Dwudniowe warsztaty RODO (analiza ryzyka, wykonywanie audytów, ocena skutków dla ochrony danych, prowadzenie rejestru czynności, retencja i transfer danych)

O szkoleniu

Pierwszego dnia:

  • przećwiczymy wykonywanie audytów przetwarzania danych osobowych,
  • wykonamy przykładową analizę ryzyka,
  • sporządzimy przykładową ocenę skutków dla ochrony danych (OSOD/DPIA).

Drugiego dnia:

  • sporządzimy przykładowy rejestr czynności przetwarzania danych osobowych,
  • szczegółowo omówimy i przećwiczymy stosowanie zasady retencji w praktyce,
  • zajmiemy się międzynarodowym transferem danych (poza strefę EOG),
  • omówimy postępowania kontrolne PUODO i przećwiczymy odpowiedzi na żądania organu.

Warsztaty są realizowane w formule case studies oraz z użyciem komputerów i autorskich wzorów dokumentacji RODO: wzorze analizy ryzyka RODO i matrycy ryzyk, wzorze DPIA, a także wzorze rejestru czynności przetwarzania danych osobowych.

Kto powinien wziąć udział?

Warsztaty RODO to nie tylko warsztaty dla Inspektorów Ochrony Danych. Warsztaty RODO są odpowiednie również dla kierownictwa administratorów danych, samodzielnie wdrażających RODO. Warsztaty RODO są także znakomitymi zajęciami dla osób odpowiedzialnych za procesy przetwarzania danych osobowych w tych organizacjach, które nie zdecydowały się na powołanie Inspektora Ochrony Danych.

Program szkolenia

DZIEŃ 1

I. Wykonywanie audytów systemów przetwarzania danych osobowych.

  • Podstawowe pojęcia związane z przeprowadzaniem audytów.
  • Główne problemy audytorów –  jak przygotować się do tej roli?
  • Zadanie audytów w procesie wdrażania i stosowania RODO.
  • Czym różni się audyt przedwdrożeniowy od audytu walidacyjnego – jakie są ich cele i jakie zadania spoczywają na audytorze?
  • Jak sporządzić plan audytu, z uwzględnieniem jego celu i docelowego zakresu? Warsztat.
  • Pozyskiwanie materiału źródłowego do audytu. Forma jego dokumentacji w perspektywie dowodowości.
  • Jakie środki bezpieczeństwa przy przetwarzaniu danych osobowych są najczęściej stosowane, a jakich wymaga organ nadzorczy? Case study w oparciu o analizę dotychczasowych decyzji i opinii organu nadzorczego.
  • Jak badać fizyczne środki bezpieczeństwa, w tym w zakresie infrastruktury budynków i pomieszczeń?
  • Jak badać techniczne środki bezpieczeństwa, w tym w zakresie infrastruktury informatycznej?
  • Organizacyjne środki bezpieczeństwa – analiza jakie procedury są kluczowe oraz w jaki sposób badać świadomość obowiązków spoczywających na osobach upoważnionych.
  • Badanie, czy organizacja jest przygotowana do realizacji uprawnień osób, których dotyczą przetwarzane dane osobowe.
  • Jaki powinien być efekt audytu, aby był on użyteczny. W  jaki sposób sporządzić raport z audytu systemu przetwarzania danych osobowych?
  • Zalecenia pokontrolne – jakie treści powinny zawierać?.

II. Analiza ryzyka.

  • Podejście oparte na ryzyku (risk-based approach) jako fundament RODO.
  • Identyfikacja aktywów i zasobów niezbędnych w procesie szacowania ryzyka.
  • Parametry analizy ryzyka – skutek i prawdopodobieństwo wystąpienia – jak rozumieć, oceniać i jakie wartości należy im przypisać.
  • Jak diagnozować zagrożenia naruszeń ochrony danych osobowych, wynikające z używania konkretnych zasobów?
  • Na jakie podatności należy zwrócić uwagę, przy diagnozowaniu konkretnych ryzyk?
  • Sposoby oceny ryzyka związanego z wystąpieniem konkretnych zagrożeń.
  • Przeprowadzanie szczegółowej analizy na matrycach zaproponowanych przez organizatora – zajęcia warsztatowe..
  • Kontynuacja warsztatu z użyciem elektronicznych matryc ryzyk, na konkretnym przykładzie podmiotu przetwarzającego dane osobowe.
  • Jak postępować ze zdiagnozowanym ryzykiem.
  • Jak sporządzać plany działań, zmierzające do minimalizacji ryzyka – obniżanie ryzyka, transfer ryzyka.

