Najczęstsze naruszenia RODO w organizacjach – czego nie widać w dokumentacji, ale widać podczas audytu

Organizacja zgodna z RODO na papierze nie zawsze jest organizacją bezpieczną

W wielu organizacjach naruszenie ochrony danych osobowych nadal kojarzy się przede wszystkim z poważnym incydentem technologicznym: cyberatakiem, wyciekiem bazy danych, zaszyfrowaniem serwera albo przejęciem konta pocztowego. To oczywiście realne zagrożenia, które mogą prowadzić do poważnych skutków prawnych, organizacyjnych i wizerunkowych.

Z perspektywy audytora zgodności z RODO obraz naruszeń wygląda jednak znacznie szerzej.

W praktyce najczęstsze naruszenia ochrony danych osobowych nie zaczynają się od działania hakera. Zaczynają się od codziennych czynności wykonywanych przez pracowników: wysłania wiadomości e-mail, wydania dokumentu, odebrania telefonu, nadania uprawnień w systemie, wydrukowania pisma, przekazania informacji osobie, której tożsamości nikt właściwie nie zweryfikował.

To właśnie te zdarzenia są najtrudniejsze do wychwycenia, ponieważ nie wyglądają jak „poważne incydenty”. Bardzo często są traktowane jako drobne pomyłki, organizacyjne niedopatrzenia albo sytuacje, które „udało się szybko wyjaśnić”.
Tymczasem z punktu widzenia RODO nawet pojedynczy błąd może stanowić naruszenie ochrony danych osobowych, jeżeli prowadzi do utraty poufności, integralności albo dostępności danych.

Podczas audytów zgodności z RODO niezwykle rzadko problemem jest całkowity brak dokumentacji. Znacznie częściej organizacja posiada polityki, procedury, rejestry, upoważnienia i wzory dokumentów. Problem pojawia się gdzie indziej: dokumentacja nie odzwierciedla rzeczywistego sposobu pracy, nie jest stosowana przez pracowników albo nie odpowiada na sytuacje, które faktycznie występują w organizacji.

Innymi słowy: dokumentacja opisuje model docelowy, a audyt pokazuje praktykę.

Największe ryzyko powstaje właśnie pomiędzy jednym a drugim.

Dlatego profesjonalna ocena zgodności z RODO nie powinna ograniczać się do sprawdzenia, czy organizacja posiada wymagane dokumenty. Prawdziwy audyt RODO powinien odpowiedzieć na pytanie, czy przyjęte zasady działają w codziennym funkcjonowaniu organizacji, czy pracownicy rozumieją swoje obowiązki i czy administrator potrafi wykryć naruszenie wtedy, gdy ono rzeczywiście wystąpi.

To właśnie w tym obszarze DSO Consulting wspiera organizacje poprzez audyty RODO, analizy ryzyka, usługi Inspektora Ochrony Danych oraz Koordynatora Ochrony Danych Osobowych.

Czym jest naruszenie ochrony danych osobowych w praktyce?

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

Ta definicja jest szeroka celowo. Nie obejmuje wyłącznie spektakularnych wycieków danych. Obejmuje również zdarzenia pozornie proste i codzienne.

Naruszeniem może być na przykład:

• wysłanie wiadomości e-mail z danymi osobowymi do niewłaściwego adresata,
• przekazanie dokumentu niewłaściwej osobie,
• ujawnienie adresów e-mail odbiorców w polu „DW”,
• pozostawienie dokumentów na drukarce,
• utrata laptopa lub pendrive’a zawierającego dane osobowe,
• błędne nadanie uprawnień w systemie,
• pozostawienie aktywnego konta byłemu pracownikowi,
• przypadkowe usunięcie danych bez możliwości ich odtworzenia.

W praktyce organizacje często mylą naruszenie z sytuacją, która już wyrządziła szkodę. Tymczasem dla oceny incydentu nie zawsze konieczne jest wykazanie, że osoba nieuprawniona faktycznie wykorzystała dane. Wystarczające może być samo powstanie możliwości nieuprawnionego dostępu, ujawnienia albo utraty kontroli nad danymi.

To rozróżnienie ma ogromne znaczenie. Jeżeli pracownik wyśle dokumentację kadrową do niewłaściwej osoby, organizacja nie powinna ograniczyć się do prośby o usunięcie wiadomości. Powinna ustalić, jakie dane zostały ujawnione, kto je otrzymał, czy dane mogły zostać skopiowane, jakie mogą być skutki dla osoby, której dane dotyczą, oraz czy zdarzenie wymaga zgłoszenia do Prezesa UODO.

Profesjonalne podejście do naruszeń polega więc nie na automatycznym „gaszeniu pożaru”, ale na ocenie ryzyka, dokumentowaniu zdarzenia i wyciąganiu wniosków organizacyjnych.

Dlaczego organizacje nie widzą własnych naruszeń?

Jednym z najbardziej charakterystycznych sygnałów podczas audytu RODO jest deklaracja: „U nas nigdy nie było żadnego naruszenia”.

