Przygotowanie do kontroli Urzędu Ochrony Danych Osobowych

• 06.04.2021

• Autor: Agnieszka Szalińska

• organ nadzorczy

Zgodnie z przepisami ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych[i]  i Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, (RODO) Prezes Urzędu Ochrony Danych Osobowych (UODO) przy pomocy kontrolujących przeprowadza kontrole zgodności z przepisami o ochronie danych osobowych.

Jak to się wszystko zaczyna?

Opcji jest kilka:

1. Kontrolowany może widnieć w rocznym planie kontroli sektorowych Urzędu Ochrony Danych Osobowych udostępnianym na stronie www.uodo.gov.pl.
2. Do Urzędu wpłynęła skarga, którą Urząd stara się wyjaśnić pisemnie w drodze postępowania administracyjnego) lub więcej skarg; zwiększona ilość skarg w jednej sprawie zwiększa prawdopodobieństwo kontroli.
3. Zostało zgłoszone naruszenie (w zależności od ciężaru naruszenia, Urząd stara się wyjaśnić sprawę pisemnie), wystąpienie większej ilości naruszeń u tego samego podmiotu zwiększa prawdopodobieństwo kontroli.

Zanim pojawi się kontrolujący z UODO, wcześniej Urząd zawiadomi o takiej kontroli pisemnie, a możliwe, że także telefonicznie.

Wiedza co potencjalnie mogłoby być przedmiotem kontroli oraz jaki może być jej zakres, jest bardzo ważna nie tylko przy bezpośrednim przygotowaniu jednostki do kontroli, ale przede wszystkim przy osiąganiu i utrzymywaniu zgodności z RODO.

Co ma zrobić administrator danych, który będzie kontrolowany ?

Zawiadomić o kontroli Inspektora Ochrony Danych (jeśli jest wyznaczony), Koordynatora ds. ochrony danych osobowych lub osobę odpowiedzialną w organizacji za ochronę danych osobowych. Wskazane osoby będą przede wszystkim zorientowane w tematyce kontroli, będą opiekunami i przewodnikami dla kontrolujących z UODO.

Następnym krokiem jest przygotowanie:

1. Struktury organizacyjnej podmiotu kontrolowanego

2. Dokumentacji dotyczącej ochrony danych osobowych, w szczególności:

• Polityki ochrony danych, w tym procedur zarządzania systemem informatycznym.
• Polityki retencji danych.
• Procedury reakcji na incydenty.
• Procedury obsługi wniosków podmiotów danych.
• Procedury Privacy by design i Privacy by default oraz Oceny Skutków dla Ochrony Danych (DPIA).
• Procedury analizy ryzyka.
• Rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzania (ten drugi rodzaj rejestru jeśli firma występuje w charakterze podmiotu przetwarzającego).

3. Warto mieć przygotowane, bo o to najprawdopodobniej zapytają kontrolujący, przykładowe:

• Upoważnienia do przetwarzania danych osobowych.
• Oświadczenia o zachowaniu danych w tajemnicy.
• Klauzule informacyjne np. dla kandydatów do pracy, pracowników.
• Umowy powierzenia, w przypadku korzystania np. z usług kadrowo-księgowych firmy zewnętrznej.
• Poświadczenia o odbytych szkoleniach z ochrony danych osobowych pracowników dopuszczonych do przetwarzania danych osobowych.

4. Trzeba również zastanowić się, kto konkretnie będzie reprezentować np. dany dział, w którym pracownicy przetwarzają dane osobowe, a co za tym idzie udzielał ustnych wyjaśnień kontrolującym, oprócz oczywiście Inspektora Ochrony Danych czy Koordynatora ds. ochrony danych.

5. Należy także pamiętać o osobie odpowiedzialnej za system informatyczny, albowiem kontrolujący również będą potrzebować informacji dotyczących np. zabezpieczeń systemów informatycznych, lokalizacji serwerów itp.

6. Trzeba przygotować pomieszczenie dla kontrolujących, w którym będą spotykać się z osobami wytypowanymi do udzielania ustnych wyjaśnień. I przede wszystkim współpracować z kontrolującymi.

Mając przygotowane wymienione powyżej dokumenty, przeszkolonych z ochrony danych osobowych pracowników, świadomość i przestrzeganie procedur, kontrola z UODO nie będzie taka straszna. Należy pamiętać, że podczas kontroli będą badane wszystkie fakty i okoliczności, które mogą mieć znaczenie dla oceny zgodności z przepisami o ochronie danych osobowych. Natomiast samej oceny zgodności Prezes UODO dokona już po zakończeniu czynności kontrolnych – na podstawie zebranych informacji i materiałów.

[i] Dz. U. z 2018 r. poz. 1000 ze zm.