Doradztwo w zakresie wprowadzenia procedury ochrony danych osobowych w przedsiębiorstwie – moduł II: opracowanie i dostosowanie dokumentacji ochrony danych osobowych do specyfiki przedsiębiorstwa.

Osiągnięcie efektów usługi zostanie potwierdzone poprzez weryfikację opracowanej dokumentacji oraz raport z realizacji doradztwa, zawierający:

1. informację o zakresie przeprowadzonych prac i wykorzystanych materiałach źródłowych;
2. zestawienie dokumentacji objętej opracowaniem lub aktualizacją;
3. opracowaną lub dostosowaną politykę ochrony danych osobowych i procedury;
4. opracowaną lub dostosowaną instrukcję zarządzania systemami informatycznymi;
5. dokumenty uzupełniające przygotowane w zakresie wynikającym z potrzeb przedsiębiorstwa;
6. zestawienie przekazanych dokumentów wraz z informacją o ich przeznaczeniu;
7. wskazanie kwestii wymagających dalszych działań wdrożeniowych lub organizacyjnych, jeżeli takie zostaną zidentyfikowane.

Weryfikacja zostanie przeprowadzona przez doradcę na podstawie następujących kryteriów:

• zgodność opracowanych dokumentów z ustalonym zakresem prac;
• dostosowanie treści dokumentacji do procesów i struktury przedsiębiorstwa;
• kompletność dokumentów w zakresie uzgodnionym z przedsiębiorstwem;
• spójność poszczególnych dokumentów i przyjętych rozwiązań;
• możliwość wykorzystania dokumentacji w dalszym etapie wdrożenia.

Rezultaty zostaną omówione z właścicielem przedsiębiorstwa lub osobą upoważnioną do uzgadniania zakresu prac. Przekazanie dokumentacji i przeprowadzenie jej omówienia zostaną potwierdzone protokołem odbioru rezultatów doradztwa.

Charakter i zakres doradztwa

Usługa obejmuje indywidualne doradztwo biznesowe polegające na opracowaniu i dostosowaniu dokumentacji ochrony danych osobowych do specyfiki konkretnego przedsiębiorstwa.

Prace prowadzone są na podstawie raportu diagnostycznego opracowanego w ramach Modułu I usługi „Doradztwo w zakresie wprowadzenia procedury ochrony danych osobowych w przedsiębiorstwie” lub równoważnej diagnozy, która pozwala określić procesy przetwarzania danych, istniejące rozwiązania organizacyjne, zidentyfikowane braki oraz potrzeby przedsiębiorstwa.

Moduł II stanowi etap opracowania dokumentacji i rozwiązań organizacyjnych. Nie obejmuje ponownego przeprowadzania pełnej diagnozy przedsiębiorstwa ani ponownego opracowywania planu działań dostosowawczych, które stanowią rezultat Modułu I.

Zakres dokumentacji jest ustalany indywidualnie, z uwzględnieniem charakteru działalności, skali i ryzyka przetwarzania danych oraz wynikających z tego obowiązków prawnych.

Etap 1. Ustalenie zakresu dokumentacji i koncepcji rozwiązań organizacyjnych – 4 godziny

1. Analiza raportu diagnostycznego z Modułu I lub równoważnego opracowania dotyczącego procesów przetwarzania danych osobowych.
2. Weryfikacja rekomendacji dotyczących opracowania, aktualizacji lub uporządkowania dokumentacji.
3. Ustalenie listy dokumentów wymagających przygotowania lub dostosowania do działalności przedsiębiorstwa.
4. Określenie powiązań pomiędzy dokumentami oraz ich odniesienia do konkretnych procesów przetwarzania danych.
5. Ustalenie zasad odpowiedzialności za realizację poszczególnych obowiązków związanych z ochroną danych osobowych.
6. Uzgodnienie struktury dokumentacji oraz sposobu jej dostosowania do organizacji przedsiębiorstwa.

