Polityka bezpieczeństwa – wzór

Polityka bezpieczeństwa – wzór takiego dokumentu powinien nie tylko wytyczać ogólne kierunki, ale też zawierać postanowienia przydatne pracownikom na co dzień.

Główny dokument, który scala całość dokumentacji ochrony danych osobowych, to polityka ochrony danych lub inaczej – polityka bezpieczeństwa.

Wzór takiego dokumentu powinien:

• Być przydatny i znany wszystkim pracownikom.

Często zdarza się, że organizacja przyjmuje podstawowe dokumenty ochrony danych i o nich zapomina – leżą one w szufladzie na wypadek kontroli, ale nie są stosowane. Brak przeszkolenia pracowników z nowych procedur, ale także przygotowania w sposób użyteczny polityki bezpieczeństwa, sprawi, że mimo trwającego projektu wdrożenia RODO, w wielu miejscach nic się nie zmieni.

• Być wewnętrznie wiążący.

Dopiero jeśli formalnym aktem zostanie przyjęta cała dokumentacja, w tym polityka bezpieczeństwa – wzory takich dokumentów staną się wiążące dla pracowników. Bez formalnego przyjęcia polityki bezpieczeństwa, jej wzór straci na znaczeniu, a za jego nieprzestrzeganie często nie będzie żadnych konsekwencji dyscyplinarnych.

• Wskazywać, gdzie szukać rozwiązania.

Każda z osób przetwarzających dane prędzej czy później spotka się z dylematem, takim jak: jak zabezpieczyć dane, komu je udostępniać, kiedy je usuwać, czy zrealizować żądanie usunięcia danych. Nawet odpowiedzi nie będzie zawierać sama polityka bezpieczeństwa, to wzór takiego dokumentu powinien przynajmniej pokierować pracownika, gdzie ją znaleźć. Najlepszym rozwiązaniem są tutaj odwołania do innych dokumentów – takich jak procedura zgłaszania naruszenia czy procedura oceny skutków dla ochrony danych.

• Rozdzielać role i zadania

Ponieważ zapewnienie zgodności i realizacji RODO to nie tylko znajomość i przestrzeganie zasad ochrony danych, właściwym dokumentem do wprowadzenia podziału obowiązków jest polityka bezpieczeństwa. Wzór powinien wyróżniać role i wskazywać osoby odpowiedzialne za wypełnianie poszczególnych zadań, takich jak prowadzenie rejestru czynności przetwarzania, zarządzanie incydentami, dokonywanie oceny skutków dla ochrony danych czy odpowiadanie na żądania osób, których dane dotyczą.