Audyt RODO, audyt zgodności z RODO - typ audytu, który sprawdza zgodność funkcjonowania firmy lub organizacji pod kątem zgodności z przepisami Ogólnego rozporządzenia o ochronie danych osobowych. Audyt RODO może wykonać zarówno wyznaczony pracownik, jak i zewnętrzny audytor.

Sytuacja prawna

Pojęcie audytu zgodności z RODO łączy się z funkcją Inspektora Ochrony Danych Osobowych. IOD, to, za motywem 97 preambuły do RODO, osoba dysponującą wiedzą fachową na temat prawa i praktyk w dziedzinie ochrony danych osobowych.

Firma lub organizacja, bez względu na to, czy jest administratorem czy podmiotem przetwarzającym, powinna wyznaczyć IOD, jeśli jej główna działalność obejmuje przetwarzanie danych wrażliwych na dużą skalę lub regularne i systematyczne monitorowanie osób na dużą skalę. W takim przypadku monitorowanie zachowań osób oznacza między innymi wszelkie formy obserwowania i profilowania w internecie, także dla celów reklamy behawioralnej. Organy administracji publicznej mają zawsze obowiązek wyznaczenia IOD (z wyjątkiem sądów w ramach sprawowania wymiaru sprawiedliwości).

Obowiązek przeprowadzenia audytu zgodności z RODO nie jest zapisany bezpośrednio w rozporządzeniu, jednak konieczność jego przeprowadzania wynika pośrednio z jego artykułów. W art. 5 RODO wprowadzono zasadę rozliczalności. Według niej administrator danych jest odpowiedzialny nie tylko za przestrzeganie przepisów dotyczących procesów przetwarzania danych, ale musi też być w stanie wykazać przed organem nadzorczym, że ich przestrzega, przykładowo poprzez okazanie raportów poaudytowych.

Według art. 24 RODO:

administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.

Według art. 39 RODO do zadań IOD należą m.in:

monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty

Realizacja tego zadania przez inspektora nie powinna mieć charakteru jednorazowego, lecz charakter ciągły i długofalowy.

Najważniejsze elementy audytu RODO

Audyt RODO identyfikuje potencjalne zagrożenia w systemie ochrony danych osobowych oraz zaproponowanie odpowiednich działań naprawczych. Przeprowadzenie audytu zgodności z RODO powinno obejmować aspekty organizacyjne, ludzkie, prawne i techniczne.

Plan działań różni się w zależności od organizacji, ale najczęściej obejmuje:

1. Warsztat wstępny z osobą odpowiedzialną za kwestie związane z RODO w organizacji
2. Warsztaty praktyczne dla kierowników/managerów poszczególnych działów - inwentaryzacja procesów
3. Opracowanie mapy procesów przetwarzanie danych osobowych odwzorowującej wszystkie aktywności występujące w danym podmiocie
4. Audyt fizyczny - wizja lokalna kluczowych pomieszczeń w organizacji tj. m.in: archiwum, serwerownie, kluczowe pomieszczenia biurowe, wydzielone stanowiska biurowe w przestrzeni logistycznej, magazynowej lub produkcyjnej
5. Analiza dokumentacji RODO, takiej jak umowy powierzenia przetwarzania, zgody, obowiązki informacyjne, RCP, procedury, polityki itd. analiza strony internetowej, aplikacji mobilnej i wszelkich narzędzi technologicznych uczestniczących w procesach przetwarzania danych.
6. Przygotowanie sprawozdania - raportu z audytu RODO, który jest jednocześnie wstępnym planem wdrożenia wymaganych zmian

Przypisy