Praktyczny kurs dla IOD. Kompleksowo przygotujemy Cię do pełnienia funkcji inspektora ochrony danych osobowych (IOD)

Efekt 1. Ocena zgodności przetwarzania danych osobowych

Efekt usługi:

Uczestnik ocenia zgodność procesu przetwarzania danych osobowych z wymaganiami RODO.

Kryteria weryfikacji:

• identyfikuje podstawę prawną przetwarzania danych w przedstawionym przypadku,
• wskazuje właściwe zasady przetwarzania danych,
• rozpoznaje obowiązki administratora, procesora lub współadministratora,
• identyfikuje niezgodności oraz obszary wymagające działań naprawczych.

Efekt 2. Planowanie i przeprowadzanie audytu zgodności

Efekt usługi:

Uczestnik przygotowuje i przeprowadza podstawowe czynności związane z audytem zgodności ochrony danych osobowych.

Kryteria weryfikacji:

• określa zakres i cel audytu na podstawie przedstawionego przypadku,
• wskazuje czynności przygotowawcze niezbędne przed rozpoczęciem audytu,
• dobiera elementy dokumentacji roboczej i kryteria oceny zgodności,
• formułuje wnioski dotyczące stwierdzonych niezgodności.

Efekt 3. Analiza ryzyka ochrony danych

Efekt usługi:

Uczestnik przeprowadza analizę ryzyka związanego z przetwarzaniem danych osobowych.

Kryteria weryfikacji:

• identyfikuje zasoby, zagrożenia i podatności,
• wskazuje istniejące zabezpieczenia,
• ocenia prawdopodobieństwo wystąpienia zagrożenia i jego następstwa,
• określa poziom ryzyka oraz próg jego akceptowalności.

Efekt 4. Ocena skutków dla ochrony danych (DPIA)

Efekt usługi:

Uczestnik określa sposób przeprowadzenia oceny skutków dla ochrony danych (DPIA) dla wskazanego procesu przetwarzania.

Kryteria weryfikacji:

• rozpoznaje sytuacje wymagające przeprowadzenia DPIA,
• identyfikuje procesy, zasoby i ryzyka wymagające uwzględnienia w DPIA,
• wskazuje podstawowe elementy oceny skutków dla ochrony danych,
• dobiera działania ograniczające zidentyfikowane ryzyko.

Efekt 5. Zarządzanie naruszeniami ochrony danych

Efekt usługi:

Uczestnik prawidłowo reaguje na naruszenie ochrony danych osobowych.

Kryteria weryfikacji:

• rozpoznaje i klasyfikuje naruszenie na podstawie przedstawionego przypadku,
• wskazuje właściwą procedurę postępowania,
• określa działania wymagane w związku z naruszeniem,
• wskazuje, kiedy i w jaki sposób należy zgłosić naruszenie organowi nadzorczemu.

Efekt 6. Ocena bezpieczeństwa technicznego danych osobowych

Efekt usługi:

Uczestnik identyfikuje podstawowe zagrożenia i podatności związane z bezpieczeństwem danych osobowych w środowisku IT oraz dobiera odpowiednie środki ochrony.

Kryteria weryfikacji:

• identyfikuje zagrożenia związane z cyberatakami i nieuprawnionym dostępem,
• rozpoznaje podatności w przedstawionym środowisku IT,
• ocenia stosowane środki kontroli dostępu, zabezpieczenia sieci, chmury i pracy zdalnej,
• dobiera adekwatne techniczne i organizacyjne środki ochrony danych.

Efekt 7. Wykorzystanie dokumentacji wspierającej realizację obowiązków IOD

Efekt usługi:

Uczestnik dobiera i wykorzystuje właściwe wzory dokumentacji RODO do realizacji zadań związanych z ochroną danych osobowych w organizacji.

