Doradztwo w zakresie wprowadzenia procedury ochrony danych osobowych w przedsiębiorstwie – moduł I: analiza modelu przedsiębiorstwa i diagnoza potrzeb w zakresie ochrony danych osobowych.

Osiągnięcie efektów zostanie potwierdzone raportem z realizacji doradztwa, zawierającym:

1. zakres diagnozy, wykorzystane źródła informacji i opis przeprowadzonych działań;
2. syntetyczny opis modelu przedsiębiorstwa i jego procesów;
3. mapę przetwarzania i przepływu danych osobowych;
4. zestawienie ustaleń, luk i obszarów wymagających dalszej weryfikacji;
5. plan działań dostosowawczych;
6. rekomendację dotyczącą dalszych etapów wsparcia.

Raport zostanie omówiony z przedstawicielem przedsiębiorstwa oraz sprawdzony pod kątem zgodności z kryteriami weryfikacji. Przekazanie rezultatów i przeprowadzenie ich omówienia zostaną udokumentowane protokołem. Raport będzie wskazywał ograniczenia diagnozy oraz zalecenia dotyczące dalszych działań przedsiębiorstwa.

Charakter i zakres doradztwa

Usługa obejmuje indywidualną diagnozę przedsiębiorstwa w zakresie organizacji przetwarzania i ochrony danych osobowych. Doradztwo prowadzone jest na podstawie informacji o rzeczywistej działalności firmy, jej dokumentacji, procesach, relacjach z partnerami oraz wykorzystywanych narzędziach techniczno-informatycznych.

Moduł I stanowi samodzielną usługę diagnostyczną, dostępną dla wszystkich zainteresowanych przedsiębiorstw z grupy docelowej. Udział w module I nie zobowiązuje do korzystania z kolejnych usług.

Moduł II, dotyczący planu wdrożenia i dokumentacji, oraz moduł III, dotyczący instruktażu stosowania procedur i monitoringu, realizowane są wyłącznie w przypadku stwierdzenia takiej potrzeby. Jeżeli wyniki diagnozy wskazują na konieczność indywidualnego dopasowania dalszego wsparcia, kolejne usługi zostaną przygotowane dla konkretnego przedsiębiorstwa, z określeniem zakresu, rezultatów, liczby godzin i harmonogramu.

Etap 1. Analiza modelu przedsiębiorstwa i jego procesów — 2 godziny

1. Przeprowadzenie wywiadu diagnostycznego z właścicielem lub przedstawicielem przedsiębiorstwa.
2. Określenie zakresu działalności, oferowanych produktów i usług, segmentów klientów oraz kanałów sprzedaży i obsługi.
3. Rozpoznanie struktury organizacyjnej, podziału odpowiedzialności i sposobu podejmowania decyzji.
4. Zidentyfikowanie procesów, w których występują dane osobowe, w szczególności związanych z obsługą klientów, współpracą z kontrahentami, personelem, rekrutacją i marketingiem.
5. Uzgodnienie granic diagnozy, dostępnych źródeł informacji oraz procesów wymagających szczególnej uwagi.

Wykorzystywane narzędzia:

• skrócona karta modelu biznesowego oparta na Business Model Canvas — do uporządkowania informacji o klientach, kanałach, partnerach, zasobach i działaniach;
• mapa procesu SIPOC — do określenia źródeł informacji, czynności wykonywanych w procesie i odbiorców jego rezultatów;
• uproszczona matryca odpowiedzialności — do przypisania procesów do osób lub ról.

Rezultatem etapu jest syntetyczny opis przedsiębiorstwa oraz wykaz procesów objętych diagnozą.

