Strona głównaUsługiAudyty RODO
Audyt, po którym wiadomo, co zrobić najpierw
Weryfikacja procesów przetwarzania oparta na metodyce wypracowanej w kilkuset projektach. Uchybienia uszeregowane według ryzyka, nie według rozdziałów rozporządzenia, wraz z planem naprawy.
Na czym polega problem
Audyt, który kończy się listą uchybień, nie zmienia niczego
Raport wymieniający czterdzieści niezgodności bez wskazania, które są groźne, a które kosmetyczne, jest trudny do wdrożenia. Zarząd nie wie, co jest ważne, a zespół – od czego zacząć.
Dlatego każde uchybienie wiążemy z konkretnym przepisem, oceną ryzyka oraz wysokością potencjalnej kary finansowej. Lista wychodzi uszeregowana według tego, co realnie zagraża organizacji, nie według numeracji rozdziałów rozporządzenia.
Zakres badania
Co sprawdzamy
Ustalenie prawa właściwego i ról
Kto jest administratorem, kto współadministratorem, a kto podmiotem przetwarzającym. Od tego zależy cała reszta.
Identyfikacja procesów przetwarzania
Przechodzimy przez działy i ustalamy, gdzie faktycznie są dane, a nie gdzie miały być według dokumentacji.
Analiza ryzyka
Ocena według naszej metodyki, wersjonowanej w systemie. Widać, według jakich zasad oceniano dane ryzyko i kiedy.
Podstawy legalności
Weryfikacja przesłanek dla danych zwykłych i szczególnych kategorii, adekwatność zakresu do celu, realizacja zasady minimalizacji.
Zabezpieczenia techniczne i organizacyjne
Ochrona fizyczna, konfiguracja systemów, zarządzanie uprawnieniami, kopie zapasowe. Prowadzi audytor IT, nie prawnik.
Transfery poza EOG
Ocena legalności przepływów i opracowanie środków legalizujących, jeżeli są potrzebne.
Realizacja praw osób
Czy wniosek z art. 15 zostanie obsłużony w terminie i czy ktokolwiek wie, jak to zrobić.
Strony internetowe i systemy
Weryfikacja formularzy, zgód, plików cookie oraz poziomu bezpieczeństwa danych w systemach informatycznych.
Umowy i klauzule
Umowy powierzenia, upoważnienia, ewidencje, klauzule informacyjne i zgód pod kątem zgodności z aktualnym stanem prawnym.
Harmonogram
Ile trwa audyt
Poniżej przebieg audytu w organizacji do stu osób, w jednej lokalizacji. Przy większej liczbie systemów i oddziałów wydłuża się przede wszystkim faza trzecia. Państwa udział koncentruje się na fazach oznaczonych ciemnym kolorem. Terminy są orientacyjne i ustalamy je w umowie. Ostatnia pozycja, zaznaczona kreskowaniem, wykracza poza harmonogram samego audytu: wsparcie przy wdrażaniu zaleceń trwa zgodnie z zawartą umową.
01
Ustalenie zakresu
Uzgodnienie celu, zakresu i kryteriów. Ustalamy, według czego będziemy oceniać, zanim zaczniemy oceniać.
02
Przygotowanie
Plan audytu, listy kontrolne, dokumenty referencyjne, wstępne rozmowy z osobami po Państwa stronie.
03
Przeprowadzenie
Przegląd dokumentacji, wywiady, oględziny systemów, obserwacja procesów. Po każdym spotkaniu uczestnik dostaje spisane ustalenia.
04
Raport
Uchybienia z rangą i ryzykiem, zalecenia, plan naprawczy z terminami i osobami odpowiedzialnymi.
05
Spotkanie zamykające
Omówienie wyników z zarządem i zespołem. Raport, którego nikt nie przeczytał, nie jest wynikiem audytu.
06
Wsparcie po audycie
Pomoc przy interpretacji zaleceń i przy ich wdrażaniu. Nie zostawiamy Państwa z listą zadań.
