Jakie kontrole przeprowadza PUODO?

Kontrole wynikające ze skarg

Jednym z najczęstszych powodów wszczęcia kontroli jest skarga osoby, której dane są przetwarzane.
Przedmiotem kontroli mogą być między innymi:
– nieuprawnione udostępnienie danych osobowych,
– brak realizacji praw osób, których dane dotyczą,
– przetwarzanie danych bez właściwej podstawy prawnej,
– naruszenie zasad poufności lub bezpieczeństwa danych,
– nieprawidłowa realizacja obowiązku informacyjnego.
W takim przypadku kontrola najczęściej koncentruje się na konkretnym procesie przetwarzania danych lub pojedynczym zdarzeniu.

Kontrole planowe i sektorowe

PUODO prowadzi również kontrole planowe obejmujące wybrane branże, sektory gospodarki lub określone obszary przetwarzania danych.
Ich celem jest ocena zgodności prowadzonej działalności w kontakście przepisów RODO. Baredzo często dotyczy konkretnych aspektów, czy procedur, np. procedury naruszeń ochrony danych, czy też udostępniania informacji.

Jak długo trwa kontrola PUODO?

Nie istnieje jeden ustawowy czas trwania kontroli dla każdej organizacji.

Długość kontroli zależy przede wszystkim od:
– wielkości podmiotu,
– liczby procesów przetwarzania danych,
– liczby wykorzystywanych systemów informatycznych,
– zakresu kontroli,
– jakości przygotowanej dokumentacji,
– szybkości udzielania odpowiedzi na pytania kontrolujących.
Sama obecność kontrolujących w siedzibie organizacji może trwać od kilku godzin do kilku dni. Nie oznacza to jednak zakończenia sprawy. Po zakończeniu wizyty PUODO może żądać dodatkowych wyjaśnień, dokumentów lub informacji, co wydłuża całe postępowanie nawet do kilku tygodni lub miesięcy.
Im lepiej uporządkowana i prowadzona dokumentacja, tym sprawniej przebiegają czynności kontrolne.

Kogo należy zaangażować podczas kontroli?

Błędem jest przekonanie, że kontrola dotyczy wyłącznie Inspektora Ochrony Danych.

W praktyce kontrolujący często chcą rozmawiać z osobami odpowiedzialnymi za konkretne aspekty przetwarzania danych osobowych.
Najczęściej są to:
– członkowie zarządu lub osoby kierujące organizacją,
– Inspektor Ochrony Danych,
– przedstawiciel działu HR,
– przedstawiciel działu IT,
– przedstawiciel działu bezpieczeństwa informacji,
– p[zedstawiciel działu prawnego lub compliance,
– kierownicy jednostek organizacyjnych,
– pracownicy odpowiedzialni za procesy objęte kontrolą.
Przykładowo dział HR odpowiada na pytania dotyczące danych pracowników, dział IT wyjaśnia kwestie związane z zabezpieczeniami technicznymi, a osoby odpowiedzialne za obsługę klientów przedstawiają sposób realizacji praw osób, których dane są przetwarzane.
Z tego powodu kontrola PUODO niemal zawsze wymaga zaangażowania kilku obszarów organizacji jednocześnie.
Niemniej jednak wszystkie wyjaśnienia składa administrator danych lub wyznaczona przez niego osoba.

Rejestr Czynności Przetwarzania – dokument, który często otwiera kontrolę

Jeżeli wskazać jeden dokument, który bardzo często jest wymagany już na początku kontroli, będzie to Rejestr Czynności Przetwarzania (RCP).

Kontrolujący nierzadko proszą o jego przedstawienie jeszcze przed szczegółową analizą pozostałej dokumentacji. Dzieje się tak dlatego, że RCP pozwala szybko ustalić:
– jakie procesy przetwarzania funkcjonują w organizacji,
– jakie kategorie danych są przetwarzane,
– jakie osoby i podmioty mają dostęp do danych,
– jakie systemy wykorzystywane są do przetwarzania,
– jakie okresy przechowywania danych przyjęto,
– które obszary mogą wymagać dalszej weryfikacji.

