Kurs IOD Online (na żywo). Dwudniowy zaawansowany kurs online, przygotowujący do pełnienia funkcji Inspektora Ochrony Danych, a także samodzielnego wdrażania i stosowania unijnego rozporządzenia RODO.

Dzień pierwszy

1. Wprowadzenie – podstawowe informacje

• Kto i kiedy ma obowiązek stosować przepisy RODO.
• Najważniejsze definicje w RODO – jak je rozumieć?
• Czym są “dane osobowe”, “przetwarzanie” – case study.
• W jakich sytuacjach „przetwarzamy dane osobowe”?

2. Dział kadr a RODO.

• Rekrutacja zgodna z RODO.
• Kwestionariusze osobowe, akta osobowe, listy obecności, układy zbiorowe i regulaminy
• pracy – jak pozostać w zgodności z nowymi przepisami?
• Kiedy potrzebna jest zgoda pracownika na przetwarzanie jego danych osobowych?
• Wdrażanie monitoringu wizyjnego – obowiązki względem pracowników i osób
• zewnętrznych.
• Inne formy monitoringu.

3. Kiedy przetwarzamy dane osobowe zgodnie z prawem?

• Rodzaje danych osobowych – dane “zwykłe” oraz “szczególne kategorie danych”, w tym
• biometryczne.
• Kiedy możemy przetwarzać dane osobowe “zwykłe”, a kiedy “szczególne kategorie danych”?
• Wymogi dotyczące przetwarzania danych osobowych dzieci.
• Kiedy jest wymagana zgoda na przetwarzanie danych osobowych?
• Warunki wyrażenia zgody na przetwarzanie danych osobowych wg RODO.

4. Zasady przetwarzania danych osobowych.

• Legalność przetwarzania danych osobowych – praktyczne aspekty kryteriów prawnych.
• Celowość i minimalizm w przetwarzaniu danych osobowych wg RODO.
• Poprawność merytoryczna przetwarzanych danych.
• Zasada ograniczonego przechowywania (retencja danych) – omówienie najważniejszych
• przykładów, praktyczne rozwiązania.
• Integralność i poufność przetwarzania danych osobowych.
• Rozliczalność – nadrzędna zasada RODO, jej konsekwencje dla IT.
• Zasady “privacy by design oraz “privacy by default” i ich praktyczne zastosowanie.

5. Prawa osób, których dane osobowe są przetwarzane.

• Prawo dostępu do danych oraz prawo uzyskania kopii danych osobowych.
• Prawo do sprostowania danych.
• Prawo do bycia zapomnianym.
• Prawo do ograniczenia przetwarzania.
• Prawo do przenoszenia danych osobowych.
• Prawo do sprzeciwu.
• Prawa osób profilowanych.
• Jak postępować z żądaniami osób, których dane dotyczą?

6. Obowiązek informacyjny (klauzule informacyjne dotyczące przetwarzania).

• Obowiązek informacyjny przy przetwarzaniu danych osobowych – ustawy krajowe oraz
• RODO.
• Wymogi formalne z praktycznym omówieniem.
• Obowiązek informacyjny przy uzyskaniu zgody na przetwarzanie danych osobowych.
• Obowiązek informacyjny przy wyznaczeniu IOD.
• Obowiązek informacyjny przy przekazaniu danych osobowych poza EOG.
• Praktyczny przykład klauzuli informacyjnej z omówieniem.
• Obowiązek informacyjny w przypadku zbierania danych nie od osoby, której te dane dotyczą.
• Chwila powstania obowiązków informacyjnych.

7. Bezpieczeństwo przetwarzania danych osobowych – przykładowe aspekty praktyczne w

kontekście RODO.

• Organizacyjne środki zabezpieczenia danych osobowych – ich wybór i dostosowanie zgodnie
• z RODO, w ujęciu praktycznym.
• Techniczne środki bezpieczeństwa, ze szczególnym uwzględnieniem wymaganego przez
• RODO zapewnienia poufności, integralności, dostępności i odporności systemów i usług
• przetwarzania, pseudonimizacji oraz szyfrowania.
• Analiza ryzyka przy przetwarzaniu danych osobowych – przykłady praktyczne.
• Ocena skutków dla ochrony danych osobowych – kiedy jest wymagana.
• Uprzednie konsultacje z organem nadzorczym.

