Source: https://chron-dane.eu/wdrozenie-rodo-w-xyz/
Timestamp: 2019-05-24 21:42:47
Legal References Found: Art. 2
 Art. 3
 Art. 3
 Art. 27
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 5
 Art. 6
 Art. 9
 Art. 6
 Art. 6
 Art. 6
 Art. 9
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6

Document Content:
Wdrożenie RODO w XYZ | Chroń Dane Osobowe
Dane teleadresowe organizacji:
Nazwa: XYZ sp. z o.o.
Adres: ul. Piękna 6, 04-389 Poznań
E-mail: iod@xyz.pl
tel: 514 747 434
Motyw RODO
Przepis branżowy
Klasyfikacja stanu faktycznego
1 Art. 2 ust. 2 (16, 18, 19) Administrator danych przetwarza dane osobowe nie objęte zakresem prawa UE, wyłączone Traktatem UE spod jurysdykcji UE lub w ramach działalności o czysto osobistym lub domowym charakterze.
Podmiot przetwarza dane osobowe w celu zawodowym i zarobkowym.
2 Art. 3 ust. 2 lit. a) (23) Administrator danych nie ma siedziby w UE, ale przetwarza dane osobowe w związku z oferowaniem towarów i usług osobom znajdującym się na terenie UE.
Podmiot ma siedzibę w UE i przetwarza dane osobowe osób znajdujących się w jednym kraju członkowskim UE.
3 Art. 3 ust. 2 lit. b) (24) Administrator danych nie ma siedziby w UE, ale monitoruje zachowanie osobów znajdujących się na terenie UE.
4 Art. 27 (80) Administrator danych wyznaczył swojego przedstawiciela na terytorium UE (państwa członkowskiego na terenie, którego znajdują się osoby, których dane dotyczą), gdy jego siedziba nie znajduje się na terytorium UE.
5 Art.. 5 ust. 1 lit. a) (39, 58, 60) (WP 260) Wytyczne dotyczące przejrzystości na mocy Rozporządzenia 2016/679.
Administrator danych wdrożył zasadę zgodnosci z prawem, rzeteloności i przejrzystości przetwarzania danych osobowych.
Nie przeprowadzono identyfikacji procesów przetwarzania danych osobowych i nie przypisano do poszczególnych procesów odpowiednich podstaw prawnych przetwarzania danych osobowych.
NIEZGODNOŚĆ Należy przypisać podstawy prawne przetwarzania danych osobowych do każdego ze zidentyfikowanych procesów.
6 Art. 5 ust. 1 lit. b) (50) Administrator danych wdrożył zasadę ograniczenia celu przetwarzania danych osobowych.
Cele przetwarzania danych osobowych zostały zdentyfikowanie jedynie ogólnie i dochodzi do przetwarzanai danych osobowych w innym celu niż ten dla którego zostały one pobrane.
POTENCJALNE RYZYKO Należy jednoznacznie określić cel przetwarzania danych osobowych w każdym ze zidentyfikowanych procesów.
7 Art. 5 ust. 1 lit. c) (39) Administrator danych wdrożył zasadę minimalizacji przetwarzania danych osobowych.
Nie zidentyfikowano ograniczenia pól informacyjnych pobieranych od osobach, tak by było one adekwatne do celu przetwarzania.
NIEZGODNOŚĆ Należy określić w każdym z procesów czy zakres pobieranych danych jest adekwatny co celu w jakim dane są pobierane.
8 Art. 5 ust. 1 lit. d) (39, 59, 65, 73) Administrator danych wdrożył zasadę prawidłowości przetwarzania danych osobowych.
Zidentyfikowano bieżącą weryfikację poprawności danych na etapie ich pobierania jednak w dalszym procesie nie weryfikouje się okresowo marytorycznej poprawności danych osobowych.
NIEZGODNOŚĆ Należy opracować i wdrożyć mechanizm okresowej weryfikacji poprawnosci danych osobowych gromadzonych w poszczególnych procesach.
