Polityka ochrony danych

Cel polityki ochrony danych

Celem polityki ochrony danych jest przedstawienie prawnych aspektów ochrony danych w jednym dokumencie podsumowującym. Może być również wykorzystywany jako podstawa ustawowych kontroli ochrony danych, np. przez Klienta w zakresie zleconego przetwarzania. Ma to na celu nie tylko zapewnienie zgodności z Europejskim Ogólnym Rozporządzeniem o ochronie danych (RODO) i Ustawą o ochronie danych (DPA) 2018, ale także przedstawienie dowodu zgodności.

Preambuła

Krótki opis firmy i motywacja do przestrzegania ochrony danych.

Polityka bezpieczeństwa i obowiązki w firmie

W przypadku firmy, oprócz istniejących celów korporacyjnych, należy zdefiniować i udokumentować najwyższe cele ochrony danych. Cele ochrony danych opierają się na zasadach ochrony danych i muszą być indywidualnie modyfikowane dla każdej firmy.
Określenie ról i obowiązków (np. przedstawiciele firmy, Inspektorzy Ochrony Danych operacyjnych, koordynatorzy lub Zespół Ochrony Danych i menedżerowie operacyjni)
Zobowiązanie do ciągłego doskonalenia systemu zarządzania ochroną danych
Szkolenie, uwrażliwienie i obowiązek pracowników

Ramy prawne w firmie

Branżowe regulacje prawne lub postępowania dotyczące przetwarzania danych osobowych
Wymagania stron wewnętrznych i zewnętrznych
Obowiązujące przepisy, ewentualnie ze specjalnymi przepisami lokalnymi

Dokumentacja

Przeprowadzone kontrole wewnętrzne i zewnętrzne
Potrzeba ochrony danych: określenie potrzeby ochrony w odniesieniu do poufności, integralności i dostępności.

Istniejące środki techniczne i organizacyjne (TOM)

Odpowiednie środki techniczne i organizacyjne, które muszą zostać wdrożone i uzasadnione, biorąc pod uwagę między innymi cel przetwarzania, stan technologii i koszty wdrożenia.

Opis wdrożonego TOM może być na przykład oparty na strukturze ISO/IEC 27002, z uwzględnieniem ISO/IEC 29151 (wytyczne dotyczące ochrony danych osobowych). Odpowiednie rozdziały powinny być poparte odniesieniem do istniejących wytycznych.

Examples of such guidelines include:

Wytyczne dotyczące praw osób, których dane dotyczą Kontrola dostępu Klasyfikacja informacji (i postępowanie z nią) Bezpieczeństwo fizyczne i środowiskowe dla użytkowników końcowych, takie jak: Dopuszczalne użycie wartości Wytyczne dotyczące przesyłania informacji w oparciu o środowisko pracy i blokady ekranu Urządzenia mobilne i telepraca Ograniczenie instalacji i użytkowania oprogramowania Ochrona przed złośliwym oprogramowaniem Obsługa słabych punktów technicznych