SEMINARIUM Samodzielna weryfikacja spełnienia wymogów z zakresu ochrony danych osobowych

• dokumenty obligatoryjne z zakresu ochrony danych osobowych, które należy wdrożyć w firmie/instytucji
• zasady przeprowadzania weryfikacji opracowania i kompletności dokumentacji przetwarzania danych – badanie formalnej zgodności dokumentacji z wymaganiami przepisów prawa
• zasady przeprowadzania oceny stanu faktycznego w zakresie przetwarzania danych osobowych opisanego w dokumentacji – przeglądy aktualności opracowanej dokumentacji
• zasady postępowania w przypadku wykrycia nieprawidłowości w dokumentacji przetwarzania danych
• kto ponosi odpowiedzialność za prawidłowe przygotowanie i stały nadzór nad dokumentacją ochrony danych osobowych w firmie/instytucji?
• odpowiedzialność podmiotu w przypadku stwierdzenia nieprawidłowości lub braku dokumentacji w trakcie kontroli GIODO

• powołanie i rejestracja Administratora Bezpieczeństwa Informacji

- prawidłowe zasady wyznaczania ABI spośród pracowników i spoza firmy/instytucji

- kompetencje i zadania Administratora Bezpieczeństwa Informacji

- zasady podległości służbowej Administratora Bezpieczeństwa Informacji

- obowiązek zgłoszenia Administratora Bezpieczeństwa Informacji przez Administratora Danych do rejestru prowadzonego przez GIODO

- zakaz powierzania Administratorowi Bezpieczeństwa Informacji dodatkowych zadań, które utrudniają
lub uniemożliwiają prawidłowe pełnienie obowiązków na gruncie ochrony danych osobowych

- obowiązek zapewnienia środków niezbędnych do niezależnego wypełniania zadań przez ABI

• rejestracja zbiorów danych w rejestrze Generalnego Inspektora Ochrony Danych Osobowych a prowadzenie rejestru przez ABI
  • jakie zbiory podlegają rejestracji przez GIODO po 1 stycznia 2015 roku
  • prowadzenie rejestru zbiorów danych przez ABI
  • zgłaszanie zbiorów do rejestracji w przypadku niepowołania ABI

• obowiązek okresowych weryfikacji pod kątem spełnienia wymogów prawa z zakresu ochrony danych osobowych – kto powinien przeprowadzać weryfikację w firmie/instytucji w przypadku powołania lub niepowołania ABI?
• przygotowanie prowadzenia sprawdzeń planowych – weryfikacja prawidłowości opracowania planu sprawdzeń
• prowadzenie sprawdzeń
  • zakres czynności w ramach sprawdzenia
  • prawidłowość dokumentowania czynności
• zasady opracowywania sprawozdania z przeprowadzanych sprawdzeń
• weryfikacja prowadzenia działań naprawczych na podstawie wyników prowadzonych sprawdzeń
  • zasady przekazywania informacji o ustalonych nieprawidłowościach do najwyższej kadry kierowniczej
  • opracowywanie zaleceń naprawczych w oparciu o zdiagnozowane nieprawidłowości – plany naprawcze
  • ustalanie osób odpowiedzialnych za wdrożenie zaleceń naprawczych
  • prowadzenie działań naprawczych

• poprawne klauzule z zakresu ochrony danych osobowych, jakie musi złożyć każdy kandydat w dokumentach aplikacyjnych
• obowiązki informacyjne jakie należy spełnić wobec kandydatów do pracy i pracowników
• dozwolony zakres danych osobowych, jakie mogą być przetwarzane w aktach osobowych pracownika
• żądanie od pracowników zdjęć w celu wykorzystania ich na identyfikatorach, firmowych stronach internetowych, intranecie - wymogi z zakresu ochrony danych osobowych jakie należy bezwzględnie dopełnić
• monitoring elektroniczny pracowników w miejscu pracy -  Rejestratory Czasu Pracy, monitoring poczty elektronicznej pracowników i ruchu w sieci – kiedy jest dopuszczalny i co należy spełnić na gruncie prawa ochrony danych osobowych?
• zasady bezpiecznego udostępniania danych osobowych podmiotom zewnętrznym – bankom, ubezpieczycielom, Policji, prokuraturze, sądom, komornikom
• outsourcing procesów kadrowych i płacowych związanych z przetwarzaniem danych pracowników – wymagania prawne w zakresie zapisów umownych z podmiotami, którym powierza się do obsługi procesy kadrowe