Wykorzystywane narzędzia:

• raport diagnostyczny i plan działań dostosowawczych z Modułu I;
• matryca dokumentacji ochrony danych osobowych;
• zestawienie procesów przetwarzania danych;
• matryca odpowiedzialności organizacyjnej.

Rezultat etapu: ustalony zakres dokumentacji do opracowania lub aktualizacji, wraz z określeniem jej struktury, przeznaczenia i powiązania z procesami przedsiębiorstwa.

Etap 2. Opracowanie lub dostosowanie polityki ochrony danych osobowych i procedur – 5 godzin

1. Opracowanie lub aktualizacja polityki ochrony danych osobowych uwzględniającej specyfikę działalności przedsiębiorstwa.
2. Określenie zasad odpowiedzialności za przestrzeganie wymagań dotyczących ochrony danych osobowych.
3. Opracowanie zasad nadawania, zmiany i odbierania upoważnień do przetwarzania danych.
4. Przygotowanie lub aktualizacja zasad przechowywania, archiwizacji i usuwania danych osobowych.
5. Opracowanie lub dostosowanie procedury postępowania w przypadku naruszenia ochrony danych osobowych.
6. Opracowanie zasad obsługi żądań osób, których dane dotyczą, w zakresie adekwatnym do procesów przedsiębiorstwa.
7. Dostosowanie dokumentacji do sposobu współpracy z podmiotami zewnętrznymi i przyjętego podziału odpowiedzialności.

Rezultat etapu: opracowana lub zaktualizowana polityka ochrony danych osobowych oraz procedury odpowiadające procesom i strukturze organizacyjnej przedsiębiorstwa.

Etap 3. Opracowanie lub dostosowanie instrukcji zarządzania systemami informatycznymi – 4 godziny

1. Określenie zakresu instrukcji z uwzględnieniem systemów i narzędzi informatycznych wykorzystywanych w przedsiębiorstwie.
2. Opracowanie zasad zarządzania dostępem do systemów i danych osobowych.
3. Określenie zasad nadawania i odbierania uprawnień użytkowników.
4. Opracowanie zasad uwierzytelniania oraz bezpiecznego korzystania z systemów i urządzeń.
5. Określenie zasad wykonywania i przechowywania kopii zapasowych, jeżeli są stosowane w przedsiębiorstwie.
6. Opracowanie zasad postępowania z urządzeniami przenośnymi, nośnikami danych, pocztą elektroniczną i dokumentacją elektroniczną.
7. Dostosowanie instrukcji do przyjętych rozwiązań technicznych i organizacyjnych oraz zakresu odpowiedzialności pracowników.

Rezultat etapu: opracowana lub dostosowana instrukcja zarządzania systemami informatycznymi, uwzględniająca rzeczywiste środowisko pracy przedsiębiorstwa i przyjęte zasady bezpieczeństwa.

Etap 4. Opracowanie lub dostosowanie rejestrów, klauzul i dokumentów uzupełniających – 5 godzin

1. Opracowanie lub aktualizacja rejestru czynności przetwarzania, jeżeli przedsiębiorstwo jest zobowiązane do jego prowadzenia.
2. Opracowanie lub aktualizacja rejestru kategorii czynności przetwarzania, jeżeli przedsiębiorstwo występuje jako podmiot przetwarzający i zachodzą przesłanki jego prowadzenia.
3. Przygotowanie lub aktualizacja klauzul informacyjnych dla kategorii osób, których dane dotyczą, z uwzględnieniem odpowiednich procesów przetwarzania.
4. Opracowanie lub dostosowanie wzorów upoważnień do przetwarzania danych osobowych oraz dokumentów związanych z nadawaniem i odbieraniem uprawnień.
5. Weryfikacja potrzeby przygotowania lub aktualizacji dokumentów dotyczących powierzenia przetwarzania danych osobowych.
6. Opracowanie lub dostosowanie innych dokumentów uzupełniających, jeżeli wynika to z procesów i obowiązków przedsiębiorstwa.
7. Sprawdzenie spójności dokumentów uzupełniających z polityką ochrony danych osobowych i opracowanymi procedurami.

