem towarów i usług osobom znajdującym się na terenie UE musi wyznaczyć swojego przedstawiciela na terytorium UE. Art. 3 ust. 2 lit. a) RODO (Motyw 23).
3. Czy administrator danych nie ma siedziby w UE, ale monitoruje zachowanie osobów znajdujących się na terenie UE.
Rekomendacja: W związku z tym, że organizacja nie ma siedziby w UE, ale monitoruje zachowanie osób znajdujących się na terenie UE musi wyznaczyć swojego przedstawiciela na terytorium UE. Art. 3 ust. 2 lit. b) RODO (Motyw 24)
4. Czy administrator danych wyznaczył swojego przedstawiciela na terytorium UE (państwa członkowskiego na terenie, którego znajdują się osoby, których dane dotyczą), gdy jego siedziba nie znajduje się na terytorium UE.
Rekomendacja: W związku z tym, że organizacja nie wyznaczyła swojego przedstawiciela na terytorium UE (państwa członkowskiego na terenie, którego znajdują się osoby, których dane dotyczą), a jego siedziba nie znajduje się na terytorium UE musi on wyznaczyć swojego przedstawiciela w państwie na terenie, którego znajdują się osoby, których dane dotyczą. Art. 27 RODO (Motyw 80)
PRZESTRZEGANIE ZASAD OGÓLNYCH ADMINISTRATORA DANYCH
5. Czy administrator danych wdrożył zasadę zgodnosci z prawem, rzeteloności i przejrzystości przetwarzania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasad zgodności z prawem, rzetelności i przejrzystości przetwarzania danych osobowych. Art. 5 ust. 1 lit. a) RODO (Motyw 39, 58, 60) oraz (WP 260) Wytyczne dotyczące przejrzystości na mocy Rozporządzenia 2016/679.
6. Czy administrator danych wdrożył zasadę ograniczenia celu przetwarzania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady ograniczenia celu przetwarzania danych osobowych należy zapewnić by dane osobowe były przetwarzane w konkretnym z góry określonym celu. Art. 5 ust. 1 lit. b) (Motyw 50).
7. Czy administrator danych wdrożył zasadę minimalizacji przetwarzania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady minimalizacji przetwarzania danych osobowych musi ona jednoznacznie określić pola informacyjne pobierane od osób w poszczególnych procesach oraz określić ich niezbędność w stosunku do celu przetwarzania danych. Art. 5 ust. 1 lit. c) (Motyw 39).
8. Czy administrator danych wdrożył zasadę prawidłowości przetwarzania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady prawidłowości przetwarzania danych osobowych musi ona zapewnić merytoryczną poprawność danych przetwarzanych w poszczególnych procesach np. poprzez okresową weryfikację ich poprawności. Art. 5 ust. 1 lit. d) (Motyw 39, 59, 65, 73).
9. Czy administrator danych wdrożył zasadę ograniczenia przechowywania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady ograniczenia przechowywania danych osobowych musi ona zidentyfikować i wdrożyć okresy retencji danych w poszczególnych procesach ich przetwarzania. Art. 5 ust. 1 lit. e) (Motyw 39).
10. Czy administrator danych wdrożył zasadę integralnosci i poufności danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady integralności i poufności danych osobowych musi ona zapewnić by dane były wewnętrznie spójne i nie były modyfikowane w sposób nieautoryzowany oraz by nie były udostępniane osobom nieupoważnionym. Art. 5 ust. 1 lit. f) (Motyw 29, 71, 156).
11. Czy administrator danych wdrożył zasadę rozliczalności przetwarzania danych osobowych.
Rekomendacja: W związku z tym, że organizacja nie wdrożyła zasady rozliczalności przetwarzania danych osobowych musi ona zapewnić możliwość udowodnienia przestrzegania przepisów RODO. Art. 5 ust. 2 (Motyw 85).
12. Czy administrator danych wdrożył odpowiednie polityki ochrony danych, jeżeli jest to proporcjonalne do czynności przetwarzania?
Rekomendacja: W związku z tym, że organizacja nie opracowała dokumentacji zgodności z RODO istnieje ryzyko braku możliwości udowodnienia przestrzegania wszystkich jego wymogów. Należy opracować dokumentację zgodności z RODO w zakresie adekwatnym do czynności przetwarzania. Art. 24 ust. 2 RODO.