Oczywiście są organizacje, które mają wysoki poziom dojrzałości, skuteczne zabezpieczenia i bardzo dobrą kulturę bezpieczeństwa. Jednak całkowity brak incydentów przez wiele lat, zwłaszcza w organizacji zatrudniającej kilkudziesięciu pracowników i przetwarzającej dane w wielu procesach, powinien skłaniać do ostrożności.

W praktyce bardzo często nie oznacza to braku naruszeń. Oznacza brak ich identyfikowania.

Pracownicy nie zgłaszają incydentów, ponieważ nie wiedzą, że dane zdarzenie może być naruszeniem. Albo obawiają się konsekwencji. Albo uznają, że skoro udało się szybko rozwiązać problem, nie ma potrzeby informowania przełożonego, IOD czy osoby odpowiedzialnej za ochronę danych.

To powoduje poważny problem zarządczy. Organizacja nie analizuje incydentu, nie aktualizuje analizy ryzyka, nie poprawia procedur i nie szkoli pracowników na podstawie rzeczywistych zdarzeń. W efekcie ten sam błąd pojawia się ponownie.

Z perspektywy audytora szczególnie niebezpieczne są organizacje, które posiadają procedurę obsługi naruszeń, ale w praktyce nikt z niej nie korzysta. Dokument istnieje, ale nie pełni swojej funkcji. Pracownicy nie wiedzą, kiedy zgłosić zdarzenie, komu je zgłosić i jakie informacje przekazać. Kierownictwo nie otrzymuje danych o incydentach, więc nie widzi rzeczywistego poziomu ryzyka.

Właśnie dlatego audyt RODO powinien obejmować nie tylko analizę dokumentacji, ale również rozmowy z pracownikami, ocenę sposobu działania procesów, weryfikację rejestru naruszeń oraz sprawdzenie, czy organizacja faktycznie potrafi rozpoznać incydent.

Najczęstsze naruszenia RODO – tabela z perspektywy audytu

Poniższe zestawienie pokazuje najczęstsze kategorie naruszeń identyfikowanych podczas audytów zgodności, analiz ryzyka oraz bieżącego wsparcia organizacji w obszarze ochrony danych osobowych.

Najczęstsze problemy z RODO w sektorze medycznym

Tabela nie zastępuje indywidualnej analizy ryzyka, ale dobrze pokazuje jedną rzecz: najczęstsze naruszenia RODO bardzo rzadko są przypadkami całkowicie nieprzewidywalnymi. Zwykle wynikają z powtarzalnych słabości organizacyjnych, które można wykryć wcześniej.

Nieuprawnione ujawnienie danych wskutek błędów komunikacyjnych

Jednym z najczęściej identyfikowanych źródeł naruszeń ochrony danych osobowych są błędy komunikacyjne związane z pocztą elektroniczną, komunikatorami, korespondencją papierową oraz kontaktami telefonicznymi. Wbrew powszechnemu przekonaniu większość takich incydentów nie wynika z działania osób nieuprawnionych, lecz z błędów popełnianych przez osoby posiadające legalny dostęp do danych.

Typowe przykłady obejmują wysłanie wiadomości do niewłaściwego adresata, dołączenie błędnego załącznika lub przekazanie informacji w niewłaściwym wątku korespondencji. Ryzyko zwiększają pośpiech, automatyczne podpowiedzi adresów oraz brak dodatkowej weryfikacji przed wysłaniem wiadomości.

Z perspektywy administratora danych kluczowe jest nie tylko ograniczenie skutków incydentu, ale również jego właściwa analiza. Samo uzyskanie od odbiorcy informacji o usunięciu wiadomości nie oznacza odzyskania kontroli nad danymi. Organizacja powinna ocenić zakres ujawnionych informacji, potencjalne skutki dla osób, których dane dotyczą, oraz potrzebę podjęcia dalszych działań.

To właśnie ten obszar najczęściej pokazuje różnicę pomiędzy organizacją posiadającą procedury a organizacją rzeczywiście zarządzającą ryzykiem ochrony danych.

Nieprawidłowe użycie pola „DW” i „UDW”

Ujawnienie adresów odbiorców poprzez wykorzystanie pola „Do” lub „DW” pozostaje jednym z najbardziej klasycznych przykładów naruszenia ochrony danych osobowych. Choć często jest traktowane jako drobna pomyłka, w praktyce może prowadzić do nieuprawnionego ujawnienia danych oraz informacji o relacjach pomiędzy odbiorcami.

Problem ten szczególnie często występuje w szkołach, placówkach medycznych, organizacjach pozarządowych oraz jednostkach administracji publicznej. Zwykle wynika z braku praktycznej świadomości pracowników lub braku standardów dotyczących wysyłki korespondencji grupowej.

Dobrą praktyką jest stosowanie pola „UDW” lub dedykowanych narzędzi mailingowych oraz regularne przypominanie pracownikom zasad bezpiecznej komunikacji elektronicznej.

