Odc. 18 Tajemnice rozliczalności

I te procedury polityki, no to jest najprostsze narzędzie służące wykazaniu rozliczalności. Często się pojawia pytanie, jakie procedury, jakie polityki? Bo jak pamiętamy, same RODO tych polityk i procedur wiele nie wymienia. Jeżeli chodzi o polityki czy procedury, to mamy raptem dwa rejestry, ewentualnie też jeszcze rejestr incydentów czy później naruszeń ochrony danych. Natomiast już w doktrynie, w stanowiskach urzędu, na stronie Urzędu Ochrony Danych Osobowych również, widać całą listę No i tutaj też pojawia się pytanie, czy to wystarczy?

Czy wystarczy mieć tą biblioteczkę procedur? To w ogóle, jeśli chodzi o procedury, to jest temat bardzo ciekawy, który na pewno poruszymy w jakimś kolejnym podcaście, ale taki spis treści, to jest to, co jest wymagane, taka sztywna lista. Nie ma takiej sztywnej listy, nie ma procedur, które są wymagane w 100% i takich, które musimy mieć, możemy mieć, nie musimy mieć. Tego nie ma. Ja bym jeszcze może inaczej do tego tematu trochę podszedł, bo mówiliśmy też o pytaniach urzędu 27, które się pojawiły, kierowanych do administratorów danych, do inspektorów, trudno powiedzieć do kogo, bo w zasadzie do jednych i drugich i tam w wielu miejscach pojawia się prośba łamane na żądanie,

I tak jak wspominaliśmy tutaj o procedurach, rzeczywiście w 2018 roku rynek chyba przeżył zalew takich procedur. Były takie podmioty, które przygotowywały i były podmioty, które Przyjmowały i wdrażały takie procedury, które często były grubsze niż Władca Pierścieni. Przypomnę, to był taki film, gdzie oni szli przez trzy godziny z lewego kąta ekranu na prawy. Nie doszli chyba przez dwa pierwsze filmy. I te procedury były po prostu niestosowalne. I to jest ciekawe z tego względu, że ten wątek pojawia się też w kontrolach prowadzonych przez prezesa Urzędu Ochrony Danych Osobowych.

Czyli prezes pyta, czy stosowaliście ten mechanizm? Podmiot mówi, że stosowaliśmy. Fantastycznie. Prosimy o procedurę. Przedkładana jest procedura. Urząd pyta, OK, czy zgodnie z tą procedurą przeprowadzaliście takie a takie działanie? Prosimy o przedstawienie dowodów, że rzeczywiście miało to miejsce. Sami mieliśmy do czynienia z takimi procedurami, gdzie było wyraźnie wskazane, że np. kierownicy komórek organizacyjnych raz na dwa miesiące spotykają się, ustalają, rejestrują. No i oczywiście oprócz jakiegoś tam pikniku firmowego raz w roku nigdy do takiego spotkania nie dochodziło. W związku z tym kluczem jest po pierwsze stosowalność tych procedur, a po drugie sama procedura, nawet przejrzysta, z obrazkami Gothiciem 14 pisana, no nic nie da, jeżeli ona nie zostanie odpowiednio skomunikowana pracownikom i jeżeli oni

Nie będą jej stosować, stąd kwestia odpowiednich szkoleń, na co też zwracał urząd w swoich kontrolach, mówiąc, że nawet najlepiej zaprojektowany system ochrony danych osobowych, jeżeli pracownicy są nieprzeszkoleni, nieświadomi mechanizmów, zagrożeń, ryzyk, nie będzie funkcjonował. No i tutaj na końcu chyba powinniśmy jeszcze poruszyć jeden wątek, Czyli jak ta kwestia rozliczalności wygląda w pracy inspektorów ochrony danych? Bardzo różnie wygląda. Bardzo różnie, bo to wszystko zależy też od nie tylko sprawności inspektora, ale zależy też od tego, na ile administrator danych pozwoli na napisanie procedur albo weźmie to pod uwagę.

Rób jak chcesz, ale także było dobrze oraz musisz mieć na to jakiś dowód. I to jest chyba największy ból inspektorów, którzy nie zawsze są w stanie wdrożyć to w organizacji. Nawet gdyby chcieli, pomijam tych, którzy do końca nie chcą albo kompletnie nieświadomi są tego, bo też są tacy, którzy tej zasady nie widzą po prostu. Tak, tutaj też pojawia się ta kwestia, jeżeli chodzi o inspektorów, że po pierwsze powstał też szereg narzędzi, różnych aplikacji, programów, które mają wspierać inspektorów w zapewnieniu tej rozliczalności, jeżeli chodzi o prowadzenie rejestrów, wersjonowanie polityk, obowiązków informacyjnych. Natomiast dosyć istotne jest też również w kontekście tych pytań urzędu kwestia, co się dzieje, gdy występuje rozdźwięk na linii inspektor-administrator.