Jak ocenić ryzyko?

Musimy określić sposób postępowania i kontroli wobec mogących zaistnieć sytuacji lub zdarzeń i przesłanki że założone cele zostaną zrealizowane. Miarą ryzyka są skutki i szanse ich wystąpienia. Wybór środków minimalizacji ryzyka zależy od stanu wiedzy technicznej i przewidywanych kosztów wdrażania wybranych rozwiązań. Brak sztywnych wymogów oznacza że to przedsiębiorca sam ocenia ryzyko i wprowadza odpowiednie zabezpieczenia za które ponosi odpowiedzialność. Ma być zgodnie ze zdrowym rozsądkiem bezpiecznie.

Kto może przetwarzać dane osobowe?

Przedsiębiorca decydujący o celach i sposobach przetwarzania danych może to robić jako administrator danych lub jako podmiot przetwarzający dane (procesor). Administratorem jest zdefiniowany podmiot np. spółka. W firmach prowadzących jednoosobową działalność gospodarczą administratorem danych jest właściciel. Administrator może na podstawie umowy powierzenia zlecić przetwarzanie danych podmiotowi zewnętrznemu. Procesor przetwarzający dane powinien posiadać upoważnienie administratora do przetwarzania danych osobowych.

Jakie procedury, jakie dokumenty?

Za dane osobowe i ich przetworzenie odpowiada administrator . W jego gestii leży zapewnienie odpowiednio sprawnych, bezpiecznych środków technicznych i oprogramowania, które wykluczy dostęp do danych osób niepowołanych . Przetwarzanie to: zbieranie, przechowanie, usuwanie, opracowanie i udostępnianie danych . Procedury przetwarzania muszą być zabezpieczone przed wyciekiem danych i przeprowadzone przez odpowiednio wyszkolony personel. W małej firmie ilość dokumentów związanych z Rodo można ograniczyć do niezbędnego minimum. Należy sporządzić analizę przetwarzania danych ( można sporządzić tabelę w Excelu) wydrukować, podpisać z datą i świadkami. Osoby mające dostęp do danych muszą otrzymać instrukcję obligująca do poufności. Techniczne i organizacyjne środki oraz procedury ochrony danych należy krótko opisać. Ważne jest dołożenie należytej staranności i możliwość udokumentowania tych starań. Opisując procedury szczególny nacisk należy położyć na: ochronę danych przed osobami z zewnątrz, poufność danych, usuwanie danych w terminie, instrukcje alarmowe w razie „wycieku danych”. Właściwe jest też przygotowanie wzorów umowy powierzenia danych. Warto znaleźć dobry wzór lub zasięgnąć porady prawnika.

Czy to wystarczy?

Wszystko zależy od skali naszej „małej firmy”, wielkości zatrudnienia, dostępnych sił i środków, zakresu działalności (branży) oraz własnej wiedzy i operatywności. Większość przedsiębiorców po zapoznaniu się z dyrektywą unijną o ochronie danych osobowych decyduje się na pogłębienie wiedzy na szkoleniach i warsztatach Rodo. Część małych firm jako alternatywę dla przetwarzania danych wybiera Outsourcing Rodo.