Strona główna › Ochrona danych

Ochrona danych osobowych

Inspektor Ochrony Danych i wdrożenie RODO

Dokumentacja, która odpowiada temu, co organizacja naprawdę robi z danymi — a nie temu, co robiła trzy lata temu. Przy każdym zaleceniu wskazuję konkretną podstawę prawną i oddzielam wymóg od dobrej praktyki.

Umów bezpłatny przegląd Wolisz zadzwonić?605 218 041
Kiedy to staje się pilne

Zwykle nie wtedy, kiedy jest spokój.

Popyt na zgodność tworzą konkretne zdarzenia. Jeśli któreś z nich właśnie nastąpiło, liczy się to, co jest przygotowane wcześniej — nie to, co da się napisać w dwa dni.

Naruszenie

Incydent i termin 72 godzin

Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia — chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO). To nie jest moment na ustalanie, kto za co odpowiada i gdzie są dane.

Kontrola i skargi

Trzeba wykazać zgodność, nie zadeklarować

Zasada rozliczalności (art. 5 ust. 2 RODO) wymaga, żeby zgodność dało się wykazać dokumentami. Bez rejestru czynności przetwarzania i spójnych procedur nie ma czym — dobra wola nie jest dowodem.

Kontrahent

Ankieta bezpieczeństwa od klienta

Większy kontrahent przenosi swoje wymagania na dostawców — umową i kwestionariuszem. Do tego dochodzi obowiązek weryfikacji podmiotu przetwarzającego przed powierzeniem danych (art. 28 ust. 1 RODO). Odpowiedzi trzeba udzielić zgodnie ze stanem faktycznym.

Zmiana

Nowe systemy, nowe dane, nowi ludzie

Wdrożenie sprzed lat opisuje organizację, której już nie ma. Nowy system kadrowy, monitoring, rekrutacja online czy praca zdalna zmieniają zakres przetwarzania — a dokumentacja zwykle o tym nie wie.

Zakres

Co robię w obszarze ochrony danych.

Zakres ustalamy po przeglądzie. Dwie ostatnie pozycje to odrębne ustawy, nie RODO — prowadzę je, bo opierają się na tych samych kompetencjach i na przetwarzaniu danych osobowych.

Pełnienie funkcji Inspektora Ochrony Danych

Stały nadzór, punkt kontaktowy dla organu nadzorczego i osób, których dane dotyczą, zgłoszenie wyznaczenia.

Audyt zgodności

Przegląd stanu faktycznego i dokumentacji. Lista rozbieżności z priorytetami i podstawą prawną.

Rejestr czynności przetwarzania

Opracowanie i utrzymanie RCPD oraz rejestru kategorii czynności (art. 30 RODO).

Polityki i procedury

Dokumentacja dopasowana do procesów: obowiązki informacyjne, obsługa żądań, retencja, upoważnienia.

Umowy powierzenia i weryfikacja procesorów

Treść umowy zgodna z art. 28 RODO i sprawdzenie dostawców przed powierzeniem danych.

Procedura naruszeń i rejestr

Ścieżka postępowania na 72 godziny, ocena ryzyka naruszenia, wzory zgłoszeń i zawiadomień.

Zgodność monitoringu wizyjnego

Cel i zakres w aktach wewnętrznych, retencja nagrań, informacja dla pracowników, oznaczenie terenu.

Ankiety bezpieczeństwa od kontrahentów

Przygotowanie odpowiedzi zgodnych ze stanem faktycznym i uporządkowanie tego, o co pytają.

Szkolenia dla zespołu

Praktyczne szkolenie z obowiązków i typowych błędów — dopasowane do stanowisk.

Ocena skutków (DPIA) po teście progowym

Najpierw sprawdzamy, czy ocena jest w ogóle wymagana (art. 35 RODO). Jeśli nie — nie robimy jej na wszelki wypadek.

Jak pracuję

Od przeglądu do utrzymania.

Krok 01

Bezpłatny przegląd wstępny

Rozmowa i przegląd na miejscu: jakie dane, w jakich systemach, kto ma dostęp, co już jest opisane. Bez zobowiązań.

Krok 02

Lista rozbieżności i wycena

Dostajesz zestawienie: co jest wymogiem prawnym, co dobrą praktyką, co pilne. Wycena powstaje dopiero tutaj.

Krok 03

Wdrożenie

Rejestry, polityki, procedury i umowy budowane od podstaw pod tę organizację — nie przez podmianę nazwy w szablonie.

Krok 04

Utrzymanie

Funkcja inspektora, przeglądy okresowe, aktualizacje po zmianach i obsługa zgłoszeń oraz żądań.

Podział ról

Kto za co odpowiada.

Za zgodność odpowiada administrator

Obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych oraz wykazania zgodności przetwarzania z RODO spoczywa na administratorze danych (art. 24 RODO). Powołanie inspektora tej odpowiedzialności nie przenosi.

Inspektor Ochrony Danych informuje i doradza, monitoruje przestrzeganie przepisów i polityk, szkoli, współpracuje z organem nadzorczym i pełni funkcję punktu kontaktowego (art. 39 RODO). Inspektora obowiązuje tajemnica lub poufność co do wykonywania zadań (art. 38 ust. 5 RODO).

