Problem · RODO

Czy moja dokumentacja RODO jest kompletna?

Kompletna dokumentacja RODO to więcej niż sam rejestr czynności przetwarzania - to spójny zestaw polityk, procedur i dowodów rozliczalności.

Pełna dokumentacja obejmuje m.in. rejestr czynności przetwarzania, politykę ochrony danych i instrukcję zarządzania systemem informatycznym, analizę ryzyka i - tam gdzie wymagane - DPIA, umowy powierzenia z podwykonawcami, klauzule informacyjne i zgody, procedurę zgłaszania naruszeń oraz dowody przeprowadzonych szkoleń.

Za tym wszystkim stoi zasada rozliczalności z art. 5 ust. 2 RODO - administrator musi nie tylko przestrzegać zasad przetwarzania danych, ale też być w stanie to wykazać. Oznacza to, że sama zgodność z przepisami „w praktyce” nie wystarczy, jeśli nie da się jej udowodnić dokumentami w razie kontroli lub sporu z osobą, której dane dotyczą.

W praktyce najczęstsze braki dotyczą aktualizacji rejestru po zmianach w procesach, umów powierzenia z nowymi dostawcami usług IT oraz udokumentowanej analizy ryzyka - a to właśnie te elementy najczęściej sprawdza PUODO.

Dokumentację warto też skonfrontować z rzeczywistą praktyką - dokument, który opisuje proces inaczej, niż faktycznie przebiega w organizacji, jest równie ryzykowny jak jego brak, bo świadczy o fikcyjnym, a nie rzeczywistym wdrożeniu zasad ochrony danych.

Podstawa prawna

art. 5 ust. 2, art. 24 i art. 30 RODO