RODO - jak właściwie zabezpieczyć firmę - specjalistyczne szkolenie w zakresie ochrony danych osobowych i przepisów krajowych - program online i stacjonarnego

MODUŁ I. WPROWADZENIE
Omówienie podstawowych założeń RODO oraz przedmiotowy i podmioty zakres obowiązywania przepisów o ochronie danych osobowych.

1. Przedmiot i cele RODO
2. Definicje (dane osobowe, anonimizacja, pseudonimizacja, zbiór danych, przetwarzanie danych i inne …)
3. Przedmiotowy i terytorialny zakres stosowania RODO
4. Przetwarzanie danych do celów osobistych lub domowych jako wyjątek od zakresu przedmiotowego
5. Zasady przetwarzania danych osobowych

• Zasady lawfulness, fairness and transparency
• Zasada purpose limitation
• Zasada data minimisation
• Zasada accuracy
• Zasada storage limitation

MODUŁ II. PODSTAWY PRAWNE PRZETWARZANIA DANYCH OSOBOWYCH
Podstawy prawne przetwarzania danych osobowych to jedno z najbardziej istotnych zagadnień na gruncie ogólnego rozporządzenia o ochronie danych (RODO). Art. 6 RODO wskazuje podstawy prawne przetwarzania danych osobowych. Oznacza to, że dane osobowe można przetwarzać wyłącznie pod warunkiem wykazania, że przetwarzanie odbywa się z powołaniem na jedną z przesłanek legitymizacyjnych określonych w art. 6 ust. 1 lit. a - f RODO. Odnosi się to zarówno do tzw. „zwykłych” danych osobowych, jak i szczególnych kategorii danych osobowych (wcześniej zwanych danymi wrażliwymi).

1. Zgoda na przetwarzanie danych osobowych - Warunki wyrażenia zgody, ważność zgody i jej forma
2. Przetwarzanie danych w celu zawarcia lub wykonania umowy
3. Przetwarzanie danych w celu spełnienia obowiązku prawnego
4. Przetwarzanie danych w celu ochrony żywotnych interesów
5. Przetwarzanie danych w interesie publicznym
6. Przetwarzanie danych osobowych w ramach prawnie uzasadnionych interesów administratora danych

MODUŁ III. DANE SZCZEGÓLNYCH KATEGORII (ART. 9 I 10 RODO)
Dla szczególnych kategorii danych osobowych prawodawca unijny wprowadził większe restrykcje. Co do zasady przetwarzanie szczególnych kategorii danych osobowych jest niedopuszczalne. Takie dane można przetwarzać, jeśli zostanie spełniony dodatkowo jeden z warunków określonych w art. 9 ust. 2 RODO.

MODUŁ IV. ADMINISTRATOR DANYCH OSOBOWYCH (ADO)
Administrator danych, aby przetwarzać dane osobowe zgodnie z przepisami ustawy o ochronie danych osobowych, musi spełnić jeden z warunków decydujący o tym, że takie działanie jest legalne. Ponadto musi dopełnić obowiązku zgłoszenia zbioru do rejestracji w prowadzonym przez GIODO ogólnokrajowym, jawnym rejestrze zbiorów danych osobowych i obowiązku informacyjnego, a ponadto we właściwy sposób zabezpieczać zgromadzone dane, dbać o interesy osób, których dane dotyczą i respektować ich prawa gwarantowane ustawą o ochronie danych osobowych.

1. Rola ADO
2. Obowiązki ADO

MODUŁ V. PODMIOT PRZETWARZAJĄCY
Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia i chroniło prawa osób, których dane dotyczą.

1. Definicja
2. Umowa z ADO
3. Obowiązki wynikające z RODO

MODUŁ VI. REJESTROWANIE CZYNNOŚCI PRZETWARZANIA DANYCH
Ogólne rozporządzenie o ochronie danych (RODO) przewiduje, że administratorzy danych oraz podmioty przetwarzające mają obowiązek prowadzenia odpowiednio rejestru czynności lub rejestru kategorii czynności. Art. 30 RODO wskazuje ich obligatoryjne składniki, niemniej przepis ten może budzić wątpliwości co do znaczenia poszczególnych użytych w jego treści pojęć oraz sposobu wykonania tego obowiązku.

