12/03/2024

Audyt zgodności z RODO – czym jest i dlaczego warto go przeprowadzić

Audyt zgodności z RODO to przegląd działalności firmy i jej ocena w kontekście zgodności z przepisami dotyczącymi danych osobowych. Dzięki RODO audytowi przedsiębiorca uzyskuje informacje na temat skuteczności stosowanych środków technicznych i organizacyjnych, dzięki czemu, po wdrożeniu rekomendacji, może zminimalizować ryzyko przełamania stosowanych zabezpieczeń.

Czym jest audyt zgodności z RODO

Audyt zgodności z RODO to kompleksowy przegląd działalności firmy w kontekście zgodności przetwarzania z przepisami dotyczącymi danych osobowych. Na administratorze jak i na podmiocie przetwarzającym, ciąży szereg obowiązków prawnych, których realizacja również powinna zostać poddana regularnej ocenie. Warto jest określić zakres potencjalnego audytu tak żeby skupić się na kwestiach, w których organizacji nie jest pewna czy spełnia wymagania RODO. Zakres audytu może również wynikać z rocznego planu kontroli, jak w przypadku planu audytu sektorowego w roku 2024 r. Prezesa UODO, zgodnie z którym w obecny roku, kontroli poddany zostanie sposób zabezpieczenia i udostępniania danych osobowych przetwarzanych w związku z użytkowaniem aplikacji webowych, a także prawidłowość spełnienia obowiązku informacyjnego. W przypadku większych organizacji, audyt może obejmować konkretne działy, lub wykorzystywane narzędzia. Audyt RODO może być przeprowadzony na różnych etapach wprowadzania procedur. Co do zasady przeprowadza się go zarówno bezpośrednio przed wdrożeniem odpowiednich procedur, co pozwala na uzyskanie wiedzy nt. wyjściowej sytuacji w firmie, jak i po wdrożeniu w niej RODO jako cykliczną weryfikację skuteczności już wdrożonych rozwiązań.

Jakie są cele audytu

W jakim celu przeprowadzany jest RODO audyt? Celem audytu zgodności z RODO jest przede wszystkim weryfikacja, czy w zakresie objętym badaniem wszystkie obowiązki przedsiębiorcy wynikające z prawa o ochronie danych osobowych, jakie ustawodawca narzuca na organizację są realizowane w prawidłowy sposób. Kolejnym zadaniem RODO audytu jest sprawdzenie, czy rekomendacje z poprzednich audytów zostały wdrożone. Poza tym, audyt ma również odpowiedzieć na pytanie, czy pracownicy firmy są świadomi posiadanych obowiązków związanych z ochroną danych osobowych i czy ich przestrzegają. 

Naturalną konsekwencją przeprowadzonego audytu powinien być raport z przeprowadzonego badania. W dokumencie tym należy zamieścić informacje na temat zakresu przeprowadzonych badań oraz wskazanie ewentualnych uchybień i niezgodności. Ponadto, w raporcie z audytu zgodności z RODO powinny się znaleźć rekomendowane działania naprawcze. Dobrą praktyką jest wskazywanie stopnia ryzyka związanego z każdą wymienioną niezgodnością, dzięki czemu działaniom naprawczym można nadać właściwe priorytety. Przedsiębiorca będzie musiał wyznaczyć osobę odpowiedzialną za monitorowanie realizacji działań naprawczych.

Jak przeprowadzić audyt zgodności

Audyt RODO przebiega kilkuetapowo. Co do zasady złożony jest z trzech kroków. Pierwszy z nich obejmuje gromadzenie informacji o przetwarzanych przez przedsiębiorcę danych osobowych oraz działaniach podejmowanych w ramach tego procesu. Ten etap RODO audytu obejmuje również określenie stosowanych przez firmę środków ochrony w ramach polityki cyberbezpieczeństwa. Celem pierwszej części audytu zgodności z RODO jest określenie sytuacji wyjściowej w firmie. Po tej fazie dochodzi do analizy zebranych informacji i ich oceny. Można go postrzegać jako etap kontroli. Ostatni etap audytu zgodności z RODO obejmuje przygotowanie zaleceń dotyczących ochrony danych i rekomendacji na przyszłość.

