Jak monitorować przestrzeganie RODO przez personel
Administrator danych osobowych musi nie tylko wdrożyć środki bezpieczeństwa adekwatne do poziomu ryzyka wiążącego się z przetwarzaniem danych. Powinien on także zapewnić, by były one stosowane przez jego personel. Sprawdź, w jaki sposób monitorować to przestrzeganie.
Monitorowanie obowiązkiem IOD
Obowiązek monitorowania przestrzegania RODO w organizacji spoczywa oczywiście na inspektorze ochrony danych, o ile takowy został wyznaczony. Zadaniem inspektora ochrony danych jest między innymi monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych. W ramach monitorowania inspektorzy mogą w szczególności zbierać informacje w celu identyfikacji procesów przetwarzania, analizować i sprawdzać zgodność tego przetwarzania z przepisami w tym regułami obowiązującymi u danego administratora, prowadzić czynności doradcze oraz informacyjne względem administratora.
Rolą inspektora jest:
- informowanie administratora oraz jego pracowników o ich obowiązkach z zakresu przetwarzania danych osobowych,
- monitorowanie przestrzegania przepisów dotyczących ochrony danych osobowych,
- podejmowanie działań zwiększających świadomość tym szkoleń personelu uczestniczącego w operacjach przetwarzania danych,
- udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania,
- współpraca z organem nadzorczym,
- pełnienie funkcji punktu kontaktowego dla organu nadzorczego (art. 39 RODO).
Najlepiej przydzielić zadania IOD
RODO nakłada bezpośrednio obowiązek monitorowania przez inspektorów przestrzegania RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty.
W celu uniknięcia wątpliwości warto na poziomie administratora określić czynności jakie będą podejmowane przez inspektora w ramach zadań związanych z monitorowaniem. Przyjmuje się, iż monitorowanie to w szczególności doradzanie, informowanie, wydawanie rekomendacji administratorowi i jego personelowi, ale również zbieranie informacji na temat toczących się procesów, ich analiza i badanie zgodności z wewnętrznymi procedurami oraz z prawem.
Należy wymagać przestrzegania procedur w zakładzie pracy
W RODO nie wymienia się dokumentów jakie administrator powinien posiadać, aby wykazać zgodność realizowanych czynności przetwarzania, poza elementami wymienionymi w rozdziale 1. Z treści art. 24 ust 1 RODO wynika jednak, że administrator danych ma być w stanie wykazać całościowo zgodność przetwarzania danych. W praktyce oznacza to, że administrator ma obowiązek wykazać, że:
- stosuje się do ogólnych zasad przetwarzania,
- zapewnia, aby dane przetwarzane były zgodnie z prawem,
- zapewnia kontrolę nad przetwarzaniem danych w postaci monitorowania przestrzegania przepisów i przyjętych procedur przetwarzania.
W efekcie wykazanie przestrzegania zasad ochrony danych powinno wiązać się z przyjęciem i wdrożeniem polityki bezpieczeństwa lub innego dokumentu, której przestrzeganie będzie również przez inspektora monitorowane.
- Wpływ sztucznej inteligencji na ochronę danych osobowych
- Jak przeprowadzić analizę ryzyka dla danych osobowych w związku z wdrożeniem sztucznej inteligencji
- Ochrona sygnalistów a RODO - czy IOD może obsługiwać zgłoszenia naruszeń prawa
- Będzie kodeks postępowania RODO dla branży hotelarskiej
- Nagrywanie rozmów telefonicznych na infolinii - czy jest zgodne z RODO
- Kara UODO tylko za zawinione naruszenie ochrony danych
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