CERTYFIKACJA I PRZESTRZEGANIE KODEKSÓW BRANŻOWYCH
13. Czy administrator danych otrzymał certyfikację zgodności z RODO lub stosuje zatwierdzone kodeksy zgodności z RODO?
Rekomendacja: W związku z tym, że organizacja nie otrzymała certyfikacji zgodności z RODO lub nie stosuje zatwierdzonych kodeksów zgodności z RODO warto rozważyć ww. działania jako metodę na zapewnienie przewagi nad innymi podmiotami sektora prywatnego lub potwierdzenie zgodności działania podmiotu sektora publicznego. Art. 24 ust. 3 (Motyw 77).
DOMYŚLNA OCHRONA DANYCH I OCHRONA DANYCH NA ETAPIE PROJEKTOWANIA
14. Czy administrator danych opracował i wdrożył mechnizm domyślnej ochrony danych osobowych?
Rekomendacja: W związku z tym, że organizacja nie opracowała i nie wdrożyła mechanizmów domyślnej ochrony danych osobowych należy je przygotować i wdrożyć. Art. 25 ust. 1 (Motyw 26, 28, 29, 71, 75, 78, 156).
15. Czy administrator danych opracował i wdrożył mechanizm ochrony danych osobowych na etapie projektowania produktu lub usług?
Rekomendacja: W związku z tym, że organizacja nie opracowała i nie wdrożyła mechanizmów ochrony danych osobowych na etapie projektowania produktu i usługi należy je przygotować i wdrożyć (chyba, że organizacja nie świadczy usługi nie sprzedaje produktów). Art. 25 ust. 2 (Motyw: 29, 71, 156).
WSPÓŁADMINISTROWANIE DANYMI OSOBOWYMI
16. Czy administrator danych współdzieli co najmniej jeden proces przetwarzania danych osobowych z innym administratorem danych?
Rekomendacja: W związku z tym, że organizacja współdzieli co najmniej jeden proces przetwarzania danych osobowych z inną organizacją należy opracować i zawrzeć porozumienie o współadministrowaniu tego procesu. Art. 26 ust 1 (Motyw 79).
17. Czy administrator danych zawarł porozumienie o współadministrowaniu danymi osobowymi okraślajace zakres odpowiedzialności za spełnienie wymogów RODO i udostepniono jego treść osobom, których dane dotyczą?
Rekomendacja: W związku z tym, że porozumienie o współadministrowaniu danymi osobowymi nie określa zakresu odpowiedzialności za spełnienie wymogów RODO poszczególnych współadministratorów lub nie udostępniono jego treści osobom, których dane dotyczą należy te braku uzupełnić. Art. 26 ust. 2 RODO.
OCENA REALIZACJI OBOWIĄZKÓW PROCESORA
18. Czy administrator danych przetwarzając dane osobowe jako podmiot przetwarzajacy wdrożył odpowiednie środki techniczne i organizacyjne by przetwarzanie spełniało wymogi RODO?
Rekomendacja: W związku z tym, że organizacja otrzymała dane osobowe do dalszego przetwarzania jako podmiot przetwarzający musi wdrożyć odpowiednie środki techniczne i organizacyjne by przetwarzanie spełniało wymogi RODO. Zakres środków technicznych i organizacyjnych z jednej strony wynika z RODO, a z drugiej strony z treści umowy powierzenia przetwarzania danych osobowych. Art. 28 ust. 1 (Motyw 81).
19. Czy administrator danych jako podmiot przetwarzajacy nie korzysta z usług innego podmiotu przetwarzajacego bez wyraźnej zgody administratora danych powierzonych?
Rekomendacja: W związku z tym, że organizacja otrzymała dane osobowe do dalszego przetwarzania jako podmiot przetwarzający musi przed skorzystaniem z usług kolejnego podmiotu przetwarzającego (podprocesora) pozyskać wyraźną zgodą administratora danych na takie działanie. Art. 28 ust. 2 (Motyw 81).
20. Czy administrator danych jako podmiot przetwarzajacy zawarł umowę powierzenia przetwarzania danych osobowych lub inny instrument prawny regulujący przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora powierzonych danych ze wszystkimi administratorami danych?
Rekomendacja: W związku z tym, że organizacja nie zawarła umów powierzenia przetwarzania danych osobowych lub innych instrument prawny regulujący przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora powierzonych danych ze wszystkimi administratorami danych należy ten brak uzupełnić. Art. 28 ust. 3 (Motyw 81).
21. Czy administrator danych jako podmiot przetwarzający, przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora danych, który dane powierzył?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie zawsze przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora danych, który dane powierzył należy zapewnić dowód instrukcji administratora danych wobec powierzonych danych. Art. 28 ust. 3 lit. a) RODO.