8. Naruszenia ochrony danych osobowych

• Identyfikacja naruszeń bezpieczeństwa danych osobowych.
• Co robić w przypadku naruszenia?
• Obowiązek zgłaszania incydentów z danymi, wynikający z RODO (zasada 72 godzin).
• Obowiązek powiadamiania osób, których dane osobowe podlegają naruszeniu.
• Rejestr naruszeń ochrony danych osobowych.

9. Odpowiedzialność związana z przetwarzaniem danych osobowych.

• Kary finansowe do 4% rocznego obrotu / 20 000 000 EUR – czy to jedyna forma działania
• organu nadzorczego, czy należy się ich spodziewać?
• Odpowiedzialność odszkodowawcza.
• Jak postępować, aby zmniejszyć wymiar potencjalnej kary za naruszenie ochrony danych, w
• przypadku jego wystąpienia.
• Sankcje dla podmiotów publicznych.

10. Tworzenie dokumentacji przetwarzania i ochrony danych osobowych.

• Obowiązki dokumentacyjne w RODO – Pulityka Ochrony Danych.
• Upoważnienie do przetwarzania danych osobowych w kontekście RODO.
• Budowanie procedur wewnętrznego systemu zapewniającego bezpieczeństwo danych

Dzień drugi

I. Inspektor Ochrony Danych (IOD/DPO) - zagadnienia wstępne.

• Powołanie IOD – obowiązek czy uprawnienie?
• Kto może zostać IOD?
• Jakie zadania IOD wskazane zostały w RODO, a jakie zwykle wykonuje w praktyce? IOD w perspektywie wytycznych Grupy Roboczej art. 29 (Europejskiej Rady Ochrony Danych).
• Współpraca IOD z działem IT.
• Pełnienie ruli punktu kontaktowego – tak dla osób, których dane dotyczą, jak i organu nadzorczego – w praktyce.
• Konsultacje w zakresie oceny skutków dla ochrony danych.
• Status IOD, jego kompetencje i zakres odpowiedzialności.
• Odpowiedzialność administratora i osób upoważnionych do przetwarzania danych w perspektywie powołania IOD.
• Formalne powołanie IOD wewnątrz organizacji.
• Forma zatrudnienia / współpracy z IOD.
• IOD w grupie kapitałowej.
• Zgłoszenie powołania IOD do organu nadzorczego – wypełnianie formularza oraz zgłoszenia poprzez platformę ePUAP.
• Ubezpieczenia dla IOD i administratora – czy warto z nich korzystać? Analiza umów ubezpieczeniowych – na jakie wyłączenia w szczególności należy zwrócić uwagę.
• Zlecanie funkcji IOD – jakie zapisy w umowie / powołaniu powinny się znaleźć?
• Przyjmowanie funkcji IOD – zalecane postanowienia umowne – okiem prawnika.

II. Realizacja bieżących obowiązków IOD.

OBOWIĄZKI INFORMACYJNE.

• Poprawne definiowanie podstaw przetwarzania danych osobowych – art. 6, art. 9 i art. 10 RODO w praktyce – case study.
• Dodatkowe obowiązki informacyjne w przypadku współadministrowania danymi – wyzwania płynące z art. 26 RODO.
• Obowiązki informacyjne – wdrażanie w praktyce. Zalecane formy oraz miejsca ich spełniania. Dobre praktyki.
• Strona internetowa, BIP – ważne źródło wiedzy o tym, w jaki sposób przetwarzamy dane osobowe.
• Obowiązki informacyjne – warsztat.

KONTROLA PRZEPŁYWU DANYCH.

