Forum Inspektorów Ochrony Danych

Audyt ma sprawdzić czy spełniacie Państwo wymagania.  Jesli spełniacie to trzeba przekonać audytora że tak jest i  nie wdawać się w dyskusję czy ma być numerek czy opis słowny.  Nie poddawajcie  się ale też zróbcie założenie że oni też chcą dobrze.  Nie nastawiajcie się negatywnie bo audytorzy nie mają łatwego chleba i trzeba z nimi dyskutować i udowadniać swoje racje.  Praktycznie, kazda wątpliwość interpretacyjna działa na Państwa korzyść.

Nie poddawajcie się i nie traćcie nadziei - mówiłem że to parszywa funkcja choć przewidywałem ze problemy będą z innej strony.

dziękuję ;-)

Pani Marto Choć alarm w jednostce postrzegamy głównie przez pryzmat ochrony mienia, to jest on równocześnie jednym z elementów ochrony danych osobowych. Uniemożliwia on fizyczne dotarcie do danych osobowych przez osoby do tego nieuprawnione.
Choć żaden z przepisów nie mówi tego wprost, to jednak w par 4 pkt 4 ppkt 5[i] Rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, czytamy, że Polityka bezpieczeństwa powinna zawierać określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. Trudno polemizować z faktem, że w czasie, kiedy w placówce nie ma nikogo, alarm należy do elementów fizycznej ochrony danych osobowych.

Serdecznie pozdrawiam
Ania Pielok

Ostatnio edytowany przez Ania (15.05.2017 09:28:26)

kaskamax1 napisał:

3. w związku z §20 ust. 2 pkt. 14 KRI zapewnić okresowy audyt wewnętrzny

Chciałam się odnieść do tego punktu. W KRI mowa o audycie i w §20 pkt.2 ust. 3.-okresowej analizie ryzyka.
1. Jak często powinna być przeprowadzona analiza ryzyka?
2. Wg jakich wytycznych przeprowadzić audyt wewnętrzny? Czy wg Rozp. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów...? Czyli tak jak sprawdzenie ABIego, wybierając jakiś zakres do sprawdzenia? (jakiego obszaru może dotyczyć taki audyt?).

Pozdrawiam  i z góry dziękuję za sugestie,
Gosia

Pani Aniu, ale czy "określenie środków technicznych" musi być rozumiane jako "stworzenie procedur"? Określam, że środki są takie i siakie.... Wiem, pewnie jestem taka "do przodu" póki nie będzie u mnie w placówce kontroli Ale na szkoleniu z P. Piotrem poruszaliśmy temat procedur postępowania z kluczami (to mniej więcej ta sama sytuacja, co z alarmem). I wówczas uznaliśmy, że skoro nie ma jasnego nakazu (przepisu), to nie ma. A czy panie kontrolujące Pani placówkę podały przepis, o którym Pani pisze, jako wskazujący na konieczność stworzenia procedur?

Pozdrawiam,
Marta

AUDYT dot. "powierzonych przez UM zbiorów danych osobowych" - czy Ktoś miał?


Ja generalnie nie wyróżniałam jakoś specjalnie zbiorów powierzonych przez urząd...


mamy m.in. takie kryteria, z którymi nie wiem, czy sobie poradzę (nie chodzi o to, żeby było idealnie, ale żeby też nie było tragedii)...

1.  czy do przetwarzania powierzonych przez Urząd danych dopuszczone są wyłącznie osoby posiadające upoważnienia ADO?

mamy upoważnienia wg wzoru ze szkolenia (kto do jakiego zbioru ma dostęp), czy do tych danych "urzędowych" potrzebne są jakieś dodatkowe upoważnienia, czy wystarczy na tym ogólnym?

2. czy polityka bezp. zawiera wykaz budynków, pomieszczeń, w których przetwarzane są dane osobowe powierzone przez Urząd?

mamy ogólnie w polityce w jakich budynkach i pomieszczeniach przetwarzane są dane (wszystkie); a potem w zbiorze dot. Urzędu rozpisane w jakim pomieszczeniu (gabinecie) i kto ma dostęp...

3. czy polityka zawiera aktualny wykaz powierzonych przez Urząd zbiorów wraz ze wskazaniem programów do ich zastosowania?

mamy mieszkańcy, kontrahenci, nauczyciele poszukujący pracy...

4. czy zapewniono bezzwłoczne zgłaszanie incydentów mających wpływ na bezp. informacji urzędu?

mamy zapis w polityce, że o incydentach mających wpływ na bezp. informacji urzędu ADO lub ABI niezwłocznie zawiadamia urząd...


Macie jakieś uwagi, doświadczenia z audytem dot. powierzonych przez Urząd danych??
To mój pierwszy audyt, więc może dlatego się stresuje... ale z drugiej strony się cieszę, bo przynajmniej będę wiedzieć, co i jak...

pozdr. Kasia