Ochrona danych osobowych i bezpieczeństwo informacji to dwie strony tej samej monety. Jak podkreśla Najwyższa Izba Kontroli, nie da się zapewnić wysokiego poziomu ochrony danych osobowych bez właściwego bezpieczeństwa systemów informatycznych.

Podstawa prawna

  • art. 24 RODO – administrator, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko, wdraża odpowiednie środki techniczne i organizacyjne i musi być w stanie to wykazać. Środki te podlegają przeglądom i aktualizacji.
  • art. 32 RODO – przy ocenie, czy poziom bezpieczeństwa jest odpowiedni, uwzględnia się ryzyko przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub dostępu do danych. Art. 32 ust. 1 lit. d wskazuje wprost na regularne testowanie i ocenianie skuteczności zabezpieczeń.

Co obejmuje audyt?

  • weryfikację dokumentacji (polityka ochrony danych, rejestr czynności przetwarzania, umowy powierzenia, upoważnienia, klauzule),
  • ocenę zabezpieczeń technicznych i organizacyjnych,
  • analizę ryzyka dla przetwarzanych danych,
  • wnioski i zalecenia – lista działań korygujących.

Dlaczego razem z audytem KRI?

Audyt KRI i audyt RODO w dużej części dotyczą tych samych procesów i systemów. Przeprowadzone razem dają pełny obraz bezpieczeństwa danych, a koszt jest niższy niż przy dwóch osobnych zleceniach. Zobacz: Audyt KRI – kogo dotyczy i co obejmuje.

Czego dotyczą najczęstsze nieprawidłowości?

Kontrole NIK w jednostkach samorządowych wykazały m.in. powszechne używanie prywatnych, komercyjnych skrzynek e-mail do celów służbowych. Więcej: Kontrole NIK w zakresie ochrony danych w JST.

Jak często?

Ochrona danych powinna podlegać przeglądom i okresowej analizie ryzyka. Rutyna pracowników i brak korekty praktyk to najczęstsze przyczyny naruszeń – dlatego audyt warto powtarzać regularnie, a zalecenia wdrażać między kolejnymi audytami.

Co oferujemy

  • audyt bezpieczeństwa danych osobowych (art. 24 i 32 RODO) – samodzielnie lub łącznie z audytem KRI,
  • wdrożenie lub aktualizację dokumentacji RODO w trzech obszarach: organizacyjnym (rejestr czynności, umowy powierzenia), prawnym (klauzule informacyjne, zgody, upoważnienia) i technicznym (zabezpieczenia sieci i systemów),
  • indywidualną politykę bezpieczeństwa z załącznikami, procedury, wytyczne i zalecenia,
  • pełnienie funkcji Inspektora Ochrony Danych,
  • szkolenia dla pracowników,
  • dostosowanie strony internetowej do wymogów,
  • bieżące doradztwo po audycie.

Dokumentację możemy przygotować zdalnie. Zapraszamy do kontaktu.