DWUDNIOWE WARSZTATY RODO Z ANALIZY RYZYKA, AUDYTÓW, DPIA, REJESTRU CZYNNOŚCI, RETENCJI I TRANSFERÓW DANYCH

Dzień pierwszy

I. Wykonywanie audytów systemów przetwarzania danych osobowych.

• Podstawowe pojęcia związane z przeprowadzaniem audytów.
• Główne problemy audytorów – jak przygotować się do tej ruli?
• Zadanie audytów w procesie wdrażania i stosowania RODO.
• Czym różni się audyt przedwdrożeniowy od audytu walidacyjnego – jakie są ich cele i jakie zadania spoczywają na audytorze?
• Jak sporządzić plan audytu, z uwzględnieniem jego celu i docelowego zakresu? Warsztat.
• Pozyskiwanie materiału źródłowego do audytu. Forma jego dokumentacji w perspektywie dowodowości.
• Jakie środki bezpieczeństwa przy przetwarzaniu danych osobowych są najczęściej stosowane, a jakich wymaga organ nadzorczy? Case study w oparciu o analizę dotychczasowych decyzji i opinii organu nadzorczego.
• Jak badać fizyczne środki bezpieczeństwa, w tym w zakresie infrastruktury budynków i pomieszczeń?
• Jak badać techniczne środki bezpieczeństwa, w tym w zakresie infrastruktury informatycznej?
• Organizacyjne środki bezpieczeństwa – analiza jakie procedury są kluczowe oraz w jaki sposób badać świadomość obowiązków spoczywających na osobach upoważnionych.
• Badanie, czy organizacja jest przygotowana do realizacji uprawnień osób, których dotyczą przetwarzane dane osobowe.
• Jaki powinien być efekt audytu, aby był on użyteczny. W jaki sposób sporządzić raport z audytu systemu przetwarzania danych osobowych?
• Zalecenia pokontrolne – jakie treści powinny zawierać?.

II. Analiza ryzyka.

• Podejście oparte na ryzyku (risk-based approach) jako fundament RODO.
• Identyfikacja aktywów i zasobów niezbędnych w procesie szacowania ryzyka.
• Parametry analizy ryzyka – skutek i prawdopodobieństwo wystąpienia – jak rozumieć, oceniać i jakie wartości należy im przypisać.
• Jak diagnozować zagrożenia naruszeń ochrony danych osobowych, wynikające z używania konkretnych zasobów?
• Na jakie podatności należy zwrócić uwagę, przy diagnozowaniu konkretnych ryzyk?
• Sposoby oceny ryzyka związanego z wystąpieniem konkretnych zagrożeń.
• Przeprowadzanie szczegółowej analizy na matrycach zaproponowanych przez organizatora – zajęcia warsztatowe.

III. Ocena skutków dla ochrony danych (Data Protection Impact Assessment, OSOD/DPIA).

• Jaki jest cel DPIA?
• Jak ocenić, czy przeprowadzenie DPIA jest wymagane?
• Niezbędne elementy procesu DPIA – art. 35 RODO.
• Formułowanie informacji dotyczących planowanych działań, mogących spowodować skutek dla ochrony danych osobowych.
• Definiowanie interesu administratora, celów oraz podstaw prawnych przetwarzania, mogącego spowodować skutek dla ochrony danych osobowych.
• Jak oceniać niezbędność i proporcjonalność planowanych operacji przetwarzania danych osobowych, względem praw osób, których te dane dotyczą?
• Jak diagnozować zakres danych osobowych, przetwarzanych w ramach planowanych operacji przetwarzania?
• Ocena zdulności do realizacji uprawnień osób, których dotyczą dane przetwarzane w ramach planowanych operacji przetwarzania.
• Jak wybrać i opisać środki bezpieczeństwa, wdrażane w celu ograniczenia ryzyka naruszenia praw i wolności osób, których dane dotyczą?
• Jaka zależność zachodzi pomiędzy przeprowadzeniem DPIA a analizą ryzyka?
• Przygotowywanie DPIA – warsztat. Formuła case studies na wzorcu DPIA.
• Rola Inspektora Ochrony Danych w DPIA.
• Uprzednie konsultacje z organem nadzorczym.