Rezultat etapu: zestaw dokumentów uzupełniających dostosowanych do procesów przetwarzania danych i obowiązków przedsiębiorstwa.

Etap 5. Weryfikacja, uporządkowanie i przekazanie dokumentacji – 2 godziny

1. Weryfikacja kompletności opracowanej dokumentacji w odniesieniu do uzgodnionego zakresu prac.
2. Sprawdzenie spójności pomiędzy polityką ochrony danych, procedurami, instrukcją i dokumentami uzupełniającymi.
3. Weryfikacja zgodności dokumentacji z wynikami diagnozy oraz ustalonymi potrzebami przedsiębiorstwa.
4. Uporządkowanie dokumentów i przygotowanie zestawu do przekazania przedsiębiorstwu.
5. Omówienie przeznaczenia dokumentów, ich wzajemnych powiązań i zasad dalszego wykorzystania.
6. Wskazanie obszarów wymagających podjęcia działań wdrożeniowych lub dalszego wsparcia, jeżeli wynika to z charakteru przedsiębiorstwa.

Rezultat etapu: zweryfikowany i przekazany przedsiębiorstwu zestaw dokumentacji ochrony danych osobowych wraz z omówieniem rezultatów i protokołem odbioru.

Dostosowanie doradztwa do specyfiki przedsiębiorstwa

Zakres i poziom szczegółowości dokumentacji będą dostosowywane do rzeczywistych procesów, skali działalności i ryzyka przetwarzania danych.

• JDG: dokumentacja uwzględnia przede wszystkim sposób obsługi klientów i kontrahentów, wykorzystywane narzędzia, pocztę elektroniczną, stronę internetową, outsourcing oraz zabezpieczenia urządzeń; w przypadku zatrudniania pracowników również procesy kadrowe.
• Mikroprzedsiębiorstwo: dokumentacja uwzględnia podział odpowiedzialności właściciela i pracowników, dostęp do danych, obsługę klientów, personelu oraz współpracę z dostawcami.
• Małe przedsiębiorstwo: dokumentacja uwzględnia współpracę pomiędzy działami, przepływ informacji, wykorzystywane systemy biznesowe, zasady uprawnień i odpowiedzialności oraz spójność procedur.
• Średnie przedsiębiorstwo: dokumentacja uwzględnia bardziej złożoną strukturę organizacyjną, liczbę procesów, lokalizacje, systemy informatyczne i relacje z podmiotami zewnętrznymi.

JDG jest formą prowadzenia działalności i może jednocześnie należeć do kategorii mikro, małych lub średnich przedsiębiorstw. Zakres obowiązków związanych z ochroną danych osobowych ustala się na podstawie rzeczywistego przetwarzania danych, a nie wyłącznie wielkości przedsiębiorstwa.

Metody i organizacja pracy

Usługa realizowana jest w formie indywidualnego doradztwa biznesowego, z wykorzystaniem analizy raportu diagnostycznego, przeglądu dokumentacji, matrycy dokumentów, pracy nad procedurami oraz wspólnego uzgadniania rozwiązań organizacyjnych.

W trakcie usługi doradca opracowuje i dostosowuje dokumenty do rzeczywistych procesów przedsiębiorstwa, konsultuje ich treść z przedstawicielami firmy oraz weryfikuje wzajemną spójność przygotowanych rozwiązań.

Łączny wymiar usługi wynosi 20 godzin zegarowych doradztwa. Jedna godzina trwa 60 minut. Spotkania odbywają się w ciągu czterech dni, po 5 godzin doradztwa dziennie.W trakcie każdego dnia realizacji usługi przewidziane są dwie przerwy po 15 minut każda. Przerwy nie są wliczane do czasu trwania usługi ani do liczby godzin doradztwa. Wszystkie czynności związane z analizą, opracowaniem, konsultowaniem i przekazaniem dokumentacji muszą mieścić się w zadeklarowanych 20 godzinach. Nie przewiduje się dodatkowych, niewykazanych w harmonogramie godzin pracy doradcy.