Co Państwo dostają
Raport, z którym da się pracować
Każde ustalenie ma priorytet, termin, osobę odpowiedzialną i zalecenie. Podsumowanie dla kierownictwa stoi na początku, oceny poszczególnych wymogów dalej, a dowody na końcu.
Raport powstaje w systemie eAURA, więc stan wdrożenia zaleceń widać potem na bieżąco, bez dopytywania i bez osobnych arkuszy.
Czego audyt nie obejmuje
Uczciwie o granicach
Nie prowadzimy testów penetracyjnych ani audytu bezpieczeństwa całej infrastruktury, o ile nie zamówią go Państwo osobno. Badanie dotyczy przetwarzania danych osobowych, a nie kompletnej dojrzałości systemu zarządzania bezpieczeństwem informacji.
Nie wdrażamy zaleceń w ramach ceny audytu. Wdrożenie to osobny etap, który możemy poprowadzić albo zostawić Państwa zespołowi wraz z planem.
Zakres ustalamy pisemnie przed rozpoczęciem prac, żeby nikt nie liczył na coś, czego nie zamówił.
Polecamy innym AURACO jako solidnego partnera łączącego wysoki poziom wiedzy z umiejętnością jej przełożenia na biznesowe potrzeby.
Impel S.A.
z rekomendacji dla Grupy Kapitałowej
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
Brak DPIA: holenderska policja ukarana
Niderlandzki organ nadzorczy nałożył karę administracyjną w wysokości 50 tysięcy euro na policję za brak wykonania oceny skutków dla ochrony danych (DPIA)…
-
Kara czy upomnienie? Pięć kroków, którymi organy mają dochodzić do decyzji
Większość rozmów o karach z RODO, które prowadzę z klientami, zaczyna się od pytania o kwotę. Ile może kosztować spóźniona odpowiedź na…
-
Zmiany w RODO 2025 – Digital Omnibus | Omówienie cz. 5. Ocena skutków dla ochrony danych (DPIA)
Digital Omnibus przenosi tworzenie wykazów operacji wymagających DPIA na poziom unijny: wspólny wzór i metodyka od EROD, akt wykonawczy Komisji i zmiana…
Od czego zależy wycena
Od liczby systemów i lokalizacji, nie od liczby zatrudnionych. Zakres ustalamy przed podpisaniem umowy i zapisujemy w niej, co dokładnie zostanie zbadane, żeby nie było później sporu o granice audytu.
Pytania i odpowiedzi
Zanim Państwo zapytają
Ile trwa audyt zgodności z RODO?
W organizacji do stu osób zwykle od trzech do pięciu tygodni. Pierwszy tydzień schodzi na ustalenie zakresu i przygotowanie list kontrolnych, dwa kolejne na rozmowy, przegląd dokumentacji i oględziny systemów, ostatni na raport i spotkanie zamykające. Termin rośnie wraz z liczbą lokalizacji i systemów, nie wraz z liczbą pracowników.
Czym audyt różni się od analizy ryzyka?
Audyt odpowiada na pytanie, jak jest. Analiza ryzyka odpowiada na pytanie, co może pójść źle i z jakim skutkiem. Pierwsze bez drugiego daje listę usterek bez hierarchii, drugie bez pierwszego opiera się na wyobrażeniach o organizacji zamiast na jej stanie faktycznym.
Co dokładnie dostajemy po zakończeniu?
Raport z ustaleniami przypisanymi do konkretnych procesów, wykaz niezgodności uszeregowany według wagi, plan naprawczy z terminami i wskazaniem osób odpowiedzialnych oraz zestaw poprawionych dokumentów. Raport, który kończy się listą uwag bez planu, zostawia całą trudną część klientowi.
Czy audyt trzeba powtarzać?
Przepisy nie narzucają częstotliwości, ale art. 24 ust. 1 RODO wymaga poddawania środków przeglądom i uaktualnianiu. W praktyce rozsądny rytm to pełny audyt co dwa lata oraz krótki przegląd po każdej istotnej zmianie: nowym systemie, nowej lokalizacji, przejęciu.
Kiedy ostatnio ktoś z zewnątrz sprawdził Państwa procesy?
Rozmowa wstępna jest bezpłatna.