22. Czy administrator danych jako podmiot przetwarzający zobowiązał osoby upoważnione do przetwarzania powierzonych danych osobowych do zachowania ich w poufności?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie odebrała oświadczeń o zachowaniu poufności wobec powierzonych danych osobowych od osób upoważnionych brak ten należy uzupełnić. Art. 28 ust. 3 lit. b) RODO (Motyw 81, 83).
23. Czy administrator danych jako podmiot przetwarzajacy przeprowadził analizę ryzyka wobec zasobów wykorzystywanych do przetwarzania powierzonych danych osobowych i wdrożył odpowiednie środki techniczne i organizacyjne?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie przeprowadziła analizy ryzyka wobec zasobów wykorzystywanych do przetwarzania powierzonych danych osobowych lub nie wdrożyła odpowiednie środki technicznych i organizacyjnych należy braki te uzupełnić. Art. 28 ust. 3 lit. c) RODO.
24. Czy administrator danych jako podmiot przetwarzajacy zobowiązał inne podmioty przetwarzające, z których usług korzysta do przestrzegania takich samych zasad przetwarzania danych osobowych jak on sam i nadzoruje te podmioty przetwarzające w tym zakresie?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie zobowiązała innych podmiotów przetwarzających, z których usług korzystała do przestrzegania takich samych zasad przetwarzania danych osobowych jak ona sama lub nie nadzoruje tych podmiotów musi braki te uzupełnić. Art. 28 ust. 3 lit. d) RODO.
25. Czy administrator danych jako podmiot przetwarzający pomaga administratorowi powierzonych danych w szczególności w realizacji praw osób, których dane dotyczą?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie pomaga administratorowi powierzonych danych w szczególności w realizacji praw osób, których dane dotyczą należy braki te uzupełnić poprzez opracowanie i wdrożenie odpowiednich procedur. Art. 28 ust. 3 lit. e) RODO (Motyw 81, 83).
26. Czy administrator danych jako podmiot przetwarzający pomaga administratorowi powierzonych danych osobowych w zapewnieniu bezpieczeństwia przetwarzania, zgłaszaniu naruszeń organowi nadzorczemu, zawiadamianiu osób, kórych dane dotyczą o naruszeniu ich danych osobowych, ocenie skutków przetwarzania oraz uprzednich konsultacjach z organem nadzorczym?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie pomaga administratorowi powierzonych danych osobowych w zapewnieniu bezpieczeństwa przetwarzania lub zgłaszaniu naruszeń organowi nadzorczemu lub zawiadamianiu osób, których dane dotyczą o naruszeniu ich danych osobowych lub ocenie skutków przetwarzania bądź uprzednich konsultacjach z organem nadzorczym należy opracować i wdrożyć odpowiednie procedury w by takie sytuacje nie miały miejsca. Art. 28 ust. 3 lit. f) RODO.
27. Czy administrator danych jako podmiot przetwarzający po zakończeniu przetwarzania powierzonych danych zwraca je administratorowi danych lub usuwa (w tym kopie danych)?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, po zakończeniu przetwarzania powierzonych danych nie zwraca ich administratorowi danych lub nie usuwa (w tym kopi danych) należy opracować i wdrożyć procedurę mająca na celu uniknięcia takich sytuacji. Art. 28 ust. 3 lit. g) RODO.
28. Czy administrator danych jako podmiot przetwarzajacy udostępnia administratorowi powierzonych danych wszelkie informacje o procesie przetwarzania powierzonych danych i umożliwia przeprowadzanie audytów zgodności z RODO i przyczynia się do nich?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający, nie udostępnia administratorowi powierzonych danych wszelkich informacji o procesie przetwarzania powierzonych danych lub umożliwia przeprowadzanie audytów zgodności z RODO czy też nie przyczynia się do nich należy opracować i wdrożyć mechanizmy zapobiegające takim działaniom. Art. 28 ust. 3 lit. h) RODO (Motyw 81, 82).
PROWADZENIE REJESTRU KATEGORII CZYNNOŚCI PRZETWARZANIA
29. Czy administrator danych jako podmiot przetwarzajacy prowadzi rejestr kategorii czynności przetwarzania powierzonych danych osobowych?
Rekomendacja: W związku z tym, że organizacja jako podmiot przetwarzający nie prowadzi rejestru kategorii czynności przetwarzania powierzonych danych osobowych należy ten brak uzupełnić. Art. 30 ust. 2 RODO (Motyw 82).
