Audyt ochrony danych osobowych w praktyce. Przewodnik dla IOD + wzory do pobrania

O Autorach

Wykaz skrótów

Wprowadzenie

Rozdział I. Wprowadzenie do audytu i audytowania

• 1. Definicje i rozumienie pojęcia „audytu”
• 2. Istota i funkcje audytu w zapewnieniu zgodności z RODO
  • 2.1. Audyt w art. 28 ust. 3 lit. h RODO
  • 2.2. Audyt w art. 39 ust. 1 lit. b RODO
  • 2.3. Audyt w art. 47 ust. 2 lit. j RODO

Rozdział II. Idea audytu w systemie ochrony danych osobowych – cel, wady i zalety

• 1. Cele audytu
• 2. Zalety audytu
  • 2.1. Identyfikacja słabości i zagrożeń
  • 2.2. Zapewnienie zgodności z regulacjami prawnymi
  • 2.3. Ocena efektywności polityk i procedur
  • 2.4. Szkolenia i edukacja personelu
  • 2.5. Dokumentowanie zgodności
  • 2.6. Pozyskanie argumentów przed spotkaniem z zarządem
  • 2.7. Weryfikacja jakości usług świadczonych przez podmiot przetwarzający
  • 2.8. Zwiększenie zaufania klientów i partnerów
  • 2.9. Optymalizacji procesów biznesowych
• 3. Wady audytu
  • 3.1. Kosztowność
  • 3.2. Czasochłonność
  • 3.3. Możliwość zakłóceń w działalności operacyjnej
  • 3.4. Skupienie na zgodności, a nie na efektywności
  • 3.5. Ryzyko powierzchowności/złudne wrażenie prawidłowości
  • 3.6. Stres i opór pracowników
  • 3.7. Ograniczona skuteczność w dynamicznych środowiskach
  • 3.8. Ryzyko wykorzystywania wyników audytu przez organy nadzorcze
• 4. Wpływ audytu na inne obowiązki wynikające z RODO
  • 4.1. Audyt jako punkt wyjścia
  • 4.2. Zmapowanie danych i procesów
  • 4.3. Efektywność procesów
  • 4.4. Precyzyjne kierowanie pytań
• 5. Podsumowanie

Rozdział III. Audyt RODO a inne rodzaje audytów

• 1. Audyt zgodności z RODO
• 2. Audyt zgodności z normą ISO/IEC 27001 przeprowadzony przez IOD
  • 2.1. Definicje
  • 2.2. Kluczowe zasady i narzędzia
  • 2.3. Cel audytu
  • 2.4. Zakres audytu
  • 2.5. Podstawa prawna i normatywna
  • 2.6. Metody realizacji audytu
  • 2.7. Charakterystyka normy ISO/IEC 27001
  • 2.8. Planowanie audytu
  • 2.9. Kryteria audytu
  • 2.10. Zasoby i kompetencje audytora
  • 2.11. Harmonogram audytu
  • 2.12. Dokumentacja niezbędna do audytu
  • 2.13. Przeprowadzenie audytu
    • 2.13.1. Przegląd dokumentacji SZBI
    • 2.13.2. Identyfikacja i ocena ryzyka
    • 2.13.3. Analiza zabezpieczeń organizacyjnych i technicznych
    • 2.13.4. Testy kontrolne
    • 2.13.5. Analiza incydentów
    • 2.13.6. Ocena zgodności i wykryte niezgodności
    • 2.13.7. Raportowanie zgodności i niezgodności
    • 2.13.8. Plan działań naprawczych
    • 2.13.9. Prezentacja wyników audytu
    • 2.13.10. Monitorowanie i przegląd działań naprawczych
    • 2.13.11. Podsumowanie audytu – kluczowe wnioski
• 3. Audyt zgodności z wymaganiami NIS2 – rola inspektora ochrony danych
  • 3.1. Uwagi wstępne
  • 3.2. Etapy audytu zgodności z NIS2 – perspektywa inspektora ochrony danych
  • 3.3. Przykłady z praktyki – teoria w kontekście realnych działań
  • 3.4. Prosta checklista audytowa dla IOD – pytania na start
• 4. Audyt zgodności z wymaganiami rozporządzenia DORA z perspektywy IOD
  • 4.1. Uwagi wstępne
  • 4.2. Pięć filarów, na których opiera się DORA
  • 4.3. Audyt zgodności z DORA
    • 4.3.1. Plan audytu
    • 4.3.2. Podejmowane działania audytowe
    • 4.3.3. Połączenie i wpływ audytu DORA na zgodność z RODO
    • 4.3.4. Podstawowe obszary audytu
    • 4.3.5. Samoocena zgodności z wymogami DORA
    • 4.3.6. Identyfikacja luk w procesach i systemach
    • 4.3.7. Dokumenty i procedury podczas audytu DORA
    • 4.3.8. Narzędzia i technologie wspomagające przygotowania do audytu DORA
    • 4.3.9. Działania naprawcze w przypadku wykrycia niezgodności podczas audytu
    • 4.3.10. Podsumowanie

