GIODO, czyli policja ODO

Kontrola w praktyce.

Kontrola GIODO jest z reguły zapowiadana na kilka dni (7 dni) przed przybyciem inspektorów. Przedsiębiorca ma więc czas, aby spokojnie się do niej przygotować. Zawiadomienie o kontroli najczęściej określa jej zakres oraz informację o tym, co należy przygotować. Kontrola jest przeprowadzana w ramach planu kontroli, czyli dokumentu

określającego jej cel i zakres oraz przewidywany termin zakończenia. Przeprowadza ją najczęściej 3-osobowy zespół kontrolny (2 prawników i jeden informatyk). Za okazaniem imiennego upoważnienia oraz legitymacji służbowej kontrolerzy mają prawo wstępu do wszystkich pomieszczeń, gdzie przetwarzane są dane osobowe. Zgodnie z prawem kontrola może się odbywać w godzinach od 6.00 do 22.00, w praktyce jednak obowiązują raczej zwykłe godziny pracy 8:00-16:00. Sprawdzane może być właściwie wszystko, co w jakikolwiek sposób łączy się z danymi osobowymi. Najczęściej jednak kontrole opierają się na pięciu głównych zagadnieniach: podstawy prawne dla przetwarzania danych osobowych, odpowiednie zabezpieczenie danych, cel i zakres ich przetwarzania, spełnienie obowiązków informacyjnych przez administratora danych osobowych oraz rejestracja zbiorów danych. Kontrola kończy się sporządzeniem protokołu, do którego możemy dopisać swoje uwagi, podpisać go lub odmówić podpisu.

Jeżeli kontrola wykaże jakieś braki, inspektor występuje do GIODO o wydanie decyzji administracyjnej nakazującej ich usunięcie. Efektem kontroli może być również wszczęcie postępowania administracyjnego, w wyniku którego na przedsiębiorcę może zostać nałożona kara w wysokości 200 tys. zł, a na osobę fizyczną – 50 tys. zł.

Zawiadomienie o kontroli GIODO i…

Dostaliśmy zawiadomienie o kontroli. I co teraz? Przede wszystkim bez paniki! Nawet jeśli nie mamy żadnych dokumentacji, administratora bezpieczeństwa informacji i przeszkolonego personelu, jeszcze możemy się ratować, szczególnie jeśli nasze przedsiębiorstwo jest niewielkie (zatrudnia poniżej 50 pracowników). Warto przede wszystkim stworzyć dokumentację ochrony danych osobowych. Oczywiście inspektorzy zauważą, że data powstania dokumentu jest późniejsza niż zawiadomienie o kontroli, ale zawsze będzie to wyglądało lepiej niż brak. Po otrzymaniu zawiadomienia o kontroli pojawiają się czasem pomysły, aby tworzyć dokumentacje ze wsteczną datą. Zdecydowanie jednak przestrzegamy przed tego typu praktykami. Za fałszowanie dokumentacji firmowych można odpowiadać z paragrafów kodeksu karnego i kodeksu karno-skarbowego, a to już rodzi naprawdę poważne konsekwencje.

Pozostała działalność GIODO.

Poza przeprowadzaniem kontroli i wydawaniem decyzji, GIODO zajmuje się rejestracją zbiorów danych osobowych, podlegających rejestracji. Rejestr prowadzony jest w celu transparentności przetwarzania danych, aby każdy zainteresowany, mógł sprawdzić jaka firma jaki zbiór prowadzi. Poza tym ważnym zadaniem GIODO jest również upowszechnianie wiedzy o ochronie danych osobowych – prowadzi w tym celu działania edukacyjne – oraz występowanie z inicjatywami niezbędnych zmian w prawie, dotyczącym ochrony danych.

Na koniec…

Podsumowując, kontrola nie jest niczym strasznym jeśli spełniamy wymogi rozporządzenia i ustawy o ochronie danych osobowych. Może nas jednak słono kosztować, jeśli nie robimy absolutnie nic, aby zapewnić bezpieczeństwo przetwarzanym przez nas danym. Aby wiedzieć, jak to robić, warto przyjrzeć się bliżej edukacyjnej działalności GIODO, a także oczywiście czytać nasz blog!