Etap 2. Inwentaryzacja przetwarzania danych i przegląd stanu zastanego — 2 godziny

1. Ustalenie kategorii osób, których dane są przetwarzane, oraz zakresu wykorzystywanych danych.
2. Rozpoznanie celów i podstaw przetwarzania oraz ocena, czy zakres pozyskiwanych danych odpowiada potrzebom danego procesu.
3. Identyfikacja danych szczególnych kategorii i danych dotyczących wyroków skazujących lub czynów zabronionych, jeżeli występują.
4. Przegląd istniejących polityk, procedur, klauzul informacyjnych, formularzy, rejestrów i zasad przechowywania danych.
5. Ocena sposobu realizowania obowiązków informacyjnych, obsługi żądań osób oraz reagowania na naruszenia.
6. Weryfikacja przesłanek prowadzenia rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzania.

Rezultatem etapu jest zestawienie procesów, danych i dokumentów oraz wstępna lista braków i kwestii wymagających wyjaśnienia.

Etap 3. Analiza przepływu danych i zaplecza techniczno-informatycznego — 2 godziny

1. Opracowanie mapy przepływu danych wewnątrz przedsiębiorstwa i pomiędzy przedsiębiorstwem a podmiotami współpracującymi.
2. Rozpoznanie ról podmiotów otrzymujących dane: odrębnych administratorów, współadministratorów i podmiotów przetwarzających.
3. Przegląd współpracy z dostawcami usług księgowych, kadrowych, informatycznych, hostingowych i chmurowych oraz innymi partnerami istotnymi dla przetwarzania danych.
4. Identyfikacja przekazywania danych poza Europejski Obszar Gospodarczy, jeżeli takie operacje występują.
5. Przegląd wykorzystywanych systemów i urządzeń oraz organizacji dostępu do danych.
6. Weryfikacja deklarowanych i dostępnych do potwierdzenia zasad uwierzytelniania, tworzenia kopii zapasowych, aktualizacji, korzystania z poczty, pracy zdalnej i urządzeń przenośnych.
7. Przegląd sposobu zabezpieczenia dokumentacji papierowej i nośników danych.

Rezultatem etapu jest mapa przepływu danych oraz zestawienie potrzeb dotyczących relacji z partnerami i zabezpieczeń organizacyjno-technicznych. Przegląd nie obejmuje testów penetracyjnych ani specjalistycznego audytu konfiguracji systemów.

Etap 4. Ocena potrzeb i opracowanie planu działań — 2 godziny

1. Uporządkowanie ustaleń diagnozy i ocena zidentyfikowanych luk.
2. Określenie obszarów wymagających opracowania, aktualizacji lub wdrożenia procedur i dokumentacji.
3. Ocena przesłanek wyznaczenia inspektora ochrony danych oraz potrzeby przeprowadzenia oceny skutków dla ochrony danych; wskazanie kwestii wymagających pogłębionej analizy.
4. Ustalenie priorytetów działań z uwzględnieniem ryzyka dla osób, charakteru działalności i możliwości organizacyjnych przedsiębiorstwa.
5. Opracowanie planu działań zawierającego odpowiedzialności, proponowane terminy i oczekiwane rezultaty.
6. Przygotowanie i omówienie raportu diagnostycznego.
7. Weryfikacja kompletności rezultatów oraz określenie zasadności realizacji modułu II lub III.

Rezultatem etapu jest raport diagnostyczny wraz z planem działań i rekomendacją dotyczącą dalszego wsparcia.

Dostosowanie diagnozy do przedsiębiorstwa

Zakres analizy jest dostosowywany do rzeczywistych procesów, skali i ryzyka przetwarzania:

• JDG: szczególna uwaga obejmuje dane klientów i kontrahentów, rozliczenia, pocztę, stronę internetową, outsourcing oraz zabezpieczenia wykorzystywanych urządzeń; przy zatrudnianiu personelu także procesy kadrowe.
• Mikroprzedsiębiorstwo: analiza uwzględnia podział odpowiedzialności właściciela i pracowników, dostęp do danych, obsługę klientów, personelu i współpracę z dostawcami.
• Małe przedsiębiorstwo: diagnoza obejmuje współpracę między działami, przepływy danych, systemy biznesowe, uprawnienia oraz spójność dokumentacji.
• Średnie przedsiębiorstwo: diagnoza uwzględnia złożoność struktury, lokalizacji, systemów i relacji z partnerami oraz potrzebę etapowego wdrażania zmian.