Kryteria weryfikacji:

• dobiera właściwy dokument do przedstawionego procesu lub sytuacji związanej z ochroną danych osobowych,
• wskazuje cel i zastosowanie wybranego dokumentu,
• prawidłowo wykorzystuje wybrany wzór dokumentu w przedstawionym przypadku,
• wskazuje informacje wymagające uzupełnienia lub dostosowania dokumentu do specyfiki organizacji,
• rozróżnia dokumentację dotyczącą audytu, analizy ryzyka, DPIA, naruszeń, realizacji praw osób, procesorów oraz bezpieczeństwa systemów IT.

Osiągnięcie efektów usługi zostanie potwierdzone na podstawie wykonania przez uczestnika zadań praktycznych i analiz przypadków związanych z ochroną danych osobowych, zgodnie z kryteriami weryfikacji określonymi dla poszczególnych efektów usługi.

W ramach weryfikacji uczestnik wykona zadania dotyczące m.in. oceny zgodności procesu przetwarzania danych, przygotowania założeń audytu, analizy ryzyka, oceny skutków dla ochrony danych (DPIA), postępowania w przypadku naruszenia ochrony danych oraz identyfikacji zagrożeń i doboru środków ochrony w środowisku IT.

Potwierdzeniem osiągnięcia efektów będą wypełnione przez uczestnika arkusze i formularze wykorzystywane podczas ćwiczeń, w tym dokumentacja dotycząca audytu, analizy ryzyka i DPIA, oraz wyniki końcowej weryfikacji wiedzy. Ocena będzie prowadzona na podstawie poprawności wykonania zadań i zgodności zastosowanych rozwiązań z kryteriami weryfikacji.

Dzień I – RODO od podstaw

Rejestracja i rozpoczęcie usługi

• rejestracja uczestników,
• przedstawienie organizacji szkolenia,
• określenie oczekiwań uczestników oraz zagadnień wymagających szczególnego omówienia,
• test sprawdzający poziom wiedzy uczestników.

Moduł I. Zgodność z RODO i podstawowe zagadnienia ochrony danych

1. Zgodność z RODO – znaczenie i praktyczne konsekwencje dla organizacji.
2. Najważniejsze pojęcia związane z ochroną danych osobowych, w tym:
   • dane osobowe,
   • dane osobowe szczególnych kategorii,
   • przetwarzanie,
   • profilowanie,
   • pseudonimizacja,
   • administrator,
   • współadministratorzy,
   • podmiot przetwarzający,
   • odbiorca danych.
3. Wyznaczenie Inspektora Ochrony Danych:
   • kiedy wyznaczenie IOD jest obligatoryjne,
   • regularne i systematyczne monitorowanie,
   • pojęcie dużej skali,
   • konflikt interesów i zadania, których IOD nie powinien wykonywać,
   • zawiadomienie Prezesa Urzędu Ochrony Danych Osobowych.
4. Zasady przetwarzania danych osobowych:
   • zgodność z prawem i przejrzystość,
   • podstawy przetwarzania danych,
   • warunki udzielenia zgody,
   • ograniczenie celu,
   • minimalizacja danych,
   • prawidłowość,
   • ograniczenie przechowywania,
   • integralność i poufność,
   • rozliczalność.

Moduł II. Prawa osób i obowiązki administratora

1. Prawa osób, których dane dotyczą:
   • prawo do uzyskania informacji i obowiązek informacyjny,
   • prawo dostępu do danych,
   • prawo do sprostowania danych,
   • prawo do usunięcia danych,
   • prawo do ograniczenia przetwarzania,
   • prawo do przenoszenia danych,
   • prawo do sprzeciwu,
   • prawo do niepodlegania profilowaniu,
   • zasada przejrzystości.
2. Obowiązki administratora danych:
   • privacy by design i privacy by default,
   • rejestrowanie czynności przetwarzania,
   • bezpieczeństwo przetwarzania,
   • zgłaszanie naruszeń ochrony danych do PUODO,
   • zawiadamianie osób, których dane dotyczą, o naruszeniach,
   • ocena skutków dla ochrony danych (DPIA).

