Mapa praktycznych aspektów RODO

Administrator

• obowiązek wdrożenia technicznych i organizacyjnych środków zapewniających zgodność z RODO i pozwalających to wykazać,

• RODO: art. 4 pkt 7, art. 24,

• preambuła RODO: motywy 29, 71, 74, 77 i 156.

Informowanie o naruszeniach ochrony danych

• procedury wykrywania, analizy, zgłaszania naruszeń ochrony danych,

• procedury informowania osób, których dane dotyczą o naruszeniach ochrony danych,

• szablon rejestru naruszeń ochrony danych,

• RODO: art. 33–art. 34,

• preambuła RODO: motywy 85–88.

Inspektor ochrony danych

• analiza obowiązku powołania inspektora ochrony danych (IOD),

• wskazanie kwalifikacji, kompetencji i zadań IOD,

• odpowiednie usytuowanie organizacyjne IOD (bezpośrednia podległość najwyższemu kierownictwu),

• włączanie IOD we wszystkie procesy przetwarzania danych,

• RODO: art. 37–art. 39,

• preambuła RODO: motyw 97.

• UODO: art. 8–art. 11.

Ocena skutków dla ochrony danych (Privacy Impact Assessment)

• analiza obowiązku przeprowadzenia oceny skutków planowanych operacji przetwarzania dlaochrony danych osobowych,

• dokonanie oceny skutków planowanych operacji przetwarzania danych dla ochrony danych osobowych, jeśli jest wymagana,

• RODO: art. 35, art. 36

• preambuła RODO: motywy 84 i 89–93.

• UODO: art. 57.

Ochrona danych w fazie projektowania oraz domyślnie bezpieczeństwo

• stworzenie procedury przejrzystości co do funkcji i przetwarzania danych osobowych(umożliwienie osobie, której dane dotyczą monitorowania przetwarzania danych, umożliwienie administratorowi tworzenia i doskonalenia zabezpieczeń) oraz minimalizacji przetwarzaniadanych osobowych,

• stworzenie procedur by podczas opracowywania i projektowania produktów, usług, aplikacji wzięto pod uwagę prawo do ochrony danych osobowych,

• RODO: art. 25,

• preambuła RODO: motywy 26, 28, 29, 71, 75, 78 i 156

Odbiorca

• podmiot, któremu ujawnia się dane osobowe

• określenie odbiorców lub ich kategorii jest konieczne m.in. do spełnienia obowiązkuinformacyjnego,

• obowiązek powiadomienia odbiorcy o sprostowaniu, usunięciu lub ograniczeniu przetwarzaniadanych osobowych,

• RODO: art. 4 ust. 9, art. 13, art. 15, art. 19.

• preambuła RODO: motywy 39, 58–60, 62–64, 66 i 68.

Organ nadzorczy

• ponad 20 kategorii zadań

• mechanizm kompleksowej współpracy (one-stop-shop),

• RODO: art. 51–art. 59,

• preambuła RODO: motywy 53, 75, 85, 108–110, 117–128, 132, 135–138 i 164.

• UODO: art. 7, art. 34–art. 59 (organizacja), art. 60–art. 74 (postępowanie ws. naruszenia), art. 78–91 (kontrola).

Podmiot przetwarzający (Procesor)

• analiza dotychczasowego wzoru umowy powierzenia przetwarzania danych osobowych zawieranej zprocesorem,

• wykaz procesorów,

• weryfikacja możliwości wywiązania się przez istniejących procesorów z obowiązków określonychw RODO,

• dostosowanie wzoru umowy powierzenia do wymogów RODO,

• RODO: art. 28,

• preambuła RODO: motywy 29, 71, 81–83 i 156.

Podstawy prawne przetwarzania

• nowe zasady odbierania zgody na przetwarzanie danych osobowych szczególnej kategorii,

• niemożność posiłkowania się przez organy publiczne przesłanką uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią,

• RODO: art. 6 i 9–11,

• preambuła RODO: motywy 40–57.