III. Ocena skutków dla ochrony danych (Data Protection Impact Assessment, OSOD/DPIA).

  • Jaki jest cel DPIA?
  • Jak ocenić, czy przeprowadzenie DPIA jest wymagane?
  • Niezbędne elementy procesu DPIA – art. 35 RODO.
  • Formułowanie informacji dotyczących planowanych działań, mogących spowodować skutek dla ochrony danych osobowych.
  • Definiowanie interesu administratora, celów oraz podstaw prawnych przetwarzania, mogącego spowodować skutek dla ochrony danych osobowych.
  • Jak oceniać niezbędność i proporcjonalność planowanych operacji przetwarzania danych osobowych, względem praw osób, których te dane dotyczą?
  • Jak diagnozować zakres danych osobowych, przetwarzanych w ramach planowanych operacji przetwarzania?
  • Ocena zdolności do realizacji uprawnień osób, których dotyczą dane przetwarzane w ramach planowanych operacji przetwarzania.
  • Jak wybrać i opisać środki bezpieczeństwa, wdrażane w celu ograniczenia ryzyka naruszenia praw i wolności osób, których dane dotyczą?
  • Jaka zależność zachodzi pomiędzy przeprowadzeniem DPIA a analizą ryzyka?
  • Przygotowywanie DPIA – warsztat. Formuła case studies na wzorcu  DPIA.
  • Rola Inspektora Ochrony Danych w DPIA.
  • Uprzednie konsultacje z organem nadzorczym:
    • zakres informacji, która należy przedłożyć organowi nadzorczemu,
    • uprawnienia organu nadzorczego.

IV. Głos publiczności

  • Pytania uczestników.
  • Dyskusja.

 

DZIEŃ 2

I. Zasada ograniczonego przechowywania i retencja danych.

  • Minimalizacja czasu przechowywania i zakresu danych osobowych jako podstawa RODO.
  • Po jakim czasie należy usuwać dane osobowe?
  • Terminy przetwarzania danych osobowych, wynikające z obowiązujących przepisów prawa. Case study – tworzymy wykaz okresów retencji danych.
  • W jaki sposób należy określać terminy przetwarzania danych osobowych w przypadku, gdy wprost nie określają tego przepisy prawa? Case study – tworzymy wykaz okresów retencji danych.
  • Instrukcja kancelaryjna i jednolity rzeczowy wykaz akt.
  • Relacja pomiędzy zasadą retencji a obowiązkiem informacyjnym RODO.
  • Zasadą retencji a wykonywanie kopii bezpieczeństwa przetwarzanych danych osobowych – uwagi praktyczne.
  • Jak i gdzie należy zamieścić informacje o planowanych terminach usunięcia danych osobowych?
  • Praktyczne rozwiązania związane z wdrażaniem zasady ograniczonego przechowywania

II. Rejestr czynności przetwarzania (rejestr administratora) i kategorii czynności przetwarzania (rejestr podmiotu przetwarzającego).

  • Cele i praktyczne znaczenie rejestrów.
  • Obowiązkowe i fakultatywne elementy rejestrów.
  • Jakie dodatkowe elementy rejestru czynności warto stosować, w celu ułatwienia zarządzania systemem przetwarzania danych osobowych?
  • Jak ocenić, czy sporządzenie rejestru czynności i rejestru kategorii przetwarzań jest wymagane? Wyłączenia wskazane w RODO.
  • Jak wyróżniać i identyfikować „czynności” i „kategorie czynności” przetwarzania, podlegające uwzględnieniu w rejestrach.
  • Jak formułować cele przetwarzania danych i jaka jest ich relacja względem zdefiniowanych czynności?
  • Opis kategorii danych osobowych oraz kategorii osób, których dotyczą przetwarzane dane.
  • Jak uwzględniać odbiorców danych oraz diagnozować, czy dane osobowe są przekazywane poza EOG?
  • Jak oceniać zasadność stosowania dodatkowych zabezpieczeń, w przypadku przekazywania danych osobowych do krajów spoza EOG.
  • Formułowanie opisu technicznych i organizacyjnych środków bezpieczeństwa, stosowanych przy przetwarzaniu danych osobowych.
  • Monitorowanie aktualności rejestru czynności na danych – jak praktycznie sobie z tym poradzić?

III. Warsztat.

  • Konstruowanie rejestrów na podstawie konkretnego stanu faktycznego, przy wykorzystaniu autorskich wzorów: rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzanie.

IV. Problematyka transferu danych do państw trzecich.

  • Czy rzeczywiście nie przekazujemy danych do państw trzecich? Oprogramowanie, narzędzia, usługi, na które musimy w szczególności zwrócić uwagę.
  • Kiedy legalnie można przekazywać dane do państwa trzeciego?
  • Jak sprawdzić, czy państwo do którego organizacja transferuje dane osobowe znajduje się na liście “krajów bezpiecznych”.
  • Transfer danych do Stanów Zjednoczonych – analiza problematyki oraz omówienie jak krok po kroku sprawdzić czy podmiot do którego transferujemy dane osobowe jest “bezpieczny”.
  • Dodatkowe środki zabezpieczeń, stosowane w przypadku przekazywania danych osobowych do krajów spoza listy “krajów bezpiecznych”.
  • Konsekwencje transferu danych poza EOG w zakresie dokumentacji i obowiązku informacyjnego.

