GDPR Implementace

Žádný projekt nemůže začít jinak, než mapováním datasetů. Skládá se z revize zpracování a kontroly zabezpečení osobních údajů. V této fázi vás naučíme metodicky správně vyřešit mapování stávajícího zpracování osobních údajů dle GDPR. 

Velký důraz dáme i formě. Protože špatně zvolený formát výstupů může být prvním rizikem neúspěchu celé implementace. 

Datové toky budou na případová studii analyzovány ve smyslu nařízení GDPR na úrovni procesů, technologií a informačních systémů, ale i papírových kartoték. Kvalita těchto výstupů je kritická pro další fáze. Proto klademe důraz na metodicky správné mapování celého životního cyklu osobních dat od vzniku, editaci, archivaci až po likvidaci. 

Rozsah

• Mapování datových toků a procesů;
• Zpracování výstupů do přehledných oblastí a priortit;
• Prioritizace těch workflow (v elektronické i papírové podobě), které mají dopady největší a z pohledu implementace požadavků GDPR jsou nejvíce problematické.

Přínosy mapování datových toků

• Vypracujete si potřebnou analýzu účelů a titulů;
• Dokážete metodicky správně realizovat podrobný audit osobních údajů;
• Ne vždy je nutný souhlas se zpracováním údajů, ukážeme vám, jak je roztřídit;
• Naučíte se výstupy zpracovat do přehledných mapových toků (matic), které jsou klíčovým podkladem pro další fáze;
• Zároveň si provedete na vlastních příkladech posouzení právních základů a identifikaci účelů, pro které budou jednotlivá zpracování prováděna.

Pod vedením GDPR Lead Auditora zmapujete aktuální stav všech 6 oblastí

Identifikace OÚ

Subjektů a osobních údajů s ohledem na zdroj, účel, rozsah,  typ zpracování, dobu uchovávání a předávání

Mapování rolí

Požadavky GDPR a odpovědnosti rolí v rámci zpracování osobních údajů: Správce, Zpracovatel, Pověřenec

Mapování procesů

Analýza aktivit v celém životním cyklu zpracování osobních údajů včetně informační povinnosti, souhlasů atd.

Mapování dokumentace

Používané při zpracování osobních údajů. Audit se zaměřuje na předpisy, procedury, smluvní doložky a další

Mapování souhlasů

V rámci Data Flow Auditu vypracujeme znalecký posudek pro využití souhlasů a plnění informační povinnosti

Mapování IS / IT

Zmapování datových toků osobních údajů v Informačních systémech, Aplikačním software a databázích

Rozdílová (srovnávací, nebo také GAP) analýza je dalším krokem na cestě ke splnění požadavků ochrany osobních údajů dle EU Nařízení GDPR. Jejím účelem je naučit vás identifikovat nesrovnalosti mezi požadavky stanovenými v Obecném nařízení na ochranu osobních údajů oproti stávajícímu zpracování dat.

Jmenovitě jde o Řízení rizik * Rozsah zpracování * Role a odpovědnosti * Práva subjektů údajů * Workflow zpracování dat * Bezpečnost osobních údajů * Výkon Pověřence ochrany osobních údajů

Výstup GAP Analýzy vám pomůže zjistit stav všech zmapovaných požadavků a oblastí. Budete tak schopni realizovat změny na úrovni procesů, technologických i legislativních oblastí. Doplníte chybějící požadavky ve smyslu GDPR.

Co budeme hodnotit

Dopady Nařízení 679/2016 EU na organizaci: rámcové definice údajů a způsob jejich vedení (listinné, strukturované data, nahrávky a další..) Posouzení pozice Pověřence na ochranu osobních údajů. Rozsahy nutných zásahů k zajištění souladu GDPR:

• technologie (IT / IS / Aplikace)
• papírovou dokumentaci (kartotéky, formuláře)
• procesy (nastavení pravidel, postupů, směrnic)
• právní aspekty (legislativa GDPR a zákona na ochranu osobních údajů)

Přínosy GAP Analýzy

Ukážeme vám, jak pracovat s výstupy analýzy z pohledu posouzení souladu stávající ochrany osobních údajů v organizaci proti požadavkům GDPR a ePrivacy. Vytvoříte si podrobný projektový plán, který upřednostňuje klíčové oblasti a kritické procesy. Pro každou etapu projektu si stanovíte akční plán, jehož cílem je zajištění shody s GDPR. Další benefity?