Kto może przeprowadzić audyt

Przepisy prawa nie narzucają przedsiębiorcom żadnych konkretnych wytycznych dotyczących podmiotu, który może przeprowadzić audyt zgodności z RODO. Firmy mają w tym zakresie dużą swobodę. Co do zasady może go przeprowadzić pracownik zatrudniony w przedsiębiorstwie, w którym realizowany jest audyt, jak i podmiot zewnętrzny, który świadczy usługi obejmujące audyty zgodności z przepisami dotyczącymi danych osobowych. Wielu przedsiębiorców decyduje się na wybór własnego pracownika – głównie ze względów finansowych. Jednak nie zawsze jest to właściwa decyzja. Dlaczego? Po pierwsze, pracownicy w większości przypadków, nawet jeśli są odpowiedzialni w firmie za wdrażanie procedur związanych z ochroną danych osobowych, nie posiadają wystarczającej wiedzy na temat przeprowadzania audytów. A jeśli ten ma być jakościowy, powinien być przeprowadzony przez kompetentne osoby, wyróżniające się wiedzą i doświadczeniem w tym zakresie. Po drugie, przeprowadzenie audytu przez podmiot zewnętrzny jest gwarancją maksymalnego poziomu obiektywizmu i niezależności podczas analizy zgromadzonych danych.

Jak często przeprowadzać audyt zgodności z RODO

Ponieważ prawo nie narzuca firmom konkretnych terminów przeprowadzania audytów, wiele firm przeprowadza je dopiero wtedy, kiedy są do tego zmuszone. Typową sytuacją może być przeprowadzenie audytu w wyniku wystąpienia incydentu związanego z wyciekiem danych albo po otrzymaniu zawiadomienia z Urzędu Ochrony Danych Osobowych w związku ze złożoną skargą na firmę przez poszkodowany podmiot danych. Tymczasem bezpieczniej i w gruncie rzeczy również taniej jest przeprowadzać audyt cyklicznie, najlepiej raz w roku.

Przeprowadzenie audytu zgodności z RODO pozwoli przedsiębiorcy wykryć ewentualne zaniedbania, które mogłyby skutkować naruszeniem ochrony danych osobowych. Proces ten wymaga gruntownej analizy procesów, stosowanych procedur, dokumentacji, wykorzystywanych środków technicznych, a także wiedzy i świadomości pracowników. Niewątpliwie jest on czasochłonny i kosztowny. Ponadto, wymaga zaangażowania w niego wielu pracowników, dlatego wiele firm ogranicza częstotliwość jego przeprowadzania.

Dlaczego audyt zgodności z RODO potrzebny jest każdej firmie

Audyt zgodności z RODO pozwala sprawdzić i ocenić skuteczność stosowanych przez przedsiębiorcę środków – zarówno technicznych, jak i organizacyjnych, których zadaniem jest zapewnienie bezpieczeństwa przetwarzanych danych. Bez niego trudno sobie wyobrazić zapewnienie odpowiedniego poziomu cyberbezpieczeństwa. Brak okresowych audytów zwiększa ryzyko wystąpienia naruszenia, a administrator nie jest wówczas w stanie podjąć właściwych działań naprawczych. Audyty zgodności z RODO są ważne nie tylko ze względu na ewentualne straty zasobów, pieniędzy lub wizerunkowe, ale również ze względu na możliwość wystąpienia naruszenia ogólnego rozporządzenia o ochronie danych, co może skutkować nałożeniem kary administracyjnej przez Prezesa UODO. Z analizy dotychczasowej praktyki urzędu wynika, że kładzie on nacisk na regularne testowanie i ocenianie stosowanych rozwiązań.

Jeśli firmy z jakichś powodów nie chcą regularnie przeprowadzać audytów, powinny to robić przynajmniej wtedy, gdy doszło do przełamania stosowanych zabezpieczeń. Dzięki niemu poznają przyczynę wystąpienia incydentu i będą w stanie wdrożyć lepsze zabezpieczenia, aby zminimalizować ryzyko wystąpienia ponownych problemów w przyszłości.

Jakub Kozioł Managing Partner

(+48) 600 818 015