Audyt RODO to nie sprawdzenie, czy organizacja „ma dokumenty”, lecz analiza tego, jak faktycznie przetwarzane są dane osobowe i czy sposób ten da się obronić wobec przepisów. Polega on na zestawieniu trzech obszarów, którymi są prawo, procesy i praktyka, a jego efektem powinien być nie tyle spis braków, ile wskazanie realnych ryzyk i kierunków zmian możliwych do wdrożenia bez paraliżowania biznesu.
Z mojego doświadczenia wynika, że wartość audytu ujawnia się dopiero wtedy, gdy wychodzi poza papier. Dokument, który opisuje coś innego niż rzeczywista praktyka, jest w istocie źródłem ryzyka, a nie dowodem zgodności. Poniżej wyjaśniam, co audyt obejmuje, jak przebiega i czego można się po nim spodziewać.
Spis treści
Co obejmuje audyt RODO
Audyt zestawia trzy obszary. Pierwszym jest prawo, czyli sprawdzenie, jakie dane są przetwarzane, w jakich procesach, na jakiej podstawie prawnej oraz kto ma do nich dostęp. Drugim są procesy, ponieważ przetwarzanie danych zawsze osadzone jest w konkretnym sposobie działania organizacji, a nie w oderwanych regułach. Trzecim jest praktyka, czyli to, co faktycznie dzieje się na co dzień.
Dokumentację analizuję równolegle, ale nie jako cel sam w sobie, tylko jako odzwierciedlenie realnego działania. Jeżeli dokumenty opisują coś innego niż praktyka, to właśnie w tym miejscu pojawia się ryzyko, którego żadna kontrola nie pominie. Dlatego audyt, który ogranicza się do przejrzenia segregatorów, niewiele wnosi, ponieważ ocenia obraz organizacji, a nie jej rzeczywistość. Dopiero zestawienie tego, co zapisane, z tym, co faktycznie robią pracownicy, pokazuje, gdzie zgodność jest pozorna.
Jak przebiega audyt RODO
Audyt dzieli się na siedem faz, które prowadzą od rozpoznania procesów aż po rekomendacje. Przeprowadza je zwykle niezależny audytor RODO, czyli osoba wyłączona z bieżącego zarządzania danymi, która potrafi ocenić organizację z zewnątrz. Taki układ faz pozwala przejść od tego, co organizacja robi, do oceny, czy robi to zgodnie z prawem, i wreszcie do wskazania, co należy poprawić.
Analiza procesów i przygotowanie
Punktem wyjścia jest wstępne rozpoznanie procesów przetwarzania danych w organizacji, rodzajów przetwarzanych danych oraz kategorii osób, których dane są przetwarzane. Bez tego dalsze etapy byłyby oderwane od rzeczywistości, ponieważ każda organizacja przetwarza dane w nieco inny sposób.
Przegląd dokumentacji
Kolejnym krokiem jest przegląd dokumentacji związanej z przetwarzaniem danych, w tym polityki ochrony danych, polityki prywatności, klauzul informacyjnych, rejestru czynności przetwarzania, umów powierzenia oraz wewnętrznych procedur. Dokumentację ocenia się pod kątem tego, czy odpowiada rzeczywistym procesom, a nie tylko czy w ogóle istnieje. Rozbieżność między treścią dokumentu a codzienną praktyką jest jednym z najczęstszych ustaleń audytu i zarazem jednym z najpoważniejszych, ponieważ oznacza, że deklarowane zasady nie są w organizacji stosowane.
Ocena zgodności i identyfikacja zagrożeń
Na tym etapie weryfikowana jest zgodność przetwarzania z zasadami RODO, prawami osób, których dane dotyczą, oraz zasadami odpowiedzialności administratora. Sprawdza się między innymi, czy realizowane są prawa dostępu, sprostowania czy usunięcia danych, czy spełniany jest obowiązek informacyjny oraz czy przetwarzanie opiera się na prawidłowo dobranej podstawie prawnej. Równolegle typuje się podatności oraz możliwe skutki naruszeń ochrony danych, co pozwala przejść do właściwej oceny ryzyka.
