Audyt RODO z raportem, ryzykami i planem działań naprawczych
Audyt RODO powinien odpowiedzieć na pytanie, czy organizacja może wykazać zgodność w praktyce: dokumentami, decyzjami, rejestrami, procedurami, dowodami szkoleń i sposobem działania personelu.
Weryfikacja dokumentów, procesów i praktyki działania.
Ustalenia, ryzyka, rekomendacje i plan naprawczy.
Możliwość wykazania zgodności i ograniczenia ryzyka.
Zakres audytu RODO
- rejestr czynności przetwarzania i powiązanie go z realnymi procesami,
- podstawy prawne przetwarzania danych i obowiązki informacyjne,
- klauzule informacyjne, zgody, formularze i komunikaty,
- upoważnienia, dostępy i zasady nadawania uprawnień,
- umowy powierzenia i nadzór nad podmiotami przetwarzającymi,
- retencja danych, archiwizacja i usuwanie dokumentów,
- naruszenia ochrony danych i realizacja praw osób.
Raport po audycie
Raport jest przygotowywany tak, aby mógł zostać wykorzystany przez kierownictwo do podejmowania decyzji. Ustalenia są oddzielone od rekomendacji, a działania naprawcze otrzymują priorytety i sposób potwierdzenia wykonania.
Co faktycznie stwierdzono na podstawie dokumentów, rozmów lub obserwacji.
Jakie skutki może mieć dana luka dla organizacji lub osób, których dane dotyczą.
Jakie działania należy podjąć, aby ograniczyć ryzyko i poprawić zgodność.
Jak potwierdzić wykonanie zaleceń: dokument, rejestr, protokół, szkolenie, decyzja.
Kiedy wykonać audyt?
- przed kontrolą lub po incydencie związanym z danymi,
- po zmianie systemu, dostawcy, struktury organizacyjnej lub procesu,
- przed rozpoczęciem outsourcingu IOD,
- po dłuższym okresie bez przeglądu dokumentacji,
- gdy dokumenty istnieją, ale nie wiadomo, czy są stosowane w praktyce.
Efekt audytu
Organizacja otrzymuje uporządkowany obraz zgodności, listę ryzyk, plan działań naprawczych oraz materiał, który można wykorzystać podczas spotkania kierownictwa, kontroli wewnętrznej albo dalszego wdrażania zaleceń.
Zamów audyt RODO lub przegląd zgodności
Wiadomość powinna zawierać krótki opis organizacji, liczbę pracowników, typ danych oraz informację, czy dokumentacja RODO jest już przygotowana.