Analiza ryzyka związanego z przetwarzaniem danych osobowych to bezwzględny i podstawowy obowiązek każdego administratora. Co więcej, nie jest to jednorazowe działanie. Jej niewykonanie lub nienależyte wykonanie może prowadzić do nieprawidłowości w zakresie bezpieczeństwa danych osobowych, a w konsekwencji do ich wycieku i odpowiedzialności administratora, z karami UODO włącznie. Jak przeprowadzić analizę ryzyka w organizacji? RODO nie zawiera odpowiedzi na to pytanie. Sprawdź, jak przeprowadzić analizę ryzyka z uwzględnieniem wytycznych ENISA.

Dokumenty udostępniane jako informacja publicznych podlegają anonimizacji przede wszystkim ze względu na ochronę prywatności. Podmiot publiczny musi więc anonimizować dokumenty z danymi osobowymi, zanim udostępni je w charakterze informacji publicznej. Wymóg anonimizacji wynika zarówno z ustawy o dostępie do informacji publicznej, jak i z RODO. Sprawdź, jak może wyglądać anonimizacja danych z dokumentów.

Privacy by design to obok reguły privacy by default jedna z podstawowych zasad RODO. Jest to inaczej zasada prywatności w fazie projektowania. Zgodnie z nią administrator danych musi zastosować odpowiednie środki bezpieczeństwa. Innymi słowy, musi on na etapie projektowania, a więc jeszcze przed rozpoczęciem przetwarzania uwzględnić w odpowiednim zakresie ochronę danych osobowych i wdrożyć stosowne środki bezpieczeństwa danych.

Pytanie:  Jaki jest okres przechowywania rejestrów takich jak rejestr czynności przetwarzania, rejestr upoważnień czy rejestr umów powierzenia?

Pytanie:  Czy prywatna firma informatyczna zatrudniająca mniej niż 250 osób i dostarczająca rozwiązania informatyczne do sektora medycznego jako podmiot przetwarzający powinna prowadzić rejestr kategorii czynności przetwarzania?

Pytanie:  Czy praca zdalna powinna być ujęta w rejestrze czynności przetwarzania danych?

Pytanie:  Czy wdrożenie nowego narzędzia w postaci MS Outlook Teams wymaga przeprowadzenia DPIA?

Pytanie:  Czy wprowadzenie monitoringu miejskiego powinno być poprzedzone DPIA?

Założeniem oceny skutków przetwarzania dla ochrony danych (DPIA) jest wspomaganie zarządzania ryzykiem przez administratora w ramach operacji dokonywanych na danych osobowych i przystosowywanie go do przestrzegania przepisów RODO. Takie wnioski przedstawia w swoich wytycznych Europejska Rada Ochrony Danych. Sprawdź, w jakich przypadkach należy przeprowadzić DPIA w związku ze stosowaniem nowych technologii.

Pytanie:  Czy przed rozpoczęciem obsługi kadrowej pracowników wymagana jest ocena skutków dla ochrony danych (DPIA)?

Ocena skutków dla ochrony danych (DPIA) nie jest kontynuacją ogólnej oceny ryzyka. Są to dwa różne rodzaje czy procesy analizy ryzyka. Sprawdź, jaka jest wzajemna relacja pomiędzy ogólną analizą ryzyka a DPIA.

Zarówno ogólna analiza ryzyka jak i ocena skutków przetwarzania dla ochrony danych (DPIA) są pewnego rodzaju oceną występowania ryzyka w zakresie przetwarzania danych osobowych. Procesy te nie są jednak tożsame, choć mają pewne cechy wspólne. W tabeli przedstawiamy podobieństwa i różnice w zakresie tych ocen.