Inspektor Ochrony Danych dla Firm

Inspektor Ochrony Danych (IOD), zgodnie z art. 37-39 RODO, to wyznaczony przez administratora danych specjalista odpowiedzialny za nadzorowanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych. Do kluczowych zadań IOD należy informowanie i doradzanie administratorowi oraz pracownikom w zakresie obowiązków wynikających z RODO, monitorowanie przestrzegania przepisów o ochronie danych, prowadzenie szkoleń dla personelu, przeprowadzanie wewnętrznych audytów, udzielanie zaleceń co do oceny skutków dla ochrony danych (DPIA), współpraca z organem nadzorczym (Prezesem UODO) oraz pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą.

Zgodnie z art. 37 ust. 1 RODO, wyznaczenie Inspektora Ochrony Danych jest obowiązkowe w trzech przypadkach. Po pierwsze, gdy przetwarzania dokonuje organ lub podmiot publiczny (z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości). Po drugie, gdy główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę. Po trzecie, gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych (dane o zdrowiu, pochodzeniu rasowym, przekonaniach religijnych, orientacji seksualnej itp.) lub danych dotyczących wyroków skazujących i czynów zabronionych.

Outsourcing IOD to powierzenie pełnienia funkcji Inspektora Ochrony Danych zewnętrznemu podmiotowi profesjonalnie zajmującemu się tą dziedziną, zamiast zatrudniania własnego pracownika na etat. RODO wprost dopuszcza taką możliwość w art. 37 ust. 6. Główne zalety outsourcingu IOD to: znacząca redukcja kosztów (brak kosztów zatrudnienia, ZUS, szkoleń, zastępstw), dostęp do zespołu certyfikowanych ekspertów z różnych dziedzin (prawo, IT, bezpieczeństwo), gwarancja ciągłości działania niezależnie od urlopów czy zwolnień, zawsze aktualna wiedza o przepisach, wytycznych organów i orzecznictwie, doświadczenie zdobyte w wielu organizacjach z różnych branż oraz pełna niezależność i obiektywizm wymagane przez RODO.

Kompleksowe wdrożenie RODO obejmuje szereg działań dostosowanych do specyfiki organizacji. Rozpoczynamy od audytu wstępnego i inwentaryzacji wszystkich procesów przetwarzania danych osobowych. Następnie przeprowadzamy analizę ryzyka oraz, gdy jest to wymagane, ocenę skutków dla ochrony danych (DPIA). Opracowujemy politykę ochrony danych osobowych wraz z procedurami operacyjnymi, przygotowujemy rejestr czynności przetwarzania (RCP) zgodny z art. 30 RODO, tworzymy klauzule informacyjne i formularze zgód spełniające wymogi art. 13-14 RODO. Dokonujemy przeglądu i aktualizacji umów powierzenia przetwarzania danych, wdrażamy odpowiednie zabezpieczenia techniczne i organizacyjne, prowadzimy szkolenia dla wszystkich pracowników oraz ustanawiamy procedury reagowania na naruszenia ochrony danych osobowych.

Audyt RODO to systematyczna weryfikacja zgodności organizacji z przepisami o ochronie danych osobowych. Proces składa się z kilku etapów: przegląd dokumentacji (analiza istniejących polityk, procedur, umów, rejestrów i upoważnień), inwentaryzacja procesów przetwarzania (mapowanie przepływu danych w organizacji), weryfikacja zabezpieczeń technicznych i organizacyjnych (systemy IT, kontrola dostępu, szyfrowanie, kopie zapasowe), analiza i ocena ryzyka dla praw i wolności osób. Raport audytowy zawiera szczegółowe zestawienie zidentyfikowanych niezgodności wraz z odniesieniem do konkretnych przepisów RODO, ocenę poziomu ryzyka, konkretne rekomendacje działań naprawczych z priorytetyzacją oraz harmonogram wdrożenia zmian.