• badanie podstaw prawnych uprawniających do przetwarzania danych w celach marketingowych,
  sprzedażowych, usługowych, innych
• weryfikacja prawidłowości zbierania zgód od klientów
• zasady oceny spełnienia obowiązków informacyjnych wobec osób, których dane są przetwarzane w działalności marketingowej, sprzedażowej, usługowej i innych
• badanie procedury odnotowywania sprzeciwów na przetwarzanie danych w celach marketingowych
• weryfikacja zakresu zbieranych danych osobowych klientów pod kątem zasady adekwatności przetwarzanych danych
• weryfikacja zasad działania w ramach realizowanych przez firmę/instytucję procesów rozpatrywania reklamacji składanych przez klientów
• weryfikacja zgodności z przepisami prawa procesów przetwarzania danych osobowych dłużników

• ocena poziomu spełnienia wymogów prawnych w zakresie stosowanych środków bezpieczeństwa w strukturze informatycznej:
  • zabezpieczenia stacji roboczych, laptopów, tabletów, smartfonów oraz serwerów
  • zarządzanie dostępem do zasobów sieciowych organizacji
  • komunikowanie się z zasobami sieciowymi organizacji na odległość i związane z tym wymogi techniczne
  • zarządzanie nośnikami danych w przypadku ich awarii oraz ustania przydatności
  • tworzenie kopii baz danych zasobów informatycznych
  • korzystanie ze wsparcia zewnętrznych podmiotów wyspecjalizowanych w obsłudze obszaru IT
• weryfikacja zabezpieczenia danych osobowych przetwarzanych przez użytkowników systemów informatycznych:
  • zabezpieczenia stosowane wobec przetwarzanych danych osobowych w systemach informatycznych
  • sposoby uwierzytelniania użytkowników w systemach informatycznych
  • wymogi prawne w zakresie odnotowywania przeprowadzanych operacji na danych osobowych w systemach informatycznych
  • inne środki bezpieczeństwa obligatoryjnie wymagane do zastosowania wobec systemów informatycznych
• zasady opisywania stosowanych systemów informatycznych w dokumentacji ochrony danych osobowych

• obowiązkowe przygotowanie pracowników do legalnego przetwarzania danych osobowych
• weryfikacja zasad bezpieczeństwa przy przetwarzaniu danych osobowych na poszczególnych stanowiskach pracy oraz w pomieszczeniach biurowych
  • sprawdzenie stosowanych metod zabezpieczenia danych osobowych w obszarze organizacyjnym:
    • proces nadawania dostępu do danych osobowych poszczególnym osobom – upoważnienia do przetwarzania danych osobowych
    • zasady nadawania dostępu do danych osobowych osobom spoza firmy/instytucji
    • prowadzenie ewidencji osób przetwarzających dane osobowe
    • procedura nadawania uprawnień w systemach informatycznych a procedura nadawania upoważnień do przetwarzania danych osobowych – określenie wzajemnej zależności i stopnia powiązania
    • szkolenia z zakresu ochrony danych osobowych oraz instruktaże stanowiskowe
  • sprawdzenie stosowanych fizycznych środków ochrony danych osobowych:
    • rodzaje zabezpieczeń fizycznych wymaganych obligatoryjnie na podstawie przepisów prawa z zakresu ochrony danych osobowych
    • sposoby weryfikacji zabezpieczeń fizycznych w organizacji
• podstawowe zasady ochrony, których stosowania należy wymagać od osób upoważnionych do przetwarzania danych osobowych

• kto i w jakim zakresie ponosi odpowiedzialność za nieprawidłowości w obszarze ochrony danych osobowych
• odpowiedzialność dyscyplinarna
• odpowiedzialność karna
• odpowiedzialność osób upoważnionych do przetwarzania danych wynikająca z dokumentacji wewnętrznej z zakresu ochrony danych osobowych
• odpowiedzialność finansowa, która będzie wprowadzona od 28 maja 2018 przez Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych