Administrator bezpieczeństwa informacji /Inspektor ochrony danych

Transkrypt

1 Konrad Gałaj-Emiliańczyk Administrator bezpieczeństwa informacji /Inspektor ochrony danych Kompetencje, obowiązki i odpowiedzialność. Poradnik praktyka z wzorami dokumentów (z suplementem elektronicznym) ODDK Spółka z ograniczoną odpowiedzialnością Sp.k. Gdańsk 2017

2 Niniejszy poradnik opisuje od strony praktycznej pełnienie funkcji administratora bezpieczeństwa informacji (ABI) w systemie ochrony danych osobowych. Celem opracowania jest przede wszystkim pomoc osobom obejmującym funkcje ABI, a mającym niewielkie doświadczenie w zakresie bezpieczeństwa informacji. Przystępnie opisano wybór osoby mającej objąć tę funkcję, niezbędne kompetencje oraz uprawnienia i obowiązki, jakie osoba ta posiada w ramach nadzoru prowadzonego nad systemem ochrony danych osobowych. Opracowanie przedstawia ewolucję funkcji ABI od początku jej istnienia do kolejnego etapu modyfikacji, jakim jest powoływanie inspektora ochrony danych (IOD). Szczególnie użytecznym elementem poradnika jest opis najczęściej występujących problemów, z którymi styka się ABI w trakcie pełnienia swojej funkcji, a także propozycje alternatywnych rozwiązań tych problemów.

3

4 Spis treści Wstęp Rozdział 1. Rys historyczny nadzoru nad ochroną danych osobowych Lata Obecnie Od ABI do inspektora ochrony danych (IOD) Rozdział 2. System ochrony danych osobowych Zaplanowanie systemu ochrony danych Sprawdzenie systemu ochrony danych Modyfikacja systemu ochrony danych Rozdział 3. Warunki prawne pełnienia funkcji ABI zewnętrzne Pełna zdolność do czynności prawnych i pełnia praw publicznych Odpowiednia wiedza w zakresie ochrony danych osobowych Brak karalności za przestępstwo umyślne Rozdział 4. Warunki organizacyjne pełnienia funkcji ABI wewnętrzne Bezpośrednia podległość pod administratora danych Środki i odrębność organizacyjna ABI Obowiązek włączania inspektora ochrony danych (IOD) w procesy Zasoby niezbędne do utrzymania fachowej wiedzy inspektora ochrony danych (IOD) Inne obowiązki inspektora ochrony danych (IOD) a brak konfliktu interesów Rozdział 5. Wybór ABI pracownik, freelancer, outsourcing ABI jako pracownik administratora danych ABI jako samodzielny specjalista zewnętrzny ABI jako firma outsourcingowa Rozdział 6. Powołanie do pełnienia funkcji ABI Wybór osoby do pełnienia funkcji ABI Wybór zespołu wdrażającego Powołanie ABI

5 Rozdział 7. Zgłoszenie ABI do rejestru GIODO Przygotowanie wniosku zgłoszeniowego Kontakt do ABI, inspektora ochrony danych (IOD) Skutki zgłoszenia ABI do rejestru prowadzonego przez GIODO Rozdział 8. Pełnienie nadzoru od czego zacząć? Specyfika branży i sektora organizacji Rozmiar i złożoność organizacji Liczba osób przetwarzających dane osobowe Struktura najwyższego kierownictwa organizacji Zadania inspektora ochrony danych (IOD) Szacowanie ryzyka nowy obowiązek inspektora ochrony danych (IOD) Rozdział 9. Przygotowanie planu sprawdzeń krok po kroku Częstotliwość sprawdzeń Terminy sprawdzeń Zakres sprawdzeń Metodyka sprawdzeń Rozdział 10. Przygotowanie narzędzi do pełnienia nadzoru Przygotowanie harmonogramu sprawdzeń Przygotowanie list kontrolnych wywiad osobowy Przygotowanie list kontrolnych wizja lokalna Przygotowanie list kontrolnych dokumentacja Przygotowanie list kontrolnych systemy informatyczne Przygotowanie list kontrolnych dla podmiotów zewnętrznych Rozdział 11. Sprawdzenie początkowe systemu ochrony danych Informowanie o sprawdzeniu Pouczanie i instruowanie osób Typowe problemy przy sprawdzeniu początkowym Rozdział 12. Sprawozdanie ze sprawdzenia w praktyce Zgodności i niezgodności Potencjalne ryzyka Możliwości doskonalenia Rekomendacje w zakresie dostosowania Rozdział 13. Przygotowanie dokumentacji ochrony danych osobowych Propozycja dokumentacji ochrony danych osobowych Modyfikacje i akceptacja zespołu wdrożeniowego

6 Akceptacja najwyższego kierownictwa Przydzielenie osób do procesów wdrożenie Rozdział 14. Zapoznanie osób upoważnionych Wybór metody zapoznania osób upoważnionych Ocena skuteczności zapoznania Zaplanowanie okresowej aktualizacji wiedzy Rozdział 15. Rejestr zbiorów prowadzony przez ABI Identyfikacja i kategoryzacja zbiorów danych osobowych Przygotowanie rejestru zbiorów danych osobowych Udostępnienie rejestru zbiorów danych osobowych Aktualizacja rejestru zbiorów danych osobowych Rozdział 16. Rekomendacje ABI w zakresie dostosowania Alternatywność rekomendacji Ocena wpływu rekomendacji na procesy w organizacji Terminy realizacji rekomendacji Wskazanie osób odpowiedzialnych za wdrożenie zmian Opinie ERODO i rekomendacje inspektora ochrony danych (IOD) Rozdział 17. Codzienna praca ABI studium przypadku Opiniowanie procesów pytania zespołu wdrożeniowego Opiniowanie procesów pytania osób upoważnionych Opiniowanie i negocjowanie umów powierzenia przetwarzania danych osobowych Nadzór nad podmiotami zewnętrznymi Zgody na przetwarzanie danych osobowych Spełnienie obowiązku informacyjnego Zarządzanie incydentami Sprawozdania ze sprawdzeń doraźnych Sprawdzenia na żądanie GIODO Rozdział 18. Praktyczne porównanie ABI i inspektora ochrony danych (IOD) Fakultatywność powołania ABI a obowiązek powołania IOD Dane kontaktowe IOD w obowiązku informacyjnym Dane IOD w rejestrze czynności przetwarzania danych osobowych Obowiązkowe konsultacje administratora danych z IOD Jeden IOD w grupie administratorów danych Podsumowanie i zakończenie Bibliografia Przepisy prawa

7 Orzecznictwo Strony internetowe Publikacje