Ocena ryzyka
Audyt obejmuje oszacowanie ryzyka związanego z przetwarzaniem, w tym zagrożeń dla poufności, integralności i dostępności danych. Ryzyko ocenia się przez pryzmat wpływu naruszenia na prawa i wolności osób fizycznych, takich jak kradzież tożsamości, naruszenie dóbr osobistych czy strata materialna. Ocena łączy dwa wymiary, którymi są prawdopodobieństwo wystąpienia incydentu oraz waga jego skutków, a ich zestawienie decyduje o tym, jak silne zabezpieczenia są w danym procesie potrzebne. Warto pamiętać, że odpowiedzialność za analizę ryzyka spoczywa na administratorze, a audyt jedynie weryfikuje, czy została ona przeprowadzona rzetelnie i udokumentowana.
Weryfikacja środków technicznych i organizacyjnych
Sprawdzane są wszystkie środki, które administrator wdrożył w celu ochrony danych, od zabezpieczeń informatycznych, takich jak firewall, kopie zapasowe czy kontrola dostępu, po rozwiązania organizacyjne, jak polityka czystego biurka, zasady pracy z dokumentami papierowymi czy zamykane szafy na akta.
Audyt miejsca przetwarzania
Przedostatnia faza dotyczy fizycznego miejsca przetwarzania danych, na przykład siedziby organizacji. Oceniane są rozkład pomieszczeń, sposób przechowywania dokumentów oraz kontrola dostępu do obszarów, w których przetwarza się dane.
Rekomendacje i raport poaudytowy
Ostatnim etapem jest raport przedstawiający stan zgodności oraz rekomendacje działań naprawczych. Dobrze przygotowany raport nie jest wyłącznie listą braków, lecz wskazuje priorytety i realne kierunki zmian, które można wdrożyć stopniowo, bez zatrzymywania działalności.
Ocena środków bezpieczeństwa i rozliczalności
Istotnym elementem audytu jest ocena, czy środki techniczne i organizacyjne są adekwatne do ryzyka. RODO jest neutralne technologicznie, dlatego kluczowe nie jest to, jakiego narzędzia używa organizacja, lecz czy dobrane środki odpowiadają skali zagrożeń, co wynika z art. 32 RODO. Ten sam zestaw zabezpieczeń może być wystarczający w małej organizacji, a niewystarczający w podmiocie przetwarzającym dane wrażliwe na dużą skalę.
Audyt jest też oceną rozliczalności. Sprawdzam, czy organizacja potrafi wykazać, dlaczego przetwarza dane w określony sposób, jakie decyzje podjęła i na jakiej podstawie. Zgodnie z zasadą rozliczalności z art. 5 ust. 2 RODO brak takiego uzasadnienia lub dokumentacji bardzo często oznacza brak zgodności, nawet jeśli intencje organizacji były prawidłowe. To istotne, ponieważ w toku kontroli liczy się nie deklaracja zgodności, lecz zdolność jej udowodnienia.
Czego można oczekiwać po audycie
Efektem audytu nie powinien być wyłącznie raport z listą braków. Dobrze przeprowadzony audyt RODO wskazuje realne ryzyka, priorytety działań i kierunki zmian, które można wdrożyć bez paraliżowania biznesu. To odróżnia audyt traktowany jako narzędzie realnej poprawy zgodności od takiego, który powstaje jedynie „na potrzeby kontroli”. Praktyczna wartość raportu polega na tym, że porządkuje on ustalenia według wagi, dzięki czemu organizacja wie, co poprawić w pierwszej kolejności, a co może zaplanować na później.
Sam mechanizm audytu jest w każdej organizacji podobny, ponieważ zawsze sprowadza się do zestawienia prawa, procesów i praktyki. Różni się natomiast to, czy w danym przypadku audyt jest obowiązkowy, ponieważ zależy to od charakteru i skali przetwarzania. Na koszt z kolei wpływa przede wszystkim wielkość organizacji i liczba procesów, dlatego cena audytu RODO ustalana jest indywidualnie.
Jeżeli rozważają Państwo audyt RODO w swojej organizacji, chętnie przedstawimy jego zakres i przebieg dostosowany do specyfiki prowadzonej działalności.