MODUŁ VII. PRAWA JEDNOSTKI
Zadaniem administratora danych osobowych jest dostosowanie systemów informatycznych tak, aby na każde żądanie osoby, której dane dotyczą, można było między innymi usunąć całkowicie jej dane osobowe, czy przenieść je do innego usługodawcy. Przykładowo, zmieniając placówkę medyczną, możemy żądać, żeby obecny podmiot przetwarzający nasze dane wygenerował plik z wszystkimi naszymi danymi osobowymi, przekazał go nam, a następnie usunął je ze wszystkich swoich nośników, na których przechowuje dane osobowe. Administrator danych ma również obowiązek udzielenia wszelkich informacji na temat danych osobowych osobie, której te dane dotyczą. W przypadku złożenia zapytania przez tę osobę, powstanie obowiązek udzielenia odpowiedzi na zadane pytanie w terminie miesiąca.

1. Prawo do informacji i obowiązek informacyjny
2. Prawo dostępu do danych
3. Prawo do korekty danych
4. Prawo sprzeciwu wobec przetwarzania danych
5. Prawo do usunięcia danych, do bycia zapomnianym
6. Prawo do ograniczenia przetwarzania
7. Prawo do przenoszenia danych (od jednego administratora do drugiego)

MODUŁ VIII. BEZPIECZEŃSTWO DANYCH ZGODNIE Z RODO
Przepisy wymagają nie tylko stosowania procesu zarządzania ryzykiem zgodnego z RODO jako jednego z elementów ochrony danych osobowych, ale wprowadzają podejście, w którym zarządzanie ryzykiem jest fundamentem działań związanych z ochroną danych osobowych i ma charakter ciągłego procesu.

1. Analiza ryzyka
2. Privacy by design
3. Privacy by default
4. Ocena skutków dla ochrony danych

MODUŁ IX. PROCEDURA Z INCYDENTAMI
Zgodnie z definicją zawartą w art. 4 pkt. 12 RODO, naruszeniem ochrony danych będzie naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Aby mówić więc o naruszeniu, musi dojść do skutku przewidzianego w powyższej definicji. Taka sytuacja będzie wymagała od administratora danych konkretnych zachowań.

1. Naruszenie ochrony danych osobowych
2. Zgłaszanie naruszenia ochrony danych osobowych organowi nadzorczemu
3. Zawiadomienie osoby, której dane dotyczą o naruszeniu ochrony danych

MODUŁ X. FUNKCJA INSPEKTORA OCHRONY DANYCH (DATA PROTECTION OFFICER)
Zgodnie z przepisami RODO, inspektor będzie miał m.in. obowiązek identyfikowania poszczególnych obowiązków ciążących na mocy RODO na administratorze (w tym kierownictwie i wszystkich osobach przetwarzających dane) oraz podmiocie przetwarzającym (w tym kierownictwie i wszystkich osobach przetwarzających dane osobowe), informowania o nich oraz doradzania w zakresie tych obowiązków. Specjalnego merytorycznego przygotowania wymaga udzielanie administratorowi i podmiotowi przetwarzającemu zaleceń co do oceny skutków dla ochrony danych (więcej na temat roli inspektora w ocenie skutków dla ochrony danych w Wytycznych Grupy Roboczej Art. 29 dotyczących inspektorów ochrony danych (DPO) oraz w Wytycznych Grupy Roboczej Art. 29 dotyczących oceny skutków dla ochrony danych). Ważnym zadaniem IOD jest obowiązek pełnienia roli punktu kontaktowego dla organu nadzorczego i punktu kontaktowego dla osób, których dane dotyczą (art. 38 ust. 4 RODO).

1. Zadania inspektora ochrony
2. Kwalifikacje do pełnienia roli IOD
3. Konieczność powołania IOD

MODUŁ XI. ŚRODKI OCHRONY PRAWNEJ I SANKCJE ZA NARUSZENIE
Budzącą najwięcej emocji zmianą, którą wprowadza unijne rozporządzenie dotyczące ochrony danych osobowych, są kary pieniężne - nakładane w przypadku wystąpienia uchybień w przetwarzaniu danych. Jest to istotna zmiana, ponieważ zakres kar został znacznie rozbudowany w stosunku do jeszcze obowiązującej ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych.

1. Poziom administracyjny
2. Poziom cywilistyczny

Metody wykorzystywane podczas szkolenia z ochrony danych osobowych:

Metody pracy, które zastosujemy podczas szkolenia:

• Prezentacja Power Point.  
• Interaktywny wykład.   
• Warsztaty
• CASE STUDY - analiza przypadku