Dokumentacja zgodna z RODO

Najpierw słowem wstępu: przygotowanie lub kupienie dokumentacji zgodnej z RODO nie oznacza że są Państwo zgodni z RODO. Posiadanie dokumentacji zgodnej z RODO to tylko jeden z elementów prawidłowego wdrożenia RODO.

Na rynku pojawiają się oferty „sprzedam dokumentację zgodną z RODO”. Zawsze mam wtedy wątpliwość czy ta dokumentacja będzie adekwatna do sytuacji danego podmiotu.

Opracowanie dokumentacji zgodnej z RODO musi być  poprzedzone wieloaspektową analizą i oceną ryzyka. Następnie należy wdrożyć system bezpieczeństwa danych osobowych. Ten system musi być cały czas zarządzany i udoskonalany.

Ostrzegam przed złudnym poczuciem bezpieczeństwa. Samo posiadanie dokumentacji nie wystarczy. Trzeba wdrożyć skuteczne i realnie funkcjonujące procedury. Jeżeli posiadają Państwo Polityki bezpieczeństwa i instrukcje zarządzania systemami informatycznymi itd. zgodne z obecnie obowiązującymi przepisami, to muszą Państwo posiadana dokumentację zaktualizować i uzupełnić. Jeżeli nie mają Państwo w ogóle dokumentacji w tym zakresie, muszą ja Państwo opracować.

Zobacz: Prawo administracyjne

Według mnie, w skład dokumentacji zgodnej z RODO powinny wejść:

1. Polityki ochrony danych osobowych, np. Polityka  bezpieczeństwa i instrukcje zarządzania systemami informatycznymi (gdzie opiszecie Państwo odpowiednie środki techniczne i organizacyjne itd.),
2. Rejestr Czynności Przetwarzania Danych Osobowych (jeżeli jesteście administratorami) lub Rejestr Wszystkich Kategorii Czynności Przetwarzania Dokonywanych w Imieniu Administratora (jeżeli jesteście podmiotami przetwarzającymi),
3. wzory klauzul zgód na przetwarzania danych osobowych,
4. wzory klauzul informacyjnych o przetwarzanie danych oosobowych,
5. wzór umowy na przetwarzanie danych osobowych lub wzór umowy o współadministrowaniu (o ile są potrzebne),
6. rejestr upoważnień na przetwarzanie danych osobowych i wzór upoważnienia na przetwarzanie danych osobowych,
7. procedurę w przypadku naruszenia ochrony danych osobowych i rejestr naruszeń ochrony danych osobowych,
8. procedurę prostowania i usuwania danych osobowych,
9. inne.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

W tym miejscu muszę zastrzec, że:

1. samo RODO wymaga wprost tylko posiadania Rejestrów, z pkt. 2) i dokumentowaniu wszelkich naruszeń ochrony danych osobowych. RODO mówi o odpowiednich Politykach ochrony danych. Dlatego każdy podmiot powinien posiadać adekwatną dokumentację. Ponadto będą musieli Państwo być  w stanie wykazać:

1. przestrzeganie zasad dotyczących przetwarzania danych osobowych,
2. uzyskanie zgód,
3. jakie wdrożyliście odpowiednie środki techniczne i organizacyjne,
4. itd.

2. Powyższa wyliczanka ma tylko charakter przykładowy. U niektórych z Państwa ilość dokumentacji RODO będzie mogła być mniejsza, a u niektórych będzie musiała być większa.