Dobry program szkolenia IOD obejmuje dziewięć kluczowych obszarów: zasady przetwarzania danych, podstawy prawne, prawa osób, których dane dotyczą, obowiązki administratora, analizę ryzyka i ocenę skutków, obsługę naruszeń, dokumentację RODO, środki bezpieczeństwa oraz rolę doradczą inspektora. Rola inspektora ochrony danych nie polega bowiem na samej „znajomości RODO”, lecz na umiejętności stosowania przepisów w realnych sytuacjach.
Kompetencje przyszłego inspektora warto budować warstwowo – od podstaw prawnych, przez praktykę, aż po świadome zarządzanie ryzykiem. Poniżej omówione są kolejno obszary, które powinny znaleźć się w każdym rzetelnym programie szkoleniowym, wraz ze wskazaniem podstawy w rozporządzeniu.
Spis treści
Program szkolenia IOD - kluczowe obszary wiedzy
Poszczególne moduły układają się w logiczną całość: najpierw fundament, czyli zasady i podstawy prawne przetwarzania, następnie uprawnienia osób i obowiązki administratora, a na końcu warstwa praktyczna – ryzyko, naruszenia, dokumentacja i bezpieczeństwo. Taki układ odzwierciedla sposób, w jaki inspektor pracuje na co dzień.
Zasady przetwarzania danych - art. 5 RODO
To fundament, od którego zaczyna się każda ocena zgodności. Artykuł 5 ust. 1 RODO wymienia sześć zasad przetwarzania: zgodności z prawem, rzetelności i przejrzystości; ograniczenia celu; minimalizacji danych; prawidłowości; ograniczenia przechowywania; oraz integralności i poufności. Do tego dochodzi siódma, wyrażona w art. 5 ust. 2 – zasada rozliczalności, zgodnie z którą administrator musi nie tylko przestrzegać pozostałych zasad, ale też potrafić to wykazać. To właśnie te zasady stanowią punkt odniesienia przy każdej decyzji i najlepiej pokazują, na czym polega RODO – niezależnie od branży czy skali organizacji.
Podstawy prawne przetwarzania - art. 6 i 9 RODO
Inspektor musi umieć rozróżnić, kiedy wystarcza jedna z podstaw z art. 6 RODO (np. zgoda, umowa, obowiązek prawny, prawnie uzasadniony interes), a kiedy w grę wchodzą szczególne kategorie danych – dane o zdrowiu, pochodzeniu, przekonaniach czy orientacji seksualnej – których przetwarzanie wymaga spełnienia jednego z warunków art. 9 ust. 2 RODO. Odrębnym zagadnieniem jest zgoda jako podstawa przetwarzania: musi być dobrowolna, konkretna, świadoma i jednoznaczna, a osoba może ją w każdej chwili cofnąć (art. 7 ust. 3 RODO) – co inspektor powinien odróżniać od praw z rozdziału III. Błędny wybór podstawy prawnej podważa legalność całego przetwarzania, dlatego to jedno z ważniejszych zagadnień szkolenia.
Prawa osób, których dane dotyczą - art. 15-22 RODO
RODO gwarantuje osobom fizycznym zestaw uprawnień służących kontroli nad ich danymi: prawo dostępu (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu (art. 21) oraz prawo do niepodlegania decyzji opartej wyłącznie na automatyzacji (art. 22). Inspektor powinien znać nie tylko treść tych praw, ale też terminy i sposób realizacji każdego z uprawnień osoby, której dane dotyczą. Oznacza to znajomość podstawowego terminu miesiąca na odpowiedź (art. 12 ust. 3 RODO) i przesłanek jego przedłużenia, a także umiejętność oceny, kiedy żądanie można zrealizować, a kiedy odmówić – bo część uprawnień, jak prawo do usunięcia czy sprzeciwu, nie ma charakteru bezwzględnego. To właśnie na etapie obsługi wniosków najczęściej dochodzi do błędów, które później stają się przedmiotem skargi do organu nadzorczego.
Obowiązki administratora i obowiązek informacyjny - art. 13 i 14 RODO
Po stronie administratora leży szereg obowiązków, wśród których podstawowy jest obowiązek informacyjny. Gdy dane zbierane są bezpośrednio od osoby, realizuje się go na podstawie art. 13 RODO, a gdy pochodzą z innego źródła – art. 14 RODO. Inspektor powinien rozumieć, jaki zakres informacji trzeba przekazać i w jakim terminie, bo prawidłowo zrealizowany obowiązek informacyjny administratora to jeden z najczęściej kontrolowanych elementów.