NADAWANIE UPOWAŻNIEŃ DO PRZETWARZANIA DANYCH OSOBOWYCH
30. Czy administrator danych nadaje upoważnienia do przetwarzania danych osobowych każdej osobie przetwarzajacej dane osobowe na jego polecenie?
Rekomendacja: W związku z tym, że organizacja nie nadaje upoważnień do przetwarzania danych osobowych każdej osobie przetwarzającej dane osobowe na jej polecenie należy ten brak uzupełnić. Warto pamiętać również o uprzednim przeszkoleniu z zasad ochrony danych osobowych osoby mające otrzymać upoważnienia. Art. 29 RODO.
31. Czy administrator danych zatrudnia powyżej 250 osób?
32. Czy administrator danych regularnie przetwarza dane osobowe w sposób mogacy powodować ryzyko naruszenia praw i wolności osób?
33. Czy administrator danych przetwarza szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa?
Rekomendacja: W związku z tym, że organizacja spełnia jeden z powyższych warunków musi opracować i na bieżąco prowadzić rejestr czynności przetwarzania danych osobowych. Art. 30 ust. 5 RODO.
34. Czy administraor danych przeprowadził analizę ryzyka wobec zasobów wykorzystywanych w procesach przetwarzania danych osobowych i zastosował zabezpieczenia techniczne i organizacyjne adekwatne do wyników analizy ryzyka oraz przewiduje okresową weryfikację poziomu ryzyka?
Rekomendacja: W związku z tym, że organizacja albo nie przeprowadziła analizy ryzyka wobec zasobów wykorzystywanych w procesach przetwarzania danych osobowych albo nie zastosował zabezpieczeń technicznych i organizacyjnych adekwatnych do wyników analizy ryzyka lub też nie przewiduje okresowej weryfikacji poziomu ryzyka. Art. 24 ust. 1 RODO (Motyw 29, 71, 156).
35. Czy administrator danych przeprowadzajac analizę ryzyka uwzględnia ryzyka wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych?
Rekomendacja: W związku z tym, że organizacja przeprowadzając analizę ryzyka nie uwzględnia ryzyk wynikających z przypadkowego lub niezgodnego z prawem zniszczenia lub utraty lub modyfikacji lub nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych należy przeprowadzić analizę ryzyka uwzględniającą powyższe zagrożenia. Art. 32 ust. 2 RODO.
36. Czy administrator danych bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych?
Rekomendacja: W związku z tym, że organizacja bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – nie jest w stanie zgłosić naruszenia organowi nadzorczemu, gdy naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych należy opracować i wdrożyć skuteczny mechanizm zgłaszania naruszeń. Art. 33 ust. 1 RODO (Motyw 73, 85, 86, 87, 88) oraz (WP 250) Wytyczne dotyczące zgłaszania naruszeń ochrony danych zgodnie z rozporządzeniem 2016/679.
37. Czy administrator danych dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze?
Rekomendacja: W związku z tym, że organizacja nie dokumentuje wszelkich naruszeń ochrony danych osobowych, w tym okoliczności naruszeń ochrony danych osobowych, ich skutków oraz podjętych działania zaradczych należy wdrożyć rejestr naruszeń ochrony danych osobowych i na bieżąco go prowadzić. Art. 33 ust. 5 RODO oraz (WP 250) Wytyczne dotyczące zgłaszania naruszeń ochrony danych zgodnie z rozporządzeniem 2016/679.
38. Czy administrator danych bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych?
Rekomendacja: W związku z tym, że organizacja nie jest w stanie zawiadomić bez zbędnej zwłoki osoby, której dane dotyczą, o naruszeniu ochrony danych, nawet gdy może ono powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych należy wdrożyć skuteczną procedurę informowania osób, których dane dotyczą i ją regularnie testować. Art. 34 ust. 1 RODO (Motyw 73, 86, 87, 88) oraz (WP 250) Wytyczne dotyczące zgłaszania naruszeń ochrony danych zgodnie z rozporządzeniem 2016/679.
39. Czy administrator danych prowadzi systematyczną, kompleksową ocenę czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu?
40. Czy administrator danych przetwarza na dużą skalę szczególne kategorie danych osobowych?
41. Czy administrator danych prowadzi systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie?
42. Czy administrator danych przetwarza dane znajdujące się w wykazie rodzajów operacji przetwarzania danych osobowych opublikowanym przez organ nadzorczy?