RODO przewiduje dwa progi administracyjnych kar pieniężnych. Za mniej poważne naruszenia (np. brak rejestru czynności przetwarzania, niewłaściwe zabezpieczenia) kara może wynieść do 10 milionów EUR lub 2% całkowitego rocznego światowego obrotu. Za poważniejsze naruszenia (np. przetwarzanie bez podstawy prawnej, naruszenie praw osób, nielegalne przekazywanie danych do państw trzecich) kara sięga do 20 milionów EUR lub 4% obrotu. Prezes UODO przy wymierzaniu kary uwzględnia m.in.: charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, działania podjęte w celu zminimalizowania szkody, stopień odpowiedzialności i wcześniejsze naruszenia. Oprócz kar administracyjnych, osoby poszkodowane mogą dochodzić odszkodowania za szkodę materialną lub niematerialną na drodze cywilnej.

Tak, Archel świadczy profesjonalne usługi Inspektora Ochrony Danych dla firm z całej Polski. Dzięki możliwości efektywnej pracy zdalnej i nowoczesnym narzędziom komunikacji (wideokonferencje, bezpieczne platformy do wymiany dokumentów), skutecznie wspieramy organizacje niezależnie od ich lokalizacji geograficznej. W przypadku potrzeby spotkań osobistych, przeprowadzenia audytów na miejscu czy szkoleń stacjonarnych – realizujemy je w siedzibie klienta w dowolnym miejscu w Polsce. Obsługujemy firmy różnej wielkości – od jednoosobowych działalności gospodarczych i startupów, przez małe i średnie przedsiębiorstwa, po duże korporacje i instytucje publiczne.

Tak, Warszawa i województwo mazowieckie to nasz główny obszar działania. Archel świadczy usługi IOD Warszawa dla dziesiątek organizacji w stolicy i okolicach. Dzięki lokalizacji możemy szybko reagować na potrzeby klientów, realizować audyty i szkolenia stacjonarne oraz spotykać się osobiście. Obsługujemy również firmy z całej Polski – zdalnie lub z wizytami w siedzibie klienta.

Najtańszy pakiet outsourcingu IOD w Archel to Starter od 250 zł netto miesięcznie. Jest przeznaczony dla mikrofirm i podmiotów do około 10 osób, które potrzebują formalnego Inspektora Ochrony Danych do umów z kontrahentami, procedur przetargowych lub audytów u większego partnera. Obejmuje pełnienie funkcji IOD zgodnie z art. 37–39 RODO, zgłoszenie do UODO, publikację danych kontaktowych IOD dla podmiotów danych, 1 h konsultacji miesięcznie oraz reakcję na naruszenie ochrony danych (do 72 h). Niska cena nie oznacza obniżonej jakości — wynika z ograniczonej skali działalności klientów Startera. Większe firmy z rozbudowanymi procesami przetwarzania obsługujemy w oparciu o wycenę indywidualną. Zobacz Cennik outsourcingu IOD.

Coraz częściej większe firmy i instytucje wymagają od swoich podwykonawców i dostawców wyznaczenia Inspektora Ochrony Danych — nawet jeśli sam podmiot z mocy art. 37 RODO nie ma takiego obowiązku. Wpisują to w umowy powierzenia przetwarzania danych (art. 28 RODO), specyfikacje przetargowe (SWZ), kwestionariusze bezpieczeństwa dostawcy albo w polityki grupy kapitałowej. W takich sytuacjach warto skorzystać z pakietu Starter (od 250 zł netto / mc) — pełni on funkcję formalnego IOD, dane są zgłoszone do UODO, możesz je podać kontrahentowi w umowie i w formularzach przetargowych. Nie musisz zatrudniać specjalisty na etat ani płacić tysięcy złotych za bieżącą obsługę, której w tej skali nie potrzebujesz.

RODO w oświacie wymaga szczególnej uwagi, ponieważ szkoły i przedszkola przetwarzają dane dzieci oraz dane szczególnych kategorii (orzeczenia PPP, informacje o zdrowiu). Placówki oświatowe muszą wyznaczyć IOD, prowadzić rejestr czynności przetwarzania, posiadać klauzule informacyjne dla rodziców i pełnoletnich uczniów, upoważnienia dla pracowników oraz umowy powierzenia z dostawcami usług (dziennik elektroniczny, monitoring, catering). Archel specjalizuje się w obsłudze RODO dla szkół, przedszkoli i żłobków w Warszawie i na Mazowszu.