Co to jest i po co się przeprowadza audyt ochrony danych osobowych

Audyt ochrony danych osobowych – co zyskujesz?
Ustawa o ochronie danych osobowych określa obowiązki podmiotów przetwarzających dane osobowe osób fizycznych w związku z działalnością zarobkową lub zawodową oraz uprawnienia jakie przysługują tym osobom, także w przypadku przetwarzania ich danych z naruszeniem przepisów ustawy.

Katalog obowiązków ciążących na administratorze danych osobowych jest niezwykle obszerny, zaś ich prawidłowa identyfikacja może nastręczać wiele problemów i trudności.

Ryzyko związane z niedostosowaniem prowadzonej działalności gospodarczej do ustawowych wymogów i zasad przetwarzania danych osobowych jest znaczące – w grę wchodzić może bowiem ewentualna odpowiedzialność cywilna, administracyjna a nawet karna.

Systematycznie zwiększająca się świadomość społeczeństwa w zakresie uprawnień przysługujących osobom fizycznym w przypadku naruszenia ich praw w procesie przetwarzania danych osobowych oraz wzmożona aktywność kontrolna Generalnego Inspektora Ochrony Danych Osobowych implikuje konieczność zapewnienia zgodności prowadzonego biznesu (m.in. w sferze marketingu, e-commerce, sprzedaży, obsługi klienta, zatrudnienia jak i wielu innych) z przepisami o ochronie danych osobowych.

Podstawowym narzędziem pozwalającym na osiągnięcie przywołanego celu oraz wyeliminowanie wspomnianego ryzyka jest audyt ochrony danych osobowych.  Audyt pozwoli ustalić obszary i elementy procesu przetwarzania danych osobowych, które wymagają podjęcia czynności naprawczych i korygujących, zaś wdrożenie rozwiązań zarekomendowanych w ramach audytu zneutralizuje zagrożenia związane z ewentualnymi konsekwencjami kontroli GIODO.

Z drugiej strony, przeprowadzenie audytu i zastosowanie się do sformułowanych w jego wyniku zaleceń z całą pewnością pomoże w zbudowaniu pozytywnego wizerunku danej organizacji w powszechnej w świadomości klientów z danej branży. Oczywistym jest, że dla przedsiębiorcy korzystniej jest gdy jest on postrzegany jest jako dbający o prawa i interesy swoich pracowników, kontrahentów czy klientów.

Czym jest audyt ochrony danych osobowych?
Audyt jest niezależną, dokonywaną przez ekspertów, oceną danej organizacji oraz zachodzących w niej procesów pod względem zgodności z przepisami prawa, standardami czy normami.

Audyt ochrony danych osobowych obejmuje weryfikację procesu przetwarzania danych osobowych pod kątem zgodności z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz z wydanymi na jej podstawie aktami wykonawczymi, w szczególności rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

W ramach czynności audytowych, podmiot audytowany podlega badaniu zarówno od strony formalno-prawnej jak również od strony techniczno-organizacyjnej.

Czynności przeprowadzane przez osoby przeprowadzające audyt ochrony danych osobowych koncentrują się na zweryfikowaniu między innymi czy:

•  przetwarzanie danych odbywa się zgodnie z prawem, tj. na podstawie ustawowych przesłanek legalizujących przetwarzanie danych osobowych;
• opracowano i wdrożono do stosowania dokumentację ochrony danych osobowych;
• podmiot audytowany spełnił wszystkie obowiązki określone w przepisach prawa;
• spełnione zostały wymagania dotyczące powierzenia przetwarzania danych osobowych innemu podmiotowi;
• zbiory danych zostały zgłoszone do rejestracji GIODO.

W toku audytu weryfikacji podlegają stosowane przez podmiot audytowany zabezpieczenia organizacyjne (np. procedury, regulaminy, organizowanie szkoleń dla osób dopuszczonych do przetwarzania danych osobowych), zabezpieczenia fizyczne (np. system alarmowy, system kontroli dostępu do obszaru przetwarzania danych osobowych) czy techniczne (np. system informatyczny).

Audyt ochrony danych osobowych nie powinien ograniczać się do weryfikacji procesu przetwarzania danych osobowych wyłącznie pod kątem zgodności z przepisami prawa. Ważne, aby dokonywana ocena, a przede wszystkim sformułowane w ramach audytu rekomendacje uwzględniały charakter działalności podmiotu audytowanego, branżę w której działa oraz przyjęte w jej ramach dobre praktyki i zachowania.

Kto może podlegać audytowi
Audyt ochrony danych osobowych może zostać przeprowadzony zarówno u podmiotów będących administratorami danych osobowych, jak również u podmiotów przetwarzających dane osobowe na zlecenie (u tzw. procesorów).

Zauważyć należy, że wskazane powyżej role pełnić mogą nie tylko przedsiębiorcy (osoby fizyczne, wspólnicy spółek cywilnych, spółki prawa handlowego), ale również stowarzyszenia, fundacje, spółdzielnie czy nawet wspólnoty mieszkaniowe.

Co równie ważne, przeprowadzany audyt ochrony danych osobowych może obejmować samego zlecającego, jak również jego kontrahenta (tzw. audyt drugiej strony).

Kiedy przeprowadzić audyt?
W kontekście przywołanych powyżej okoliczności, tj. wzrastającej świadomości społeczeństwa w zakresie ochrony danych osobowych, aktywności GIODO oraz korzyści (w tym wizerunkowych) jakie niesie ze sobą dbałość o prawidłowy przebieg procesu przetwarzania danych osobowych, z przeprowadzeniem rzetelnego audytu nie należy zwlekać.

Powyższe uwagi nabierają szczególnego znaczenia wobec dokonanej reformy unijnych przepisów o ochronie danych osobowych. Jak już wspominaliśmy, ogólne rozporządzenie o ochronie danych osobowych będzie stosowane od dnia 25 maja 2018 r. Do tego czasu pozostały niecałe dwa lata, zaś wprowadzone zmiany mają charakter niemalże rewolucyjny. Warto wykorzystać ten okres, aby dostosować prowadzoną działalność do nowych wymogów prawa UE. Przeprowadzenie kompleksowego audytu ochrony danych osobowych pozwoli ustalić jakie obszary i sfery aktywności wymagają zmian i modyfikacji w tym zakresie – podjęcie tych czynności pozwoli na uniknięcie ewentualnych negatywnych konsekwencji niedostosowania procesu przetwarzania danych osobowych do nowych przepisów.