Rekomendacja: W związku z powyższymi odpowiedziami organizacja musi przeprowadzić ocenę skutków przetwarzania danych osobowych w wybranych procesach. Art. 35 ust. 3 i 4 RODO (Motywy 84, 90, 91, 92, 93, 94, 95) oraz (WP 248) Wytyczne dotyczące oceny skutków dla ochrony danych i (WP 251) Wytyczne Grupy Roboczej Art. 29 w sprawie zautomatyzowanego podejmowania decyzji.
43. Czy administrator danych jest organem lub podmiotem publicznym?
44. Czy główna działalność administratora danych polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę?
45. Czy główna działalność administrator danych polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych?
Rekomendacja: W związku z powyższymi odpowiedziami organizacja musi powołać inspektora ochrony danych (IOD). Art. 37 ust. 1 lit. a) RODO (Motyw 97) oraz (WP 243) Wytyczne dotyczące inspektorów ochrony danych.
46. Czy administrator zapewnia by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych?
Rekomendacja: W związku z powyższym administrator danych musi zapewnić by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych np. poprzez ogłoszenie stosownych procedur. Art. 38 ust. 1 RODO (Motyw 97) oraz (WP 243) Wytyczne dotyczące inspektorów ochrony danych.
47. Czy administrator danych wspiera inspektora ochrony danych w wypełnianiu przez niego zadań, zapewniając mu zasoby niezbędne do ich wykonania oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej?
Rekomendacja: W związku z powyższym organizacja musi wdrożyć mechanizm wspierania inspektora ochrony danych w wypełnianiu przez niego zadań, zapewniając mu zasoby niezbędne do ich wykonania oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej. Art. 38 ust. 2 RODO (Motyw 97) oraz (WP 243) Wytyczne dotyczące inspektorów ochrony danych.
48. Czy administrator danych zapewnia, by inspektor ochrony dany nie otrzymywał instrukcji dotyczących wykonywania jego zadań, nie był on odwoływany ani karany za wypełnianie swoich zadań oraz by podlegał najwyższemu kierownictwu administratora?
Rekomendacja: W związku z powyższym organizacja musi zapewnić by IOD nie otrzymywał instrukcji dotyczących wykonywania jego zadań, nie był on odwoływany ani karany za wypełnianie swoich zadań oraz by podlegał najwyższemu kierownictwu administratora. Art. 38 ust. 3 RODO (Motyw 97) oraz (WP 243) Wytyczne dotyczące inspektorów ochrony danych.
49. Czy administrator danych zapewnia by jakiekolwiek inne jego zadania i obowiązki nie powodowały konfliktu interesów?
Rekomendacja: W związku z powyższym organizacja musi zapewnić by jakiekolwiek inne realizowane przez inspektora ochrony danych zadania i obowiązki nie powodowały konfliktu interesów. Art. 38 ust. 6 RODO (Motyw 97) oraz (WP 243) Wytyczne dotyczące inspektorów ochrony danych.
PRZESYŁANIE DANYCH POZA EOG
50. Czy administrator danych przekazuje dane osobowe poze EOG?
51. Czy administrator danych przekazuje dane osobowe poze EOG w sytuacji gdy obszar ten został uznany przez Komisję EU za zapewniający wystarczający stopień ochrony?
52. Czy administrator danych przekazuje dane osobowe poze EOG w ramach prawnie wiążącego i egzekwowalnego instrumentu między organami lub podmiotami publicznymi, wiążących reguł korporacyjnych, standardowych klauzul ochrony danych przyjętych przez Komisję EU lub organ nadzorczy i Komisję EU, zatwierdzonego kodeksu postępowania lub zatwierdzonego mechanizmu certyfikacji?
Rekomendacja: W związku z powyższym organizacja musi zapewnić by dane osobowe były przesyłana poza EOG na podstawie klauzul zatwierdzonych przez KE lub wiążących reguł korporacyjnych (BCR) lub w formie certyfikacji
WYNIK OCENY ZGODNOŚCI
SUMA REKOMENDACJI DOSTOSOWAWCZYCH
Ekspert ds. ochrony danych
tel. 514 747 434
mail. kontakt@chron-dane.eu
Zgoda na przetwarzanie danych osobowych – czy na pewno potrzebna?
Szafa, drzwi i biurka zgodne z RODO – czy na pewno, a co z oprogramowaniem?
Wybór IOD – 3 modele pełnienia nadzoru.