Procedura realizacji uprawnień podmiotów danych – czy jest konieczna

Każdy administrator danych osobowych powinien prowadzić dokumentację ochrony danych osobowych, w tym przede wszystkim dokumentację odpowiednich zabezpieczeń. Zgodnie z art. 4 pkt 7 RODO pod pojęciem administratora należy rozumieć osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.

Dokumentacja danych osobowych według RODO może mieć bardzo różny kształt i tytuły. Wszystko zależy od tego jakie dane, w jakiej formie, na jakiej podstawie i w jakim zakresie administrator przetwarza. W szczególności dokumentacja ochrony danych powinna opisywać środki zabezpieczające przetwarzanie danych wdrożone przez administratora danych. Zgodnie z art. 24 RODO „uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane”.

W istocie niekiedy w organizacjach można spotkać się z procedurami realizacji uprawnień podmiotów danych. Mają one na celu uregulować to, w jaki sposób, przez kogo, w jakim trybie, w jakiej formie oraz z wykorzystaniem jakich narzędzi pracownicy administratora realizują prawa podmiotów danych. Ułatwia to przestrzeganie zasady rozliczalności, zgodnie z którą to administrator danych ma obowiązek udowodnić przestrzeganie przepisów z zakresu ochrony danych osobistych. Pozwala także zapanować – zwłaszcza w większej organizacji – nad tym, aby wszystkie prawa podmiotów danych były realizowane w odpowiednim terminie i zgodnie z wymogami RODO.