• Powierzenie a udostępnienie danych osobowych – jak odróżnić te dwie formy przekazywania danych “na zewnątrz”.
• Najczęstsze przypadki powierzania danych osobowych.
• Na jakiej podstawie możemy udostępniać dane osobowe?
• Udostępnienie danych – przykłady praktyczne.
• Obowiązkowe i fakultatywne elementy umowy powierzenia.
• Konstruowanie oraz weryfikacja umów powierzenia – warsztat.
• Przepływ danych między współadministratorami.
• Rejestry powierzeń i udostępnień.

POSTĘPOWANIA ZWIĄZANE Z REALIZACJĄ UPRAWNIEŃ OSÓB, KTÓRYCH DANE DOTYCZĄ.

• Forma składania żądań przez osoby, których dane dotyczą.
• Z jakimi żądaniami w praktyce spotykamy się najczęściej?
• Jak przygotować firmę / instytucję do realizacji uprawnień osób, których dane dotyczą, w aspekcie organizacyjnym oraz informatycznym? Główne praktyczne problemy.
• W jaki sposób realizować uprawnienia osób, których dane dotyczą? Jak poprawnie prowadzić korespondencję?
• Analiza zasadności roszczeń – case study.

POSTĘPOWANIE Z NARUSZENIAMI.

• Procedura wewnętrznego zgłaszania naruszeń / incydentów. Forma komunikacji z osobami upoważnionymi do przetwarzania danych osobowych.
• Prowadzenie wewnętrznego rejestru naruszeń – case study.
• Zgłaszanie naruszeń do organu nadzorczego – kiedy jest obowiązkowe? Czy termin 72 godzin jest nieprzekraczalny?
• Wypełnianie formularza zgłoszeniowego oraz zgłaszanie naruszeń poprzez e-PUAP – warsztat.
• Obowiązek zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych. W jakich przypadkach i w jakiej formie informować o naruszeniach?

III. Bezpieczeństwo danych osobowych.

• Co o środkach ochrony danych mówi RODO?
• Analiza art. 32 RODO i praktyczne następstwa tak ogólnej regulacji.
• Rodzaje zagrożeń i sposoby przeciwdziałania im.
• Pseudonimizacja i szyfrowanie – kiedy jest niezbędne?
• Szczególnie zalecane organizacyjne środki bezpieczeństwa.
• Szczególnie zalecane fizyczne i techniczne środki bezpieczeństwa.
• Kodeksy postępowania i certyfikacja.

V. Wdrażanie RODO.

• Przygotowanie planu wdrożenia.
• Uwzględnianie ochrony danych w fazie projektowania (zasada “privacy by design” w praktyce).
• Wdrażanie domyślnej ochrony danych (zasada “privacy by default” w praktyce”).
• Pulityka Ochrony Danych – w jakim zakresie jest obowiązkowa? Praktyczne rady, w jaki sposób konstruować wewnętrzną dokumentację oraz system przetwarzania danych osobowych w organizacji.
• Formułowanie wewnętrznych procedur w zakresie przetwarzania i bezpieczeństwa danych osobowych – warsztat; analiza wzorcowych procedur, udostępnionych przez organizatora.
• W jaki sposób skonstruować upoważnienia do przetwarzania danych osobowych?
• Przydatne pod kątem rozliczalności ewidencje i rejestry.

V. Wizerunek a RODO.

• Definicja “wizerunku”. W jakim zakresie wizerunek to dane osobowe?
• Rozpowszechnianie wizerunku w perspektywie art. 81 ustawy o prawie autorskim i prawach pokrewnych – case study w oparciu o orzecznictwo.
• Czy zgodę na rozpowszechnianie wizerunku można cofnąć w dowulnym momencie?
• Jak powinna wyglądać zgoda na utrwalenie i upowszechnianie wizerunku – case study, w oparciu o orzecznictwo.
• Uzasadniony interes administratora jako podstawa prawna przetwarzania wizerunku pracownika.
• Odpowiedzialność za niezgodne z prawem przetwarzanie wizerunku na gruncie RODO, prawa autorskiego oraz kodeksu cywilnego.