NOWE UJĘCIE OCHRONY DANYCH OBOWIĄZKI ADMINISTRATORA DANYCH OSOBOWYCH
Michał Cupiał administrator bezpieczeństwa informacji Warmińsko-Mazurski Urząd Wojewódzki
Nowe ujęcie ochrony danych Rozporządzenie (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Nowe ujęcie ochrony danych ogólne rozporządzenie o ochronie danych
Nowe ujęcie ochrony danych RODO
Nowe ujęcie ochrony danych GDPR
Nowe ujęcie ochrony danych Osiąganie celów: ochrona praw i wolności właścicieli danych przetwarzanie powinno być zgodne z prawem i rzetelne przejrzystość przetwarzania = cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów
Nowe ujęcie ochrony danych Osiąganie celów: Dane osobowe powinny być przetwarzane w sposób zapewniający: odpowiednie bezpieczeństwo i poufność, w tym ochronę przed nieuprawnionym: dostępem do danych do sprzętu służącego ich przetwarzaniu korzystaniem z tych danych i z tego sprzętu
Nowe ujęcie ochrony danych Risk based approach
Nowe ujęcie ochrony danych Elastyczność
Nowe ujęcie ochrony danych Funkcjonalność
Nowe ujęcie ochrony danych Minimalizacja danych i operacji przetwarzania
Nowe ujęcie ochrony danych (nie) Ograniczanie kosztów
Nowe ujęcie ochrony danych Szansa na uproszczenie procesów komunikacji wewnętrznej i obiegu informacji
Plan działania: 1 Decyzja kto wdraża RODO Pracownik/zespół własny doszkolenie Zlecenie zadania wybór podmiotu lub osoby zatrudnienie
Plan działania: 2 Gdzie wdrażamy RODO Jednostka własna Jednostka własna i jednostki podległe doszkolenie wybór podmiotu zatrudnienie
Plan działania: 3 Inwentaryzacja zasobów Wszystkie aktywa służące przetwarzaniu danych osobowych
Plan działania: 4 określenie czynności przetwarzania danych osobowych Z uwzględnieniem: Procedur wewnętrznych (statut, regulaminy, instrukcja kancelaryjna ) Aktywów Zbiorów Zwyczajów
Plan działania: 4 określenie czynności przetwarzania danych osobowych Z oceną: Legalności Celowości Adekwatności Poprawności Ograniczenia czasowego
Privacy by default & design Uwzględnianie ochrony danych w fazie projektowania Domyślna ochrona danych
Plan działania: 5 analiza ryzyka Z uwzględnieniem: Procedur wewnętrznych (statut, regulaminy, instrukcja kancelaryjna ) Aktywów Zbiorów Zwyczajów
Analiza ryzyka a ocena skutków przetwarzania Analiza ryzyka Ocena skutków przetwarzania danych Z punktu widzenia bezpieczeństwa Analiza ryzyka z punktu widzenia naruszenia praw i wolności podmiotów danych Podstawa do ustalenia wymaganych zabezpieczeń Niewymagana (teoretycznie) dla zadań ustawowych wymagana dla zautomatyzowanego przetwarzania dużej ilości danych w tym wrażliwych i dotyczących skazań oraz monitorowania przestrzeni publicznej
Plan działania: 6 ustalenie zabezpieczeń Dla określonych czynności przetwarzania danych osobowych W tym także anonimizacja, pseudoanonimizacja, minimalizacja
Plan działania: 7 ustalenie procedur Na podstawie ustalonych wcześniej wymaganych zabezpieczeń i czynności przetwarzania Dla wielu czynności Dla 1 czynności
Obowiązek zgłaszania naruszenia ochrony danych osobowych Należy ustalić procedury informowania organu nadzorczego i podmiotów danych
Obowiązki ADO: dokumentacja ochrony danych osobowych i rejestr czynności przetwarzania Dokumentacja Rejestr czynności Procedury Zasady przetwarzania i ochrony DO Posiadam Nie posiadam Precyzja Funkcjonalność Dostosowanie wg innych kryteriów
Obowiązki ADO: zasada rozliczalności Udokumentowane uzasadnienie wybranych zabezpieczeń i metod przetwarzania danych Wdrożenie Analiza ryzyka Dobór zabezpieczeń i metod przetwarzania
Plan działania: 8 wdrożenie procedur
Plan działania: 9 szkolenie Szkolenie pracowników jako jedno z najważniejszych elementów zakończenia wdrożenia
Plan działania: 10 wybór IOD Pracownik własny Zlecenie zadania doszkolenie wybór podmiotu lub osoby zatrudnienie
Dziękuję za uwagę Michał Cupiał Administrator Bezpieczeństwa Informacji w Warmińsko-Mazurskim Urzędzie Wojewódzkim mcupial@uw.olsztyn.pl tel.: 89 52 32 791 Kom.: 605-160-004
Podsumowanie 1 Decyzja kto wdraża RODO 2 Gdzie wdrażamy RODO 3 Inwentaryzacja zasobów 4 określenie czynności przetwarzania danych osobowych 6 ustalenie zabezpieczeń 7 ustalenie procedur 8 wdrożenie procedur 9 szkolenie 10 wybór IOD