Kurs Inspektora Ochrony Danych

DZIEŃ 1

I. Wstęp - jak działa system ochrony danych osobowych?

• 6 filarów systemu ochrony danych osobowych - dokumenty podstawowe, procedury, techniczne środki ochrony danych, codzienność, przepisy branżowe, szkolenia.
• Inspektor Ochrony Danych (IOD) - zadania, status, odpowiedzialność. 
• Otoczenie prawne 

II. Rola organizacji w przetwarzaniu danych osobowych

• Co w orzecznictwie jest kwalifikowane jako “dane osobowe” i na czym polega ich “przetwarzanie”?
• Przepływy danych. 
• Warsztat praktyczny: jak kwalifikować konkretne przepływy danych w Twojej organizacji? 
• Materiały: gotowy wzór bezpiecznej umowy powierzenia przetwarzania.
• Case study

III. Privacy by design - projektowanie procesów zgodnie z prawem

• Legalność - dane zwykłe oraz szczególne. Wybór podstawy prawnej przetwarzania danych.  Test balansu wykonywany przy przetwarzaniu na podstawie art. 6 ust. 1 lit. f) RODO.
• Celowość i minimalizm - minimalizacja zakresu i czasu przechowywania. 
• Poprawność merytoryczna przetwarzanych danych.
• Integralność i poufność - art. 32 RODO i jego praktyczne następstwa w orzecznictwie. 
• Privacy by default - obowiązek domyślnej ochrony danych osobowych w każdym procesie przetwarzania.
• Rozliczalność - jak ją realizować w praktyce.
• Warsztat praktyczny: Przeprowadzanie testu balansu (art. 6 ust. 1 lit. f RODO) oraz ustalanie terminów retencji danych.
• Materiały: profesjonalny szablon testu balansu.

IV. Obsługa żądań - prawa podmiotów danych

• Katalog praw przysługujących osobom których dane są przetwarzane, na podstawie art. 15 - 22 RODO?
• Obowiązki i dokumenty związane z rozpatrywaniem żądań podmiotów danych.
• Warsztat praktyczny: obsługa żądań podmiotów danych.

V. Rejestry czynności i kategorii czynności przetwarzania

• Cele i praktyczne znaczenie RCPD (rejestru administratora) i RKCP (rejestru podmiotu przetwarzającego).
• Warsztat praktyczny: mapowanie czynności przetwarzania i konstruowanie rejestrów oraz ewidencjonowanie środków ochrony przy użyciu autorskich narzędzi.
• Materiały: autorskie wzory RCP, RKCP i rejestru środków ochrony danych oraz przykładowe rejestry UODO.

VI. Upoważnienia do przetwarzania danych

• Upoważnienie a umowa powierzenia - kiedy stosować?
• Formy upoważnień do przetwarzania danych osobowych. 
• Rejestr upoważnień do przetwarzania danych osobowych.
• Materiały: Komplet wzorów upoważnień i rejestr upoważnień.

VII. Obowiązki informacyjne

• Zawartość klauzul, zalecane formy oraz miejsca ich spełniania.
• Warsztat praktyczny: analiza przykładowych klauzul informacyjnych.
• Materiały: zestaw wzorów klauzul informacyjnych.

VIII. Transfer danych poza Europejski Obszar Gospodarczy

• W jakich sytuacjach transferujemy dane do państw trzecich? Oprogramowanie, narzędzia, usługi, na które musimy w szczególności zwrócić uwagę.
• Legalizacja przekazywania danych i konsekwencje informacyjne.
• Konsekwencje transferu danych poza EOG w zakresie dokumentacji i obowiązku informacyjnego.

IX. Umowy powierzenia i udostępnienia danych

• Obowiązki związane z powierzaniem i z udostępnianiem danych osobowych.
• Warsztat praktyczny: konstruowanie oraz audytowanie umów powierzenia od podwykonawców.
• Materiały: wzór umowy powierzenia, wzory rejestrów powierzeń i udostępnień. Checklista kontrolna do umowy powierzenia, zawierająca 35+ kryteriów kontrolnych.
• Case study

DZIEŃ 2

I. Analiza ryzyka.

• Identyfikacja: wybór obszarów szacowania ryzyka i modelowanie podatności oraz zagrożeń w systemie.
• Ocena: parametry skutku i prawdopodobieństwa na podstawie dwóch metodyk zatwierdzonych przez UODO.
• Postępowanie z ryzykiem: udzielanie zaleceń.
• Warsztat praktyczny: analiza ryzyka związana z zasobami oraz czynnościami przetwarzania.
• Materiały: formularze i matryce do przeprowadzania analizy ryzyka.
• Case study

II. Ocena skutków dla ochrony danych (OSOD) / Data Protection Impact Assessment (DPIA).

• Zależność pomiędzy DPIA a analizą ryzyka.
• Kiedy przeprowadzenie DPIA jest wymagane?
• Rola Inspektora Ochrony Danych (IOD) w DPIA.
• Uprzednie konsultacje z organem nadzorczym.
• Warsztat praktyczny: przeprowadzenie pełnego procesu DPIA na bazie case studies.
• Materiały: wzorzec dokumentacji DPIA.
• Case study

III. Naruszenia ochrony danych osobowych

• Kwalifikacja naruszeń: kiedy wpisać do rejestru wewnętrznego, kiedy zgłosić do UODO, a kiedy powiadomić osoby poszkodowane?
• Warsztat praktyczny: kwalifikacja naruszeń na podstawie konkretnych decyzji i poradnika UODO, orzeczeń WSA i NSA oraz wytycznych EROD.
• Warsztat praktyczny: symulacja wpisu do rejestru, zgłoszenia naruszenia i powiadomienia podmiotów danych.
• Materiały: Gotowa procedura postępowania z naruszeniami.
• Case study

IV. Monitorowanie, testowanie, mierzenie

• Wymóg regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych.
• Rola IOD w monitorowaniu przestrzegania polityk organizacji oraz RODO. 
• Materiały: Formularze i rejestry wspierające proces mierzenia i testowania zabezpieczeń.

V. Podsumowanie

• Wdrożenie RODO w 10 krokach przy pomocy przekazanych materiałów poszkoleniowych.
• Test sprawdzający wiedzę.
• Dyskusja.