Prawa osoby, której dane dotyczą

• dostosowanie systemów informatycznych, tak aby mogły na żądanie osoby, której dane dotycząm.in.: usuwać całkowicie jej dane osobowe, przenosić dane do innego usługodawcy, wygenerować plik z wszystkimi jej danymi osobowymi itd.,

• stworzenie procedury udzielania odpowiedzi na zapytania osoby, której dane dotyczą w terminie miesiąca, zgodnie z zasadą przejrzystości,

• RODO: art. 12–art. 22,

• preambuła RODO: motywy 39, 58–72, 166 i 167

• UODO: art. 3–art. 5.

Profilowanie

• analiza procesów przetwarzania danych osobowych pod kątem automatycznego przetwarzania danych, w tym profilowania,

• ustalenie podstaw do przetwarzania danych osobowych w sposób automatyczny, bez ingerencji człowieka,

• stworzenie klauzul zgód na dokonywanie profilowania rodzącego skutki prawne po stronie osoby, której dane dotyczą,

• RODO: art. 4 pkt 4, art. 22.

• preambuła RODO: motywy 24, 60, 63, 70–73 75 i 91.

Przekazywanie danych do państw trzecich i organizacji międzynarodowych

• analiza, czy administrator danych osobowych przekazuje dane osobowe poza Europejski Obszar

• ustalenie podstaw do przekazywania danych do państw trzecich,

• dostosowanie procesu przekazywania danych do państw trzecich do wymogów RODO,

• RODO: art. 44–49,

• preambuła RODO: motywy 77, 81 i 101–116.

• UODO: art. 56.

Pseudonimizacja

• jeden ze środków zabezpieczenia danych osobowych,

• utrudnia identyfikację podmiotu, ale pozostawia możliwość przypisania różnych wartości tejsamej osobie,

• proces odwracalny w odróżnieniu od anonimizacji,

• RODO: art. 4 pkt 5, art. 25, art. 32,

• preambuła RODO: motywy 26, 28, 29, 71, 75, 78, 85 i 156.

Rejestrowanie czynności przetwarzania

• analiza obowiązku prowadzenia rejestru czynności przetwarzania,

• weryfikacja procesów związanych z przetwarzaniem danych osobowych,

• stworzenie szablonu rejestru czynności przetwarzania w kontekście zidentyfikowanych procesów,

• RODO: art. 30,

• preambuła RODO: motyw 82 i 89.

Strona trzecia przetwarzająca dane

• osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe,

• podstawą przetwarzania danych osobowych może być jego niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez stronę trzecią,

• RODO: art. 4 pkt 10, art. 6 ust. 1,

• preambuła RODO: motyw 32, 39–48.

Zabezpieczenie danych na podstawie oszacowanego ryzyka

• określenie punktu wyjścia dla wdrożenia zabezpieczeń,

• zdefiniowanie procesów zachodzących w organizacji,

• zidentyfikowanie zagrożeń, podatności, prawdopodobieństwa, skutków i obecnych zabezpieczeń,

• opracowanie planu postępowania z ryzykiem,

• RODO: art. 32,

• preambuła RODO: motyw 26, 28, 29, 75, 78, 83 i 156.

Usługi społeczeństwa informacyjnego

• zgodę na przetwarzanie danych osobowych, w imieniu dziecka poniżej 16 lat, wyraża rodzic lubprawny opiekun,

• RODO: art. 8,

• preambuła RODO: motyw 38.

Wiążące reguły korporacyjne

• polityki ochrony danych osobowych stosowane przez administratora lub podmiot przetwarzający, którzy posiadają jednostkę organizacyjną na terytorium państwa członkowskiego,

• RODO: art. 4 pkt 20, art. 46 ust. 2 lit. b, art. 47, art. 57 ust. 1 lit. s.

• preambuła RODO: 108 i 110.

• UODO: art. 56.

Współadministratorzy

• zidentyfikowanie spółek współtworzących grupę przedsiębiorstw,

• analiza przepływu danych pomiędzy spółkami i identyfikacja współadministratorów,

• zawarcie wspólnych uzgodnień pomiędzy spółkami współadministrującymi danymi,

• RODO: art. 26,

• preambuła RODO: motyw 79 i 146.

Zgoda

• jedna z możliwych przesłanek legalizujących przetwarzanie danych osobowych,

• zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą,

• RODO: art. 4 pkt 11, art. 7,

• preambuła RODO: 32, 42, 43 i 65.