Poradnik
Dokumentacja RODO — jak ją prowadzić
Sześć opracowań o dokumentach, które sprawiają najwięcej kłopotu: rejestrze czynności, upoważnieniach, zgłaszaniu naruszeń, ocenie skutków, teście równowagi i audycie zgodności. Każde odpowiada na konkretne pytanie i pokazuje, gdzie w praktyce popełnia się błędy.
Rejestr czynności przetwarzania — jak go prowadzić
Kto ma obowiązek, siedem elementów wymaganych w każdym wpisie, różnica między rejestrem z ust. 1 i ust. 2 oraz pięć błędów, które widać w rejestrach najczęściej.
art. 30 RODOUpoważnienie do przetwarzania danych — co musi zawierać
Skąd bierze się obowiązek, siedem elementów dokumentu, jak określić zakres, żeby nie dezaktualizował się po miesiącu, i co zrobić przy zmianie stanowiska.
art. 29 RODOZgłoszenie naruszenia do UODO — jak liczyć 72 godziny
Od czego dokładnie biegnie termin, kiedy zgłoszenie nie jest potrzebne, kiedy zawiadamia się osoby i dlaczego rejestr obejmuje także naruszenia niezgłoszone.
art. 33–34 RODOKiedy trzeba zrobić ocenę skutków (DPIA)
Trzy przypadki obowiązkowe, wykaz Prezesa UODO, cztery elementy wymagane treścią oceny i różnica między oceną skutków a analizą ryzyka.
art. 35 RODOAudyt RODO — jak go przeprowadzić i udokumentować
Skąd bierze się obowiązek, jak zbudować listę kontrolną, jak liczyć procent zgodności i dlaczego bez planu naprawczego audyt jest kosztem.
art. 24, 32 i 39 RODOTest równowagi — prawnie uzasadniony interes w praktyce
Trzy stopnie testu, niezbędność jako bramka, rozsądne oczekiwania osoby, prawo sprzeciwu i trzy błędy, które unieważniają wynik.
art. 6 ust. 1 lit. f RODOO tym poradniku
Skąd te teksty
Opracowania pisze praktykujący zewnętrzny inspektor ochrony danych — ten sam, który zbudował SZODO. Opisują to, co widać w dokumentacji klientów: nie same przepisy, tylko miejsca, w których ich stosowanie rozjeżdża się z rzeczywistością. Stąd nacisk na błędy i na kolejność działań, a nie na cytowanie artykułów.
Każde opracowanie kończy się krótką informacją, jak dany dokument prowadzi się w SZODO. To osobna sekcja i można ją pominąć — treść merytoryczna jest kompletna bez niej i nie wymaga żadnego programu.
Teksty mają charakter informacyjny i nie są opinią prawną w indywidualnej sprawie. O tym, jak przepis stosuje się do konkretnego przetwarzania, rozstrzyga administrator danych — w razie wątpliwości wspólnie ze swoim inspektorem.
Praca własna
Aplikacja dostosowuje się do jednostki, nie odwrotnie
Dokumentacja ochrony danych opisuje konkretną organizację. Narzędzie, które narzuca cudze listy i cudze pytania, opisuje więc kogoś innego — dlatego wszystko, co merytoryczne, jest w SZODO otwarte na zmianę.
Własne słowniki rejestrów
Cele przetwarzania, kategorie danych i osób, odbiorcy, podstawy prawne, komórki organizacyjne, programy i zasoby — wszystko dopisujesz sam. Pozycji już użytej we wpisie aplikacja nie da skasować, tylko zarchiwizować, żeby stare wpisy pozostały czytelne.
Własne aktywa, zagrożenia, podatności i zabezpieczenia
Cztery listy analizy ryzyka należą do konkretnego administratora danych. Zaczynasz zestawem startowym z rzeczywistej analizy jednostki samorządowej, a potem dopisujesz swoje — ręcznie albo przez arkusz kalkulacyjny, w obie strony.
Własne pytania audytowe
Audyt prowadzi się na liście kontrolnej, którą sam układasz: własne obszary, własne pytania, własna kolejność. Można zacząć od gotowego zestawu, skopiować istniejącą listę i zmienić ją pod konkretne badanie albo zbudować własną od zera i wczytać z pliku.
Własne wzory dokumentów
Treść upoważnienia i format numeracji ustawia się osobno dla każdego administratora danych, tak samo katalog rodzajów zgód i kategorie w szafie na dokumenty. Wzór uzgodniony z radcą prawnym wprowadza się raz.
Asystent AI
Podpowiada, ale nie decyduje — i to jest wpisane w konstrukcję
Po podłączeniu Asystenta AI aplikacja potrafi przygotować projekt tekstu tam, gdzie pisania jest najwięcej: scenariusze ryzyka w analizie ryzyka, odpowiedzi i opinię w ocenie skutków, uzasadnienie testu równowagi, opis naruszenia, rekomendacje poaudytowe oraz projekty pism do osób, których dane dotyczą.
Rola Asystenta kończy się jednak wcześniej, niż zwykle sugeruje słowo „AI”, i granica nie jest deklaracją w regulaminie — wynika ze sposobu działania aplikacji:
- Nic nie zapisuje się samo. Każda propozycja trafia na ekran zatwierdzania, jest oznaczona jako pochodząca od Asystenta i wymaga świadomego przyjęcia.
- Tego, co napisał człowiek, Asystent nie zmienia. Pola już wypełnione zostają nietknięte — propozycja czeka obok, do porównania.
- Ocen nie wystawia. Waga naruszenia, waga interesu administratora, wpływ na osobę i odpowiedzi na pytania listy kontrolnej audytu pozostają decyzją człowieka. To są właśnie te miejsca, od których zależy wynik dokumentu.
- Nie zmyśla, gdy nie wie. W ocenie skutków miejsca wymagające wiedzy o jednostce oznacza dopiskiem „DO USTALENIA”, a w analizie ryzyka buduje scenariusze wyłącznie z pozycji istniejących w Twoich słownikach.
Powód jest jeden i nie ma w nim ostrożności na wyrost: pod dokumentacją ochrony danych podpisuje się administrator danych albo inspektor — nie program. Asystent skraca pisanie i podpowiada, czego nie wzięto pod uwagę. Odpowiedzialności za treść i za decyzję nie przejmuje i nie może przejąć.
Asystent jest przy tym opcjonalny: aplikacja działa w całości bez niego, a organizacja podłącza go własnym kluczem dostawcy, sama decydując, czy w ogóle chce z niego korzystać.
Demonstracja
Zobacz te dokumenty w działającej aplikacji
Wszystkie opisane tu dokumenty — rejestr czynności, upoważnienia, zgłoszenie naruszenia, ocena skutków i test równowagi — są w SZODO gotowe do wypełnienia i wydruku. Demonstracja jest wypełniona danymi fikcyjnej gminy i otwiera się jednym kliknięciem, bez zakładania konta.