RODO w firmie: minimalny zestaw dokumentów i wdrożenie

Szybka odpowiedź: RODO w firmie nie oznacza jednego pakietu obowiązkowych wzorów. Zacznij od mapy procesów i danych, potem przygotuj adekwatny rejestr, informacje dla osób, umowy z procesorami oraz zapis środków i retencji. Oceń osobno potrzebę oceny skutków i IOD, a po zmianie procesu lub ryzyka przejrzyj dokumenty ^1,2,3.

Podsumowanie w mapie myśli

RODO w firmie: minimalny zestaw dokumentów i wdrożenie
│
├─ Mapa jako początek
│   ├─ Cele, dane, systemy i odbiorcy
│   └─ Rzeczywiste czynności przed wzorami
│
├─ Dokumenty procesu
│   ├─ Rejestr w formie pisemnej lub cyfrowej
│   ├─ Informacje dla odpowiednich osób
│   └─ Umowy dla właściwych procesorów
│
├─ Ryzyko i środki
│   ├─ Bezpieczeństwo dobrane do ryzyka
│   ├─ Retencja według czynności
│   └─ Osobne decyzje o ocenie skutków i IOD
│
└─ Utrzymanie porządku
    ├─ Zmiana procesu uruchamia przegląd
    └─ Wynik kontroli zapisany z uzasadnieniem

Najpierw mapa danych

Minimalny zestaw dokumentów nie jest gotową teczką, lecz wynikiem ustalenia, jak firma faktycznie przetwarza dane. Średnia firma transportowa może obsługiwać klientów, kierowców, kandydatów do pracy i dostawców w różnych systemach. Ten sam adres e-mail ma inne znaczenie w obsłudze zleceń niż w rekrutacji. Jeżeli zacznie się od kopiowania wzorów, część czynności zniknie z pola widzenia, a inne zostaną opisane zbyt ogólnie. Artykuł 24 ustęp 1 wymaga odpowiednich środków technicznych i organizacyjnych oraz ich przeglądu i aktualizacji tam, gdzie to potrzebne ¹.

Mapa powinna wiązać każdą czynność z celem, kategoriami danych, systemem, odbiorcami i osobą odpowiedzialną za proces. Nie chodzi o tworzenie kolejnego dokumentu dla samej liczby dokumentów. Mapa pomaga zdecydować, jakie informacje dla osób są potrzebne, co ma znaleźć się w rejestrze i z którymi dostawcami należy wyjaśnić role. EROD wskazuje, że rejestr opisuje m.in. cele, kategorie danych i odbiorców; tych pól nie da się rzetelnie wypełnić bez wiedzy o praktyce firmy ².

Zapisz również czynności, których jeszcze nie potrafisz sklasyfikować. Pusta rubryka z właścicielem do wyjaśnienia jest uczciwsza niż wymyślona odpowiedź. Następny krok to rozmowa z osobą, która rzeczywiście prowadzi proces. W firmie z wieloma oddziałami nie zakładaj, że wszędzie istnieje ten sam przepływ danych; sprawdź różnice, zanim złączysz je w jeden wpis. Taka praca na początku ogranicza późniejsze poprawki w całym zestawie dokumentów ^1,2.

Gdy usługa obejmuje klientów spoza jednego państwa, mapa powinna wskazać miejsca, w których powstają dane i gdzie są wykorzystywane, ponieważ dopiero wtedy można sensownie rozważyć zastosowanie RODO poza UE, odbiorców poza EOG i opis odpowiedniego przekazania w rejestrze; samo zagraniczne brzmienie nazwy dostawcy nie odpowiada na te pytania ^1,2.

Rejestr opisuje procesy

Artykuł 30 ustęp 3 dopuszcza rejestr czynności w postaci elektronicznej; wymaga formy pisemnej, nie papierowego segregatora. EROD wskazuje, że dokument opisuje cele, kategorie osób i danych, odbiorców, odpowiednie przekazania poza EOG, możliwe okresy przechowywania i ogólny opis środków bezpieczeństwa. To podstawa do rozmowy o zgodności, lecz sam rejestr nie wykonuje środków ani nie zastępuje informacji dla osób ^1,2.