9 Art. 5 ust. 1 lit. e) (39) Administrator danych wdrożył zasadę ograniczenia przechowywania danych osobowych.
W przypadku 3 procesów przetwarzania danych osobowych nie zidentyfikowano określonego terminu retencji danych osobowych.
NIEZGODNOŚĆ Należy ograniczyć okres przechowywania danych osobowych w 3 procesach tak, by dane osobowe nie były przechowywane bezterminowo.
10 Art. 5 ust. 1 lit. f) (29, 71, 156) Administrator danych wdrożył zasadę integralnosci i poufności danych osobowych.
Zidentyfikowano brak oświadczeń osób przetwarzajacych dane osobowe o zachowaniu danych w poufności.
POTENCJALNE RYZYKO Należy odebrać oświadczenia o zachowaniu poufności od wszystkich osób upoważnionych oraz personelu pomocniczego.
Przepis RODO Motyw RODO Przepis branżowy Wytyczna Wymóg Opis stanu faktycznego Klasyfikacja stanu faktycznego Rekomendacja
Przepis RODO:
Motyw RODO:
Przepis branżowy:
Klasyfikacja stanu faktycznego:
Usuniecie danych
Sprzeciw wobec profilowania
4 Proces rekrutacji Jan Kowalski Tak Tak Tak Nie Tak Tak Nie dotyczy Tak
5 Proces zatrudnienia Piotr Nowak Tak Nie Tak Tak Tak Nie Tak Nie dotyczy
6 Proces sprzedaży Janina Lewandowska Tak Nie Tak Nie Nie Tak Nie Tak
10 Proces archiwizacji
11 Rejestracja pacjentów Jan Nowak
Nazwa procesu Właściciel procesu Obowiązek informacyjny Dostęp do danych Sprostowanie danych Usuniecie danych Ograniczenie przetwarzania Przenoszenie danych Sprzeciw wobec przetwarzania Sprzeciw wobec profilowania
Usuniecie danych:
Sprzeciw wobec profilowania:
OCENA ZGODNOŚCI PROCESORA
Arkusz oceny zgodności procesora z RODO
Audyt zgodności procesora
Nazwa procesora*
Data weryfikacji*
1. Czy procesor przetwarzając dane osobowe wdrożył odpowiednie środki techniczne i organizacyjne by przetwarzanie spełniało wymogi RODO?
Rekomendacja: Należy zapewnić co najmniej takie same środki techniczne i organizacyjne jakie zastosował administrator danych osobowych wobec powierzonych danych osobowych.
2. Czy procesor nie korzysta z usług innego podmiotu przetwarzajacego bez wyraźnej zgody administratora powierzonych danych?
Rekomendacja: Należy zapewnić każdorazowe informowania administratora powierzonych danych o zamiarze skorzystania z usług kolejnego podmiotu przetwarzajacego.
3. Czy podmiot przetwarzajacy zawarł umowę powierzenia przetwarzania danych osobowych lub inny instrument prawny regulujący przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora powierzonych danych z administratorem danych?
Rekomendacja: Podmiot przetwarzający musi zawrzeć umowę powierzenia przetwarzania danych osobowych lub inny instrument prawny regulujący przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora powierzonych danych z administratorem powierzonych danych.
4. Czy podmiot przetwarzajacy, przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora danych, który dane powierzył?
5. Czy podmiot przetwarzajacy zobowiązał osoby upoważnione do przetwarzania powierzonych danych osobowych do zachowania ich w poufności?
Rekomendacja: Podmiot przetwarzający musi zobowiązać osoby upoważnione do przetwarzania powierzonych danych osobowych do zachowania ich w poufności.
6. Czy podmiot przetwarzajacy przeprowadził analizę ryzyka wobec zasobów wykorzystywanych do przetwarzania powierzonych danych osobowych i wdrożył odpowiednie środki techniczne i organizacyjne?