Rozdział IV. Niezależność inspektora ochrony danych w audycie i kontroli

• 1. Pojęcie i rozumienie niezależności IOD
  • 1.1. Podstawy prawne niezależności IOD
  • 1.2. Najważniejsze zasady autonomii IOD
  • 1.3. Niezależność IOD a formy jego zatrudnienia
• 2. Kontrola w administracji publicznej
  • 2.1. Pojęcie kontroli
  • 2.2. Rodzaje kontroli
  • 2.3. Kontrola zewnętrzna nad administracją na przykładzie kontroli NIK
  • 2.4. Kontrola wewnętrzna w jednostkach organizacyjnych administracji publicznej
• 3. Kontrola przetwarzania danych osobowych
  • 3.1. Kontrola sprawowana przez Prezesa UODO
  • 3.2. Kontrola sprawowana przez podmioty przetwarzające dane
  • 3.3. Kontrola sprawowana przez osobę, której dane poddawane są przetwarzaniu
• 4. Audyt wewnętrzny w jednostkach organizacyjnych administracji publicznej a audyt IOD
• 5. Audyt IOD a audyt systemów zarządzania
  • 5.1. Audyt IOD – obowiązek wynikający z przepisów RODO
  • 5.2. Audyt ISO 27001 – systemowy i szerokozasięgowy
  • 5.3. Audyt IOD a audyt ISO 27001 – różnice w praktyce
  • 5.4. Audyt IOD – praktyka, nie formalność
• 6. Rola IOD w procesie due diligence
  • 6.1. Proces due diligence
  • 6.2. Znaczenie baz danych osobowych
  • 6.3. Zadania IOD w procesie due diligence
  • 6.4. Zakres analizy due diligence w kontekście baz danych
  • 6.5. Konsekwencje dla IOD spółki objętej procesem due diligence

Rozdział V. Procedura audytu zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych

• 1. Cel procedury
• 2. Adresaci procedury
• 3. Pojęcia audytowe
• 4. Poufność w audycie
• 5. Plan audytów, powołanie zespołu, dokumentacja
• 6. Czynności audytowe
  • 6.1. Rozpoczęcie audytu
  • 6.2. Trwanie audytu
  • 6.3. Dokumentowanie ustaleń i wyników z audytu
  • 6.4. Udział ekspertów wewnętrznych i zewnętrznych
• 7. Zakończenie audytu – decyzje poaudytowe
• 8. Wzory dokumentów
  • 8.1. Wzór upoważnienia do przeprowadzenia audytu
  • 8.2. Wzór oświadczenia o braku lub istnieniu okoliczności uzasadniających wyłączenie z udziału w audycie
  • 8.3. Wzór protokołu oględzin
  • 8.4. Wzór protokołu pobrania dokumentu/rzeczy
  • 8.5. Wzór protokołu przyjęcia ustnych wyjaśnień/oświadczeń
  • 8.6. Wzór upoważnienia dla eksperta

Rozdział VI. Audytowanie

• 1. Planowanie audytów
  • 1.1. Roczne plany audytów
  • 1.2. Audyty doraźne
• 2. Przygotowanie do audytów
  • 2.1. Wywiad środowiskowy
  • 2.2. Ankiety wstępne
    • 2.2.1. Typowe pytania w ankietach wstępnych
    • 2.2.2. Wyzwania związane z ankietami wstępnymi
• 3. Pierwsze spotkanie
  • 3.1. Wyjaśnienie procesu audytu
  • 3.2. Przyjmowanie założeń
  • 3.3. Rozpisanie grafiku działań
  • 3.4. Pełnomocnictwa
  • 3.5. Ryzyka w audycie
• 4. Realizacja audytów
  • 4.1. Audyt obszarów przetwarzania
  • 4.2. Audyt zdalny
  • 4.3. Rola audytora w procesie
  • 4.4. Techniki zadawania pytań w trakcie audytu
  • 4.5. Przegląd dokumentacji
  • 4.5.1. Przegląd wzorów dokumentów
  • 4.5.2. Metoda próbkowania
• 5. Dokumentowanie audytów
  • 5.1. Notatki i nagrania z audytów
  • 5.2. Ewidencjonowanie podjętych działań
  • 5.3. Wzory raportów
• 6. Sprawozdanie z audytu
  • 6.1. Executive summary
  • 6.2. Zachowanie umiaru w raportowaniu ryzyk
• 7. Podsumowanie
• 8. Wzory dokumentów
  • 8.1. Wzór ankiety przedaudytowej
  • 8.2. Wzór grafiku audytu ochrony danych osobowych
  • 8.3. Wzór raportu z audytu

