RODO: Ankiety bezpieczeństwa i audyty RODO w firmie

Jak interpretować wymogi prawne oraz jak reagować na kwestionariusze od kontrahentów.

Otrzymałeś od klienta lub partnera biznesowego formularz z pytaniami o zabezpieczenia danych osobowych? Zastanawiasz się, czy przepisy nakładają na ciebie obowiązek corocznego audytu? Wyjaśniamy podstawy prawne i praktyczny cel takiej weryfikacji z punktu widzenia Administratora Danych Osobowych (ADO) oraz podmiotu przetwarzającego (procesora).

Czy RODO nakazuje wykonywanie audytu raz w roku?

Bezpośrednio z przepisów RODO nie wynika sztywny obowiązek przeprowadzania audytu lub testów bezpieczeństwa corocznie. Przepisy celowo nie określają kalendarzowych terminów, stawiając na podejście oparte na ocenie ryzyka.
Rozporządzenie UE (RODO) nakłada jednak na przedsiębiorcę obowiązek zachowania ciągłej dbałości o standardy bezpieczeństwa i ich regularną weryfikację:

• Zasada rozliczalności (art. 5 ust. 2 RODO): Administrator danych musi nie tylko stosować środki ochrony, ale też być w stanie wykazać ich przestrzeganie (przed organem nadzorczym UODO lub kontrahentem).
• Regularne testowanie (art. 32 ust. 1 lit. d RODO): Przepis ten wprost nakazuje wdrożenie procedury systematycznego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych.
• Weryfikacja procesorów (art. 28 RODO): Jeśli działasz jako podmiot przetwarzający (procesor) na zlecenie innego podmiotu, jego administrator ma prawny obowiązek korzystania wyłącznie z podmiotów zapewniających wystarczające gwarancje bezpieczeństwa.

Podsumowując i uzupełniając powyższe: środki ochrony muszą być adekwatne do sytuacji i zależne od systemu zarządzania ochroną. Testowanie może odbywać się przez audyty, kontrole, ocenę ryzyk itp. Na ADO spoczywa obowiązek ochrony danych także w podmiotach, którym powierza dane osobowe. Więc musi ­­– tak jak u siebie, tak i w tych podmiotach – kontrolować stan ochrony. Może to robić według własnego uznania, tzn. poprzez audyty, kontrole czy weryfikacje na podstawie ankiet.

Dlaczego jako ADO wysyłasz kwestionariusz bezpieczeństwa?

Przesyłanie ankiet audytowych do dostawców i partnerów to kluczowy element realizacji twoich obowiązków prawnych. Jeśli zlecasz zewnętrznym firmom (np. biuru rachunkowemu, agencji marketingowej, firmie IT) przetwarzanie danych osobowych, występują one w roli podmiotów przetwarzających (procesorów).
Wysyłając taki formularz do kontrahenta:

1. Realizujesz własny obowiązek rozliczalności — zbierasz udokumentowane dowody na to, że rzetelnie zweryfikowałeś bezpieczeństwo u swoich dostawców.
2. Sprawdzasz bezpieczeństwo powierzonych danych — upewniasz się, że dane osobowe Twoich klientów lub pracowników są należycie chronione przed wyciekiem.
3. Cyklicznie aktualizujesz swoją analizę ryzyka — dążysz do regularnego odświeżania swojej dokumentacji i oceny poziomu zabezpieczeń.

Jak postąpić krok po kroku przy weryfikacji kontrahenta?

Krok 1: Przeanalizuj umowy powierzenia — upewnij się, że dotychczasowe umowy z dostawcami zawierają zapisy dające Ci prawo do prowadzenia audytów oraz zobowiązujące kontrahenta do odpowiadania na kwestionariusze bezpieczeństwa – taki zapis praktycznie jest obowiązkowy.
Krok 2: Prześlij formularz do odbiorcy — skieruj ankietę bezpośrednio do osób odpowiedzialnych za ochronę danych lub zarządu kontrahenta, dbając o zweryfikowany kanał komunikacji.
Krok 3: Rzetelnie przeanalizuj uzyskane odpowiedzi — przeanalizuj zadeklarowane przez kontrahenta środki (np. politykę haseł, oprogramowanie antywirusowe, szyfrowanie, szkolenia personelu). W przypadku braku wymaganych zabezpieczeń wyznacz termin na wdrożenie poprawek lub rozważ renegocjację warunków współpracy.

Artur Majchrzycki – Inspektor Ochrony Danych, ekspert ds. ochrony danych osobowych, audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem Informacji zgodnego z ISO/IEC 27001.
Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl