Kurs RODO – Zaawansowany Kurs Czterodniowy. Profesjonalne wykłady i praktyczne warsztaty z realizacji wdrożeń RODO oraz bieżącego wykonywania obowiązków IOD oraz administratora danych.

Dzień pierwszy

1. Wprowadzenie – podstawowe informacje

• Kto i kiedy ma obowiązek stosować przepisy RODO.
• Najważniejsze definicje w RODO – jak je rozumieć?
• Czym są “dane osobowe”, “przetwarzanie” – case study.

2. Dział kadr a RODO.

• Rekrutacja zgodna z RODO.
• Kwestionariusze osobowe, akta osobowe, listy obecności, układy zbiorowe i regulaminy pracy.
• Różne formy monitoringu

3. Kiedy przetwarzamy dane osobowe zgodnie z prawem?

• Rodzaje danych osobowych.
• Kiedy możemy przetwarzać dane osobowe “zwykłe”, a kiedy “szczególne kategorie danych”?
• Kiedy jest wymagana zgoda na przetwarzanie danych osobowych?

4. Zasady przetwarzania danych osobowych.

• Legalność przetwarzania danych osobowych
• Celowość i minimalizm w przetwarzaniu danych
• Poprawność merytoryczna
• Zasada ograniczonego przechowywania (retencja danych) .
• Integralność i poufność przetwarzania danych osobowych.
• Rozliczalność, jej konsekwencje dla IT.
• Zasady “privacy by design oraz “privacy by default” i ich praktyczne zastosowanie.

5. Prawa osób, których dane osobowe są przetwarzane.

• Prawo dostępu do danych
• Prawo do sprostowania danych.
• Prawo do bycia zapomnianym.
• Prawo do ograniczenia przetwarzania.
• Prawo do przenoszenia danych osobowych.
• Prawo do sprzeciwu.
• Prawa osób profilowanych.

6. Obowiązek informacyjny (klauzule informacyjne dotyczące przetwarzania).

• Obowiązek informacyjny przy przetwarzaniu danych osobowych – ustawy krajowe oraz RODO.
• Wymogi formalne z praktycznym omówieniem.
• Praktyczny przykład klauzuli informacyjnej z omówieniem.
• Chwila powstania obowiązków informacyjnych.

7. Bezpieczeństwo przetwarzania danych osobowych – przykładowe aspekty praktyczne w kontekście RODO.

• Techniczne i organizacyjne środki zabezpieczenia danych osobowych – ich wybór i dostosowanie zgodnie z RODO, w ujęciu praktycznym.
• Analiza ryzyka przy przetwarzaniu danych osobowych – przykłady praktyczne.
• Ocena skutków dla ochrony danych osobowych – kiedy jest wymagana.

8. Naruszenia ochrony danych osobowych

• Identyfikacja naruszeń bezpieczeństwa danych osobowych.
• Co robić w przypadku naruszenia?
• Obowiązek zgłaszania incydentów z danymi, wynikający z RODO (zasada 72 godzin).
• Obowiązek powiadamiania osób, których dane osobowe podlegają naruszeniu.
• Rejestr naruszeń ochrony danych osobowych.

9. Odpowiedzialność związana z przetwarzaniem danych osobowych.

• Kary finansowe do 4% rocznego obrotu / 20 000 000 EUR – czy to jedyna forma działania organu nadzorczego, czy należy się ich spodziewać?
• Odpowiedzialność cywilna, karna, pracownicza.
• Jak postępować, aby zmniejszyć wymiar potencjalnej kary za naruszenie ochrony danych, w przypadku jego wystąpienia.

10. Tworzenie dokumentacji przetwarzania i ochrony danych osobowych.

• Obowiązki dokumentacyjne w RODO – Polityka Ochrony Danych.
• Budowanie procedur wewnętrznego systemu zapewniającego bezpieczeństwo danych osobowych w kontekście wymogów RODO

Dzień drugi

I. Inspektor Ochrony Danych (IOD/DPO) - zagadnienia wstępne.

• Powołanie IOD – obowiązek czy uprawnienie?
• Kto może zostać IOD?
• Jakie zadania IOD wskazane zostały w RODO, a jakie zwykle wykonuje w praktyce?
• Współpraca IOD z działem IT.
• Status IOD, jego kompetencje i zakres odpowiedzialności.
• Forma zatrudnienia / współpracy z IOD.
• Zgłoszenie powołania IOD do organu nadzorczego.
• Zlecanie funkcji IOD – jakie zapisy w umowie / powołaniu powinny się znaleźć?
• Przyjmowanie funkcji IOD – zalecane postanowienia umowne – okiem prawnika.

II. Realizacja bieżących obowiązków IOD.

OBOWIĄZKI INFORMACYJNE.

• Poprawne definiowanie podstaw przetwarzania danych osobowych – art. 6, art. 9 i art. 10 RODO w praktyce – case study.
• Obowiązki informacyjne – wdrażanie w praktyce. Zalecane formy oraz miejsca ich spełniania. Dobre praktyki.
• Obowiązki informacyjne – warsztat.

KONTROLA PRZEPŁYWU DANYCH.

• Powierzenie a udostępnienie danych osobowych – jak odróżnić te dwie formy przekazywania danych “na zewnątrz”.
• Udostępnienie danych – przykłady praktyczne.
• Konstruowanie oraz weryfikacja umów powierzenia – warsztat.
• Przepływ danych między współadministratorami.
• Rejestry powierzeń i udostępnień.

POSTĘPOWANIA ZWIĄZANE Z REALIZACJĄ UPRAWNIEŃ OSÓB, KTÓRYCH DANE DOTYCZĄ.

• Z jakimi żądaniami w praktyce spotykamy się najczęściej?
• Jak przygotować firmę / instytucję do realizacji uprawnień osób, których dane dotyczą, w aspekcie organizacyjnym oraz informatycznym? Główne praktyczne problemy.
• W jaki sposób realizować uprawnienia osób, których dane dotyczą?
• Analiza zasadności roszczeń – case study.

POSTĘPOWANIE Z NARUSZENIAMI.

• Procedura wewnętrznego zgłaszania naruszeń / incydentów. Forma komunikacji z osobami upoważnionymi do przetwarzania danych osobowych.
• Prowadzenie wewnętrznego rejestru naruszeń – case study.
• Zgłaszanie naruszeń do organu nadzorczego.
• Wypełnianie formularza zgłoszeniowego – warsztat.
• Obowiązek zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych.

III. Bezpieczeństwo danych osobowych.

• Co o środkach ochrony danych mówi RODO?
• Rodzaje zagrożeń i sposoby przeciwdziałania im.
• Szczególnie zalecane organizacyjne środki bezpieczeństwa.
• Szczególnie zalecane fizyczne i techniczne środki bezpieczeństwa.
• Kodeksy postępowania i certyfikacja.

V. Wdrażanie RODO.

• Przygotowanieplanu wdrożenia.
• Uwzględnianie ochrony danych w fazie projektowania (zasada “privacy by design” w praktyce).
• Wdrażanie domyślnej ochrony danych (zasada “privacy by default” w praktyce”).
• Polityka Ochrony Danych – w jakim zakresie jest obowiązkowa? Praktyczne rady, w jaki sposób konstruować wewnętrzną dokumentację oraz system przetwarzania danych osobowych w organizacji.
• Formułowanie wewnętrznych procedur w zakresie przetwarzania i bezpieczeństwa danych osobowych – warsztat; analiza wzorcowych procedur, udostępnionych przez organizatora.
• W jaki sposób skonstruować upoważnienia do przetwarzania danych osobowych?
• Przydatne pod kątem rozliczalności ewidencje i rejestry.

V. Wizerunek a RODO.

• Definicja “wizerunku”. W jakim zakresie wizerunek to dane osobowe?
• Rozpowszechnianie wizerunku w perspektywie art. 81 ustawy o prawie autorskim i prawach pokrewnych – case study w oparciu o orzecznictwo.

Dzień trzeci

I. Wykonywanie audytów systemów przetwarzania danych osobowych.

• Podstawowe pojęcia związane z przeprowadzaniem audytów.
• Główne problemy audytorów – jak przygotować się do tej roli?
• Zadanie audytów w procesie wdrażania i stosowania RODO.
• Czym różni się audyt przedwdrożeniowy od audytu walidacyjnego – jakie są ich cele i jakie zadania spoczywają na audytorze?
• Jak sporządzić plan audytu, z uwzględnieniem jego celu i docelowego zakresu? Warsztat.
• Pozyskiwanie materiału źródłowego do audytu. Forma jego dokumentacji w perspektywie dowodowości.
• Jak badać fizyczne środki bezpieczeństwa, w tym w zakresie infrastruktury budynków i pomieszczeń?
• Jak badać techniczne środki bezpieczeństwa, w tym w zakresie infrastruktury informatycznej?
• Organizacyjne środki bezpieczeństwa – analiza jakie procedury są kluczowe oraz w jaki sposób badać świadomość obowiązków spoczywających na osobach upoważnionych.
• Jaki powinien być efekt audytu, aby był on użyteczny. W jaki sposób sporządzić raport z audytu systemu przetwarzania danych osobowych?

II. Analiza ryzyka.

• Podejście oparte na ryzyku (risk-based approach) jako fundament RODO.
• Identyfikacja aktywów i zasobów niezbędnych w procesie szacowania ryzyka.
• Parametry analizy ryzyka – skutek i prawdopodobieństwo wystąpienia.
• Na jakie podatności należy zwrócić uwagę, przy diagnozowaniu konkretnych ryzyk?
• Sposoby oceny ryzyka związanego z wystąpieniem konkretnych zagrożeń.
• Przeprowadzanie szczegółowej analizy na matrycach zaproponowanych przez organizatora – zajęcia warsztatowe.

III. Ocena skutków dla ochrony danych (Data Protection Impact Assessment, OSOD/DPIA).

• Jaki jest cel DPIA?
• Jak ocenić, czy przeprowadzenie DPIA jest wymagane?
• Jak oceniać niezbędność i proporcjonalność planowanych operacji przetwarzania danych osobowych, względem praw osób, których te dane dotyczą?
• Jak diagnozować zakres danych osobowych, przetwarzanych w ramach planowanych operacji przetwarzania?
• Ocena zdolności do realizacji uprawnień osób, których dotyczą dane przetwarzane w ramach planowanych operacji przetwarzania.
• Jaka zależność zachodzi pomiędzy przeprowadzeniem DPIA a analizą ryzyka?
• Przygotowywanie DPIA – warsztat. Formuła case studies na wzorcu DPIA.

Dzień czwarty

I. Zasada ograniczonego przechowywania i retencja danych.

• Minimalizacja czasu przechowywania i zakresu danych osobowych jako podstawa RODO.
• Po jakim czasie należy usuwać dane osobowe?
• Terminy przetwarzania danych osobowych. Case study – tworzymy wykaz.
• Zasada retencji a wykonywanie kopii bezpieczeństwa przetwarzanych danych osobowych – uwagi praktyczne.
• Jak i gdzie należy zamieścić informacje o planowanych terminach usunięcia danych osobowych?
• Praktyczne rozwiązania związane z wdrażaniem zasady ograniczonego przechowywania.

II. Rejestr czynności przetwarzania (rejestr administratora) i kategorii czynności przetwarzania (rejestr podmiotu przetwarzającego).

• Cele i praktyczne znaczenie rejestrów.
• Obowiązkowe i fakultatywne elementy rejestrów.
• Jak wyróżniać i identyfikować „czynności” i „kategorie czynności” przetwarzania, podlegające uwzględnieniu w rejestrach.
• Monitorowanie aktualności rejestru czynności na danych – jak praktycznie sobie z tym poradzić?

III. Warsztat.

• Konstruowanie rejestrów na podstawie konkretnego stanu faktycznego, przy wykorzystaniu autorskich wzorów: rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzania.

IV. Problematyka transferu danych do państw trzecich.

• Czy rzeczywiście nie przekazujemy danych do państw trzecich? Oprogramowanie, narzędzia, usługi, na które musimy w szczególności zwrócić uwagę.
• Kiedy legalnie można przekazywać dane do państwa trzeciego?

V. Urząd Ochrony Danych Osobowych (UODO).

• Status Prezesa Urzędu Ochrony Danych Osobowych.
• Zadania i kompetencje organu nadzorczego.
• Postępowanie kontrolne i procedury z nim związane.
• Jak wyglądają kontrole w praktyce?
• Jak przygotować się na kontrolę?

Po Kursie RODO, Uczestnik otrzyma imienny certyfikat uczestnictwa w czterodniowym Kursie RODO.

Uczestnicy otrzymają prezentację, na której pracuje trener oraz autorskie szablony niezbędne przy analizie ryzyka, OSOD, audytach, wykonywaniu rejestru czynności (materiały szkoleniowe/warsztatowe).

Uczestnicy otrzymają również materiały poszkoleniowe - pakiet wzorcowej dokumentacji RODO: polityka ochrony danych, przykładowe obowiązki informacyjne, analiza ryzyka z przykładową matrycą ryzyk (ponad 20 zasobów), rejestr czynności przetwarzań (ponad 20), zbiór przykładowych procedur, związanych z przetwarzaniem danych (ponad 20), akty prawne i wytyczne, wzór umowy powierzenia danych osobowych, nadto wiele użytecznych dokumentów.

Możesz skorzystać z mailowych konsultacji (do 3 przez 30 dni) w zakresie omówionych zagadnień (wsparcie nie obejmuje przygotowania dokumentacji). Otrzymasz także aktualne akty prawne i wytyczne PUODO oraz Europejskiej Rady Ochrony Danych.

Uczestnik zobowiązany jest do Uczestnictwa w co najmniej 80% zajęć.