Rekomendacja: Podmiot przetwarzający musi przeprowadzić analizę ryzyka wobec zasobów wykorzystywanych do przetwarzania powierzonych danych osobowych i wdrożyć odpowiednie środki techniczne i organizacyjne.
7. Czy podmiot przetwarzajacy zobowiązał inne podmioty przetwarzające, z których usług korzysta do przestrzegania takich samych zasad przetwarzania powierzonych danych osobowych jak on sam i nadzoruje te podmioty przetwarzające w tym zakresie?
Rekomendacja: Podmiot przetwarzający musi zobowiązać inne podmioty przetwarzające, z których usług korzysta do przestrzegania takich samych zasad przetwarzania powierzonych danych osobowych jak on sam i nadzorować te podmioty przetwarzające w tym zakresie.
8. Czy podmiot przetwarzajacy pomaga administratorowi powierzonych danych w szczególności w realizacji praw osób, których dane dotyczą?
Rekomendacja: Podmiot przetwarzający musi pomagać administratorowi powierzonych danych w szczególności w realizacji praw osób, których dane dotyczą.
9. Czy podmiot przetwarzający pomaga administratorowi powierzonych danych osobowych w zapewnieniu bezpieczeństwia przetwarzania, zgłaszaniu naruszeń organowi nadzorczemu, zawiadamianiu osób, kórych dane dotyczą o naruszeniu ich danych osobowych, ocenie skutków przetwarzania oraz uprzeduprzednich konsultacjach z organem nadzorczym?
Rekomendacja: Podmiot przetwarzający musi pomagać administratorowi powierzonych danych osobowych w zapewnieniu bezpieczeństwa przetwarzania, zgłaszaniu naruszeń organowi nadzorczemu, zawiadamianiu osób, których dane dotyczą o naruszeniu ich danych osobowych, ocenie skutków przetwarzania oraz uprzednich konsultacjach z organem nadzorczym.
10. Czy podmiot przetwarzający po zakończeniu przetwarzania powierzonych danych zwraca je administratorowi danych lub usuwa (w tym kopie danych)?
Rekomendacja: Podmiot przetwarzający musi po zakończeniu przetwarzania powierzonych danych zwrócić je administratorowi danych lub usunąć (w tym kopie danych).
11. Czy podmiot przetwarzajacy udostępnia administratorowi powierzonych danych wszelkie informacje o procesie przetwarzania powierzonych danych i umożliwia przeprowadzanie audytów zgodności z RODO i przyczynia się do nich?
Rekomendacja: Podmiot przetwarzający musi udostępniać administratorowi powierzonych danych wszelkie informacje o procesie przetwarzania powierzonych danych i umożliwiać przeprowadzanie audytów zgodności z RODO i przyczyniać się do nich.
WYNIK ZGODNOŚCI PROCESORA Z RODO
Na 11 możliwych punktów podmiot osiągnał:
Arkusz oceny skutków przetwarzania (DPIA)
Nazwa procesu:*
Opis operacji przetwarzania danych osobowych
Charakter, zakres, kontekst i cele przetwarzania.
Dokumentowane dane osobowe, odbiorcy oraz okres przechowywania danych osobowych.
Funkcjonalny opis operacji przetwarzani danych osobowych.
Zasoby biorące udział w procesie.
Zgodność z zatwierdzonymi kodeskami postępowania w procesie.
Czy w procesie są przetwarzane dane wrażliwe?
Ocena niezbędności i proporcjonalności
Czy istnieje konkretny, wyraźny i prawnie uzasadniony cel administratora danych?
Czy przetwarzanie danych jest adekwatne do celów jakie mają być osiągnięte?
Czy ograniczono okres przechowywania danych?
Czy udzielono informcji osobie, której dane dotycza o jej prawach wynikajacych z RODO?
Czy zapewniono osobie prawo dostępu do danych?
Czy zapewniono osobie prawo do sprostowania, usunięcia, ograniczenia przetwarzania i złożenia sprzeciwu?
Czy zidentyfikowano odbiorców danych?
