Analiza stanu ochrony danych osobowych RODO firma instytucja

ETAP I - Analiza stanu ochrony danych osobowych RODO - BAZY DANYCH OSOBOWYCH

Pierwszym krokiem jest sprawdzenie jakie dane osób fizycznych są przechowywane w naszej firmie czy instytucji. Analiza RODO dotyczy zarówno:

• danych papierowych - np.: akta pracownicze, faktury drukowane, oferty, książka podawcza, itp.
• danych elektronicznych - np.: elektroniczne listy klientów, maile, księgowość prowadzona w programie komputerowym (płace, faktury, stany magazynowe), itp.

Dobrą wiadmomością dla osób zajmujących się analizą, wdrożeniem i przygotowaniem do RODO jest zmiana, która zaszła w stosunko do prawa GIODO. Teraz baz danych administrator zgłaszać nigdzie co do zasady nie musi, gdyż sam odpowiada za zgodność przetwarzania danych osobowych z prawem RODO. Przypominam, że dane osoby fizycznej prowadzącej działalność gospodarczą także są elementem RODO, gdyż pozwalają na jednoznaczne określenie danej osoby. W tym przypadku: przedsiębiorcy.

Gdy już wiemy jakiego rodzaju dane osób fizycznych posiadamy w firmie, możemy przystąpić do podziału ich na poszczególne bazy danych. kolejnym krokiem będzie określenie jakiego rodzaju dane nasze bazy zawierają i czy zakres posiadanych danych jest niezbędny z punktu widzenia prawa oraz określonego celu przetwarzania. Ale najpierw należy się jeszcze zastanowić nad stanowiskiem ASI, czyli Administratora Systemów Informatycznych. W dużej firmie zwykle jest to jasne, gdyż wynika z wewnętrznych regulaminów, struktury przedsiębiorstwa i umów o pracę. W małej firmie pojawia się problem. Bardzo często nie ma takiej osoby, a sam właściciel lub jego pracownik dba o komputery. Stanowisko to jest o tyle ważne, że przechodząc dalej do analizy zagrożeń wynikających z systemu informatycznego i sieci internet, ważnym jest aby jedna osoba była odpowiedzialna za zarządzanie siecią komputerową czy nawet zasobami jednego komputera firmowego.

ETAP II - Analiza stanu ochrony danych osobowych RODO - STAN OBECNY

Stan obecny pokazuje nam jakiego rodzaju firmą jesteśmy, a gdy połączymy to ze zdiagnozowanymi zasobami baz danych, będziemy wiedzieli na bazie przepisów RODO, jakiego rodzaju dokumentacja do RODO jest potrzebna oraz jakie zasoby musimy przeznaczyć na dalsze działania RODO. Np. czy jest potrzebny Inspektor Ochrony Danych Osobowych czy też wystarczy jedynie Admiistrator Danych Osobowych plus ewentualnie jacyś jego pełnomocnicy.

ETAP III - Analiza stanu ochrony danych osobowych RODO - CEL PRZETWARZANIA

Gdy określimy cel przetwarzania, to będziemy wiedzieć czy posiadane dane osobowe mają właściwy zakres. Cel przetwarzania jest jedną z informacji, którą powiniśmy udostępnić osobom fizycznych, których dane posiadamy w naszej bazie. Jeżeli te osoby nie wyrażą zgody na przechowywanie i przetwarzanie swoich danych, wówczas musimy te dane usunąć. Wyjątkiem są dane, które z mocy prawa trzeba przechowywać. Np. akta personalne pracowników pracodawca musi przechowywać przez bodajże 50 lat. I nawet gdyby były pracownik zażyczył sobie usunięcia swoich danych osobowych z baz byłego pracodawcy, to jest taka czynność niemożliwa do wykonania, bo niezgodna z prawem.