Czy organ informuje organizację o planowanej kontroli i skąd wiadomo, co będzie przedmiotem kontroli?
Organ (co do zasady) wszczyna kontrolę nie wcześniej niż po upływie 7 dni od dnia doręczenia zawiadomienia o zamiarze wszczęcia kontroli – wynika to natomiast nie z RODO, a z art. 48 ustawy Prawo przedsiębiorców. Ponadto zgodnie z art. 89 ustawy o ochronie danych osobowych cała kontrola ma trwać nie dłużej niż 30 dni od dnia okazania kontrolowanemu upoważnienia do przeprowadzenia kontroli.
Zakres kontroli najczęściej wskazany jest w treści zawiadomienia o kontroli oraz w imiennym upoważnieniu pracownika UODO. Przykładowo, organ może wskazać proces, który ma zostać poddany sprawdzeniu, np. proces zatrudnienia czy marketingu. Równie dobrze kontrola może dotyczyć całości podejmowanych przez organizację czynności przetwarzania albo pewnego aspektu rozpatrywanego w ramach kilku (lub wszystkich) procesów przetwarzania (np. realizacja obowiązku informacyjnego). Warto po otrzymaniu zawiadomienia skontaktować się z urzędnikiem i spróbować pozyskać bardziej precyzyjne informacje w tym zakresie.
Polecamy: Jak przygotować się do zmian w 2020 r.
Dzień kontroli
Kontrolę przestrzegania przepisów o ochronie danych osobowych Prezes UODO może przeprowadzić w formie audytu ochrony danych, w którym zazwyczaj udział biorą kontrolerzy UODO odpowiedzialni zarówno za obszar formalnoprawny, jak i zabezpieczeń (w tym IT). Rekomenduje się, aby przed dopuszczeniem pracowników UODO do zasobów kontrolowanej organizacji, zweryfikować upoważnienie do kontroli oraz legitymację służbową, której wzór znajduje się w rozporządzeniu Rady Ministrów z 20.03.2019 r. w sprawie wzoru legitymacji służbowej pracownika UODO.
W ramach prowadzonych czynności kontrolnych, zgodnie z art. 84 ust. 1 u.o.d.o. kontrolujący ma m.in. prawo:
• wstępu od 6:00 do 22:00 na teren organizacji;
• wglądu do dokumentów mających bezpośredni związek z przedmiotem kontroli;
• przeprowadzenia oględzin miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych służących do przetwarzania danych;
• żądania złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwania świadków, np. pracowników kontrolowanego.
Wskazówka: przed kontrolą zalecamy przeprowadzić symulację. W jej trakcie można zadać personelowi odpowiedzialnemu za przetwarzanie danych pytania, które prawdopodobnie padną ze strony kontrolerów UODO, a także przypomnieć podstawowe zasady związane z przetwarzaniem danych osobowych.
Zakończenie kontroli
Do formalnego zakończenia kontroli dochodzi po sporządzeniu i podpisaniu protokołu kontroli. Taki protokół zawiera przebieg czynności kontrolnych i dokumentuje wszystkie działania podjęte w toku kontroli, mające znaczenie dla sprawy. Po zakończeniu czynności kontrolnych oraz całego procesu organ nadzorczy dokonuje analizy zgromadzonego materiału dowodowego. Jeśli uzna, że mogło dojść do naruszenia przepisów o ochronie danych, niezwłocznie wszczyna postępowanie administracyjne.
Wskazówka: Może się zdarzyć, że w protokole nie zostaną zawarte wszystkie korzystne dla nas ustalenia – np. o stosowaniu polityki czystego biurka i ekranu – lub że pojawią się ustalenia, z którymi się nie zgadzamy. Wówczas w ciągu 7 dni możemy skorzystać z przysługującego nam uprawnienia do złożenia pisemnych zastrzeżeń do treści protokołu.
Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. Swoje zainteresowania koncentruje na obszarze szeroko pojętego prawa cywilnego i administracyjnego, w tym w szczególności na zagadnieniach związanych z ochroną danych osobowych. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji związanej z przetwarzaniem danych osobowych oraz sporządzaniem opinii prawnych. Audytor wiodący ISO/IEC 27001.