iSecure logo
Blog

Papierowe wdrożenie RODO w obszarze IT

Awaria serwera
Kategorie

Ze smutkiem obserwuję, że bardzo często wdrożenie RODO oznacza w praktyce wdrożenie procedur dotyczących ochrony danych osobowych i… na tym koniec. Nie od dziś wiadomo, że tak skomplikowany proces, jak dostosowanie organizacji do zgodności z przepisami RODO, to praca na wielu płaszczyznach. Aspekt organizacyjny jest oczywiście istotny, ale bez zaangażowania w obszar IT okaże się, że nasza zgodność z wymogami jest iluzoryczna.

Dam prosty przykład – jak wiemy, RODO przewiduje szereg uprawnień, które przysługują podmiotowi danych, np. możliwość żądania usunięcia danych, żądanie dotyczące uzyskania kopii danych, sprzeciw na przetwarzanie i wiele innych. Wyobraźmy sobie, że organizacja ma procedurę w tym zakresie – przypisano m.in. kto tego typu żądania obsługuje, wskazano terminy, itd. Ale okazuje się, że z systemu nie da się usunąć danych albo w ogóle nie ma możliwości wygenerowania kopii danych…

Albo jeszcze inna sytuacja – konieczność implementacji zasady ograniczenia przechowywania w praktyce, czyli ustawienie tak systemu teleinformatycznego, by współgrał z przyjętymi w polityce retencji danych okresami ich przechowywania. Ktoś podjął trud i przejrzał podstawy prawne, dyskutował z właścicielami biznesowymi nad ich potrzebami co do czasu przechowywania danych, itd., na koniec zaś opracował dokument, ale w praktyce dane i tak nadal tkwią w systemie, ponieważ nikt nie wdrożył tego rozwiązania na poziomie tegoż systemu.

Warto zwrócić uwagę na to, że tego typu wdrożenie (na poziomie IT) może zająć sporo czasu, bo bardzo często oznacza to konieczność modyfikacji naszych narzędzi IT służących do przechowywania danych. Tak naprawdę tego typu działanie to taki jakby „projekt w projekcie”, ponieważ na bazie wytycznych audytora i/lub inspektora ochrony danych musi zawiązać się w organizacji zespół wdrożeniowy, trzeba zaplanować prace, zrealizować je, dokonać stosownych testów, by wreszcie móc dokonać implementacji. Procedurę retencji danych można napisać zdecydowanie szybciej, pokazać ją zarządowi i mieć poczucie zrealizowania jednego z wymogów RODO (tu: spełnienia zasady ograniczenia przechowywania). Ale ktoś kiedyś może powiedzieć: „sprawdzam” i okaże się, że nasze działania to nic innego jak właśnie owo „papierowe wdrożenie”, o którym mówi Związek Firm Ochrony Danych Osobowych w nie tak dawno opublikowanym materiale pt. „10 największych błędów przy zapewnianiu zgodności z RODO”.

Pobierz wpis w wersji pdf

Podobne wpisy:

Szczepienia przeciw COVID-19 w zakładzie pracy

Temat szczepień w zakładach pracy jest w ostatnich tygodniach jednym z istotniejszych kwestii w każdym większym przedsiębiorstwie. Dostępność szczepionek przeciw Covid-19 stała się na tyle wysoka, że zakłady pracy starają się zapewnić swoim pracownikom możliwość zaszczepienia się. W tym czasie większość Inspektorów Ochrony Danych w Polsce zastanawia się, w jaki sposób zaprojektować proces szczepień w […]

Informowanie o zakażeniach zgodne z RODO – COVID-19

W związku z tym, że wielu pracodawców ma ogromny problem z odpowiedzią na pytanie: „Czy można informować pracowników o przypadkach zakażenia koronawirusem?” przygotowaliśmy kolejny poradnik. Przedstawiamy w nim odpowiedzi na to pytanie oraz wyjaśniamy, jak informować o obecności koronawirusa innych pracowników bez naruszania przepisów o ochronie danych osobowych.  Widzimy potrzebę zebrania w jednym miejscu odpowiedzi […]

Kiedy mogę złożyć sprzeciw na przetwarzanie moich danych osobowych?

Prawo do sprzeciwu jest jednym z praw przyznanych podmiotom danych na gruncie przepisów Rozporządzenia o ochronie danych osobowych. Prawo do sprzeciwu na przetwarzanie danych osobowych uregulowane jest w art. 21 RODO. Jest to prawo ograniczone, możliwe do realizacji w określonych przypadkach. W jaki sposób wygląda realizacja prawa do sprzeciwu, o czym powinniśmy pamiętać jako administrator […]

Zapis do newslettera
Dodanie e-maila i potwierdzenie "Zapisz się" oznacza zgodę na przetwarzanie przez iSecure Sp. z o.o. podanego adresu e-mail w celu wysyłania newslettera o usługach, wydarzeniach, czy innych działaniach dotyczących naszej Spółki