Kroki wdrożenia RODO
1
Opracowanie dokumentu: Polityka Ochrony Danych Osobowych.
Dokument zawiera:
- Analizę ryzyka
- Definicje
- Rejestr czynności przetwarzania (inwentaryzacja danych osobowych)
- Wyznaczanie zagrożeń
- Wyliczenie ryzyka dla zagrożeń
- Plan postępowania z ryzykiem
- Upoważnienia
- Środki techniczne i organizacyjne zabezpieczające dane osobowe
- Regulamin Ochrony Danych Osobowych
- Instrukcja postępowania z incydentami
2
Opracowanie Rejestru Czynności Przetwarzania (wykazu zbiorów danych osobowych) z wyszczególnieniem:
- kategorii osób (zbioru) w formie rejestru czynności przetwarzania
- aktywów
- procesu przetwarzania
- opis funkcjonalny
3
Opracowanie Klauzul Informacyjnych dla każdego zbioru z Rejestru Czynności Przetwarzania i wdrożenie ich w życie.
4
Opracowanie Instrukcji zarządzania RODO która zawiera:
- Zabezpieczenia fizyczne
- Zabezpieczenia techniczne
- Procedura nadawania uprawnień do przetwarzania danych osobowych
- Metody i środki uwierzytelnienia (polityka haseł)
- Procedura tworzenia kopii zapasowych
- Sposób utylizacji elektronicznych nośników i wydruków oraz czyszczenie danych
- Procedura zabezpieczenia systemu informatycznego
- Bezpieczeństwo przetwarzania danych poza firmą/organizacją
- Ochrona przed nieautoryzowanym dostępem do sieci lokalnej
- Zabezpieczenia infrastruktury IT
- Zabezpieczenia aplikacji
- Procedura wykonywania przeglądów i konserwacji
5
Opracowanie Regulaminu Ochrony Danych Osobowych, który zawiera:
- Zasady bezpiecznego użytkowania sprzętu IT, dysków, programów
- Zarządzanie uprawnieniami – procedura rozpoczęcia, zawieszenia i zakończenia pracy
- Polityka haseł
- Zabezpieczenie dokumentacji papierowej z danymi osobowymi
- Zasady wynoszenia nośników z danymi poza firmę/organizację
- Zasady korzystania z Internetu
- Zasady korzystania z poczty elektronicznej
- Skrócona instrukcja postępowania w przypadku naruszenia ochrony danych osobowych
- Obowiązek zachowania poufności i ochrony danych osobowych
- Postępowanie dyscyplinarne
Regulamin należy przedstawiać pracownikom celem zapoznania się z nim i w celu przestrzegania
przyjętych zasad zawartych w regulaminie.
6
Przygotowanie Arkusza Analizy Ryzyka RODO, który zawiera w odpowiedniej formule:
- Prawdopodobieństwo incydentu
- Skutki wystąpienia incydentu
- Ryzyko wystąpienia incydentu
7
Opracowanie Ewidencji Osób Upoważnionych. Wprowadzenie zbiorów i uprawnionych osób. Przygotowanie Upoważnienia wraz z Oświadczeniami o Poufności.
8
Przygotowanie Umów Powierzenia z firmami outsourcingowymi (np. biuro rachunkowe, zewnętrzna obsługa IT, hosting).
9
Wykonanie Analizy Ryzyka. Zweryfikowanie zagrożeń oraz dobór właściwych zabezpieczeń adekwatnych do ryzyka. Analiza wartości prawdopodobieństwa, skutków i ryzyka (R=P*S). Wszystkie zabezpieczenia zostaną uwzględnione w Instrukcji zarządzania RODO. W przypadku wystąpienia zbyt dużego ryzyka, zostaną one obniżone poprzez właściwe działania, które będą wykazane w Planie Postępowania z Ryzykiem.
10
Przygotowanie Formularza Rejestracji Incydentu – gdy w przyszłości zaistniałby incydent, który trzeba odnotować – oby nigdy nie był uzupełniany!
11
Przygotowanie Planu Ciągłości Działania zawierającego:
- Plan awaryjny odtworzenia systemu informatycznego po awarii krytycznej
- Plan awaryjny na wypadek braku zasilania w sieci komputerowej
- Plan awaryjny na wypadek utraty dostępu do sieci Internet
oraz Procedury Audytu Wewnętrznego.