Usługa nie obejmuje automatycznego wdrożenia dokumentacji w przedsiębiorstwie, przeprowadzenia szkoleń pracowników ani późniejszego monitorowania stosowania procedur. Czynności te mogą stanowić przedmiot odrębnego Modułu III.

Przedsiębiorstwo otrzyma materiały w wersji elektronicznej, obejmujące dokumentację opracowaną lub dostosowaną w ramach doradztwa, w zakresie wynikającym z przeprowadzonej diagnozy i uzgodnionego zakresu prac, w szczególności:

• politykę ochrony danych osobowych;
• procedury dotyczące przetwarzania i ochrony danych osobowych;
• instrukcję zarządzania systemami informatycznymi;
• rejestr czynności przetwarzania lub rejestr kategorii czynności przetwarzania – jeżeli dotyczy;
• klauzule informacyjne;
• wzory upoważnień i dokumentów dotyczących dostępu do danych;
• dokumenty dotyczące powierzenia przetwarzania danych – jeżeli są wymagane;
• inne dokumenty uzupełniające wynikające ze specyfiki działalności przedsiębiorstwa;
• zestawienie przekazanej dokumentacji;
• raport z realizacji doradztwa i protokół przekazania rezultatów.

Dokumenty będą przygotowane indywidualnie dla przedsiębiorstwa objętego doradztwem. Nie będą stanowiły uniwersalnego zestawu wzorów przeznaczonego do wykorzystania przez inne podmioty.

Warunkiem realizacji usługi jest wcześniejsza diagnoza przedsiębiorstwa w ramach Modułu I LPNT lub przedstawienie równoważnego raportu diagnostycznego.

Przedsiębiorstwo zapewnia udział właściciela, osoby zarządzającej lub upoważnionego przedstawiciela, który może uzgadniać zakres dokumentacji i podejmować decyzje organizacyjne.

Przed rozpoczęciem doradztwa należy udostępnić, w zakresie niezbędnym do realizacji usługi: raport diagnostyczny, posiadaną dokumentację ochrony danych, informacje o strukturze organizacyjnej, wykorzystywanych systemach informatycznych oraz współpracy z podmiotami zewnętrznymi mającymi dostęp do danych.

Brak kompletnej dokumentacji nie wyklucza udziału w usłudze, jeśli przedsiębiorstwo przekaże informacje niezbędne do opracowania wymaganych dokumentów.

Przed rozpoczęciem usługi strony potwierdzają możliwość realizacji uzgodnionego zakresu w wymiarze 20 godzin. W przypadku złożonych struktur lub procesów zakres wymaga odrębnego uzgodnienia.

Usługa ma charakter indywidualnego doradztwa biznesowego. Jej rezultatem jest opracowanie lub dostosowanie dokumentacji ochrony danych osobowych do specyfiki i procesów przedsiębiorstwa, z uwzględnieniem wcześniejszej diagnozy. Zakres dokumentacji zależy od rodzaju działalności, przetwarzanych danych, struktury organizacyjnej i obowiązków prawnych. Nie wszystkie dokumenty są wymagane w każdym przedsiębiorstwie. Obowiązek prowadzenia rejestrów, wyznaczenia IOD lub przeprowadzenia oceny skutków ustala się na podstawie przesłanek ustawowych. Usługa nie obejmuje testów penetracyjnych, technicznego wdrożenia zabezpieczeń, szkoleń pracowników ani monitorowania procedur – działania te mogą być realizowane w Module III. Dokumentacja dotyczy wyłącznie przedsiębiorstwa objętego usługą. Materiały powinny być anonimizowane, jeżeli identyfikacja osób nie jest konieczna. Udział kilku przedstawicieli firmy nie zwiększa ceny usługi.