Stanowisko
Inspektor ochrony danych
Czego nie wiecie o swoich danych osobowych, dopóki ktoś nie złoży żądania usunięcia? Zwykle tego, w ilu miejscach te dane są - i że rejestr czynności opisuje tylko część z nich.
Rozmowa wstępna
Cztery pytania, od których byśmy zaczęli
Czego nie wiecie o lokalizacji danych, dopóki nie przyjdzie żądanie?
Jeśli odpowiedź na "gdzie są dane tej osoby" wymaga obdzwonienia pięciu działów, to termin ustawowy jest ryzykiem przy każdym żądaniu.
Jak szybko dowiadujecie się o naruszeniu?
Przepis daje siedemdziesiąt dwie godziny od stwierdzenia. Pytanie, ile mija między zdarzeniem a stwierdzeniem.
Kto zauważy pierwszy, że dział zaczął zbierać nowe dane?
Jeśli nikt, to rejestr czynności opisuje stan sprzed roku, a nie obecny.
Co się dzieje, kiedy dostawca przetwarza dane bez umowy powierzenia?
Czy ktoś to wychwytuje przy podpisywaniu umowy, czy dopiero przy przeglądzie.
Zdejmujemy ewidencję i terminy, zostawiamy ocenę i decyzje
Prowadzenie rejestru, obsługa żądań, pilnowanie terminów i nadzór nad powierzeniami dają się odciążyć. Ocena, czy doszło do naruszenia i czy je zgłosić, zostaje przy inspektorze.
- Rejestr czynności żyje razem z procesami. - Nowy proces albo nowy system zgłasza się jako czynność do opisania, zamiast czekać na roczny przegląd.
- Żądanie osoby ma pilnowany termin. - Od przyjęcia po odpowiedź, z zestawieniem miejsc, w których dane tej osoby występują.
- Umowa powierzenia jest warunkiem, nie formalnością. - Dostawca przetwarzający dane bez umowy jest wskazany przed rozpoczęciem współpracy, a nie po.
Zakres
Co da się odciążyć w ochronie danych
Dwadzieścia dwa przykładowych zadań. Każde ma punkt zatwierdzenia po stronie człowieka. Poniżej wybrane, a zakres dopasowujemy do Waszych procesów.
Rejestr czynności
- Rejestr czynności z celem, podstawą i kategoriami danych
- Powiązanie czynności z systemami i działami
- Sygnał o nowym systemie bez przypisanej czynności
- Przegląd czynności niezmienianych od dłuższego czasu
- Wskazanie czynności bez wskazanego okresu retencji
Podstawy i zgody
- Rejestr podstaw przetwarzania wedle czynności
- Ewidencja zgód z datą i zakresem
- Sygnał o zgodzie wycofanej i jej skutkach
- Wskazanie czynności opartych na zgodzie, gdzie możliwa jest inna podstawa (ocena: inspektor)
Żądania osób
- Jedna droga przyjęcia żądania
- Zestawienie miejsc, w których występują dane osoby
- Pilnowanie terminu ustawowego
- Projekt odpowiedzi (zatwierdzenie: inspektor)
- Rejestr żądań z rodzajem i sposobem załatwienia
Incydenty i naruszenia
- Jedna droga zgłoszenia incydentu z dowolnego działu
- Zebranie faktów potrzebnych do oceny
- Odliczanie terminu od stwierdzenia naruszenia
- Ocena i rekomendacja, czy naruszenie podlega zgłoszeniu (rekomendacja: inspektor, decyzja: administrator)
Umowy powierzenia
- Rejestr podmiotów przetwarzających
- Sygnał o dostawcy przetwarzającym dane bez umowy
- Przegląd zakresu powierzenia wobec faktycznego przetwarzania
- Terminy i zmiany w umowach powierzenia
Dzień pracy
Dzisiaj
- Rejestr czynności aktualizujecie raz do roku, pytając działy
- O nowym systemie dowiadujecie się, gdy już działa
- Przy żądaniu osoby obdzwaniacie działy, szukając danych
- Termin ustawowy pilnujecie w kalendarzu
- O incydencie dowiadujecie się od kogoś, kto o nim usłyszał
- Dostawców przetwarzających dane ustalacie przy przeglądzie
Z asystą AI
- Nowy system albo proces zgłasza się jako czynność do opisania
- Rejestr pokazuje czynności bez podstawy albo bez retencji
- Przy żądaniu widzicie zestawienie miejsc występowania danych
- Termin jest odliczany i przypominany
- Incydent ma jedną drogę zgłoszenia z dowolnego działu
- Dostawca bez umowy powierzenia jest wskazany przed startem
- Kompletność rejestru
rejestr opisuje stan obecny, nie zeszłoroczny
nowe systemy i procesy zgłaszają się same
- Czas obsługi żądania
mniej żądań obsłużonych na granicy terminu
miejsca występowania danych są zestawione
- Wykrywalność naruszeń
krótszy czas między zdarzeniem a stwierdzeniem
zgłoszenie incydentu ma jedną drogę
- Kontrola nad powierzeniami
mniej dostawców przetwarzających dane bez umowy
brak umowy jest wskazywany przed startem
Zaczynamy od rejestru czynności, bo wszystkie pozostałe obowiązki się o niego opierają.
- Krok 1
Rejestr powiązany z systemami i działami
Czynności, podstawy, retencja, systemy. Luki stają się widoczne jako luki.
- Krok 2
Obsługa żądań z terminem
Jedna droga, zestawienie miejsc danych, pilnowany termin.
- Krok 3
Incydenty
Zgłoszenie z dowolnego działu, zebranie faktów, odliczanie terminu.
- Krok 4
Powierzenia
Rejestr podmiotów przetwarzających i sygnały o brakach. Na końcu, bo wymaga rejestru z kroku 1.
Częste pytania
Pytania, które padają na pierwszym spotkaniu
Kto odpowiada za ocenę naruszenia?
Warto rozdzielić dwie rzeczy, bo mylenie ich bywa wytykane przy kontroli. Zgłoszenia naruszenia dokonuje administrator, czyli Wasza organizacja - tak samo jak to on prowadzi rejestr czynności. Inspektor doradza, monitoruje i przygotowuje ocenę, ale nie podejmuje decyzji za administratora; przypisanie mu jej byłoby zresztą konfliktem z jego rolą. System zbiera fakty, odlicza termin i przypomina - rekomendacja należy do inspektora, decyzja do administratora.
Czy inspektor stanie się mniej potrzebny?
Rola inspektora jest umocowana przepisem i polega na doradzaniu i monitorowaniu - tego nie da się przenieść na narzędzie i nie próbujemy. Odciążamy prowadzenie rejestru, pilnowanie terminów i kompletowanie danych do żądań. Inspektor, który tego nie robi ręcznie, przestaje być rolą formalną, a zaczyna widzieć, co się z danymi faktycznie dzieje.
Czy to podlega AI Act?
Wsparcie inspektora nie jest zastosowaniem wysokiego ryzyka, ale obszar z natury dotyczy danych osobowych, więc projekt prowadzimy wedle zasady minimalizacji: narzędzie widzi metadane o czynnościach i systemach, a dostęp do samych danych osobowych ogranicza się do tego, co konieczne przy obsłudze konkretnego żądania.
Zostało pytanie, którego tu nie ma? Umów rozmowę
Następny krok
Ile czasu zajęłoby Wam dziś wskazanie wszystkich miejsc z danymi jednej osoby?
Pokażemy Wam, jak wygląda ochrona danych, w której rejestr żyje razem z procesami, a termin przy żądaniu jest pilnowany.