Moduł III. Procesorzy, transfery danych i organ nadzorczy

1. Podmiot przetwarzający:
   • obowiązki procesora,
   • elementy umowy powierzenia przetwarzania danych.
2. Przekazywanie danych do państw trzecich i organizacji międzynarodowych.
3. Prezes Urzędu Ochrony Danych Osobowych:
   • postępowania kontrolne,
   • administracyjne kary pieniężne,
   • certyfikacja i akredytacja.

Zakończenie dnia

• indywidualne konsultacje z uczestnikami.

Dzień II – IOD w praktyce

Moduł I. Organizacja systemu ochrony danych i praca IOD

1. Wybór modelu zarządzania ochroną danych osobowych:
   • warunki skutecznego systemu ochrony danych,
   • modele zarządzania ochroną danych,
   • podział ról i obowiązków w procesach ochrony danych.
2. Pozycja, praca i kwalifikacje Inspektora Ochrony Danych:
   • wiedza i umiejętności niezbędne IOD,
   • źródła wiedzy,
   • gwarancje wykonywania zadań IOD,
   • zadania IOD,
   • case study dotyczące rozpoczęcia pracy na stanowisku IOD.
3. Rozpoznawanie przepływów danych w organizacji:
   • identyfikowanie procesów i przepływów danych,
   • znaczenie przepływów danych dla realizacji zadań IOD,
   • praktyczne zastosowanie wiedzy o przepływach danych,
   • case study.

Moduł II. Audyt zgodności

1. Przygotowanie i przeprowadzenie audytu:
   • czynności przygotowawcze,
   • przygotowanie planu audytowego,
   • przydzielenie zadań zespołowi audytującemu,
   • przygotowanie dokumentów roboczych,
   • wykorzystanie arkusza audytowego i checklisty,
   • przebieg procesu audytowania.
2. Ocenianie stopnia zgodności:
   • bezpieczeństwo przetwarzania,
   • podstawy przetwarzania,
   • zasady wyrażenia zgody,
   • minimalizacja danych,
   • przejrzystość,
   • powierzenie przetwarzania,
   • międzynarodowy transfer danych osobowych.

Moduł III. Raportowanie i utrzymywanie zgodności

1. Przygotowanie raportu z audytu.
2. Budowanie świadomości pracowników w zakresie ochrony danych.
3. Polityki ochrony danych osobowych.
4. Privacy by design i privacy by default w praktyce – case study.
5. Obsługa żądań osób, których dane dotyczą.
6. Realizacja prawa dostępu – case study.
7. Weryfikacja gwarancji zapewnianych przez procesora.
8. Ocena ról podmiotów uczestniczących w przetwarzaniu, w tym współadministrowanie.
9. Utrzymywanie zgodności w bieżącej działalności organizacji.

Moduł IV. Zarządzanie naruszeniami i przygotowanie do kontroli

1. Zarządzanie naruszeniami ochrony danych osobowych:
   • procedura postępowania w przypadku stwierdzenia naruszenia,
   • ocena i klasyfikacja naruszeń – case study,
   • zgłaszanie naruszeń – case study.
2. Przygotowanie organizacji do kontroli PUODO:
   • organizacja postępowania w przypadku kontroli,
   • identyfikowanie obszarów wymagających przygotowania,
   • praktyczne zastosowanie procedur związanych z ochroną danych.

Zakończenie dnia

• indywidualne konsultacje z uczestnikami.

Dzień III – DPIA i analiza ryzyka

Moduł I. Zarządzanie ryzykiem ochrony danych osobowych

1. Wprowadzenie do zarządzania ryzykiem:
   • podstawowe pojęcia,
   • organizacja procesu szacowania ryzyka,
   • wybrane metodyki szacowania ryzyka,
   • elementy procesu DPIA.
2. Badanie kontekstu przetwarzania danych osobowych:
   • określanie kontekstu zewnętrznego,
   • określanie kontekstu wewnętrznego,
   • ćwiczenia z określania kontekstu procesu szacowania ryzyka.
3. Zabezpieczenia minimalizujące ryzyko według RODO/GDPR.