Platforma ClickMeeting, z której korzystamy sprawdza obecność uczestników automatycznie i bardzo precyzyjnie za pomocą wbudowanego systemu statystyk oraz raportów, które generują się po zakończeniu każdego dnia szkolenia. System rejestruje w nim m.in.: dokładny czas dołączenia i opuszczenia pokoju przez każdego uczestnika (co do minuty) oraz łączny czas spędzony na spotkaniu.

Dla uczestników, których dofinansowanie ze środków publicznych wynosi minimum 70%, istnieje możliwość zwolnienia z podatku VAT na podstawie § 3 ust. 1 pkt 14 Rozporządzenia Ministra Finansów, po złożeniu stosownego oświadczenia przed rozpoczęciem usług.

Administratorem danych osobowych będzie właściciel marki SzkolenieRODO.pl - Instytut Odpowiedzialnego Biznesu Anna Mrozowska-Wyszyńska, ul. Mickiewicza 33/41 60-837, kontakt@szkolenierodo.pl. Pani/Pana dane osobowe przetwarzane będą w celu realizacji usługi i wystawienia faktury - na podstawie art. 6 ust. 1 lit. b) oraz c) RODO, a także celem ochrony przed ewentualnymi roszczeniami - na podstawie art. 6 ust. 1 lit. f) RODO.

Szczegółowy obwiązek informacyjny odnajdą Państwo na naszej stronie: https://szkolenierodo.pl/polityka-prywatnosci-i-plikow-cookies/

Korzystamy z platformy ClickMeeting - wystarczy dostęp do internetu, nie ma konieczności instalacji dodatkowego oprogramowania.

Informacje odnośnie prywatności:

- wprowadzony login będzie widoczny dla innych uczestników,

- jeżeli podczas zajęć uruchomią Państwo mikrofon lub kamerę, słyszeć / widzieć będą Państwa wszyscy uczestnicy, a nie tylko trener,

- dokładnie tak samo działa czat.

Wymagania sprzętowe (Urządzenie uczestnika)

Uczestnik musi dysponować sprawnym komputerem, laptopem lub urządzeniem mobilnym spełniającym poniższe kryteria:

• Procesor: Dwurdzeniowy 2 GHz lub lepszy (zalecany procesor czterordzeniowy).
• Pamięć RAM: Minimum 2 GB (zalecane 4 GB lub więcej).
• System operacyjny: Windows 8 (rekomendowany Windows 10), Mac OS w wersji 10.13 lub nowszej, Linux bądź Chrome OS. Szkolenie można również uruchomić na urządzeniach mobilnych (smartfon, tablet) z systemem Android lub iOS.

ClickMeeting nie wymaga instalacji żadnych dodatkowych programów przez uczestnika – całe szkolenie uruchamia się bezpośrednio w przeglądarce.

• Przeglądarka: Wymagana jest najnowsza oficjalna wersja jednej z przeglądarek: Google Chrome, Mozilla Firefox, Safari, Edge (Chromium) lub Opera. Szczególnie rekomendowane jest korzystanie z Google Chrome lub Mozilla Firefox.
• Wtyczki i uprawnienia: Uczestnik musi zezwolić w przeglądarce na dostęp do kamery i mikrofonu, aby móc brać aktywny udział w zajęciach.
• Blokady reklam: Wtyczki blokujące reklamy lub skrypty (takie jak AdBlock, uBlock, uMatrix, NoScript) mogą zakłócać stabilne działanie platformy – w razie problemów zaleca się ich wyłączenie lub wyczyszczenie pamięci podręcznej i plików cookie.

Rekomendowane jest korzystanie ze stabilnego połączenia kablowego (Ethernet) zamiast sieci Wi-Fi, która jest znacznie bardziej podatna na zakłócenia. Przed zajęciami należy wyłączyć programy pobierające dane w tle oraz inne komunikatory (np. Skype), które mogą obciążać łącze i blokować dostęp do urządzeń audio.

Wymagana prędkość internetu zależy od wybranego trybu transmisji:

• Dźwięk (Audio): 512 kbps pobierania (odbioru) / 512 kbps wysyłania (nadawania).
• Dźwięk + obraz SD: 512 kbps + 1 Mbps pobierania / 512 kbps + 1 Mbps wysyłania.
• Dźwięk + obraz HD: 512 kbps + 2 Mbps pobierania / 512 kbps + 2 Mbps wysyłania.
• Współdzielenie ekranu: od 1–4 Mbps (przy standardowej wersji przeglądarkowej) do 2–5 Mbps (w przypadku trybu HighQ).

Platforma bez przeszkód współpracuje ze wszystkimi wbudowanymi w laptopy kamerami oraz większością zewnętrznych kamer USB.