Czy zidentyfikowano procesorów danych?
Czy zidentyfikowano zabezpieczenia danych w przypadku ich przekazywania?
Czy postępowanie z ryzykiem spowodowało brak obowiązku konsultacji z organem nadzorczym? (konsultacja z organem nadzorczym jest obowiązkowa, jeżeli ryzyka nie udało się zminimalizować do poziomu akceptowalnego)
Wybierz zagrożenie naruszenia praw i wolnosci osoby w procesie.
przetwarzanie nieprawidłowych lub niepełnych danych osoby
nieuprawniony dostęp do danych osoby
nieuprawnione ujawnienie lub udostepnienie danych osoby
nieuprawnione zniszczenie, utrata lub uszkodzenie danych osoby
nieuprawniona modyfikacja danych osoby
kradzież tożsamości lub utrata tożsamości przez osobę
naruszenie zakazu dyskryminacji osoby
szkoda finansowa dla osoby
szkoda wizerunkowa dla osoby
Określ prawdopodobieństwo wystapienia zagrożeń/nia.
Określ skutek wystąpienia zagrożeń/nia.
Wybierz metodę postępowania z ryzykiem.
akceptacja ryzyka (tylko gdy poziom ryzyka jest średni lub mały)
Opis działania minimalizującego zgodnie z wybraną metodą postępowania z ryzykiem.
Czy zasięgnięto opinii Inspektora Ochrony Danych (IOD)?
Opinia Inspektora Ochrony Danych (IOD)?
Czy zasięgnięto opinii osób, których dane dotyczą lub ich przedstawicieli?
Opinia osób, których dane dotyczą lub ich przedstawicieli?
WYNIK DPIA
Proces stwarza WYSOKIE RYZYKO naruszenia praw i wolności osób, których dane dotyczą. Należy podjąć poniższe działania mające na celu obniżenie ryzyka do poziomu akceptowalnego:
Proces stwarza RYZYKO naruszenia praw i wolności osób, których dane dotyczą które nie przekracza poziomu akceptowalnego. Należy jedynie monitorować ryzyko oceniając cz nie przekracza ono poziomu akceptowalnego.
Rekomendacja: Należy jednoznacznie określić cel lub cele przetwarzania danych osobowych w procesie.
Rekomendacja: Należy zapewnić ważną podstawę prawną przetwarzania danych osobowych w procesie.
Rekomendacja: Należy zapewnić adekwatność zakresu danych przetwarzanych w procesie w stosunku do celu jaki ma być osiągnięty.
Rekomendacja: Należy ograniczyć okres przechowywania danych zgodnie z okresem retencji danych w procesie.
Rekomendacja: Należy spełnić obowiązek informacyjny wobec osób, których dane dotyczą w procesie pobierania danych osobowych, a najpóźniej przy pierwszym kontakcie z osobą, której dane dotyczą.
Rekomendacja: Należy zapewnić osobie, której dane dotyczą prawo dostępu do treści dotyczących jej danych osobowych.
Rekomendacja: Należy zapewnić osobie, której dane dotyczą prawo do sprostowania, usunięcia, ograniczenia przetwarzania i złożenia sprzeciwu wobec przetwarzania jej danych osobowych.
Rekomendacja: Należy jednoznacznie określić odbiorców danych osobowych, którzy otrzymują dane osobowe w procesie.
Rekomendacja: Należy jednoznacznie określić procesorów danych osobowych, którzy otrzymują dane osobowe w ramach powierzenia przetwarzania danych osobowych.
Rekomendacja: Należy jednoznacznie określić zabezpieczenia danych osobowych w przypadku ich przekazywania poza organizację.
Rekomendacja: Należy zwrócić się do organu nadzorczego o konsultacje w zakresie zgodności prowadzonego procesu z RODO.
Arkusz analizy ryzyka wobec zasobów
Wybierz zasoby biorące udział w procesie:
Obszary przetwarzania (budynki, pomieszczenia, magazyny, etc.)
