Audyt RODO – czym jest w istocie?

Zamierzasz wykonać audyt RODO samodzielnie lub zamówić usługę u zewnętrznego wykonawcy? Dowiedz się na czym ta usługa tak naprawdę polega i za co ewentualnie zapłacisz.

Kiedy wykonano pierwsze audyty ochrony danych osobowych?

Na samym wstępie – ważny komunikat:

Metodologia i praktyka audytów ochrony danych osobowych, to bardzo młoda sfera usług doradczych.

Obecnie słowo audyt większości przedsiębiorców kojarzy się z audytem finansowym. I nie ma w tym nic dziwnego. Audyt finansowy jestnajdłużej praktykowany i najlepiej wystandaryzowany.

Aby dobrze oddać skalę czasową należy zauważyć, że audytem finansowym branża doradcza zajmuje się od wieku XIX, a więc… już ponad dwa stulecia!

Audyt ochrony danych osobowych to usługa, która jest rozwijana dopiero od połowy lat dziewięćdziesiątych ubiegłego wieku. Jak łatwo policzyć – to nieco ponad 20 lat, a więc jedno zero mniej na osi czasu!

Dopiero pojawienie się Dyrektywy 95/46/WE (poprzedniczki RODO), a w Polsce ustawy o ochronie danych osobowych z 1997 roku, spowodowało zainteresowanie biznesu i sfery publicznej audytem pod kątem danych osobowych.

O pierwszych takich  audytach, możemy więc mówić w Polsce od roku 1997.

Na przestrzeni następnych lat powstała pewna (niewielka) ilość firm koncentrująca swoją działalność na ochronie danych osobowych. Te organizacje miały czas i zasoby na stopniowe udoskonalanie metodyki oraz sposobów prezentowania wniosków płynących z przeprowadzonego audytu.

RODO i co dalej?

RODO stosowane jest od  25 maja 2018 roku i spowodowało konieczność przemodelowania podejścia do audytu ochrony danych osobowych.

System audytu oparty na weryfikacji przepisów ustawy o ochronie danych osobowych z 1997 roku musiał zostać poważnie zmodyfikowany. Oczywiście wcześniejsze doświadczenia procentują i są doskonałą bazą do budowy metodologii zgodnej z RODO.

Do czego nam potrzebny audyt RODO?

Audyt RODO porównam do zaawansowanego skanu tkanek miękkich, jakim jest rezonans magnetyczny.

Jeśli chcemy podjąć skuteczne leczenie (np. uszkodzonego stawu), to nie da się tego zrobić bez dobrej diagnozy. A tę można postawić tylko dysponując odpowiednio przeprowadzonym badaniem.

Bez dobrze postawionej diagnozy może okazać się, że cała kosztowna terapia (wdrożenie) przyniesie więcej szkód, niż korzyści.

Jest jeszcze jedna duża wartość dodana posiadania raportu z audytu. Jedno z pierwszych pytań, które zadają inspektorzy UODO w toku kontroli, brzmi: „na jakiej podstawie ustalili Państwo ten stan faktyczny – czy możemy zobaczyć jakiś raport z audytu?”

Niezależnie wiec od tego czy działamy własnymi siłami (wewnętrznie), czy też szukamy zewnętrznego dostawcy – zanim zabierzemy się za wdrażanie RODO – najpierw postawmy precyzyjną diagnozę!

Na jakie pytania powinien dać odpowiedź audyt RODO?

Idąc tokiem medycznych skojarzeń – jeśli mamy dobrze wykonane zdjęcie ze specjalistycznym opisem (raport z audytu), to nie pozostaje nam nic innego, jak wybrać metodę leczenia (wdrożenia ogólnego rozporządzenia o ochronie danych).

Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji – przeszkól zespół.

Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?

Sprawdź nasze interaktywne szkolenia e-learningowe.

Sprawdź

Audyt to nie jest wdrożenie

Warto mocno rozdzielić dwa obszary: obszar audytu, który wcześniej porównałem do badania rezonansem magnetycznym oraz obszar wdrożenia, który możemy porównać do podjęcia leczenia.

Żeby zobrazować to przykładami – audyt może zawierać precyzyjnie zmapowane procesy. Ale nie będzie zawierał samego Rejestru Czynności Przetwarzania.

Raport z audytu może zawierać wskazanie, że brakuje klauzul informacyjnych w miejscach X, Y i Z. Ale nie będzie on uwzględniał treści samych klauzul informacyjnych.

Raport może zawierać rekomendację dotyczącą wdrożenia procedury DPIA, ale nie będzie uwzględniał samej procedury.

Audyt ma za to umożliwić lepsze poznanie własnej organizacji i stanowić punkt wyjścia przed rozpoczęciem wdrożenia.