• Naučíte se metodiku GDPR GAP Capability Maturity Model (GAP CMM)
• Připravíte projekt zajištění shody s Nařízení 679/2016 EU GDPR v organizaci
• Odpovíte si na otázku "co", "jak", a "proč" realizovat na základě výstup GAP Analýzy
• Získáte soupis doporučených opatření a podrobný plán co, jak a proč implementovat

GAP Analýza obsahuje 9 témat - oblastí, které musíte mít pokryté, jmenovitě:

Rozsah GDPR

Role a odpovědnosti

Práva subjektů údajů

Data Protection Officer

Životní cyklus údajů

Principy ochrany údajů

Informační systémy

Papírové kartotéky

Smlouvy a souhlasy

Analýza Rizik je další povinností dle čl. 24., 25. EU Nařízení GDPR. Jde o další etapu projektu GDPR Compliance (zajištění shody) v návaznosti na realizované fáze Mapování Datasetů a GAP Analýzy. Součástí může být i Posouzení vlivu na ochranu osobních údajů.  Auditní zpráva, kterou se naučíte správně sestavit, je klíčovým dokumentem pro kontrolní orgány.

Za provedení DPIA vždy odpovídá správce údajů, ale může ji vykonat i třetí osoba. Proto je tento workshop důležitý pro všechny, kteří pracují v organizacích, které zpracovávají osobní informace jak v soukromém sektoru i státní správě.

Ukážeme vám, jak metodicky správně a včas vyhodnocovat dopady zpracování osobních údajů v organizaci. Probereme příklady, jak minimalizovat rizika a dodržovat zákon na ochranu osobních údajů, resp. GDPR.

Co se v rámci etapy naučíte

Vyzkoušíte si posouzení rizik pro práva a svobody subjektů. Naučíte se metodiku hodnocení, kategorizace a realizovaných opatření pro uvedená rizika z pohledu integrity, důvěrnosti a dostupnosti. Zaměříme se na dopady subjektu údajů. Společně vypracujeme matici rizik (aktivity x hrozby x zranitelnosti).

• Vydefinovat kritéria analýzy rizik
• Zpracovat analýzu rizik ve smyslu EU GDPR čl. 24., 25
• Eliminovat rizika non-compliance (nesplnění požadavků) GDPR
• Vypracovat doporučení pro následná organizační a technická opatření
• Na příkladu vypracovat Posouzení vlivu na ochranu osobních údajů (DPIA)

Přínosy Risk & DPIA

Osvojíte si praktické aspekty analýzy a řízení rizik v organizaci v kontextu ochrany osobních údajů. A to v celém životním cyklu: od identifikace, přes klasifikaci, po aplikaci principů a opatření (pseudonymizace, úprava směrnic, omezení přístupu).

• Dokážete vyhodnotit výstupy a realizovat opatření
• Osvojíte si analýzu rizik i Posouzením dopadů na ochranu údajů
• Ukážeme si scénáře, jak s pomocí DPIA minimalizovat rizika ochrany osobních údajů
• Nebudou chybět ani příklady nápravných opatření formou modelových situací a návrh změnových procesů dle EU GDPR

Pod vedením GDPR Lead Auditora provedeme posouzení vlivu na ochranu osobních údajů rozdělenou do 9 oblastí

Principy

Principy posouzení vlivu na ochranu osobních údajů

Rozdělení rizik

Jak rozdělit rizika na akceptovatelná a potenciální hrozby

Vypracování postupů

Jak vypracovat postupy na posuzování dopadů ochrany dat

Právní dopady

Legislativní požadavky na zpracování dopadů DPIA

Jak se připravit na DPIA

Začínáme: jak připravit projekt analýza dopadů DPIA

Vyhodnocení výsledků

Monitorování a vyhodnocování výsledků - další kroky

Jak vlastně změříme úspěšnost zavedení GDPR? Simulací kontrolního dne ÚOOÚ. Na těchto zkušenostech si nejlépe odvodíte co potřebujete mít, proč a jak to budete muset prokázat. Přesně o tom je cíl implementačního workshopu.