Sprzęt informatyczny (komputery, routery, serwery, etc.)
Urządzenia przenośne (laptopy, smartfony, pendrivy, etc.)
Urządzenia biurowe (drukarki, niszczarki, xero, etc.)
Personel (pracownicy, współpracownicy, kierownictwo, etc.)
Podmioty zewnetrzne (dostawcy usług, podwykonawcy, personel obcy, etc.)
Oprogramowanie (systemy operacyjny, pakiety biurowe, aplikacje, etc.)
Wersje papierowe danych (dokumenty, wydruki, notatki, etc.)
1. Wybierz najistotniejsze zagrożenie dla obszaru przetwarzania:
nieuprawnione ujawnienie danych
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla obszaru przetwarzania:
3. Określ skutek wystąpienia zagrożenia wobec obszaru przetwarzania:
Ryzyko wystąpienia zagrożenia dla obszaru przetwarzania przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla sprzętu informatycznego:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla sprzętu informatycznego:
3. Określ skutek wystąpienia zagrożenia wobec sprzętu informatycznego:
Ryzyko wystąpienia zagrożenia dla sprzętu informatycznego przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla urządzeń przenośnych:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla urządzeń przenośnych:
3. Określ skutek wystąpienia zagrożenia wobec urządzeń przenośnych:
Ryzyko wystąpienia zagrożenia dla urządzeń przenośnych przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla urządzeń biurowych:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla urządzeń biurowych:
3. Określ skutek wystąpienia zagrożenia wobec urządzeń biurowych:
Ryzyko wystąpienia zagrożenia dla urządzeń biurowych przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla personelu:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla personelu:
3. Określ skutek wystąpienia zagrożenia wobec personelu:
Ryzyko wystąpienia zagrożenia dla personelu przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla podmiotów zewnetrznych:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla podmiotów zewnętrznych:
3. Określ skutek wystąpienia zagrożenia wobec podmiotów zewnętrznych:
Ryzyko wystąpienia zagrożenia dla podmiotów zewnętrznych przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla oprogramowania:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla oprogramowania:
3. Określ skutek wystąpienia zagrożenia wobec oprogramowania:
Ryzyko wystąpienia zagrożenia dla oprogramowania przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
1. Wybierz najistotniejsze zagrożenie dla wersji papierowych danych:
2. Określ prawdopodobieństwo wystąpienia zagrożenia dla wersji papierowych danych:
3. Określ skutek wystąpienia zagrożenia wobec wersji papierowych danych:
Ryzyko wystąpienia zagrożenia dla wersji papierowych danych przekroczyło próg akceptowalności w związku z czym należy wskazać działania minimalizujące ryzyko.
Planowany termin usunięcia danych
Nazwa podmiotu przetwarzajacego
Transfer do kraju trzeciego
Zabezpieczenia trensferu danych do kraju trzeciego
Wynik oceny skutków przetwarzania
Wynik analizy ryzyka wobec zasobów
1 Proces rekrutacji Jan Kowlaski Nabór pracowników i współpracowników na potrzeby obecnych jak i przyszłych procesów zatrudnienia. Kandydaci na obecne procesy rekrutacji, kandydaci na przyszłe procesy rekrutacji. Dane identyfikacyjne, dane dot. stażu pracy, dane dot. zatrudnienia, wynik postępowania rekrutacyjnego. Art. 6 ust. 1 lit. b) - umowa lub zamiar jej zawarcia, Art. 9 ust. 1 lit. a) - wyraźna zgoda, Art. 6 ust. 1 lit. f) - uzasadniony cel administratora osoba, której dane dotyczą 1 rok od ostatniej czynnosci na danych brak brak brak MS Outlook kontrola dostępu, szafy drewniane zamykane na klucz brak nie dotyczy 1 3