Rozdział VII. Działania następcze

• 1. Dokumentowanie niezgodności
  • 1.1. Znaczenie dokumentowania niezgodności
  • 1.2. Najczęstsze błędy popełniane podczas dokumentowania niezgodności
• 2. Rekomendacje poaudytowe
• 3. Działania korekcyjne
• 4. Działania korygujące
• 5. Działania zapobiegawcze
• 6. Monitorowanie działań doskonalących
  • 6.1. Rejestr niezgodności
  • 6.2. Wskaźniki KRI a monitorowanie ryzyka
• 7. Wzory dokumentów
  • 7.1. Wzór karty niezgodności/obserwacji
  • 7.2. Wzór planu działań korygujących/zapobiegawczych
  • 7.3. Wzór rejestru działań
  • 7.4. Wzór rejestru niezgodności

Rozdział VIII. Specyfika audytów w różnych procesach

• 1. Audytowanie środowiska informatycznego, w tym procesów i systemów IT
  • 1.1. Historia audytu IT
  • 1.2. Definicje
  • 1.3. Proces zarządzania bezpieczeństwem systemów informatycznych
  • 1.4. Dobre praktyki i normy ISO wspierające audyt procesów IT
  • 1.5. Bezpieczeństwo przetwarzania danych z perspektywy wypełniania art. 32 RODO
    • 1.5.1. Dobór zabezpieczeń
    • 1.5.2. Procesy zarządzania bezpieczeństwem środowiska informatycznego
      • 1.5.2.1. Zarządzanie konfiguracją
      • 1.5.2.2. Zarządzanie zmianą
    • 1.5.3. Zarządzanie ryzykiem środowiska informatycznego
      • 1.5.3.1. Model zarządzania ryzykiem
      • 1.5.3.2. Szacowanie ryzyka
• 2. Audytowanie systemów IT
  • 2.1. Rodzaje audytów systemów IT
  • 2.2. Normy, standardy i dobre praktyki dla audytu IT
  • 2.3. Zakres audytowania
  • 2.4. Audyt planów ciągłości działania i ich testów, zasady tworzenia i odtwarzania kopii zapasowych
  • 2.5. Dobre praktyki w zakresie wykonania audytu systemów teleinformatycznych
  • 2.6. Narzędzia wspomagające audyt
  • 2.7. Wzór – przykładowa lista audytowa systemu teleinformatycznego
• 3. Audytowanie procesów kadrowych
  • 3.1. Plan audytu
  • 3.2. Cel audytu
  • 3.3. Zakres audytu
  • 3.4. Etapy audytu
    • 3.4.1. Przygotowanie do audytu
    • 3.4.2. Analiza dokumentacji
    • 3.4.3. Analiza stanu faktycznego
      • 3.4.3.1. Organizacja procesu rekrutacji
      • 3.4.3.2. Organizacja zatrudnienia
      • 3.4.3.3. Organizacja zmiany warunków zatrudnienia
      • 3.4.3.4. Organizacja zakończenia zatrudnienia
    • 3.4.4. Opracowanie sprawozdania z audytu
    • 3.4.5. Działania poaudytowe
• 4. Audytowanie procesów sprzedaży i marketingu
  • 4.1. Analiza danych osobowych
  • 4.2. Pliki cookies i inne technologie śledzące
  • 4.3. Obsługa klienta
    • 4.3.1. Analiza naruszeń
    • 4.3.2. Ograniczenia uprawnień
    • 4.3.3. Klauzule informacyjne i świadomość personelu
    • 4.3.4. Monitoring efektywności pracowników
    • 4.3.5. Elementy do sprawdzenia w ramach audytu
  • 4.4. Nabywanie leadów
    • 4.4.1. Weryfikacja procesu pozyskiwania leadów
    • 4.4.2. Zgody marketingowe
    • 4.4.3. Zakup bazy danych
  • 4.5. Współpraca partnerska
    • 4.5.1. Współpraca z influencerami
    • 4.5.2. Współpraca z partnerami
  • 4.6. Jakość baz danych i leadów
• 5. Audytowanie mediów społecznościowych
• 6. Audyt zgodności z wymogami dotyczącymi ochrony dzieci w środowisku cyfrowym
• 7. Audytowanie rozwiązań chmurowych
  • 7.1. Planowanie audytu rozwiązań chmurowych
  • 7.2. Plan audytu rozwiązań chmurowych
  • 7.3. Cel audytu rozwiązań chmurowych
  • 7.4. Zakres audytu rozwiązań chmurowych
  • 7.5. Etapy audytu rozwiązań chmurowych
    • 7.5.1. Przygotowanie audytu
    • 7.5.2. Analiza dokumentacji
    • 7.5.3. Analiza stanu faktycznego
      • 7.5.3.1. Weryfikacja usługi chmurowej
      • 7.5.3.2. Przykładowe pytania audytowe i obszary do sprawdzenia
    • 7.5.4. Opracowanie sprawozdania z audytu
    • 7.5.5. Działania poaudytowe
• 8. Audyt w podmiocie leczniczym
  • 8.1. Aktywa
  • 8.2. Dokumenty
  • 8.3. Przygotowanie planu audytu
    • 8.3.1. Przygotowanie listy aktywów i dokumentacji
    • 8.3.2. Osoby biorące udział w audycie
  • 8.4. Działania poaudytowe
  • 8.5. Podsumowanie
  • 8.6. Wzory dokumentów
    • 8.6.1. Wzór planu audytu w podmiocie leczniczym
    • 8.6.2. Wzór harmonogramu audytu w podmiocie leczniczym
    • 8.6.3. Wzór raportu audytu w podmiocie leczniczym