W praktyce aktualny i rzetelnie prowadzony Rejestr Czynności Przetwarzania znacząco usprawnia przebieg kontroli. Natomiast nieaktualny lub niespójny rejestr często prowadzi do dodatkowych pytań oraz rozszerzenia zakresu czynności kontrolnych.

Jakie dokumenty najczęściej sprawdza PUODO?

Zakres dokumentacji zależy od przedmiotu kontroli, jednak w praktyce najczęściej weryfikowane są:
– Rejestr Czynności Przetwarzania,
– polityka ochrony danych osobowych,
– procedury realizacji praw osób, których dane dotyczą,
– procedura zgłaszania i obsługi naruszeń ochrony danych,
– analiza ryzyka i/lub ocena skutków dla ochrony danych osobowych (DPIA),
– ewidencja osób upoważnionych do przetwarzania danych,
– wzory upoważnień,
– umowy powierzenia przetwarzania danych,
– dokumentacja związana z bezpieczeństwem systemów IT,
– dokumentacja szkoleń pracowników,
– rejestr naruszeń ochrony danych osobowych.

Kontrolujący nie ograniczają się wyłącznie do sprawdzenia istnienia dokumentów. Równie istotne jest wykazanie, że procedury są rzeczywiście stosowane w codziennej działalności organizacji.

Uchwały i/lub dokumentacja prezentująca właściwe wdrożenie systemu ochrony danych osobowych

W przypadku spółek z ograniczoną odpowiedzialnością warto posiadać dokument potwierdzający formalne wdrożenie systemu ochrony danych osobowych.

Najczęściej jest to uchwała zarządu dotycząca:
– przyjęcia polityki ochrony danych,
– wdrożenia procedur RODO,
– wyznaczenia odpowiedzialności za realizację obowiązków związanych z ochroną danych,
– Powołania Inspektora Ochrony Danych Osobowych.

Taka uchwała nie jest jedynym dowodem zgodności z RODO, jednak pokazuje, że działania zostały formalnie zatwierdzone przez organy zarządzające spółką.

Jak przygotować organizację do kontroli PUODO?

Najlepszym rozwiązaniem jest przygotowanie dokumentacji jeszcze przed otrzymaniem informacji o kontroli.
Warto regularnie:
– aktualizować Rejestr Czynności Przetwarzania,
– przeprowadzać analizę ryzyka,
– kontrolować aktualność umów powierzenia,
– weryfikować podstawy prawne przetwarzania,
– szkolić pracowników,
– przeprowadzać audyty zgodności,
– dokumentować realizację obowiązków wynikających z RODO,
– sprawdzać skuteczność wdrożonych procedur.
Dobrze przygotowana organizacja znacznie szybciej przechodzi przez kontrolę i ogranicza ryzyko negatywnych ustaleń.

Kontrola PUODO z perspektywy praktyka. Kilka wskazówek z realnych kontroli

Po uczestnictwie w wielu kontrolach można zauważyć, że przebieg czynności kontrolnych w dużej mierze zależy od nastawienia kontrolowanego podmiotu. Wbrew obawom wielu przedsiębiorców, kontrolujący najczęściej nie przyjeżdżają do organizacji z założeniem poszukiwania za wszelką cenę naruszeń. Jeżeli od początku widzą gotowość do współpracy, uporządkowaną dokumentację i osoby zaangażowane w udzielanie odpowiedzi, kontrola zazwyczaj przebiega sprawnie i bez niepotrzebnych napięć.

Przygotuj miejsce do przeprowadzenia kontroli

Choć może wydawać się to oczywiste, kwestie organizacyjne mają duże znaczenie dla przebiegu kontroli.