Analiza ryzyka i ocena skutków dla ochrony danych – art. 35 RODO
Podejście oparte na ryzyku to jedna z osi RODO. Inspektor musi umieć identyfikować zagrożenia i oceniać ich wpływ na prawa i wolności osób fizycznych – a nie, jak często się upraszcza, wyłącznie na „prywatność”. Gdy dany rodzaj przetwarzania może powodować wysokie ryzyko, konieczne jest przeprowadzenie oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO – dotyczy to zwłaszcza systematycznego monitorowania na dużą skalę, przetwarzania szczególnych kategorii danych czy profilowania wywołującego skutki prawne. DPIA powinna zawierać opis operacji przetwarzania, ocenę niezbędności i proporcjonalności, ocenę ryzyka oraz planowane środki zaradcze. Jeśli mimo zastosowanych środków ryzyko pozostaje wysokie, administrator ma obowiązek uprzedniej konsultacji z organem nadzorczym (art. 36 RODO). Umiejętność udokumentowania całego procesu w sposób możliwy do obrony przed organem odróżnia realnego doradcę od biernego obserwatora.
Naruszenia ochrony danych - art. 33 i 34 RODO
Jeden z najbardziej wrażliwych obszarów pracy inspektora. Szkolenie powinno przygotowywać do oceny, czy dane zdarzenie stanowi naruszenie ochrony danych osobowych, czy podlega zgłoszeniu do Prezesa UODO w terminie 72 godzin (art. 33 RODO) oraz czy wymaga zawiadomienia osób, których dane dotyczą (art. 34 RODO). Kluczowe jest tu kryterium ryzyka: zgłoszenie do organu jest konieczne, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób, natomiast zawiadomienie samych osób wymagane jest dopiero przy wysokim ryzyku. Inspektor musi umieć tę ocenę przeprowadzić i uzasadnić. Równie istotne jest prowadzenie wewnętrznego rejestru naruszeń – obejmującego wszystkie incydenty, niezależnie od tego, czy ostatecznie je zgłoszono – ponieważ to on pozwala wykazać przed organem, że administrator działał zgodnie z zasadą rozliczalności.
Dokumentacja RODO - art. 30 i 28 RODO
Dokumentacja jest najprostszym sposobem wykazania zgodności, czyli realizacji zasady rozliczalności. Inspektor powinien znać rejestr czynności przetwarzania (art. 30 RODO), procedury wewnętrzne oraz umowę powierzenia przetwarzania danych zawieraną z podmiotami przetwarzającymi na podstawie art. 28 RODO. Nie chodzi o tworzenie dokumentów „na pokaz”, lecz o zrozumienie ich funkcji i powiązania z rzeczywistymi procesami w organizacji.
Środki bezpieczeństwa - pseudonimizacja i szyfrowanie (art. 32 RODO)
Artykuł 32 RODO wskazuje przykładowe środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania, wymieniając wprost m.in. pseudonimizację i szyfrowanie danych. Przyszły inspektor powinien rozumieć różnicę między nimi oraz umieć ocenić, jakie środki są adekwatne do ryzyka w danym procesie – RODO nie narzuca bowiem konkretnych rozwiązań, lecz pozostawia ich dobór administratorowi.
Rola doradcza inspektora - współpraca z biznesem i IT
Kompetencje inspektora nie kończą się na przepisach. Musi on umieć komunikować ryzyka w sposób zrozumiały dla osób nietechnicznych, uczestniczyć w projektach, opiniować nowe rozwiązania i reagować na zmiany organizacyjne. To rola doradcza, a nie wyłącznie kontrolna – i właśnie ta umiejętność często decyduje o tym, czy inspektor jest realnym wsparciem dla organizacji.
Od czego zacząć naukę do roli inspektora
Naukę najlepiej rozpocząć od dwóch fundamentów: definicji zawartych w art. 4 RODO oraz zasad przetwarzania z art. 5 RODO. To od nich zależy prawidłowe rozumienie wszystkich pozostałych zagadnień – bez znajomości podstawowych pojęć i zasad trudno ocenić, czy konkretny proces w ogóle mieści się w ramach rozporządzenia. Dopiero na tym gruncie warstwowo buduje się wiedzę o prawach osób, obowiązkach administratora, ryzyku i dokumentacji.
Jeśli planujesz zdobycie kompetencji inspektora ochrony danych lub chcesz przeszkolić osobę pełniącą tę funkcję w Twojej organizacji – zapraszamy do kontaktu. Pomożemy dobrać zakres szkolenia do realnych potrzeb.