Moduł II. Ocena skutków dla ochrony danych (DPIA)

1. Czym jest DPIA i jaki jest cel jej wykonania.
2. Sytuacje, w których przeprowadzenie DPIA jest obligatoryjne.
3. Niezbędne elementy procesu DPIA.
4. Inwentaryzacja procesów przetwarzania.
5. Identyfikowanie zasobów związanych z przetwarzaniem mogącym powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
6. Wykonanie oceny skutków dla ochrony danych oraz szacowanie ryzyka dla zasobu przetwarzającego dane osobowe.

Moduł III. Praktyczna analiza ryzyka

1. Ćwiczenia z wykonania analizy ryzyka:
   • szacowanie prawdopodobieństwa wystąpienia zagrożenia,
   • identyfikacja podatności,
   • identyfikacja istniejących zabezpieczeń,
   • ocena efektywności istniejących zabezpieczeń,
   • szacowanie następstw,
   • identyfikacja ryzyka,
   • określanie poziomu ryzyka,
   • określanie progu akceptowalności ryzyka.
2. Ćwiczenia z identyfikacji zasobów i zabezpieczeń.
3. Ustalanie wartości ryzyka procesu dla zasobu.
4. Praktyczne zastosowanie metodyki szacowania ryzyka.

Moduł IV. Postępowanie z ryzykiem i współpraca z organem nadzorczym

1. Przygotowanie planu postępowania z ryzykiem:
   • obniżanie i redukcja ryzyka,
   • unikanie ryzyka,
   • transfer ryzyka.
2. Konsultacje z organem nadzorczym:
   • zakres informacji przekazywanych organowi nadzorczemu,
   • uprawnienia organu nadzorczego.

Zakończenie dnia

• indywidualne konsultacje z uczestnikami.

Dzień IV – Dostosowanie IT

Moduł I. Cyberzagrożenia i bezpieczeństwo systemów informatycznych

1. Rodzaje cyberzagrożeń:
   • metody socjotechniczne,
   • identyfikowanie zagrożeń wynikających z socjotechniki,
   • ataki spoofingowe,
   • zagrożenia wynikające z ataków DDoS.
2. Systemy informatyczne i ich funkcjonalności bezpieczeństwa:
   • identyfikacja systemów informatycznych,
   • zarządzanie dostępem użytkowników,
   • polityka haseł,
   • symulacja ataku na stronę logowania,
   • kontrola dostępu do systemów i aplikacji,
   • zarządzanie informacjami uwierzytelniającymi użytkowników,
   • privacy by design i privacy by default.

Moduł II. Bezpieczeństwo sieci, komunikacji i usług chmurowych

1. Bezpieczeństwo sieci i komunikacji:
   • bezpieczeństwo sieci LAN,
   • monitoring sieci,
   • bezpieczeństwo pracy zdalnej,
   • kryptografia.
2. Bezpieczeństwo usług chmurowych:
   • kontrola dostępu,
   • zarządzanie tożsamością użytkowników,
   • szyfrowanie danych w chmurze,
   • niezbędne elementy umowy SLA.

Moduł III. Techniczne środki ochrony danych i zarządzanie podatnościami

1. Techniczne środki ochrony danych osobowych:
   • ochrona antywirusowa,
   • kontrola dostępu fizycznego,
   • infrastruktura serwerowa,
   • zabezpieczenia przed nieuprawnionym dostępem fizycznym,
   • bezpieczeństwo urządzeń mobilnych,
   • bezpieczeństwo systemów wydruku.
2. Zarządzanie podatnościami technicznymi:
   • wykrywanie podatności,
   • zarządzanie ryzykiem,
   • reagowanie na podatności i ich eliminowanie,
   • narzędzia do wykrywania podatności.
3. Dokumentacja przetwarzania danych osobowych w kontekście bezpieczeństwa IT.

Zakończenie usługi

1. Indywidualne konsultacje.
2. Test sprawdzający poziom wiedzy uczestników.
3. Podsumowanie szkolenia.
4. Zakończenie usługi i wydanie certyfikatów.
5. Omówienie możliwości dalszego wykorzystania wiedzy, dokumentacji i narzędzi otrzymanych w ramach usługi.

