Audyt RODO - audyt ochrony danych osobowych

Każde przedsiębiorstwo w mniejszym lub większym stopniu przetwarza dane osobowo. Podlega zatem pod regulacje ogólnego rozporządzenia o ochronie danych, inaczej zwanego rozporządzeniem o ochronie danych osobowych OROD lub RODO. To unijne rozporządzenie, zawiera przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych, zaś każdy podmiot przetwarzający takie dane ma obowiązek stosowania się do tej regulacji.

A co stanie się jeśli nie podporządkujemy się wymogom tej regulacji? Mogą spotkać nas przykre konsekwencje finansowe. Rozporządzenie określa bowiem, że najwyższa kara za nieprzestrzeganie powyższych przepisów może wynosić nawet do 20 mln euro. W przypadku przedsiębiorstwa kara wynosi do 4 % jego całkowitego rocznego (światowego) obrotu z poprzedniego roku obrotowego. W 2022 r. najwyższa orzeczona kara w tym zakresie wynosiła w Polsce 1.000.000 euro i została nałożona na Fortum Marketing and Sales Polska S.A.

Ponadto w wypadku przewarzania danych osobowych przez naszą firmę bez odpowiednich uprawnień, albo poza jego granicami, osoba odpowiedzialna za taką sytuację może zostać pociągnięta do odpowiedzialności karnej. Groziła będzie jej kara grzywny, kara ograniczenia wolności albo kara pozbawienia wolności do 2 lat.

Powyżej przytoczone okoliczności jasno wskazują, iż zadbanie o zgodne z prawem przetwarzanie danych osobowych jest bardzo istotne, nie tylko z punktu widzenia interesu i bezpieczeństwa finansowego przedsiębiorstwa, lecz także z punktu widzenia jego kadry zarządzającej.

Dlatego okresowo przeprowadzane audyty RODO pozwalają na podniesienie bezpieczeństwa w powyższym zakresie.

Skontaktuj się z nami

Audyt ochrony danych osobowych dla przedsiębiorstw

Audyt RODO to nic innego, jak audyt ochrony danych osobowych. W Kancelarii Derek&Flak przeprowadzamy audyty RODO, zarówno w odniesieniu do całości działalności przedsiębiorstwa zleceniodawcy, jak i co do jej wyodrębnionej części (np. w ramach przetwarzania danych osobowych przez dział handlowy).

W ramach audytu ochrony danych osobowych odpowiemy między innymi na następujące pytania:

Z jakiego rodzaju danymi osobowymi przedsiębiorstwo ma do czynienia,
W jakich celach pozyskuje się i przetwarza dane osobowe (czy zakres danych odpowiada wyznaczonym celom)?
Kiedy i w jakiej roli występuje Państwa Firma w odniesieniu do dodanych osobowych (administrator danych / podmiot przetwarzający dane / podmiot powierzający dane osobowe)?
Jakie metody przechowywania i dostępu do danych osobowych są stosowane; jakie rodzą ryzyka – jak ograniczać te ryzyka; jaki docelowo te metody powinny mieć kształt?
Czy i jakie dokumenty / procedury należy stosować w zakresie danych osobowych (w relacjach z klientami, pracownikami, firmami współpracującymi)?
Czy umowy z firmami współpracującymi odpowiadają wymogom RODO, a jeśli nie to w jakim zakresie i co należy w nich zmienić?
Czy konieczne jest powołanie inspektora ochrony danych osobowych, a jeśli nie to jakie jest uzasadnienie dla braku takiego powołania?
Czy konieczne jest opracowanie oceny skutków dla ochrony danych osobowych, a jeśli nie to jakie jest uzasadnienie dla takiej rezygnacji?
Czy konieczna jest realizacja obowiązku rejestrowania czynności przetwarzania danych oraz rejestru wszystkich kategorii czynności przetwarzania danych realizowanych w imieniu administratora danych, a jeśli nie to jakie jest uzasadnienie dla takiej rezygnacji?
Końcowo – jaki zakres powinna posiadać dokumentacja Państwa Firmy w odniesieniu do ochrony danych osobowych?

Kto powinien przeprowadzić audyt ochrony danych osobowych ?

Audyt RODO powinno przeprowadzać właściwie każde przedsiębiorstwo, które w większym stopniu przetwarza dane osobowe, np. zatrudnia pracowników, posługuje się monitoringiem siedziby, lub punktów sprzedaży, albo rozpatruje reklamacje klientów, albo przetwarza dane osobowe o charakterze wrażliwym (np. NZOZ-y, gabinety lekarskie, dentystyczne, gabinety medycyny estetycznej, gabinety fizjoterapii). Trudno wskazać wyczerpującą listę branż i uwarunkowań, które predestynują podmiot do przeprowadzenia tego rodzaju audytu. Można jednak okreslić, że audyt ochrony danych osobowych byłby wskazany w szczególności w przedsiębiorstwach:

zajmujących się obsługą osób fizycznych (konsumentów ) na większą skalę,
firmach telekomunikacyjnych w tym ISP (Internet Service Provider),
dostawców sygnału telewizji kablowej,
przedsiębiorstw związanych z ochroną zdrowia,
przedsiębiorstw hotelarskich (hoteli i pensjonatów).

Dlaczego właśnie taka kategoria podmiotów potrzebuje szczególnie RODO audyty? Powód tego jest bardzo prosty. Ponieważ o wysokości ewentualnie nałożonych kar za nieprawidłowe stosowanie regulacji RODO decyduje waga naruszenia, oraz charakter danych, które zostały narażone np. na ujawnienie, powyższe podmioty, jako przetwarzające dane osobowe o charakterze wrażliwym (np. o stanie zdrowia pacjentów), lub przetwarzające takie dane w dużej liczbie (firmy telekomunikacyjne, lnu hotele), narażone będą na potencjalnie bardziej dotkliwe sankcje finansowe.

Zatem w podmiotach takich RODO audyty powinny być bezwzględnie przeprowadzane w ustalonych okresach czasu.

Cykliczne audyty RODO

Kancelaria Derek&Flak prowadzi okresowe audyty ochrony danych osobowych (audyty RODO), celem ustalenia zakresu koniecznych do wprowadzenia zmian, determinowanych zmianami organizacyjnymi zachodzącymi w przedsiębiorstwie, jak również zmianami w zakresie regulacji prawnych. Zwykle odbywają się one cyklicznie w półrocznych odstępach. W wyniku przeprowadzania działań, takich jak audyty RODO wprowadzane są konieczne zmiany. Obejmują one już obowiązującą w przedsiębiorstwie dokumentację dotyczącą ochrony danych osobowych.

Doświadczenie: opracowanie i wdrożenie dokumentacji RODO w szeregu przedsiębiorstw, na podstawie przeprowadzonych audytów przedwdrożeniowych, jak i okresowych.