Dzień 1.

Najistotniejsze zmiany dla przedsiębiorców wprowadzone przez RODO:

• Omówienie podstawowej terminologii oraz zasad RODO,  ze szczególnym uwzględnieniem realizacji zasady minimalizmu i rozliczalności.

• Przedstawienie elementów niezbędnych do wdrożenia w organizacji, podlegających następczo weryfikacji w drodze audytu, m.in.:

• Rejestru czynności przetwarzania danych osobowych

• Rejestru kategorii przetwarzania danych osobowych

1.     Przedstawienie elementów niezbędnych do wdrożenia w organizacji, podlegających następczo weryfikacji w drodze audytu (c.d.)

• Przykładowych rejestrów oraz ewidencji.

2.     Analiza dokumentów oraz narzędzi służących do realizacji zasady rozliczalności, m.in.:

• Zasad wyboru procesorów;

• Narzędzi stosowanych do przeprowadzenia analizy ryzyka w organizacji (arkusze, lista incydentów, protokoły zagrożeń).

1.     Weryfikacja poprawności identyfikacji zasobów fizycznych  w organizacji oraz stosowanych zabezpieczeń – omówienie narzędzi oraz dokumentacji.

2.     Omówienie podstawowych elementów podlegających identyfikacji  w związku z przeprowadzeniem identyfikacji zabezpieczeń informatycznych  – omówienie ankiety przedaudytowej weryfikującej stan zabezpieczeń IT.

AUDYT

1.     Omówienie metodyki sprawdzenia:

• Wywiadu osobistego

• Wizji lokalnej

2.       Przedstawienie przykładowego protokołu oględzin pomieszczeń /obiektów oraz tabeli (check-listy) zabezpieczeń fizycznych.

Data

realizacji zajęć

1.     Bezpieczeństwo fizyczne danych przetwarzanych w siedzibie przedsiębiorstwa c.d.

• Obieg dokumentacji papierowej

• Zakres danych otrzymywanych/pobieranych/przetwarzanych przez pracowników i współpracowników

• Fizyczne systemy bezpieczeństwa – polityka kluczy, polityka czystego biurka.

2.     Bezpieczeństwo danych poza organizacją:

• Podróże służbowe z dokumentacją papierową i formy jej zabezpieczenia

• Formy bezpośredniego i zdalnego zabezpieczenia laptopów i telefonów służbowych.

3.     Działalność działów wyodrębnionych w organizacji:

Weryfikacja przepływu danych w formie papierowej i elektronicznej oraz sposobu ich zabezpieczenia

• DZIAŁ MARKETINGOWY/HANDLOWY –

o    Działalność organizacji w sieci – audyt strony internetowej oraz stron typu fanpage na portalach społecznościowych

o    Weryfikacja wypełniania obowiązku informacyjnego oraz poprawności odbieranych zgód na przetwarzanie danych osobowych.

• DZIAŁ HR:

o    Zawartość teczki pracowniczej pod kątem spełnienia wobec pracowników obowiązku informacyjnego

o    Informowanie pracowników o monitoringu oraz innych formach nadzoru

o    Analiza poprawności procesu rekrutacyjnego.

• DZIAŁ IT:

o    Polityka haseł oraz mechanizmy nadania/zmiany bądź blokady uprawnień

o    Mechanizmy tworzenia kopii zapasowych oraz procedura ciągłości systemu informatycznego

o    Ochrona przed nieautoryzowanym dostępem do sieci lokalnej.

4.     Weryfikacja obowiązku podmiotu audytowanego w zakresie prowadzenia:

• Rejestru czynności przetwarzania danych osobowych;

• Rejestru kategorii przetwarzania danych osobowych

1.     Umowy i relacje z podmiotami trzecimi:

• Poczta pracownicza oraz obowiązki informacyjne względem jej użytkowników

• Umowy powierzenia przetwarzania danych osobowych – obowiązki organizacji jako procesora oraz uprawnienia kontrolne jako administratora.

• Okresowy audyt procesorów.

2.     Analiza ryzyka:

• Weryfikacja aktualności zidentyfikowanych zagrożeń oraz wypełnianie arkusza analizy ryzyka poprzez nadanie zagrożeniom właściwych atrybutów istotności;

• Przykładowa forma zaleceń w przypadku wykrycia nieprawidłowości
w organizacji.

3.     Przepływ informacji w organizacji do Inspektora Ochrony Danych

• Informowanie o incydentach bezpieczeństwa zgodnie z polityką bezpieczeństwa przyjętą w organizacji

• Realizacja zasady privacy by design

4.     Check list – weryfikacja dokumentacji:

• Rejestrów i upoważnień

• Polityk i regulaminów.