Tworząc wpis, zacznij od pojedynczej czynności z mapy. Jeżeli zespół obsługi przyjmuje zgłoszenia przez formularz, opisz ten proces, a następnie porównaj go z konfiguracją formularza, systemem i dostawcą. W ten sposób wykryjesz nieaktualne kategorie danych, dodatkowego odbiorcę albo okres przechowywania, którego nikt nie potrafi wyjaśnić. Wpis ma nadążać za rzeczywistym działaniem; elegancki arkusz z nieaktualną treścią nie pomaga administratorowi wykazać, co dzieje się z danymi ^1,2.

Szczegółowy sposób prowadzenia wpisów opisuje poradnik o rejestrze czynności przetwarzania. Tutaj rejestr jest jednym z elementów wdrożenia, obok komunikacji z osobami, umów i bezpieczeństwa. Dzięki temu można zobaczyć zależności: zmiana odbiorcy w procesie może wymagać przeglądu rejestru, dokumentu dla osoby oraz relacji z dostawcą, ale nie musi oznaczać napisania wszystkiego od początku ^1,2.

Informacje dla osób

Klauzula informacyjna powinna odpowiadać temu, skąd pochodzą dane i jaki proces firma prowadzi. Artykuły 13 i 14 RODO rozróżniają informacje podawane przy pozyskaniu danych od osoby oraz wtedy, gdy dane nie pochodzą od niej. Dlatego jeden ogólny tekst dla klientów, pracowników i kandydatów może zasłaniać istotne różnice. Porównaj treść informacji z mapą: cele, odbiorcy i okresy powinny odpowiadać temu, co firma naprawdę robi ¹.

Przygotuj wykaz sytuacji, w których osoba otrzymuje informację. Formularz na stronie, rozmowa handlowa i zatrudnienie nie mają identycznego momentu ani kanału kontaktu. Następnie połącz każdą sytuację z właściwym tekstem oraz sposobem jego udostępnienia. Audyt wewnętrzny może sprawdzić konkretną ścieżkę osoby: czy tekst był dostępny tam, gdzie zbierano dane, i czy obecnie zgadza się z działaniem systemu. Dokument nie staje się skuteczny tylko dlatego, że leży w folderze prawnym ¹.

Jeśli firma zmieniła cel lub dostawcę, przejrzyj informację dla osób razem z rejestrem. Nie przepisuj jednak automatycznie całego tekstu. Najpierw ustal, które elementy opisu faktycznie się zmieniły, a które pozostały aktualne. Ta kontrola pozwala zachować spójność różnych dokumentów bez mnożenia wersji, których później nikt nie potrafi przypisać do konkretnego procesu ^1,2.

Umowy dla procesorów

Artykuł 28 ustęp 1 wymaga, aby administrator korzystał jedynie z podmiotów przetwarzających dających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych oraz ochrony praw osób. Zanim sięgniesz po wzór umowy powierzenia, ustal rolę dostawcy w danej czynności. Ten sam przedsiębiorca może świadczyć kilka usług, a fakt wystawienia faktury nie przesądza, czy działa jako procesor w każdej z nich ¹.

Sporządź listę dostawców przy procesach, nie tylko przy fakturach. Dla każdego zapisz usługę, dane, do których ma dostęp, oraz decyzje, które podejmuje samodzielnie. Następnie porównaj te fakty z istniejącym kontraktem i gwarancjami. Jeżeli rola jest niejasna, wyjaśnij ją przed podpisaniem dokumentu nazwanego „umową powierzenia”. Poradnik o umowie z podmiotem przetwarzającym rozwija właśnie ten etap ¹.

Wątpliwość co do roli można rozłożyć na konkretne decyzje: kto wyznaczył cel, kto określa istotne sposoby działania i czy dostawca korzysta z danych dla własnych celów; dopiero po zebraniu tych faktów warto zastosować rozróżnienie opisane w artykule administrator czy podmiot przetwarzający, zamiast wybierać typ umowy na podstawie nazwy usługi ¹.

Umowa nie jest zamiennikiem oceny rzeczywistej usługi. Jeśli dostawca dostał dostęp do nowych danych, stara treść może nie odpowiadać aktualnej współpracy. Administrator powinien wiedzieć, jakie gwarancje mają znaczenie dla danej czynności i jak się je weryfikuje. To osobne zadanie od zapisania samej nazwy dostawcy w rejestrze, chociaż oba dokumenty muszą przedstawiać zgodny obraz procesu ^1,2.

