Inspektor ochrony danych. Część 1 - Wyznaczenie inspektora

Inspektor ochrony danych (IOD). Wyznaczenie, zakres działania, miejsce w organizacji, na podstawie

·Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej „RODO”)

przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) (dalej: Ustawa)

Grupa docelowa:               

• osoby mające wiedzę na temat przepisów RODO
• osoby decydujące o zasadach przetwarzania danych w podmiotach
• osoby pełniące funkcję IOD
• osoby mające zamiar pełnić funkcję IOD
• kierownicy działów kadr i działów IT

Wiedza: 

znajomości obowiązków IOD

znajomość obowiązków administratora danych

znajomość wybranych elementów dokumentacji wymaganej przez RODO

znajomość zasad tworzenia i prowadzenia wymaganych rejestrów

Umiejętności:                    

przeprowadzenie audytu

ocena skutków dla ochrony danych

analiza ryzyka 

identyfikacja czynności przetwarzania

identyfikacja obszarów zagrożenia

Kompetencje:                    

kultura i etyka przetwarzania danych osobowych

wiedza dotycząca funkcjonowania IOD w podmiocie

wiedza dotycząca podziału obowiązków w podmiocie w zakresie bezpieczeństwa danych

egzekwowanie wymagań w związanych z funkcjonowanie IOD

bezpieczeństwo podmiotu w ramach RODO

• Ochrona danych do 25 maja 2018 roku
  • Administrator bezpieczeństwa informacji
  • Zbiory danych osobowych
• RODO jako zły akt prawny
  • czego nie wiemy
  • „odpowiednie środki techniczne i organizacyjne”
• Przypomnienie podstawowych definicji
• „Obowiązkiem niektórych administratorów i podmiotów przetwarzających /…/
• Zastępca IOD – przykład dobrych przepisów prawnych
• „Certyfikowane szkolenie”, „Certyfikowany kurs” – działanie fałszywego marketingu
• Niezbędna wiedza fachowa
  • jak ją określić
  • różne zakresy w zależności od administratora
• Doświadczenie IOD, a potrzeba dodatkowych szkoleń
  • zalecenia inspektorów pracujących w UE, czy są osiągalne?
  • jak je zdobyć?
• „wiedza fachowa na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań” – opinia EROD
• „Każdy może być IOD, ale nie każdy powinien” – Jan Feliński Prezes Zarządu Stowarzyszenia IOD (prawo.pl)
• Formy współpracy z inspektorem
• Konflikt interesów jako element powoływania IOD
• Publikowanie danych IOD
  • sprzeczność między RODO a Ustawą
  • gdzie i w jaki sposób udostępniamy dane IOD
  • dlaczego publikujemy imiona i nazwiska IOD
• Wyznaczenie IOD dla grupy przedsiębiorstw
• Uprawnienia IOD
  • na czym powinno polegać „wsparcie ze strony kadry kierowniczej”
  • wymiar czasu i wsparcie finansowe – czy można je określić?
  • dostęp do wszystkich działów organizacji – czy to się uda?
  • aktualizowanie wiedzy – gdzie i za czyje pieniądze?
  • uprawnienia IOD a konflikt interesów
• Obowiązki administratora względem IOD
  • czy administrator może zmusić IOD do podjęcia określonego stanowiska?
  • w jakiej sytuacji można IOD zwolnić z pracy?
• Zadania IOD
  • monitorowanie, czyli zrób audyt (podstawowe informacje na temat audytów)
  • rola IOD w ocenie skutków dla ochrony danych i rejestrowaniu czynności przetwarzania
• Siedem funkcji IOD według Europejskiego Inspektora Ochrony Danych (EDPS)
• Sugerowana kolejność działań IOD
  • dlaczego ważnym jest poznanie struktury podmiotu?
  • w czym mogą pomóc rozmowy z kierownictwem najwyższego szczebla? czego kierownictwo nie powie
  • kto musi prowadzić rejestry i dlaczego wszystkie podmioty?
    • przykładowe rejestry (przygotowanie wzorów dokumentów)
    • próba doboru odpowiednich klauzul informacyjnych
  • czy wszystkie czynności przetwarzania spełniają wymagania RODO?
  • ocena ryzyka wynikającego z operacji przetwarzania
    • zgłoszenie ryzyka
    • działania łagodzące lub alternatywne (próba przygotowania takich działań)
• Kiedy powołanie IOD jest obowiązkowe
  • podmiot publiczny – omówienie z przykładami
  • „główna działalność, regularne i systematyczne” – co się za tym kryje? przykłady głównej działalności
  • „duża skala” – czego jeszcze nie wiemy?
• Dlaczego czasami lepiej powierzyć funkcję IOD podmiotowi zewnętrznemu?