Metody pracy podczas usługi

Usługa ma charakter praktyczny i łączy przekazywanie wiedzy z analizą przypadków, ćwiczeniami oraz pracą z dokumentacją wykorzystywaną w ochronie danych osobowych. W szczególności wykorzystywane są:

• analiza przypadków (case study),
• ćwiczenia z analizy ryzyka i DPIA,
• ćwiczenia dotyczące audytu zgodności,
• praca z arkuszami, formularzami i wzorami dokumentacji RODO,
• analiza sytuacji związanych z naruszeniami ochrony danych,
• ćwiczenia dotyczące bezpieczeństwa systemów IT,
• konsultacje indywidualne z uczestnikami,
• testy sprawdzające poziom wiedzy.

Program prowadzi uczestnika od podstawowych zagadnień RODO, przez praktyczne wykonywanie zadań IOD, audyt i ocenę zgodności, zarządzanie ryzykiem i DPIA, aż po zagadnienia bezpieczeństwa technicznego i współpracę obszaru ochrony danych z IT.

Uczestnik przed rozpoczęciem usługi otrzymuje prezentacje szkoleniowe oraz kompletny zestaw wzorów dokumentacji RODO, obejmujący ponad 30 dokumentów wspierających realizację zadań IOD, w tym m.in. arkusz audytowy RODO, plan i raport z audytu, arkusz DPIA, procedurę DPIA, dokumentację naruszeń, rejestry, polityki ochrony danych oraz dokumentację dotyczącą bezpieczeństwa IT. Dokumentacja obejmuje obszar formalny oraz procedury zarządzania infrastrukturą informatyczną.

Po zakończeniu usługi uczestnik otrzymuje certyfikat potwierdzający udział, dostęp do poradników i materiałów edukacyjnych oraz dostęp do dodatkowych zasobów wspierających dalsze stosowanie wiedzy w praktyce. W ramach kursu uczestnik otrzymuje również 90-dniowy dostęp do aplikacji Dr RODO oraz możliwość korzystania ze wsparcia merytorycznego po szkoleniu.

Uczestnik nie musi posiadać wcześniejszego doświadczenia zawodowego ani specjalistycznej wiedzy z zakresu ochrony danych osobowych. Usługa jest przeznaczona zarówno dla osób rozpoczynających pracę w obszarze ochrony danych osobowych, jak i dla osób posiadających doświadczenie w realizacji zadań IOD.

Uczestnik powinien posiadać podstawową umiejętność obsługi komputera oraz możliwość korzystania z materiałów szkoleniowych w formie elektronicznej. W przypadku realizacji usługi w formie zdalnej wymagany jest komputer z dostępem do Internetu, wyposażony w mikrofon i kamerę.

Przed rozpoczęciem usługi uczestnik może określić swoje oczekiwania oraz zagadnienia, które wymagają szczególnego omówienia.

Usługa jest realizowana online za pośrednictwem platformy Microsoft Teams.

Do udziału w usłudze uczestnik potrzebuje:

• komputera lub laptopa z dostępem do Internetu,
• stabilnego łącza internetowego umożliwiającego udział w transmisji audio i wideo,
• aktualnej przeglądarki internetowej lub aplikacji Microsoft Teams,
• sprawnego mikrofonu i głośników lub słuchawek,
• kamery internetowej umożliwiającej udział w zajęciach w formie wideo,
• adresu e-mail umożliwiającego otrzymanie linku do spotkania i materiałów szkoleniowych.

Materiały szkoleniowe są udostępniane uczestnikom w formie elektronicznej. Uczestnik powinien mieć możliwość otwierania i zapisywania dokumentów w formatach wykorzystywanych podczas szkolenia, w szczególności PDF i DOCX.

Przed rozpoczęciem usługi uczestnik otrzymuje informacje umożliwiające dołączenie do spotkania na platformie Microsoft Teams.