2 Proces zatrudnienia Piotr Nowak Realizacja procesu zatrudniania pracowników oraz realizacji umów o pracę. Pracownicy i współpracownicy dane dot. stanu zdrowia, dane dot. zatrudnienia, dane dot. stażu pracy, dane dot. wynagrodzenia, dane dot. urlopów. Art. 6 ust. 1 lit. b) - umowa lub zamiar jej zawarcia, Art. 6 ust. 1 lut. c) - prawny obowiązek, Art. 9 ust. 1 lit. b) - obowizek administratora, Art. 6 ust. 1 lit. f) - uzasadniony cel administratora 2 2
3 Proces sprzedaży Dariusz Lewandowski Sprzedaż własnych produktów i usług Klienci indywidualni w tym jednoosobowe działalności gospodarczej spółki cywilne. dane dotyczące zamówień, dane dotyczące płatności, dane dot. terminu dostawy. Art. 6 ust. 1 lit. b) - umowa lub zamiar jej zawarcia, Art. 6 ust. 1 lit. f) - uzasadniony cel administratora Osoby, których dane dotyczą 6 lat od ostatniej zmiany na danych brak brak brak CRM, ERP polityka czystego biurka, czystego ekranu haseł, kontrola dostępu, brak nie dotyczy 1 1
6 Proces archiwizacji Wprowadź imieę i nazwisko osoby odpowiedzialnej Podaj cel przetwarzanai danych Podaj kategorie osób, których dane są przetwarzane Podaj kategorie danych Art. 6 ust. 1 lit. b) - umowa lub zamiar jej zawarcia, Art. 6 ust. 1 lut. c) - prawny obowiązek, Art. 6 ust. 1 lit. e) - interes publiczny, stowarzyszenia - niezarobkowo 2 3
7 Rejestracja pacjentów Wprowadź imieę i nazwisko osoby odpowiedzialnej Podaj cel przetwarzanai danych Podaj kategorie osób, których dane są przetwarzane Podaj kategorie danych 1 1
Nazwa czynności Osoba odpowiedzialna Cel przetwarzania Kategorie osób Kategorie danych Podstawa prawna przetwarzania Źródło danych Planowany termin usunięcia danych Nazwa współadministratora Nazwa podmiotu przetwarzajacego Kategorie odbiorców Nazwa systemu lub oprogramowania Ogólny opis środków technicznych i organizacyjnych Transfer do kraju trzeciego Zabezpieczenia trensferu danych do kraju trzeciego Wynik oceny skutków przetwarzania Wynik analizy ryzyka wobec zasobów
Proces archiwizacji Proces rekrutacji Proces sprzedaży Proces zatrudnienia Rejestracja pacjentów
Nazwa współadministratora:
Nazwa podmiotu przetwarzajacego:
Nazwa systemu lub oprogramowania:
Ogólny opis środków technicznych i organizacyjnych:
Zabezpieczenia trensferu danych do kraju trzeciego:
Wynik oceny skutków przetwarzania:
Wynik analizy ryzyka wobec zasobów:
Ogólny opis zabezpieczeń
Nazwa i dane kontaktowe współadministratora
Nazwa i dane kontaktowe przedstawiciela administratora
Czas trwania przetwrzania
Nazwy państw trzecich transferu danych
Opis zabezpieczeń transferu dnych do pańśtw trzecich
Dane kontaktowe podprocesora
Wolumen powierzonych danych
1 Udostępnienie i utrzymywanie zdalnej platformy programistycznej do prowadzenia sklepu internetowego w środowisku sprzętowo-programowym wynajętym przez przetwarzającego ● Kontrola dostępu do infrastruktury, aplikacji i baz danych.
● Dostęp do danych otrzymują wyłącznie osoby wskazane przez przetwarzającego na zlecenie administratora (czynności związane z modyfikacją funkcjonalności, konserwacyjne, naprawcze).
● Szyfrowana transmisja danych.
