Jak przygotować się do kontroli UODO?

Informacja o planowanej kontroli Urzędu Ochrony Danych Osobowych potrafi wywołać panikę, zwłaszcza jeśli firma nigdy wcześniej nie przechodziła przez ten proces. Dobra wiadomość: kontrola jest znacznie mniej stresująca, jeśli dokumentacja i procedury są w porządku na co dzień, a nie przygotowywane na ostatnią chwilę. Poniżej opisujemy, jak wygląda kontrola, co sprawdza urząd i jak się przygotować.

Jak zaczyna się kontrola UODO

Kontrola zwykle nie jest przypadkowa. Może wynikać ze skargi osoby, której dane dotyczą, ze zgłoszenia naruszenia ochrony danych, z informacji w mediach albo z planu kontroli sektorowych, w których urząd sprawdza wybrane branże. Najczęściej pierwszym sygnałem jest zawiadomienie o zamiarze wszczęcia kontroli.

Ustawa o ochronie danych osobowych przewiduje, że kontrolę wszczyna się zasadniczo nie wcześniej niż po upływie 7 dni od doręczenia takiego zawiadomienia. Są od tego wyjątki, więc nie warto zakładać, że czasu będzie dużo. Kontrolerzy muszą okazać legitymację służbową i imienne upoważnienie do przeprowadzenia kontroli. Warto je przeczytać i zachować kopię.

Co sprawdza UODO podczas kontroli

• Czy wyznaczono Inspektora Ochrony Danych (jeśli jest to wymagane) i czy jego dane zostały zgłoszone
• Czy prowadzony jest rejestr czynności przetwarzania danych osobowych
• Czy istnieją udokumentowane podstawy prawne dla poszczególnych procesów przetwarzania
• Czy wdrożono odpowiednie środki techniczne i organizacyjne zabezpieczające dane
• Czy funkcjonuje procedura zgłaszania i obsługi naruszeń ochrony danych oraz czy prowadzony jest rejestr naruszeń
• Czy osoby, których dane dotyczą, były prawidłowo informowane o przetwarzaniu
• Czy umowy powierzenia przetwarzania z podmiotami zewnętrznymi są aktualne i kompletne
• Czy firma potrafi realizować prawa osób, na przykład żądania dostępu do danych czy ich usunięcia

Dokumenty, które warto mieć pod ręką

RODO opiera się na zasadzie rozliczalności, co oznacza, że to firma musi wykazać, że przestrzega przepisów. Same deklaracje nie wystarczą, potrzebne są dokumenty. Przed kontrolą warto zebrać w jednym miejscu:

• rejestr czynności przetwarzania,
• politykę ochrony danych i dokumenty dotyczące bezpieczeństwa informacji,
• klauzule informacyjne i wzory zgód,
• umowy powierzenia przetwarzania z dostawcami,
• upoważnienia pracowników do przetwarzania danych,
• rejestr naruszeń ochrony danych oraz procedurę ich zgłaszania,
• analizę ryzyka i, jeśli była wymagana, ocenę skutków dla ochrony danych,
• procedurę realizacji praw osób, których dane dotyczą,
• dowody przeprowadzonych szkoleń: listy obecności, materiały, certyfikaty,
• dokumenty potwierdzające wyznaczenie IOD i zgłoszenie go do UODO.

Lista kontrolna przygotowania

• Zaktualizuj rejestr czynności przetwarzania: sprawdź, czy odzwierciedla rzeczywiste procesy w firmie, a nie tylko te sprzed roku
• Przejrzyj klauzule informacyjne i zgody: czy są aktualne i zgodne z faktycznym zakresem przetwarzania
• Sprawdź umowy powierzenia z dostawcami (hosting, systemy IT, zewnętrzne biura rachunkowe, firmy ochroniarskie)
• Zweryfikuj, czy pracownicy mający dostęp do danych osobowych posiadają aktualne upoważnienia
• Upewnij się, że procedura zgłaszania naruszeń jest znana zespołowi, nie tylko spisana w szufladzie
• Przygotuj dokumentację potwierdzającą przeprowadzone szkolenia z zakresu ochrony danych
• Sprawdź zabezpieczenia: kto ma dostęp do systemów, czy działają kopie zapasowe, czy komputery i nośniki są chronione
• Wyznacz osobę, która będzie kontaktem dla kontrolerów i będzie wiedziała, gdzie co leży

Jak wygląda sama kontrola

Kontrolerzy mogą żądać dokumentów i pisemnych lub ustnych wyjaśnień, wchodzić do pomieszczeń, w których przetwarzane są dane, i dokonywać oględzin urządzeń, nośników oraz systemów informatycznych. Kontrolowany ma obowiązek zapewnić im warunki do pracy i dostęp do tego, co potrzebne. Z kontroli sporządzany jest protokół, który kontrolowany podpisuje albo do którego może zgłosić umotywowane zastrzeżenia w wyznaczonym terminie.

