Strona głównaUsługiWeryfikacja procesorów
Weryfikacja podmiotów przetwarzających, którą da się wykazać
System do prowadzenia ankiet dla dostawców: wysyłka odnośnikiem, formularze z wersjami, ocena punktowa i dowód weryfikacji gotowy do okazania. Udostępniamy go jako osobną usługę.
Na czym polega problem
Podpisanie umowy powierzenia nie wyczerpuje obowiązku
Artykuł 28 ust. 1 RODO wymaga, żeby administrator korzystał wyłącznie z podmiotów zapewniających wystarczające gwarancje. Prezes UODO konsekwentnie stoi na stanowisku, że sama umowa tego nie dowodzi – trzeba wykazać, że gwarancje faktycznie zweryfikowano.
Rynkowy standard tej weryfikacji to arkusz rozsyłany mailem, na który połowa dostawców nie odpowiada, a odpowiedzi nikt nie ocenia. W razie kontroli nie ma czego pokazać.
Co dostają Państwo
Weryfikacja prowadzona jak proces, nie jak korespondencja
Wysyłka ankiety odnośnikiem
Procesor dostaje link do formularza. Nie musi zakładać konta ani niczego instalować.
Formularze z wersjonowaniem
Zestaw pytań ma swoje wersje. Widać, na jaki formularz odpowiadał dostawca i kiedy. Pytania dopasowują się też do odpowiedzi: kto nie prowadzi dokumentacji papierowej, nie dostaje pytań o jej przechowywanie.
Ocena punktowa i słowna
Odpowiedzi przekładają się na wynik procentowy i ocenę: niewystarczający, podstawowy, zadowalający albo wysoki.
Terminy i statusy
Każda ankieta ma termin ukończenia. Widać, kto odpowiedział, a kto zwleka.
Powiązanie z audytem
Ankieta może być częścią audytu, więc wyniki trafiają wprost do dokumentacji.
Dowód weryfikacji
Pytania, odpowiedzi, daty i ocena zostają zapisane. To materiał, który pokazuje się organowi.
Jak to wygląda w systemie
Ankieta, którą wypełnia procesor
Dostawca dostaje odnośnik i odpowiada na konkretne pytania: o zabezpieczenia, podwykonawców i incydenty. Nie potrzebuje konta ani instrukcji.
Odpowiedzi zostają w systemie razem z datą, więc przy kolejnym przeglądzie widać, co się zmieniło, a ocena procesora nie ginie w skrzynce pocztowej.
Jak to wygląda w praktyce
Cztery kroki, od decyzji do wpisu w rejestrze
Cały przebieg trwa zwykle od dwóch do trzech tygodni, w zależności od tego, jak szybko odpowiadają dostawcy. Państwa udział sprowadza się do pierwszego i trzeciego kroku.
Krok 1
Powód i zakres
Ustalamy, dlaczego badamy dostawcę: nowa umowa, przegląd okresowy albo incydent po jego stronie. Od tego zależy, którą wersję formularza wysyłamy.
Krok 2
Wysyłka i zbieranie
System wysyła odnośnik osobie kontaktowej u procesora. Odpowiedzi spływają w jedno miejsce, a Państwo na bieżąco widzą, kto już odpowiedział.
Krok 3
Ocena
Z odpowiedzi powstaje wynik. Niewystarczający nie oznacza od razu zerwania współpracy: wskazuje, o co dopytać i co dopisać do umowy powierzenia.
Krok 4
Rejestr i porównanie
Pytania, odpowiedzi, daty i ocena zostają w rejestrze. Przy kolejnym przeglądzie od razu widać, co u dostawcy zmieniło się od poprzedniego razu.
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
RODO: powierzenie przetwarzania danych osobowych – umowa podpisana… i co dalej?
RODO ->W przypadku chęci skorzystania przez administratora danych osobowych z usług, które z uwagi na ich specyfikę mogą wiązać się z koniecznością…
-
Broker, Ubezpieczający, Ubezpieczyciel. Powierzenie danych w sektorze ubezpieczeniowym.
Broker – Ubezpieczający – Ubezpieczyciel Temat podstaw przetwarzania danych osobowych, w szczególności do przekazywania ich kolejnemu podmiotowi w ramach obsługi umów ubezpieczenia,…
-
Filar, który zadrżał – wyrok Trump v. Slaughter a przyszłość transferów danych do USA
Podstawa prawna, na jakiej dane trafiają za ocean, rzadko bywa przedmiotem codziennej refleksji w organizacjach.
Jak się rozliczamy
Opłata roczna zależna od liczby weryfikowanych podmiotów. Pierwsza kampania ankietowa, wraz z ułożeniem pytań pod Państwa branżę, jest wliczona w uruchomienie.
Pytania i odpowiedzi
Weryfikacja procesorów: co budzi wątpliwości
Czy naprawdę trzeba weryfikować podmioty przetwarzające?
Tak. Art. 28 ust. 1 RODO pozwala korzystać wyłącznie z takich podmiotów, które zapewniają wystarczające gwarancje. „Zapewniają” to czasownik wymagający sprawdzenia, a nie założenia. Brak weryfikacji obciąża administratora, nawet gdy zawinił procesor.
Czy wystarczy oświadczenie dostawcy?
Jako punkt wyjścia tak, jako całość weryfikacji nie. Oświadczenie ma wartość dowodową, gdy jest konkretne i podpisane przez kogoś umocowanego. Odpowiedź „stosujemy odpowiednie środki techniczne i organizacyjne” nie mówi niczego i nie obroni się przy kontroli.
Jak często powtarzać badanie?
Raz w roku dla dostawców kluczowych, co dwa lata dla pozostałych, a poza tym po każdej istotnej zmianie: przejęciu dostawcy, zmianie lokalizacji przetwarzania, incydencie po jego stronie. Rytm jest ważniejszy od częstotliwości.
Co zrobić, gdy dostawca odmawia odpowiedzi?
Odmowa sama w sobie jest wynikiem badania i tak ją traktujemy. Prawo do kontroli wynika z art. 28 ust. 3 lit. h RODO i powinno być zapisane w umowie powierzenia. Jeżeli dostawca odmawia mimo takiego zapisu, decyzja przenosi się z poziomu zgodności na poziom zarządczy.
Ilu mają Państwo procesorów i kiedy ostatnio ich sprawdzano?
Przegląd wstępny wykonujemy bezpłatnie.