(szczegółowe procedury znajdują się w polityce bezpieczeństwa - link/numer dokumentu) Spółka BCA Nie dotyczy
andrzej@sklepintxyz.pl
tel.: 999 444 321
Jan Bezpieczny
jan@sklepintxyz.pl
tel.: 123 456 788
29 marca 2019 r. Szwajcaria (przetwarzający w celu realizacji tej usługi korzysta z usług podwykonawcy w Szwajcarii) Nie dotyczy "Beispiel Rechenzentrum A.B.C GmbH ul. Beispiel Straße 123/3 3006 Berno, Szwajcaria info@beispielrechencetrum.ch" Przechowywanie, udostępnianie, utrwalanie i usuwanie danych w ramach udostępnianianej mocy obliczeniowej procesorów, przestrzeni pamięci operacyjnej i dyskowej. 3.001
2 Pobieranie danych osobowych za pośrednictwem portalu XYZ kontrola dostepu do systemów informatycznych, kopie bezpieczeństwa, szkolenia personelu PPHU Jan Nowak brak Jan Nowak
tel. 678 345 545 brak brak nie dotyczy brak nie dotyczy 1
Kategorie przetwarzań Ogólny opis zabezpieczeń Nazwa administratora danych Nazwa i dane kontaktowe współadministratora Nazwa i dane kontaktowe przedstawiciela administratora Inspektor ochrony danych administratora Czas trwania przetwrzania Nazwy państw trzecich transferu danych Opis zabezpieczeń transferu dnych do pańśtw trzecich Dane kontaktowe podprocesora Kategorie podpowierzonych przetwarzań Wolumen powierzonych danych
Kategorie przetwarzań:
Ogólny opis zabezpieczeń:
Nazwa i dane kontaktowe współadministratora:
Nazwa i dane kontaktowe przedstawiciela administratora:
Inspektor ochrony danych administratora:
Czas trwania przetwrzania:
Nazwy państw trzecich transferu danych:
Opis zabezpieczeń transferu dnych do pańśtw trzecich:
Dane kontaktowe podprocesora:
Kategorie podpowierzonych przetwarzań:
Wolumen powierzonych danych:
1-250 251-500 501-1000 1001-3000 3001-6000
Dane kontaktowe podmiotu przetwarzajacego
Procesy w których bierze udział procesor
Data rozpoczęcia powierzenia danych
Data zakończenia powierzania danych
Wykonywane czynnosci przetwarzania
Ocena zgodności procesora z RODO
1 PPHU Piotr Nowak ul. Długa 35/36, 09-786 Gniezno
tel. 678 345 987
mail. piotr.nowak@pphu.com Proces rekrutacji 30/10/2018 31/10/2019 zbieranie, organizowanie, pobieranie, wykorzystywanie dane dot. stażu kandydata, dane dot. kwalifikacji zawodowych, dane dot. predyspozycji zawodowych 4
2 ABC sp. z o.o. ul. Piękna 56, 90-456 Gdynia Proces sprzedaży 01/10/2018 01/10/2019 zbieranie, utrwalanie, organizowanie, porządkowanie dane dotyczące sprzedaży, dane dotyczące potencjału rynkowego 7
Nazwa podmiotu przetwarzajacego Dane kontaktowe podmiotu przetwarzajacego Procesy w których bierze udział procesor Data rozpoczęcia powierzenia danych Data zakończenia powierzania danych Wykonywane czynnosci przetwarzania Zakres powierzonych danych Ocena zgodności procesora z RODO
Dane kontaktowe podmiotu przetwarzajacego:
Procesy w których bierze udział procesor: *
Data rozpoczęcia powierzenia danych:
Data zakończenia powierzania danych:
Wykonywane czynnosci przetwarzania:
Zakres powierzonych danych:
Ocena zgodności procesora z RODO:
Data stwierdzenia naruszenia
Skutek naruszenia
Opis skutków naruszenia
Opis podjętych działań naprawczych
Rekomendacja dot. zgłoszenia naruszenia