Jak zachować się podczas kontroli

• Zachowaj spokój i bądź uprzejmy. Kontrolerzy wykonują swoją pracę, a współpraca jest brana pod uwagę przy ocenie sprawy.
• Wyznacz jedną osobę, która komunikuje się z kontrolerami i koordynuje dostarczanie dokumentów.
• Przekazuj dokumenty rzetelnie i w ustalonym terminie. Zwłoka bywa odbierana jako brak współpracy.
• Jeśli nie znasz odpowiedzi na pytanie, powiedz, że sprawdzisz i odpowiesz pisemnie. To lepsze niż zgadywanie.
• Notuj, jakie dokumenty i informacje zostały przekazane.
• Nigdy nie poprawiaj dokumentów ani nie wystawiaj ich z datą wsteczną. Taki ruch zwykle pogarsza sytuację i może mieć konsekwencje wykraczające poza RODO.

Co dzieje się po kontroli

Jeśli kontrola nie wykaże nieprawidłowości, kończy się na protokole. Jeśli je wykaże, urząd może przekazać zalecenia albo wszcząć postępowanie administracyjne. W jego wyniku UODO może zastosować środki z art. 58 ust. 2 RODO, takie jak upomnienie czy nakaz dostosowania przetwarzania do przepisów, a w poważniejszych przypadkach nałożyć administracyjną karę pieniężną. Sposób, w jaki firma współpracowała podczas kontroli, i to, czy szybko naprawiła błędy, ma wpływ na wysokość kary.

Najczęstsze błędy firm

• Rejestr czynności i klauzule zostały przygotowane kilka lat temu i od tamtej pory nikt do nich nie zajrzał.
• Dokumentacja istnieje, ale nie odpowiada temu, co firma faktycznie robi z danymi.
• Pracownicy nie wiedzą, jak reagować na incydent, więc naruszenie nie jest zgłaszane w terminie.
• Brak umów powierzenia z dostawcami, z którymi dane są przekazywane.
• Przygotowywanie całej dokumentacji dopiero po otrzymaniu zawiadomienia.

Jak możemy pomóc

W ramach outsourcingu IOD zapewniamy reprezentację i wsparcie podczas kontroli UODO: przygotowanie wyjaśnień, kompletowanie dokumentacji i bezpośredni kontakt z organem nadzorczym, żebyś nie musiał mierzyć się z tym samodzielnie. Jeśli kontroli jeszcze nie ma, a chcesz mieć pewność, że wszystko jest w porządku, zacznij od audytu, który wskaże braki zanim zrobi to urząd.

Czy mogę odmówić wpuszczenia kontrolerów?

Nie. Kontrolerzy działają na podstawie upoważnienia i mają prawo wejść do pomieszczeń, w których przetwarzane są dane. Utrudnianie kontroli jest zagrożone odpowiedzialnością, a przy okazji źle świadczy o firmie. Jeśli masz wątpliwości co do upoważnienia, wyjaśnij je spokojnie, ale nie blokuj prac.

Czy podczas kontroli może mi towarzyszyć IOD albo prawnik?

Tak. Inspektor Ochrony Danych jest naturalnym punktem kontaktowym dla urzędu, a firma może też skorzystać z pomocy pełnomocnika. Warto to ustalić jeszcze przed rozpoczęciem czynności.

Co zrobić, jeśli dokumentacja jest niekompletna?

Nie ukrywaj tego i niczego nie dopisuj z datą wsteczną. Lepiej pokazać aktualny stan wraz z planem naprawczym, niż próbować maskować braki. Sposób reakcji firmy i szybkość naprawienia nieprawidłowości są brane pod uwagę przy dalszych decyzjach.