Poradnik

Dokumentacja RODO — jak ją prowadzić

Osiem opracowań o dokumentach, które sprawiają najwięcej kłopotu: rejestrze czynności, upoważnieniach, zgłaszaniu naruszeń, ocenie skutków, teście równowagi, audycie zgodności, zgodach i żądaniach osób — oraz dziewiąte o tym, jak wybrać program do RODO. Każde odpowiada na konkretne pytanie i pokazuje, gdzie w praktyce popełnia się błędy. Do tego dwa kalkulatory — testu równowagi i wagi naruszenia — liczące wynik od razu w przeglądarce.

Aplikacja w dwie minuty — z lektorem i napisami. Odtwarza się po kliknięciu. Transkrypcja ›

z praktykinie z podręcznika

bez rejestracjicałość dostępna od razu

Kalkulator testu równowagi

Dziesięć pytań i wyliczony wynik ważenia, bez rejestracji i bez podawania e-maila. Liczy się w przeglądarce.

narzędzie

Kalkulator wagi naruszenia

Waga naruszenia metodyką ENISA — tą samą co w aplikacji — z podpowiedzią, czy zgłosić je do UODO i zawiadomić osoby. Liczy się w przeglądarce.

narzędzie · art. 33–34

Jak wybrać program do RODO

Osiem pytań do zadania każdemu dostawcy — od liczby administratorów danych po to, czy da się z narzędzia wyjść z danymi.

przed zakupem

Rejestr czynności przetwarzania — jak go prowadzić

Kto ma obowiązek, siedem elementów wymaganych w każdym wpisie, różnica między rejestrem z ust. 1 i ust. 2 oraz pięć błędów, które widać w rejestrach najczęściej.

art. 30 RODO

Upoważnienie do przetwarzania danych — co musi zawierać

Skąd bierze się obowiązek, siedem elementów dokumentu, jak określić zakres, żeby nie dezaktualizował się po miesiącu, i co zrobić przy zmianie stanowiska.

art. 29 RODO

Zgłoszenie naruszenia do UODO — jak liczyć 72 godziny

Od czego dokładnie biegnie termin, kiedy zgłoszenie nie jest potrzebne, kiedy zawiadamia się osoby i dlaczego rejestr obejmuje także naruszenia niezgłoszone.

art. 33–34 RODO

Kiedy trzeba zrobić ocenę skutków (DPIA)

Trzy przypadki obowiązkowe, wykaz Prezesa UODO, cztery elementy wymagane treścią oceny i różnica między oceną skutków a analizą ryzyka.

art. 35 RODO

Audyt RODO — jak go przeprowadzić i udokumentować

Skąd bierze się obowiązek, jak zbudować listę kontrolną, jak liczyć procent zgodności i dlaczego bez planu naprawczego audyt jest kosztem.

art. 24, 32 i 39 RODO

Test równowagi — prawnie uzasadniony interes w praktyce

Trzy stopnie testu, niezbędność jako bramka, rozsądne oczekiwania osoby, prawo sprzeciwu i trzy błędy, które unieważniają wynik.

art. 6 ust. 1 lit. f RODO

Zgoda na przetwarzanie danych osobowych — art. 7 RODO

Kiedy zgoda jest właściwą podstawą, a kiedy szkodzi, cztery cechy zgody ważnej, co trzeba umieć wykazać i co dzieje się z danymi po wycofaniu.

art. 6 ust. 1 lit. a i art. 7 RODO

Wniosek o usunięcie danych i inne żądania z RODO

Od kiedy biegnie miesiąc, jak potwierdzić tożsamość wnioskodawcy, kiedy usunięcia spełnić nie wolno i jak uzasadnić odmowę.

art. 12–22 RODO

O tym poradniku

Skąd te teksty

Opracowania pisze praktykujący zewnętrzny inspektor ochrony danych — ten sam, który zbudował SZODO. Opisują to, co widać w dokumentacji klientów: nie same przepisy, tylko miejsca, w których ich stosowanie rozjeżdża się z rzeczywistością. Stąd nacisk na błędy i na kolejność działań, a nie na cytowanie artykułów.

Każde opracowanie kończy się krótką informacją, jak dany dokument prowadzi się w SZODO. To osobna sekcja i można ją pominąć — treść merytoryczna jest kompletna bez niej i nie wymaga żadnego programu.