JDG jest formą prowadzenia działalności i może jednocześnie należeć do kategorii mikro, małych lub średnich przedsiębiorstw. Obowiązki w zakresie ochrony danych ustala się na podstawie rzeczywistego przetwarzania, a nie wyłącznie wielkości firmy.

Metody i organizacja pracy

Usługa realizowana jest poprzez wywiad diagnostyczny, analizę udostępnionej dokumentacji, mapowanie procesów i przepływów danych, pracę z listą kontrolną oraz wspólne opracowanie rekomendacji.

Łączny wymiar wynosi 8 godzin zegarowych doradztwa. Jedna godzina trwa 60 minut. Spotkania odbywają się w dwóch dniach, po 4 godziny doradztwa dziennie. W każdym dniu przewidziano przerwę od 12:00 do 12:15, niewliczaną do czasu i ceny usługi.

Wszystkie bloki obejmują pracę doradcy z przedstawicielem przedsiębiorstwa. Raport i plan działań są opracowywane oraz omawiane w ramach wskazanego czasu. Nie przewiduje się dodatkowych, niewykazanych w harmonogramie godzin pracy doradcy.

Przedsiębiorstwo otrzyma materiały w wersji elektronicznej:

• kartę diagnostyczną przedsiębiorstwa;
• syntetyczny opis modelu działalności i procesów;
• mapę przetwarzania i przepływu danych osobowych;
• zestawienie ustaleń, luk i potrzeb;
• raport diagnostyczny;
• plan działań dostosowawczych z priorytetami, odpowiedzialnościami i proponowanymi terminami.

Materiały będą odnosić się do przedsiębiorstwa objętego doradztwem.

Warunkiem realizacji usługi jest zapewnienie udziału właściciela przedsiębiorstwa lub osoby uprawnionej do uzgadniania zakresu prac oraz dostępu do informacji potrzebnych do przeprowadzenia diagnozy.

Przedsiębiorstwo przygotowuje posiadaną dokumentację ochrony danych, informacje o strukturze i procesach, wykaz wykorzystywanych systemów oraz informacje o podmiotach współpracujących. Brak dokumentacji ochrony danych nie wyklucza udziału w usłudze i stanowi element diagnozy.

Przed rozpoczęciem usługi strony potwierdzają możliwość wykonania uzgodnionego zakresu diagnozy w wymiarze 8 godzin. Przy rozbudowanej strukturze lub szczególnie złożonym przetwarzaniu zakres i czas odrębnej usługi dedykowanej ustala się przed jej publikacją.

Usługa ma charakter diagnostyczny. Jej rezultatem jest rozpoznanie stanu organizacji ochrony danych i plan dalszych działań. Opracowanie kompletnej dokumentacji wdrożeniowej oraz monitoring jej stosowania mogą stanowić przedmiot kolejnych, odrębnych usług, jeżeli wynika to z potrzeb przedsiębiorstwa.

Otwarty charakter usługi oznacza dostępność oferty dla zainteresowanych przedsiębiorstw. Diagnoza i dokumentacja wynikowa dotyczą konkretnego przedsiębiorstwa. Poufne informacje jednej firmy nie są udostępniane innym odbiorcom usługi.

Do analizy wykorzystuje się informacje i dokumenty w zakresie niezbędnym do realizacji celu. Jeżeli identyfikacja osób nie jest potrzebna, przedsiębiorstwo przekazuje próbki dokumentów po anonimizacji.

Udział kilku przedstawicieli tego samego przedsiębiorstwa służy rozpoznaniu jego procesów i nie powoduje pomnożenia ceny usługi.