1 30/10/2018 04:16 PM Znaleziono pendriva nie zaszyfrowanego na korytarzu firmy. Nośnik jest nośnikiem firmowym. Osoba zgłaszająca nie sprawdzała co znajduje się na nośniku. Piotr Nowakowski naruszenie prawa do prywatności Elektroniczny nośnik mógł zawierać dane osobowe i mógł być zabrany w sposób niezarejestrowany przez osobę nieupoważnioną. Zweryfikowano zawartość pendriva na bezpiecznej stacji roboczej. Okazało się, że jest to nośnik przekazany pracownikom działu marketingu przez IT. Na nośniku nie zidentyfikowano danych osobowych. Dział marketingu został pouczony o konieczności zabezpieczania elektronicznych nośników danych zgodnie z wewnętrzną dokumentacją ochrony danych osobowych. Naruszenie nie podlega zgłoszeniu do Prezesa UODO 3
2 19/10/2018 01:52 PM Zgłoszono niezablokowaną stację roboczą w dziale sprzedaży. Z komputera możliwy był dostęp do systemu sprzedażowego bez dodatkowej autoryzacji. Użytkownik wyłączył monitor zamiast zablokować stację roboczą. Jacek Piotrowski brak naruszenia prawa do prywatności Możliwość uzyskania dostępu do danych klientów, wykonania kopii danych w sposób niezauważony i nieautoryzowany. Pouczono pracownika o konieczności blokowania stacji roboczej w każdym przypadku opuszczania stanowiska pracy. Naruszenie podlega zgłoszenie do Prezesa UODO 5
Data stwierdzenia naruszenia Opis naruszenia Osoba zgłaszająca Skutek naruszenia Opis skutków naruszenia Opis podjętych działań naprawczych Rekomendacja dot. zgłoszenia naruszenia Ciężar naruszenia
Data stwierdzenia naruszenia:
Skutek naruszenia:
Opis skutków naruszenia:
Opis podjętych działań naprawczych:
Rekomendacja dot. zgłoszenia naruszenia:
Ciężar naruszenia:
Subiektywna ocena poziomu świadomości (1-5)
1 Jan Kowalski Proces rekrutacji 01/10/2018 3
2 Piotr Nowak Proces zatrudnienia 01/09/2018 01/10/2018 2
3 Wacław Przytyk Proces rekrutacji 01/09/2018 5
4 Jarosław Krótki Proces rekrutacji 01/10/2018 4
5 John Smith Proces zatrudnienia 01/10/2018 1
6 Janina Krupa Proces zatrudnienia 01/10/2018 5
7 Gabriela Lewandowska szkolenie stacjonarne Proces rekrutacji 01/10/2018 2
8 Tomasz Kalka szkolenie stacjonarne Rejestracja pacjentów 4
9 Proces rekrutacji 4
10 szkolenie stacjonarne Proces rekrutacji 12/12/2018 12/12/2018 3
Imię Nazwisko Szkolenie Zakres upoważnienia Data nadania upoważnienia Data odebrania upoważnienia Subiektywna ocena poziomu świadomości (1-5)
szkolenie stacjonarne instruktarz stanowiskowy e-learning
Zakres upoważnienia: *
Data odebrania upoważnienia:
Subiektywna ocena poziomu świadomości (1-5):
Dana identyfikacyjna osoby
1 29/10/2018 adres email: pionek.twardy@wp.pl prawo do wycofania zgody na przetwarzanie danych osobowych, prawo dostepu do treści danych Zaakceptowany 31/10/2018
2 02/10/2018 Nr faktury 7976547/2018 prawo do usuniecia danych, prawo do sprzeciwu wobec profilowania Odrzucony 26/10/2018
3 12/12/2018 test testowy prawo dostepu do treści danych Zaakceptowany 12/12/2018
Data wpłynięcia wniosku Dana identyfikacyjna osoby Przedmiot wniosku Odpowiedź Data udzielenia odpowiedzi
Dana identyfikacyjna osoby:
Raport z DPIA - proces rekrutacji 2
Raport zgodności procesora 3
Nazwa dokumentu Data ostatniej aktualizacji Data wejścia w życie