Teksty mają charakter informacyjny i nie są opinią prawną w indywidualnej sprawie. O tym, jak przepis stosuje się do konkretnego przetwarzania, rozstrzyga administrator danych — w razie wątpliwości wspólnie ze swoim inspektorem.

Praca własna

Aplikacja dostosowuje się do jednostki, nie odwrotnie

Dokumentacja ochrony danych opisuje konkretną organizację. Narzędzie, które narzuca cudze listy i cudze pytania, opisuje więc kogoś innego — dlatego wszystko, co merytoryczne, jest w SZODO otwarte na zmianę.

Własne słowniki rejestrów

Cele przetwarzania, kategorie danych i osób, odbiorcy, podstawy prawne, komórki organizacyjne, programy i zasoby — wszystko dopisujesz sam. Pozycji już użytej we wpisie aplikacja nie da skasować, tylko zarchiwizować, żeby stare wpisy pozostały czytelne.

Własne aktywa, zagrożenia, podatności i zabezpieczenia

Cztery listy analizy ryzyka należą do konkretnego administratora danych. Zaczynasz zestawem startowym z rzeczywistej analizy jednostki samorządowej, a potem dopisujesz swoje — ręcznie albo przez arkusz kalkulacyjny, w obie strony.

Własne pytania audytowe

Audyt prowadzi się na liście kontrolnej, którą sam układasz: własne obszary, własne pytania, własna kolejność. Można zacząć od gotowego zestawu, skopiować istniejącą listę i zmienić ją pod konkretne badanie albo zbudować własną od zera i wczytać z pliku.

Własne wzory dokumentów

Treść upoważnienia i format numeracji ustawia się osobno dla każdego administratora danych, tak samo katalog rodzajów zgód i kategorie w szafie na dokumenty. Wzór uzgodniony z radcą prawnym wprowadza się raz.

Asystent AI

Podpowiada, ale nie decyduje — i to jest wpisane w konstrukcję

Po podłączeniu Asystenta AI aplikacja potrafi przygotować projekt tekstu tam, gdzie pisania jest najwięcej: scenariusze ryzyka w analizie ryzyka, odpowiedzi i opinię w ocenie skutków, uzasadnienie testu równowagi, opis naruszenia, rekomendacje poaudytowe oraz projekty pism do osób, których dane dotyczą.

Rola Asystenta kończy się jednak wcześniej, niż zwykle sugeruje słowo „AI”, i granica nie jest deklaracją w regulaminie — wynika ze sposobu działania aplikacji:

Nic nie zapisuje się samo. Każda propozycja trafia na ekran zatwierdzania, jest oznaczona jako pochodząca od Asystenta i wymaga świadomego przyjęcia.
Tego, co napisał człowiek, Asystent nie zmienia. Pola już wypełnione zostają nietknięte — propozycja czeka obok, do porównania.
Ocen nie wystawia. Waga naruszenia, waga interesu administratora, wpływ na osobę i odpowiedzi na pytania listy kontrolnej audytu pozostają decyzją człowieka. To są właśnie te miejsca, od których zależy wynik dokumentu.
Nie zmyśla, gdy nie wie. W ocenie skutków miejsca wymagające wiedzy o jednostce oznacza dopiskiem „DO USTALENIA”, a w analizie ryzyka buduje scenariusze wyłącznie z pozycji istniejących w Twoich słownikach.

Powód jest jeden i nie ma w nim ostrożności na wyrost: pod dokumentacją ochrony danych podpisuje się administrator danych albo inspektor — nie program. Asystent skraca pisanie i podpowiada, czego nie wzięto pod uwagę. Odpowiedzialności za treść i za decyzję nie przejmuje i nie może przejąć.

Asystent jest przy tym opcjonalny: aplikacja działa w całości bez niego, a organizacja podłącza go własnym kluczem dostawcy, sama decydując, czy w ogóle chce z niego korzystać.

Demonstracja

Zobacz te dokumenty w działającej aplikacji

Wszystkie opisane tu dokumenty — rejestr czynności, upoważnienia, zgłoszenie naruszenia, ocena skutków i test równowagi — są w SZODO gotowe do wypełnienia i wydruku. Demonstracja jest wypełniona danymi fikcyjnej gminy i otwiera się jednym kliknięciem, bez zakładania konta.

Wejdź do demonstracji Zobacz zrzuty ekranu