WYDANIE ONLINE
Nie wystarczy samo przeprowadzenie analizy ryzyka i DPIA – należy je także odpowiednio udokumentować.
Podejście oparte na ryzyku jest kluczowe dla każdego administratora. Tylko w ten sposób można zapewnić odpowiedni poziom bezpieczeństwa przetwarzania danych.
Tuż przed rozpoczęciem analizy ryzyka należy zwrócić uwagę na kontekst działania organizacji.
Po wykonaniu czynności przygotowawczych do analizy ryzyka czas na jej przeprowadzenie.
DPIA w 7 krokach. Sprawdź, jak zgodnie z prawem i efektywnie dokonać oceny skutków przetwarzania co do ochrony danych.
Te dwa procesy są czasami mylone. Sprawdzamy, czym różni się ogólna analiza ryzyka od DPIA.
Zarówno w toku ogólnej analizy ryzyka, jak i DPIA nietrudno o błąd, który może zniekształcić wyniki oceny.
Pytanie: Pracownik wykonywał pracę zdalną. Niestety zgubił smartfon, na którym był dostęp m.in. do służbowej poczty elektronicznej. Sprzęt został po pewnym czasie odzyskany. Czy w związku z tym konieczne jest dokonanie analizy ryzyka lub oceny skutków przetwarzania dla ochrony danych?
Pytanie: Jednostka budżetowa realizuje czynności przetwarzania w zakresie spraw kadrowo-płacowych (operacje takie jak zatrudnianie w tym w trybie naboru na stanowisko urzędnicze, prowadzenie akt osobowych i innej dokumentacji zatrudnieniowej, wprowadzanie danych do systemu kadrowo-płacowego, rozliczanie z ZUS i US, przechowywanie dokumentacji, w tym elektronicznie). Poza tym raz na pięć lat przetwarzane są dane osobowe w związku z oceną okresową pracowników na stanowiskach urzędniczych. Czy czynności te rodzą konieczność przeprowadzenia oceny skutków przetwarzania co do ochrony danych (na podstawie kryterium 1 − Ewaluacja lub ocena, w tym profilowanie i przewidywanie)? Czy też znajdzie tutaj zastosowanie wyjątek z art. 35 ust. 10 RODO.
Pytanie: Organizacja zamierza wprowadzić na stałe pracę zdalną na niektórych stanowiskach pracy. Czy w związku z taką zmianą w organizacji należy zaktualizować ogólną analizę ryzyka bądź DPIA?
Nieprzeprowadzenie analizy ryzyka może zostać uznane za naruszenie ochrony danych. Dotychczas w dwóch przypadkach takie uchybienia (choć nie tylko) doprowadziły do nałożenia na administratorów danych kar finansowych przez Prezesa UODO. Przypominamy, jakie stanowisko w kontekście analizy ryzyka przyjmował Prezes UODO w wydanych decyzjach.
Administrator musi wypracować odpowiednie dla siebie podejście do zarządzania ryzykiem w związku z przetwarzaniem danych osobowych. Podejście to musi uwzględniać środowisko, w którym działa administrator, specyfikę prowadzonej działalności oraz posiadane doświadczenie, a w szczególności charakter, zakres oraz cele i sposób przetwarzania danych osobowych. Nie obowiązuje żaden wzór arkusza zarządzania ryzykiem, co nie oznacza, że nie można skorzystać z przykładowego.