Bezpieczeństwo i retencja

Artykuł 32 ustęp 1 wymaga od administratorów i podmiotów przetwarzających środków zapewniających poziom bezpieczeństwa odpowiedni do ryzyka. EROD zaleca ocenę ryzyka dla poufności, integralności i dostępności, wdrażanie oraz sprawdzanie kontroli, a także okresowe audyty bezpieczeństwa z planem działań nadzorowanym na najwyższym szczeblu. W zestawie dokumentów potrzebny jest więc zapis wybranych środków i sposobu potwierdzania, że działają, a nie wyłącznie zdanie o „stosowaniu zabezpieczeń” ^1,3.

Wybierz proces z mapy i opisz konkretny dostęp. Kto może otworzyć dane? Kto odbiera uprawnienie po zmianie stanowiska? Jak firma sprawdza, czy zaplanowany środek działa? Odpowiedzi można powiązać z procedurą oraz wynikiem testu. Jeżeli wyniku nie ma, rozróżnij brak dokumentacji od wykazanej nieskuteczności kontroli. Pierwszy problem może wymagać sprawdzenia i zapisu, drugi również naprawy samego środka ^1,3.

Retencję ustala się dla czynności i kategorii danych, a nie dla całej firmy jednym hasłem. EROD wskazuje możliwe okresy przechowywania jako element rejestru. Zapisz więc, kiedy i dlaczego dany okres się kończy oraz który system ma wykonać dalsze działanie. Samo słowo „bezterminowo” nie wyjaśnia powodu przechowywania. Gdy proces się zmienia, porównaj nową praktykę z okresami zapisanymi w rejestrze i z informacją dla osób ².

Ocena skutków i IOD

IOD trzeba wyznaczyć w trzech przypadkach z artykułu 37 ustęp 1: gdy przetwarzanie prowadzi organ lub podmiot publiczny, z wyjątkiem sądów sprawujących wymiar sprawiedliwości; gdy główna działalność administratora lub procesora wymaga regularnego i systematycznego monitorowania osób na dużą skalę; albo gdy główna działalność obejmuje przetwarzanie na dużą skalę szczególnych kategorii danych bądź danych dotyczących wyroków i czynów zabronionych. Sama liczba pracowników nie zastępuje żadnego z tych testów ¹.

Ocena skutków oraz wyznaczenie inspektora ochrony danych są odrębnymi decyzjami, których nie da się rozstrzygnąć samą liczbą zatrudnionych. Artykuł 35 dotyczy oceny skutków planowanych operacji, gdy rodzaj przetwarzania może powodować wysokie ryzyko dla praw i wolności osób; artykuł 37 określa sytuacje wymagające IOD. Zapisz przesłanki i wynik każdej oceny osobno. Jeżeli brakuje informacji o operacji, wróć do mapy procesu zamiast automatycznie wpisywać „nie dotyczy” ¹.

Dokumentacja wdrożenia może zawierać krótką decyzję o potrzebie pogłębionej analizy. Taka notatka powinna wskazywać rozpatrywany proces, znane ryzyko, osobę podejmującą decyzję i kwestie otwarte. Nie zastępuje samej oceny skutków, jeśli jest ona wymagana, lecz pozwala odróżnić świadomą decyzję od przeoczenia. Jeżeli ocena już istnieje, sprawdź jej aktualność po zmianie ryzyka; artykuł 35 ustęp 11 nakazuje wtedy ponowny przegląd zgodności operacji z oceną ¹.

Decyzja o IOD również nie wynika z zakupu dokumentów lub z samego faktu prowadzenia firmy. Potrzebne są fakty o działalności i właściwych przesłankach prawnych. Nie przedstawiaj więc listy dokumentów jako sposobu na uniknięcie tej oceny. Jeśli wynik nie jest jeszcze ustalony, zapisz odpowiedzialnego za analizę i termin podjęcia decyzji; jest to uczciwsze niż puste pole w planie wdrożenia ¹.

Naruszenia danych

Dla naruszenia ochrony danych prowadź zapis faktów, skutków i działań zaradczych; artykuł 33 ustęp 5 wymaga dokumentowania każdego naruszenia. Następnie odrębnie zdecyduj o zgłoszeniu organowi: jest wymagane, chyba że naruszenie prawdopodobnie nie spowoduje ryzyka dla praw i wolności osób, a termin to bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia. Gdy prawdopodobne jest wysokie ryzyko, artykuł 34 wymaga zawiadomienia osób bez zbędnej zwłoki, z uwzględnieniem przewidzianych tam wyjątków. W wykazie odnotuj ocenę ryzyka, decyzję, czas i podstawę każdej czynności ¹.

