Pytanie:  Pracuję w urzędzie gminy, przełożony zlecił mi wykonanie oceny ryzyka dla ochrony danych osobowych pod kątem ogólnego rozporządzenia o ochronie danych (RODO). Jak taka ocena powinna wyglądać w praktyce? Jak krok po kroku powinienem przeprowadzić taką analizę, żeby było to zgodne z RODO?

Wprawdzie ogólne rozporządzenie o ochronie danych (RODO) nie nakazuje administratorowi danych prowadzenia polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym, jednak aby móc udowodnić, że realizuje się postanowienia RODO, warto opracować polityki ochrony danych i instrukcje postępowania dla pracowników.

Pytanie:  Czy coroczny audyt bezpieczeństwa informacji wymagany w jednostkach publicznych przez rozporządzenie w sprawie Krajowych Ram Interoperacyjności można połączyć z audytem wymaganym przez ogólne rozporządzenie o ochronie danych (RODO)? Czy taki audyt może wykonać pracownik posiadający certyfikat audytora wewnętrznego ISO 27001?

Ogólne rozporządzenie o ochronie danych (RODO) jest dość generalne i nie precyzuje konkretnych środków bezpieczeństwa, jakie należy zastosować w celu odpowiedniej ochrony danych osobowych, ani też sposobów ich dokumentowania. Niemniej jednak w wielu artykułach mocno podkreśla się obowiązek wykazania stosowania odpowiednich środków bezpieczeństwa i udowodnienia, że działa się zgodnie z przepisami. Dowiedz się, czy w związku z tym trzeba będzie dokumentować realizację zadań przez inspektora ochrony danych.

Osoby, których dane osobowe są przetwarzane, mają określone prawa. Jednym z nich jest prawo wniesienia sprzeciwu wobec przetwarzania danych osobowych. Dowiedz się, co powinien zrobić administrator danych, gdy wpłynie do niego taki sprzeciw.

Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO) administrator nie tylko będzie musiał realizować wynikające z niego obowiązki, ale też wykazać, że je wypełnia. Będzie to dotyczyło także realizacji praw osób, których dane dotyczą. Sprawdź, jak będzie można udowodnić, że prawa podmiotów danych są respektowane. 

Pytanie:  Ogólne rozporządzenie o ochronie danych (RODO) wprowadza nowe zasady postępowania w przypadku naruszeń ochrony danych osobowych. Trzeba je będzie zgłaszać organowi nadzorczemu i w pewnych sytuacjach osobie, której dane dotyczą. A czy po wystąpieniu takiego naruszenia trzeba będzie sporządzić raport? Jak może wyglądać jego przykładowy wzór?

Pytanie:  Jaka musi być wartość ryzyka naruszenia praw lub wolności osób fizycznych, aby zaliczyć je do kategorii „ryzyka” lub „dużego ryzyka”? Opracowuję analizę ryzyka, ale niestety nie znalazłem jednoznacznych wskazówek w tej kwestii w pkt 75–77 ogólnego rozporządzenia o ochronie danych (RODO).

Na mocy nowej ustawy o ochronie danych osobowych nowym organem ochrony danych osobowych będzie Prezes Urzędu Ochrony Danych Osobowych. Dowiedz się, czym organ ten będzie różnił się od Generalnego Inspektora Ochrony Danych Osobowych. Sprawdź, jakie będą jego kompetencje.

Zgodnie z ogólnym rozporządzeniem o ochronie danych administrator danych będzie musiał komunikować się z osobą, której dane dotyczą, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Dowiedz się, jak realizować ten wymóg w praktyce.

Jedną z podstawowych zmian przewidzianych w ogólnym rozporządzeniu o ochronie danych jest zastąpienie obecnie funkcjonującego administratora bezpieczeństwa informacji inspektorem ochrony danych. Sprawdź, czym będzie różniła się odpowiedzialność inspektora ochrony danych od tej, jaką ma ABI.

Jedną ze zmian, jakie wprowadza ogólne rozporządzenie o ochronie daych, jest usunięcie z polskiego systemu ochrony danych osobowych pojęcia administratora bezpieczeństwa informacji (ABI). Zamiast niego prawodawca unijny ustanawia inspektora ochrony danych (IOD). Ma on zasadniczo przejąć prawa i obowiązki dotychczasowego ABI, ale nie będzie to naturalnie jedynie prosta zmiana nazwy. Dowiedz się, jak zmieni się odpowiedzialność i obowiązki ABI, gdy stanie się inspektorem ochrony danych.

Inspektorzy ochrony danych 25 maja 2018 r. mają zastąpić administratorów bezpieczeństwa informacji. Czy oznacza to, że będą realizować te same zadania co ABI, będą mieć taki sam status i odpowiedzialność? Przeczytaj ten artykuł i dowiedz się, czym funkcja inspektora ochrony danych będzie różniła się od funkcji administratora bezpieczeństwa informacji.

Grupa Robocza Art. 29 wydała wytyczne w sprawie oceny skutków przetwarzania dla ochrony danych. Tłumaczy w nich, w jakich sytuacjach trzeba będzie ją przeprowadzać i od kiedy należy zacząć realizować ten obowiązek.

21 lutego 2017 r. odbyło się spotkanie Stowarzyszenia Administratorów Bezpieczeństwa Informacji (SABI) z przedstawicielami Ministerstwa Cyfryzacji w sprawie przedstawionego przez GIODO projektu nowej ustawy, która uzupełni unijne rozporządzenie ogólne o ochronie danych osobowych.