Rozdział IX. Audyt podmiotu przetwarzającego

• 1. Wprowadzenie do tematyki realizacji audytu u podmiotu przetwarzającego
• 2. Podstawy prawne audytu u podmiotu przetwarzającego
• 3. Wymagania formalne w umowie powierzenia
• 4. Przykładowe zapisy w umowach powierzenia
• 5. Zawiadomienie procesora
• 6. Organizacja i przeprowadzanie audytu u procesora
• 7. Rekomendacje dla podmiotu przetwarzającego
• 8. Specyfika audytowania podmiotu przetwarzającego w sektorze publicznym
• 9. Specyfika audytowania podmiotu przetwarzającego w sektorze medycznym
  • 9.1. Rodzaje podmiotów współpracujących z podmiotem medycznym
  • 9.2. Zawarcie umowy powierzenia
  • 9.3. Weryfikacja podmiotu przetwarzającego (PP) przez podmiot medyczny (PM)
  • 9.4. Weryfikacja podmiotu przetwarzającego jako minimalizacja ryzyk
  • 9.5. Wzory dokumentów
    • 9.5.1. Wzór procedury weryfikacji dostawcy
    • 9.5.2. Załącznik Nr 1 do procedury weryfikacji dostawców – ankieta RODO dla dostawcy przetwarzającego dane w chmurze
    • 9.5.3. Załącznik Nr 2 do procedury weryfikacji dostawców – umowa powierzenia przetwarzania danych osobowych
    • 9.5.4. Załącznik Nr 3 do procedury weryfikacji dostawców – klauzula informacyjna dla dostawcy
    • 9.5.5. Załącznik Nr 4 do procedury weryfikacji dostawców – umowa o zachowaniu poufności

Rozdział X. Audyt a sztuczna inteligencja

• 1. Wykorzystanie AI w Audycie
  • 1.1. Czynności związane z audytem, do których można wykorzystać AI
  • 1.2. Systemy AI, które mogą wspierać audyt
  • 1.3. Bezpieczeństwo użycia AI w procesie audytowania
  • 1.4. Ryzyka związane z użyciem AI w procesie audytowania
  • 1.5. Ryzyka dla obiektywizmu w procesie audytowania i przeciwdziałanie im
• 2. Audyt systemów AI
  • 2.1. Zakres audytu algorytmicznego
  • 2.2. Proces audytu
    • 2.2.1. Karta modelu
    • 2.2.2. Mapa systemu
    • 2.2.3. Momenty i źródła stronniczości
    • 2.2.4. Testowanie pod względem stronniczości
    • 2.2.5. Audyt wykorzystujący inżynierię wsteczną (opcjonalnie)
  • 2.3. Raport z audytu
  • 2.4. Opinia EROD o przetwarzaniu danych osobowych w kontekście modeli AI
    • 2.4.1. Ocena anonimowości danych
    • 2.4.2. Ocena prawnie usprawiedliwionego interesu
    • 2.4.3. Dokumentacja – zasada rozliczalności (art. 5 ust. 2 RODO)
  • 2.5. Norma ISO/IEC 23894:2023 „Technologia informacyjna – Sztuczna inteligencja – Wytyczne dotyczące zarządzania ryzykiem”
    • 2.5.1. Uwagi wstępne
    • 2.5.2. Ocena ryzyka dla systemu AI