Pytanie:  Spotkałem się ostatnio z poglądem, że każde sprawozdanie ze sprawdzenia, które przeprowadza administrator bezpieczeństwa informacji i przekazuje administratorowi danych, musi być przesłane do Generalnego Inspektora Ochrony Danych Osobowych. Czy to prawda? Nie mogę znaleźć potwierdzenia tej tezy w przepisach.

Pytanie:  Jestem administratorem bezpieczeństwa informacji. W ramach planu sprawdzeń badałem upoważnienia do przetwarzania danych osobowych dla pracowników, którzy przetwarzają dane osobowe. Okazało się, że nie wszyscy pracownicy mają wydane upoważnienia, a w wydanych upoważnieniach wskazany zakres nie jest adekwatny do celu, w którym upoważniony przetwarza dane osobowe. Zgłosiłem to administratorowi danych. ADO przedłożył mi umowy zawarte z pracownikami. Twierdził, że nie ma potrzeby udzielać upoważnień do przetwarzania danych osobowych, bo z zakresu obowiązków tych osób wynika, że muszą przetwarzać dane osobowe, w związku z czym nie ma potrzeby mnożyć dokumentów. Czy miał rację?

Zanim administrator bezpieczeństwa informacji rozpocznie prowadzenie sprawdzeń musi przygotować ich plan. Jest to prosty dokument, jednak jeśli popełnisz błędy przy jego opracowywaniu, będziesz miał problem z odpowiednią realizacją obowiązku przeprowadzenia sprawdzenia zgodności przetwarzania danych osobowych z przepisami.

Pytanie:  Czy sprawdzenie zgodności przetwarzania danych osobowych z przepisami prowadzone przez administratora bezpieczeństwa informacji musi być wykonane przynajmniej raz w roku? Zgodnie z przepisami zbiory danych oraz systemy informatyczne służące do przetwarzania lub zabezpieczania danych osobowych powinny być objęte sprawdzeniem co najmniej raz na pięć lat. Czy w związku z tym można przyjąć 5 letni tryb pracy i rozłożyć poszczególne sprawdzenia w dogodnych dla siebie terminach tak, aby całość zbiorów danych osobowych i systemów informatycznych została sprawdzona w ciągu 5 lat od dnia obowiązywania rozporządzenia, które wprowadza ten obowiązek? Jakie są ewentualne konsekwencje nieprzeprowadzenia sprawdzenia?

Pytanie:  Pracownik zagubił nośnik pamięci, na którym znajdowały się dane osobowe podlegające ochronie. Jakie kroki powinien podjąć administrator bezpieczeństwa informacji w takiej sytuacji? Czy powinien zgłosić to zdarzenie administratorowi danych? Czy w takiej sytuacji trzeba obowiązkowo przeprowadzić sprawdzenie doraźne?

Jednym z obowiązków administratora bezpieczeństwa informacji (ABI) jest nadzorowanie opracowania i aktualizowania dokumentacji ochrony danych osobowych oraz przestrzegania zasad w niej określonych. ABI może zrealizować ten obowiązek, m.in. prowadząc planowe sprawdzenia zgodności przetwarzania danych osobowych z przepisami.

Generalny Inspektor Ochrony Danych Osobowych przypomina, że sprawozdań ze sprawdzeń planowych i doraźnych nie trzeba przesyłać do organu.

Każdy ABI przynajmniej raz w roku musi przeprowadzić sprawdzenie z ochrony danych. Dobrze się do niego przygotuj. Sprawdź listę kontrolną, którą przygotowaliśmy, by pomóc Ci sprawnie przeprowadzić sprawdzenie.

Jak wynika z ustawy o ochronie danych osobowych każdy administrator bezpieczeństwa informacji musi przeprowadzić sprawdzenie planowe przynajmniej raz w roku, a dodatkowo sprawdzenie doraźne, gdy dojdzie do naruszenia przepisów. Z takich sprawdzeń trzeba przygotować sprawozdanie. Zobacz, jakie elementy muszą się w nim znaleźć, aby GIODO go nie zakwestionował.