Wdrożenie RODO niczym produkcja auta

Proces wdrożenia i utrzymania zgodności z unijnym rozporządzeniem o ochronie danych osobowych (RODO), można porównać do procesu produkcji i eksploatacji samochodu. Podobnie jak auto, system ochrony danych osobowych powinien być dobrze zaprojektowany, przetestowany i podlegać przeglądom, a w razie potrzeby – naprawom. Niezależnie od przyjętej koncepcji pracy, pewnych etapów wdrożenia RODO – podobnie jak produkcji samochodu – nie da się ominąć. Poniżej ilustrujemy modelowy schemat wdrożenia i utrzymania RODO. Żółty tekst wskazuje odpowiedniki etapów przy produkcji lub eksploatacji samochodu.

I WDROŻENIE RODO – FAZA PRODUKCJI SAMOCHODU

OPRACOWANIE KONCEPCJI WDROŻENIA RODO – ZAPROJEKTOWANIE SAMOCHODU

Podobnie jak na rynku projektowania samochodów, również i usługi wdrożenia RODO oferuje wielu specjalistów. Ponieważ jakość koncepcji rzutuje na wszystkie pozostałe etapy, dobór projektanta jest kluczowy dla całego procesu.

AUDYT OTWARCIA I ANALIZA RYZYKA – TESTOWANIE PROJEKTU

Wstępny projekt samochodu, jeszcze przed konstrukcją prototypu, testuje się przy użyciu wirtualnych symulatorów. Podobnie ocenia się funkcjonowanie dotychczasowego systemu ochrony danych osobowych, wskazując, które elementy wymagają dostosowania do RODO i jak należy to zrobić.

DOSTOSOWANIE PROCESÓW, ZASOBÓW I DOKUMENTACJI – KONSTRUKCJA PROTOTYPU

Aby skonstruować samochód, należy nie tylko wyprodukować poszczególne elementy, ale także złożyć je w zgraną całość i opisać ich funkcjonowanie. Analogicznie, wdrożenie RODO nie kończy się na dostosowaniu samych procesów przetwarzania danych osobowych, ale wymaga także dostosowania zasobów uczestniczących w operacjach przetwarzania oraz przyjęcia odpowiednich polityk i procedur.

AUDYT ZAMKNIĘCIA – TESTOWANIE PROTOTYPU

Przed dopuszczeniem do użytkowania, zawsze przeprowadza się testy prototypu samochodu. Dzięki nim producent może wykryć ostatnie niedociągnięcia i uniknąć odpowiedzialności lub utraty reputacji. Analogicznie, sam fakt wykonania zadań składających się na proces wdrożenia RODO nie wystarczy, aby uznać, że organizacja osiągnęła już zgodność i uniknie kar administracyjnych. W tym celu należy zbadać poziom wdrożenia rekomendacji oraz jeszcze raz przeprowadzić audyt systemu ochrony danych osobowych i wydać rekomendacje.

WDROŻENIE REKOMENDACJI Z AUDYTU ZAMKNIĘCIA – PRODUKCJA MODELU KOŃCOWEGO

Po testach prototypu samochodu przeprowadza się dalszą analizę i udoskonala ostateczny produkt. Podobnie, wdrożenie RODO jest na tyle skomplikowanym procesem, że również audyt zamknięcia może wykazać potrzebę dalszego doskonalenia.

OPCJONALNIE: CERTYFIKACJA

Na rynku samochodowym występują różne rodzaje certyfikacji – np. dotyczące bezpieczeństwa, czy standardów emisji spalin. Również w branży ochrony danych osobowych dostępne będą mechanizmy certyfikacji oraz znaki jakości i oznaczeń, mające świadczyć o zgodności z RODO.

II UTRZYMANIE RODO – FAZA EKSPLOATACJI SAMOCHODU

FUNKCJONOWANIE SYSTEMU OCHRONY DANYCH OSOBOWYCH – WYKORZYSTANIE SAMOCHODU

Samochód powinien prowadzić dobrze przeszkolony kierowca, który nie tylko stosuje się do przepisów, ale też jest w stanie odpowiednio zareagować na zmieniające się okoliczności na drodze. Podobnie, prawidłowe funkcjonowanie systemu ochrony danych osobowych wymaga przeszkolenia pracowników nie tylko z treści nowych regulacji, ale także z praktycznych aspektów ochrony danych osobowych w codziennej pracy.

ODPOWIEDZIALNOŚĆ PERSONELU – ODPOWIEDZIALNOŚĆ KIEROWCY

Podobnie jak producent odpowiada za ewentualne wady techniczne pojazdu, kierowca odpowiada za bezpieczną jazdę i zgłaszanie usterek. Analogicznie, pracownicy powinni być nie tylko odpowiedzialni za stosowanie się do wewnętrznych regulacji ochrony danych, ale także zgłaszać wszelkie incydenty Inspektorowi Ochrony Danych.

MONITOROWANIE I UTRZYMYWANIE ZGODNOŚCI – OKRESOWE PRZEGLĄDY I SERWIS SAMOCHODU

Nawet najlepszy samochód jest podatny na usterki i może ulegać wypadkom. Aby zmniejszyć ich ryzyko – a w razie potrzeby, przywrócić sprawność samochodu – należy korzystać z usług dobrych mechaników. W przypadku systemu ochrony danych osobowych, podatnościami są luki w zabezpieczeniach danych osobowych, natomiast wypadkami – incydenty i na przykład wyciek danych osobowych. Aby im zapobiec, system ochrony danych osobowych powinien być utrzymywany przez dobrze przeszkolony zespół działający wewnątrz organizacji, jak również podlegać okresowym przeglądom niezależnych ekspertów.