V. Urząd Ochrony Danych Osobowych (UODO).

  • Status Prezesa Urzędu Ochrony Danych Osobowych.
  • Zadania i kompetencje organu nadzorczego.
  • Postępowanie kontrolne i procedury z nim związane.
  • Jak wyglądają kontrole w praktyce?
  • Jak przygotować się na kontrolę?
  • Zakres odpowiedzialności i administracyjne kary pieniężne.

VI. Głos publiczności

  • Pytania uczestników.
  • Dyskusja.

Czas trwania

9:00-16:30

Prelegenci

ANNA MROZOWSKA

Członek Grupy Roboczej ds. Ochrony Danych Osobowych przy Ministerstwie Cyfryzacji

Prawnik i praktyk. Autorka publikacji w m. in. Wolters Kluwer, Rzeczpospolitej, Forbesie, Dzienniku Gazeta Prawna, Onecie oraz w Newsweeku. Praktykujący IOD, między innymi w Polskiej Komisji Akredytacyjnej – gremium eksperckim, oceniającym jakość kształcenia na polskich uczelniach. Ekspert ds. postępowania oceniającego (EPO) Polskiej Komisji Akredytacyjnej, ekspert Programu Operacyjnego Wiedza Edukacja Rozwój (PO WER), ekspert Programu Operacyjnego Inteligentny Rozwój (PO IR) przy Narodowym Centrum Badań i Rozwoju oraz ekspert ds. przetwarzania i ochrony danych osobowych w Instytucie Rozwoju Szkolnictwa Wyższego. Członek Komitetu Monitorującego Wielkopolski Regionalny Program Operacyjny 2014+, członek Komisji ds. Strategicznych Szkolnictwa Wyższego 2016-2020 Konferencji Rektorów Akademickich Szkół Polskich. Wykonawca kilkuset polityk ochrony danych osobowych. Certyfikowany audytor wewnętrzny ISO 27001 i 9001. Wykonawca merytoryczny narzędzia NiezbędnikRODO.pl. Prowadzi audyty i wdrożenia od 2014 roku, a szkolenia od 2010 roku.

Terminy i miejsca

Zapoznaj się z aktualnymi terminami tego szkolenia bądź zapisz na powiadomienia o nowych terminach.

Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.
Warsztaty odbywają się za pośrednictwem platformy ClickMeeting, wystarczy dostęp do przeglądarki internetowej.

Rejestracja

Cena standardowa
za osobę
823
+23% VAT
Cena zawiera:
  • Zniżkę 3% przy zgłoszeniu za pośrednictwem Eventis.pl (cena standardowa 849 zł)
  • udział w zajęciach
  • materiały szkoleniowo-konferencyjne
  • certyfikat uczestnictwa (zobacz wzór)
Dostępne zniżki:
  • 5.77% przy zgłoszeniu min. 2 osób
  • 11.66% przy zgłoszeniu min. 3 osób
  • 17.55% przy zgłoszeniu min. 4 osób
  • Rozwiń
Zapisz się

Organizator

Instytut Odpowiedzialnego Biznesu
60-837 Poznań
ul. Mickiewicza 33/41
woj. wielkopolskie
Instytut Odpowiedzialnego Biznesu to współpracujący od lat, prężnie rozwijający się zespół prawników specjalizujących się w obsłudze przedsiębiorców , w tym spółek osobowych i kapitałowych, jak również JST oraz jednostek rządowych, w tym ministerstw....
FAQ

Najczęściej zadawane pytania

Prosimy o przejście do sekcji Zapisz się, aby wypełnić formularz zgłoszenia w wydarzeniu. Po jego wysłaniu organizator skontaktuje się celem potwierdzenia przyjęcia zgłoszenia i przekazania szczegółów organizacyjnych.

Płatność na podstawie proformy bądź faktury VAT wystawionej po zrealizowaniu warsztatów.


Kontakt

Masz pytania? Napisz do nas

Wypełnij formularz

Uzupełnij pole
Wybierz termin wydarzenia
Uzupełnij pole
Uzupełnij pole
Uzupełnij wiadomość
Potwierdź, że nie jesteś botem.
Musisz zaakceptować regulamin.

Dane kontaktowe

Instytut Odpowiedzialnego Biznesu
60-837 Poznań ul. Mickiewicza 33/41
Powiadomienia o nowych terminach

Zapisz się, aby otrzymywać powiadomienia o nowych terminach tego wydarzenia!