Dzień drugi

I. Zasada ograniczonego przechowywania i retencja danych.

• Minimalizacja czasu przechowywania i zakresu danych osobowych jako podstawa RODO.
• Po jakim czasie należy usuwać dane osobowe?
• Terminy przetwarzania danych osobowych, wynikające z obowiązujących przepisów prawa. Case study – tworzymy wykaz okresów retencji danych.
• W jaki sposób należy określać terminy przetwarzania danych osobowych w przypadku, gdy wprost nie określają tego przepisy prawa? Case study – tworzymy wykaz okresów retencji danych.
• Instrukcja kancelaryjna i jednulity rzeczowy wykaz akt.
• Relacja pomiędzy zasadą retencji a obowiązkiem informacyjnym RODO.
• Zasada retencji a wykonywanie kopii bezpieczeństwa przetwarzanych danych osobowych – uwagi praktyczne.
• Jak i gdzie należy zamieścić informacje o planowanych terminach usunięcia danych osobowych?
• Praktyczne rozwiązania związane z wdrażaniem zasady ograniczonego przechowywania

II. Rejestr czynności przetwarzania (rejestr administratora) i kategorii czynności przetwarzania (rejestr podmiotu przetwarzającego).

• Cele i praktyczne znaczenie rejestrów.
• Obowiązkowe i fakultatywne elementy rejestrów.
• Jakie dodatkowe elementy rejestru czynności warto stosować, w celu ułatwienia zarządzania systemem przetwarzania danych osobowych?
• Jak ocenić, czy sporządzenie rejestru czynności i rejestru kategorii przetwarzań jest wymagane? Wyłączenia wskazane w RODO.
• Jak wyróżniać i identyfikować „czynności” i „kategorie czynności” przetwarzania, podlegające uwzględnieniu w rejestrach.
• Jak formułować cele przetwarzania danych i jaka jest ich relacja względem zdefiniowanych czynności?
• Opis kategorii danych osobowych oraz kategorii osób, których dotyczą przetwarzane dane.
• Jak uwzględniać odbiorców danych oraz diagnozować, czy dane osobowe są przekazywane poza EOG?
• Jak oceniać zasadność stosowania dodatkowych zabezpieczeń, w przypadku przekazywania danych osobowych do krajów spoza EOG.
• Formułowanie opisu technicznych i organizacyjnych środków bezpieczeństwa, stosowanych przy przetwarzaniu danych osobowych.
• Monitorowanie aktualności rejestru czynności na danych – jak praktycznie sobie z tym poradzić?

III. Warsztat.

• Konstruowanie rejestrów na podstawie konkretnego stanu faktycznego, przy wykorzystaniu autorskich wzorów: rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzanie.

IV. Problematyka transferu danych do państw trzecich.

• Czy rzeczywiście nie przekazujemy danych do państw trzecich? Oprogramowanie, narzędzia, usługi, na które musimy w szczególności zwrócić uwagę.
• Kiedy legalnie można przekazywać dane do państwa trzeciego?
• Jak sprawdzić, czy państwo do którego organizacja transferuje dane osobowe znajduje się na liście “krajów bezpiecznych”.
• Transfer danych do Stanów Zjednoczonych – analiza problematyki oraz omówienie jak krok po kroku sprawdzić czy podmiot do którego transferujemy dane osobowe jest “bezpieczny”.
• Dodatkowe środki zabezpieczeń, stosowane w przypadku przekazywania danych osobowych do krajów spoza listy “krajów bezpiecznych”.
• Konsekwencje transferu danych poza EOG w zakresie dokumentacji i obowiązku informacyjnego.

V. Urząd Ochrony Danych Osobowych (UODO).

• Status Prezesa Urzędu Ochrony Danych Osobowych.
• Zadania i kompetencje organu nadzorczego.
• Postępowanie kontrulne i procedury z nim związane.
• Jak wyglądają kontrole w praktyce?
• Jak przygotować się na kontrolę?
• Zakres odpowiedzialności i administracyjne kary pieniężne.