Często podczas omawiania raportu z audytu, może okazać się, że wspólnie znajdziemy optymalny sposób wdrożenia w organizacji.

Klauzule informacyjne oraz klauzule zgód

Pracuj na sprawdzonych wzorach i wytycznych, których autorami są eksperci Lex Artist sp. z o.o. – lidera na rynku ochrony danych osobowych w Polsce.

Skorzystaj z naszych sprawdzonych wzorów klauzul informacyjnych i klauzuli zgody.

Sprawdź

Mapowanie procesów, a audyt RODO

Kolejny ważnym elementem audytu RODO jest mapowanie procesów przetwarzania danych osobowych.

Dobrze przygotowana mapa procesów, to fundament wiedzy o tym co dzieje się z danymi osobowymi w naszej organizacji.

Mapa procesów pozwoli nam też na sprawne przygotowanie Rejestru Czynności Przetwarzania, które jest jednym z podstawowych elementów wdrożenia RODO.

Audyt RODO bez mapowania procesów – nie jest audytem nieprawidłowym. Jak już wskazałem na początku artykułu – nie istnieje uniwersalny wzór audytu RODO.

Niemniej jednak w audytach, które prowadzimy, mapowanie procesów stanowi jeden z najbardziej czasochłonnych elementów.

Jeśli decydujemy się na wersję audytu bez mapowania procesów – powinno to też znaleźć odzwierciedlenie w cenie audytu.

Rejestr czynności przetwarzania (RCP) i RKCP

Chcesz spełnić wymóg RODO i prowadzić Rejestr Czynności Przetwarzania oraz Rejestr Kategorii Czynności Przetwarzania, ale nie wiesz od czego zacząć?

Działaj na sprawdzonym szablonie, którego autorem są eksperci Lex Artist – lidera na rynku ochrony danych osobowych w Polsce.

Sprawdź

Sposób prowadzenia audytu – mailowe checklisty czy audyt na miejscu?

Zbieranie informacji potrzebnych do przygotowania raportu, może odbywać się w różny sposób. Wyróżnię 3 różne praktyki w tym zakresie.

Audyt „na żywioł”

W takiej sytuacji audytor przyjeżdża do siedziby i zbiera informacje bezpośrednio od pracowników. Zaletą takiej formy zbierania informacji jest konieczność większej inicjatywy ze strony audytora. To audytor zbiera informacje, a później na ich bazie przygotuje raport.

Jeśli jednak audytor nie ma przygotowanych checklist, oznacza to, że każdy audyt może być trochę inny. Jeśli audytor będzie miał akurat gorszy dzień, to może zapomnieć o zadaniu ważnych pytań i tym samym istotne wnioski nie znajdą się w raporcie.

Audyty nie bazujące na checklistach są przeważnie wykonywane przez osoby zajmujące się RODO, działające na własnych rachunek lub przez nowe organizacje, które jeszcze nie wypracowały własnej metodologii realizacji usług.

Audyt usystematyzowany, „DIY – zrób to sam”

Wiele razy w toku naszej pracy spotkaliśmy się z audytami prowadzonymi zwłaszcza przez duże korporacje, które polegały na wysyłce checklist do audytowanych pracowników.

Taka forma audytu świadczy o tym, że podmiot audytujący dopracował się już pewnej metodologii swoich działań. Może ją też zmieniać i udoskonalać.

Ma jednak trzy istotne wady:

Audyt „systematycznie i bezpośrednio”

Forma checklist wypełnianych na miejscu przez audytorów jest według mnie formą optymalną z perspektywy Klienta. To audytor bierze na siebie ciężar wyjaśniania pojęć z formularza i jego uzupełnienie.

Zachowujemy też „element zaskoczenia”. Nikt tak jak osoba z zewnątrz (ekspert firmy doradczej lub niezależny wewnętrzny audytor) nie jest w stanie obiektywnie zidentyfikować niezgodności z audytowanym obszarem.

Dodatkowo, formularze gwarantują pewną powtarzalność i możliwość stałego udoskonalania procedur audytowych.

Oczywiście są też wady takiego rozwiązania – z uwagi na większe zaangażowanie audytorów – takie rozwiązanie może być też droższe, niż audyt bazujący na zdalnie wysyłanych informacjach.

Jeśli zamierzamy prowadzić audyt wewnętrzny lub dokonać wyboru podmiotu audytującego – warto od razu ustalić preferowaną przez nas formę realizacji audytu.

Czy audyty RODO różnych dostawców są ze sobą kompatybilne?

To niestety tylko idealna wizja, która byłaby możliwa do realizacji, gdyby każdy raport składał się z podobnych elementów.

