Dokumentacja przetwarzania danych - RODO 2018

Zgodnie z 36a. ust. 2 pkt 1 lit. b u.o.d.o. jednym z zadań ABI jest nadzorowanie opracowania i aktualizowania dokumentacji przetwarzania danych. Sposób prowadzenia i zakres tej dokumentacji oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych określa rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024, treść dostępna tutaj).

Dokumentacja ta ma zawierać opis sposobu przetwarzania danych oraz opis środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Na dokumentację składają się: polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Zgodnie z rozporządzeniem Ministra Administracji i Cyfryzacji w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz. U. z 2015 r., poz. 745; treść dostępna tutaj), do obowiązków ABI należy weryfikacja:

1. opracowania i kompletności dokumentacji przetwarzania danych;
2. zgodności dokumentacji przetwarzania danych z obowiązującymi przepisami prawa;
3. stanu faktycznego w zakresie przetwarzania danych osobowych;
4. zgodności ze stanem faktycznym przewidzianych w dokumentacji przetwarzania danych środków technicznych i organizacyjnych służących przeciwdziałaniu zagrożeniom dla ochrony danych osobowych;
5. przestrzegania zasad i obowiązków określonych w dokumentacji przetwarzania danych.

Zobacz: Podatki

Weryfikacja taka może zostać przeprowadzona w następujących przypadkach:

1. Podczas sprawdzania zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowania sprawozdania, czy to dla ADO czy GIODO.
2. Poza sprawdzeniami, na podstawie zgłoszenia osoby wykonującej obowiązki określone w dokumentacji przetwarzania danych oraz własnego udziału administratora bezpieczeństwa informacji w procedurach w niej określonych.
3. Na podstawie zgłoszenia osoby trzeciej.

W przypadku wykrycia podczas weryfikacji nieprawidłowości, administrator bezpieczeństwa informacji:

1. zawiadamia administratora danych o nieopracowaniu lub brakach w dokumentacji przetwarzania danych lub jej elementach oraz działaniach podjętych w celu doprowadzenia dokumentacji do wymaganego stanu, w szczególności może przedstawić mu do wdrożenia projekty dokumentów usuwające stan niezgodności;
2. zawiadamia administratora danych o nieaktualności dokumentacji przetwarzania danych oraz może przedstawić administratorowi danych do wdrożenia projekty dokumentów aktualizujących;
3. poucza lub instruuje osobę nieprzestrzegającą zasad określonych w dokumentacji przetwarzania danych o prawidłowym sposobie ich realizacji lub zawiadamia administratora danych, wskazując osobę odpowiedzialną za naruszenie tych zasad oraz jego zakres.

Wskazane powyżej zawiadomienia mogą być zawarte w sprawozdaniu albo w odrębnym dokumencie, natomiast pouczenia lub instrukcje są zawarte w odrębnym dokumencie skierowanym do osoby nieprzestrzegającej zasad określonych w dokumentacji przetwarzania danych. Ustawodawca umożliwia sporządzanie ww. dokumentów w postaci papierowej albo elektronicznej.