Warto wcześniej przygotować:
– osobne pomieszczenie lub salę konferencyjną (zapewniającą swobodę wypowiedzi i bezpieczeństwo informacji),
– stół umożliwiający pracę na dokumentach,
– dostęp do energii elektrycznej dla komputerów kontrolujących,
– miejsce umożliwiające wygodną pracę kilku osobom jednocześnie,
– możliwość szybkiego dostarczania dokumentów i wyjaśnień.
Z mojego doświadczenia wynika, że dobrze przygotowane miejsce już na początku buduje pozytywną atmosferę współpracy i pozwala skupić się na meritum kontroli zamiast na problemach organizacyjnych. Nie zapomnij też o kawie, herbacie i może dobrym ciastku – to zawsze powoduje pewne rozluźnienie 🙂

Wyznacz i przeszkól osoby odpowiedzialne za poszczególne obszary

Kontrolujący często chcą uzyskać odpowiedzi od osób, które faktycznie realizują określone procesy (najczęściej z tego powodu, że Administrator nie jest Alfą i Omega i często nie zna zagadnień operacyjnych). Dlatego jeszcze przed rozpoczęciem kontroli warto ustalić, kto odpowiada za poszczególne obszary:
– IOD lub osoba odpowiedzialna za ochronę danych,
– dział HR,
– dział IT,
– dział bezpieczeństwa,
– dział prawny lub compliance,
– kierownicy poszczególnych jednostek organizacyjnych.
Brak odpowiednich osób powoduje najczęściej niepotrzebne opóźnienia i konieczność późniejszego składania dodatkowych wyjaśnień.

Odpowiadaj rzeczowo i wyłącznie na zadane pytania

To jedna z najważniejszych praktycznych wskazówek.
Podczas kontroli nie warto zgadywać, domyślać się ani udzielać odpowiedzi wykraczających poza zakres pytania.
Najlepiej:
– odpowiadać konkretnie,
– odnosić się do dokumentów,
– wskazywać faktyczny stan funkcjonowania procesu,
– przyznać, że dana informacja wymaga sprawdzenia, jeżeli nie jest znana w danym momencie -nie zawsze musisz odpowiadać tu i teraz (kontrola trwa najczęście 3 do 5 dni, więc jest czas żeby wrócić do zagadnienia i je wtedy wyjaśnić).

Nie warto natomiast:
– snuć przypuszczeń,
– opowiadać o kwestiach niezwiązanych z pytaniem,
– próbować „sprzedawać” organizację w marketingowy sposób.
Kontrolujący na co dzień analizują podobne procesy w wielu organizacjach. Zwykle znacznie bardziej cenią rzeczowe odpowiedzi i transparentność niż rozbudowane wyjaśnienia niezwiązane z pytaniem.

Nie panikuj, gdy pojawią się dodatkowe pytania

Dodatkowe pytania, prośby o dokumenty czy konieczność wyjaśnienia określonych procesów nie oznaczają automatycznie stwierdzenia naruszeń.
W praktyce bardzo często są to standardowe czynności pozwalające lepiej zrozumieć sposób przetwarzania danych w organizacji.
Jeżeli dokumentacja jest uporządkowana, a pracownicy współpracują z kontrolującymi, większość takich sytuacji można przejść bez większych problemów. Czasem nawet kontrolujący wskazują, że może warto zastanowić się nad jakimś dokumentem 🙂

Najważniejszy wniosek

Z perspektywy praktycznej zdecydowana większość kontroli PUODO przebiega znacznie spokojniej, niż wyobrażają to sobie przedsiębiorcy. Dobra organizacja, przygotowane miejsce pracy dla kontrolujących, dostępność właściwych pracowników, aktualna dokumentacja oraz rzeczowa komunikacja sprawiają, że nawet rozbudowana kontrola może zostać przeprowadzona sprawnie i bez zbędnego stresu dla organizacji.

Jeżeli chcesz zweryfikować przygotowanie swojej organizacji do kontroli PUODO, wejdź w zakładkę „Kontakt” i napisz do nas wiadomość

#PUODO #UODO #RODO #KontrolaPUODO #KontrolaUODO #OchronaDanychOsobowych #Compliance #InspektorOchronyDanych #RejestrCzynnosciPrzetwarzania #AudytRODO #BezpieczenstwoInformacji