Mówię o tym wprost przed rozpoczęciem współpracy i zapisuję w umowie, bo od tego zależy, czego można ode mnie oczekiwać — i za co nadal odpowiada organizacja.

Pytania

Zanim zadzwonisz

Czy moja organizacja musi wyznaczyć Inspektora Ochrony Danych?
Obowiązek wynika z art. 37 RODO i dotyczy m.in. organów i podmiotów publicznych oraz administratorów, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych albo na regularnym i systematycznym monitorowaniu osób na dużą skalę. Wiele podmiotów nie ma takiego obowiązku, ale może wyznaczyć inspektora dobrowolnie. Co dotyczy Twojej organizacji — ustalamy na przeglądzie.
Czy inspektor przejmuje odpowiedzialność za zgodność?
Nie. Odpowiada administrator danych (art. 24 RODO). Inspektor doradza, monitoruje przestrzeganie przepisów i jest punktem kontaktowym dla organu nadzorczego oraz osób, których dane dotyczą.
Czy inspektor z zewnątrz jest zgodny z przepisami?
Tak. RODO dopuszcza wykonywanie zadań inspektora na podstawie umowy o świadczenie usług. Wyznaczenie zgłasza się organowi nadzorczemu, a dane kontaktowe inspektora publikuje się zgodnie z art. 37 ust. 7 RODO.
Mam monitoring. Czy potrzebuję oceny skutków (DPIA)?
Nie w każdym przypadku — i nie proponuję jej „na wszelki wypadek”. Zaczynamy od testu progowego, który rozstrzyga, czy ocena jest wymagana (art. 35 RODO). Niezależnie od tego obowiązki dotyczące samego monitoringu ma każdy pracodawca, który go stosuje: cel i zakres w aktach wewnętrznych, ograniczona retencja nagrań, informacja dla pracowników przed uruchomieniem i oznaczenie terenu.
Czy musimy mieć procedurę zgłoszeń wewnętrznych dla sygnalistów?
Obowiązek dotyczy podmiotów, na rzecz których pracę zarobkową wykonuje co najmniej 50 osób — stan ustala się na 1 stycznia albo 1 lipca. Do progu wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby świadczące pracę na innej podstawie, na przykład na zleceniu lub B2B. Dla części branż, m.in. sektora finansowego i obszaru przeciwdziałania praniu pieniędzy, próg w ogóle nie ma zastosowania. Podmioty poniżej progu mogą wdrożyć procedurę dobrowolnie.
Czy standardy ochrony małoletnich dotyczą także firm, nie tylko szkół?
Tak. Obowiązek obejmuje m.in. organy zarządzające placówkami oświatowymi, opiekuńczymi, medycznymi, sportowymi czy rekreacyjnymi oraz organizatorów takiej działalności, a także podmioty świadczące usługi hotelarskie i turystyczne oraz prowadzące inne miejsca zakwaterowania zbiorowego. Standardy podlegają okresowej ocenie — nie rzadziej niż raz na dwa lata.
Czy sygnaliści i ochrona małoletnich to część RODO?
Nie. To odrębne ustawy. Prowadzę je, ponieważ w praktyce sprowadzają się do przetwarzania danych osobowych: kanał zgłoszeń wymaga zachowania poufności tożsamości, ustalenia podstawy prawnej i okresu przechowywania, a standardy ochrony małoletnich — procedur weryfikacji i reagowania. To te same kompetencje, ale inna podstawa prawna i tak to nazywam.
Ile to kosztuje?
Zakres zależy od wielkości organizacji, liczby procesów i stanu dokumentacji, więc wycenę przedstawiam po bezpłatnym przeglądzie wstępnym — dopiero wtedy wiadomo, co realnie trzeba zrobić.
Bezpłatny przegląd wstępny

Sprawdźmy, gdzie naprawdę jesteś.

Przegląd na miejscu, bez zobowiązań. Jeśli dokumentacja odpowiada rzeczywistości — powiem to wprost.

  • Co realnie przetwarzasz i w jakich systemach
  • Czego brakuje w dokumentacji i co jest wymogiem, a co dobrą praktyką
  • Czy wyznaczenie inspektora jest w Twoim przypadku obowiązkiem
  • Wycena dopiero wtedy, gdy wiadomo, co trzeba zrobić
Zadzwoń — odbieram osobiście, pn–pt 8:00–18:00 605 218 041 kontakt@protectcore.pl
Dziękuję. Wiadomość dotarła — odezwę się w ciągu jednego dnia roboczego.

Administratorem danych jest MK INVEST Michał Kaczmarek (ProtectCore Solutions), Fiołkowa 11a, 52-200 Wysoka. Dane przetwarzane wyłącznie w celu obsługi zapytania (art. 6 ust. 1 lit. a i f RODO), przechowywane do czasu zakończenia korespondencji. Masz prawo dostępu, sprostowania, usunięcia i ograniczenia przetwarzania, wniesienia sprzeciwu oraz skargi do Prezesa UODO. Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi. Polityka prywatności.

Umów przegląd Zadzwoń