Zmiany i przegląd

Artykuł 24 ustęp 1 wymaga przeglądu i aktualizacji środków tam, gdzie jest to potrzebne. Dlatego dokumentacja RODO nie kończy się w dniu podpisania polityki. Gdy firma zmienia dostawcę, formularz, kategorię danych lub system, trzeba sprawdzić skutki dla mapy procesu, rejestru, informacji dla osób, umów i zabezpieczeń. Nie każda zmiana dotknie każdego dokumentu, ale decyzja powinna wynikać z porównania starego oraz nowego stanu ¹.

Ustal prosty punkt zgłoszenia zmiany. Właściciel procesu opisuje, co się zmieniło; osoba odpowiedzialna za dokumentację ocenia, które zapisy wymagają poprawy; właściciel środka potwierdza jego działanie. To praktyczny sposób wdrożenia obowiązku przeglądu, nie narzucony formularz. Zapisz wynik również wtedy, gdy po sprawdzeniu niczego nie zmieniasz. W przyszłości będzie wiadomo, że brak nowej wersji wynika z oceny, a nie z przeoczenia ^1,3.

Jeśli do procesu wchodzi narzędzie AI, zgłoszenie zmiany powinno wskazać konkretną funkcję, dane wejściowe i osobę podejmującą decyzję o użyciu wyniku, aby przegląd dokumentów RODO dotyczył faktycznego przepływu danych; szerszy porządek ról opisuje poradnik o zarządzaniu AI i ochroną danych, ale ten poradnik nie zastępuje sprawdzenia własnego procesu ^1,3.

Przykład ilustrujący zmianę: firma transportowa przenosi zgłoszenia kierowców do nowego systemu dostawcy. Właściciel procesu opisuje nowy przepływ, a osoba odpowiedzialna za dokumentację sprawdza wpis w rejestrze, informację dla kierowców, rolę dostawcy i umowę oraz opis dostępu. Zapisuje, które dokumenty poprawiono, które pozostały aktualne i dlaczego; właściciel zabezpieczenia potwierdza wynik testu dostępu. To wynik konkretnego przeglądu, nie ogólna deklaracja, że dokumentacja jest aktualna ^1,2,3.

Słownie drzewo działa tak: najpierw mapuje się proces i dane. Jeśli występuje dostawca przetwarzający w imieniu firmy, ocenia się jego gwarancje i umowę. Następnie przygotowuje się rejestr, informację dla osób i opis środków, a osobno rozstrzyga potrzebę oceny skutków oraz IOD. Po zmianie procesu wraca się do dokumentów, które opisują zmieniony element ^1,2,3.

Czego zestaw nie rozstrzyga

Liczba dokumentów nie jest miarą zgodności. Jeden dobrze opisany proces może wymagać kilku różnych informacji dla osób, a obszerny zestaw wzorów może nadal pomijać nowy system. Sam dokument nie oceni też, czy konkretny środek jest skuteczny. Do tego potrzebne są fakty o ryzyku i wyniki weryfikacji. EROD zwraca uwagę na sprawdzanie kontroli bezpieczeństwa, a artykuł 24 na przegląd odpowiedniości środków ^1,3.

Ten artykuł nie rozstrzyga roli każdego dostawcy, potrzeby każdej oceny skutków ani obowiązku wyznaczenia IOD w konkretnej firmie. Wymaga to opisu operacji i zastosowania właściwych przesłanek. Zamiast dopisywać do listy bezwarunkowy obowiązek, zapisz decyzję do podjęcia i osobę, która zgromadzi potrzebne fakty. Tak dokumentacja pozostaje wierna rzeczywistej działalności ¹.

Co zrobić dalej

Wybierz jeden proces, przejdź od mapy danych do rejestru, informacji dla osoby i relacji z dostawcą, a następnie sprawdź dobór i działanie zabezpieczeń. Zapisz decyzje dotyczące oceny skutków oraz IOD. Kiedy proces się zmieni, wróć do tych samych elementów i udokumentuj wynik przeglądu. To daje firmie użyteczny zestaw, którego treść wynika z jej własnej pracy ^1,2,3.

GDPR Accountability Documentation tworzy na podstawie odpowiedzi Twojej firmy politykę ochrony danych i informację o prywatności oraz, gdy odpowiedzi tego wymagają, rejestr czynności.