Czym jest RODO?
RODO, czyli ogólne rozporządzenie o ochronie danych (rozporządzenie (UE) 2016/679), określa zasady przetwarzania danych osobowych osób w UE. Stosuje się je od 25 maja 2018 r., a w Polsce uzupełnia je ustawa o ochronie danych osobowych; nadzór sprawuje Prezes UODO.
Za najpoważniejsze naruszenia grożą kary do 20 mln euro lub 4% całkowitego rocznego obrotu, w zależności od tego, która kwota jest wyższa. W praktyce firmy najczęściej spotykają się z RODO przy umowach z klientami, umowach powierzenia i ankietach bezpieczeństwa.
Kogo obowiązuje RODO?
- Każdą organizację mającą siedzibę w UE, która przetwarza dane osobowe
- Firmy spoza UE, które oferują towary lub usługi osobom w UE albo monitorują ich zachowanie (art. 3 ust. 2)
- Dostawców SaaS i firmy IT przetwarzające dane w imieniu klientów jako podmioty przetwarzające
- Działy HR, marketingu, e-commerce i placówki medyczne przetwarzające dane klientów lub pracowników
Co sprawdza bezpłatna samoocena RODO
- Podstawy prawne przetwarzania i ważność zgód
- Rejestr czynności przetwarzania (art. 30)
- Klauzule informacyjne i realizacja praw osób: dostęp, usunięcie, przenoszenie, sprzeciw
- Umowy powierzenia z podmiotami przetwarzającymi (art. 28) i przekazywanie danych poza EOG
- Bezpieczeństwo przetwarzania (art. 32): kontrola dostępu, szyfrowanie, kopie zapasowe
- Obsługa naruszeń i zgłaszanie do UODO w ciągu 72 godzin (art. 33–34)
- Ocena skutków dla ochrony danych (art. 35) i inspektor ochrony danych (art. 37)
Typowe luki wykrywane podczas audytu RODO
Samoocena pokaże, które z nich dotyczą Twojej organizacji, zanim zapyta o to klient lub UODO.
- Brak aktualnego rejestru czynności przetwarzania
- Brak umów powierzenia z częścią dostawców, zwłaszcza narzędzi SaaS
- Brak udokumentowanej procedury obsługi żądań osób i zgłaszania naruszeń
- Zgody zbierane w sposób, który nie jest dobrowolny, konkretny lub możliwy do wykazania
- Brak określonych okresów przechowywania – dane są trzymane bezterminowo
Samoocena, a nie certyfikacja
Nie istnieje jeden obowiązkowy certyfikat RODO. Klienci i organ nadzorczy oczekują dowodów, że wymagania są spełnione. Samoocena daje uporządkowany obraz tych dowodów i luk.
W zakresie bezpieczeństwa informacji wiele firm korzysta dodatkowo z ISO/IEC 27001 i ISO/IEC 27701. baltum.ai to niezależne oprogramowanie, a nie jednostka certyfikująca ani kancelaria – samoocena nie jest poradą prawną.