W praktyce sytuacja przypomina niestety nieco bardziej tę znaną ze sfery IT, kiedy często nowy wykonawca woli wykonać system od podstaw, niż wdrażać się w prace prowadzone przez poprzedników.

Czas pokaże co wydarzy się dalej. Jeśli uda się wypracować pewne wspólne rynkowe standardy – na pewno będzie to z korzyścią dla Klientów.

Na ten moment, to co możemy zrobić to samodzielnie ustalić co dokładnie otrzymamy w ramach usługi nazwanej raportem z audytu.

Audyt RODO, a sfera IT

Było to jak najbardziej działanie celowe. Prawnicy pracujący nad treścią RODO zdawali sobie sprawę z tego, że postęp w sferze IT bardzo szybko wyprzedzi każde regulacje prawne.

Przykładowo: RODO nie zastrzega składni hasła czy częstotliwości jego zmiany.

Każdy administrator danych sam decyduje o tym, jakieś środki zabezpieczeń IT będą adekwatne do zabezpieczenia jego infrastruktury.

Nasze podejście do obszaru IT jest następujące. Rekomendujemy zbadanie poziomu bezpieczeństwa technicznego w organizacji – ale sprawami IT najlepiej zajmą się firmy stricte informatyczne lub wewnętrzne działy IT.

Dlatego my w Lex Artist, w ramach audytu RODO sprawdzamy obszar IT wyłącznie pod kątem, czy Administrator danych podjął jakiekolwiek działania zmierzające ku weryfikacji stosowanych zabezpieczeń. Sprawdzamy czy zabezpieczenia zostały wylistowane i czy możemy uznać obszar IT za odpowiednio zaadresowany.

Prezentacja raportu

Raport z audytu może być wielostronicowym dokumentem. Jednak nie wszyscy pracownicy Administratora danych, będą mieli czas na jego precyzyjną analizę.

Dlatego niezwykle ważna jest zwięzłe zaprezentowanie Zarządowi kluczowych wniosków i obserwacji płynących z audytu. Możemy też podzielić prezentację na poszczególne działy audytowanej organizacji, np. kadry, marketing etc.

Warto od razu ustalić z firmą audytującą, czy w ramach usługi otrzymamy również zaprezentowanie raportu w naszej siedzibie.

Jak zweryfikować doświadczenie audytorów?

Jeśli zdecydujemy się na realizację audytu RODO za pośrednictwem zewnętrznej firmy, warto zastosować więcej niż jedno kryterium wyboru – 100% cena.

Jednym z nich powinno być doświadczenie. Tylko jak w nowej, „postRODOwskiej” rzeczywistości ocenić obiektywnie to kryterium?

Od 25 maja 2018 nie działa jawny rejestr Administratorów Bezpieczeństwa Informacji. Do tej pory prowadzony przez Regulatora rejestr mógł pomóc zweryfikować doświadczenie audytora.

Mogliśmy sprawdzić w ilu organizacjach (i czy w ogóle) pełni funkcję ABI, a tym samym mieć pewne pojęcie o jego praktycznym doświadczeniu.

Dzisiaj rejestr IOD nie jest jawny, więc pozostają nam inne formy sprawdzenia doświadczenia. Ja zalecam w szczególności:

• Pochwalenie się referencjami dotyczącymi wdrożeń i audytów przed 25 maja 2018. W ten sposób nie bierzemy pod uwagę dostawców, którzy dopiero uczą się audytu ochrony danych osobowych,
• Sprawdzenie jak długo istnieje firma realizująca dla nas audyt. Jeśli powstała w 2018 roku, to wygląda na to, że powstała właśnie z okazji RODO. Nie ma w tym nic złego – ale nie spodziewajmy się dużego doświadczenia po audytorach.
• Weryfikacja specjalizacji podmiotu audytującego. Jeśli obok RODO w liście specjalizacji znajdziemy: prawo karne gospodarcze, prawo energetyczne, prawo pracy, własność intelektualną, prawo handlowe (..) i 10 innych specjalizacji… to z całą pewnością ten podmiot nie specjalizuje się w ochronie danych osobowych.

Koszt audytu vs. stopień szczegółowości audytu

Dopiero wiedząc na czym dokładnie polega audyt RODO i z jakich elementów się składa, możemy zestawić ze sobą i porównać oferty różnych dostawców.

Podsumowanie

Mimo, że branża audytu ochrony danych osobowych, nie jest jeszcze tak wystandaryzowana jak branża audytu finansowego, to możemy wyróżnić pewne elementy wspólne dla każdego audytu RODO.

Im lepiej znamy usługę, którą zamawiamy tym łatwiej będzie nam dokonać optymalnego dla naszej organizacji wyboru.

Pobierz artykuł w PDF