Niewłaściwe udostępnianie danych osobowych

Kolejnym częstym źródłem naruszeń jest przekazywanie informacji osobom, których uprawnienia nie zostały odpowiednio zweryfikowane. Problem ten występuje szczególnie w organizacjach mających bezpośredni kontakt z klientami, pacjentami, mieszkańcami lub pracownikami.

Najczęściej naruszenie wynika z błędnego założenia, że rozmówca lub nadawca wiadomości jest osobą uprawnioną do uzyskania określonych informacji. W praktyce administrator powinien posiadać jasne zasady weryfikacji tożsamości oraz określone procedury udostępniania danych.

Podczas audytów regularnie obserwuje się sytuacje, w których pracownicy kierują się intuicją lub doświadczeniem zamiast formalnymi zasadami. To właśnie dlatego obszar udostępniania danych wymaga szczególnej uwagi w analizach ryzyka i szkoleniach personelu.Naszą rolą nie jest tworzenie kolejnych dokumentów, lecz realne uporządkowanie szeroko pojętego obszaru bezpieczeństwa informacji.

Nadmierne uprawnienia – naruszenie, które dojrzewa latami

Niewłaściwe zarządzanie uprawnieniami należy do najczęściej identyfikowanych problemów podczas audytów zgodności z RODO. W większości przypadków nie jest efektem pojedynczego błędu, lecz konsekwencją wieloletniego przyznawania kolejnych dostępów bez ich późniejszej weryfikacji.

W efekcie pracownicy posiadają dostęp do danych, które nie są im niezbędne do wykonywania obowiązków służbowych, a organizacja traci kontrolę nad rzeczywistym zakresem uprawnień użytkowników. Szczególnie niebezpieczne są sytuacje, w których aktywne pozostają konta byłych pracowników lub nie są prowadzone okresowe przeglądy dostępów.

Z perspektywy bezpieczeństwa informacji narusza to zasadę minimalizacji oraz znacząco zwiększa skutki potencjalnych incydentów.

Dokumentacja papierowa – ryzyko, które przetrwało cyfryzację

Pomimo postępującej cyfryzacji dokumentacja papierowa nadal pozostaje źródłem wielu naruszeń ochrony danych osobowych. Podczas audytów regularnie identyfikowane są przypadki pozostawiania dokumentów na biurkach, wydruków przy urządzeniach wielofunkcyjnych czy przechowywania akt w miejscach dostępnych dla osób postronnych.

W przeciwieństwie do systemów informatycznych dokumentacja papierowa nie pozostawia śladów umożliwiających ustalenie, kto miał dostęp do informacji. Z tego względu nawet pozornie drobne zaniedbania mogą prowadzić do trudnych do oszacowania skutków.

Skuteczna ochrona danych w formie papierowej wymaga nie tylko odpowiednich procedur, ale przede wszystkim konsekwentnego stosowania dobrych praktyk organizacyjnych.

Praca zdalna, urządzenia mobilne i rozproszenie danych

Praca zdalna oraz wykorzystanie urządzeń mobilnych znacząco zwiększyły liczbę miejsc, w których przetwarzane są dane osobowe. Dane znajdują się dziś nie tylko w siedzibie organizacji, ale również na laptopach, telefonach, nośnikach przenośnych i w usługach współdzielenia plików.

Największym wyzwaniem jest utrzymanie kontroli nad tym, gdzie dane są przechowywane i w jaki sposób są zabezpieczone. Podczas audytów często okazuje się, że organizacje nie posiadają pełnej wiedzy o rzeczywistym obiegu informacji poza swoją infrastrukturą.

Dlatego praca zdalna powinna być każdorazowo uwzględniana w analizie ryzyka oraz objęta odpowiednimi środkami organizacyjnymi i technicznymi.

Najbardziej niebezpieczne naruszenie: organizacja nie wie, że do niego doszło

Największym problemem nie są naruszenia, które zostały zgłoszone. Zgłoszone naruszenie można przeanalizować, udokumentować, ograniczyć jego skutki i wykorzystać do poprawy procesu.

Największym problemem są naruszenia, o których organizacja nigdy się nie dowiedziała.

To zdanie dobrze oddaje jedną z najważniejszych obserwacji audytowych. W wielu organizacjach pracownicy popełniają błędy, ale rozwiązują je samodzielnie. Wysyłają prośbę o usunięcie wiadomości. Odbierają błędnie przekazany dokument. Poprawiają uprawnienia. Usuwają plik. I nikogo nie informują.

Często nie wynika to ze złej woli. Pracownicy nie chcą robić problemu. Obawiają się odpowiedzialności. Nie wiedzą, że incydent powinien zostać zgłoszony. Uważają, że skoro szkoda nie wystąpiła, nie ma sprawy.

Z punktu widzenia organizacji to bardzo niebezpieczne podejście. Brak zgłoszenia oznacza brak analizy. Brak analizy oznacza brak działań korygujących. Brak działań korygujących oznacza, że ten sam błąd prawdopodobnie wystąpi ponownie.

Dlatego skuteczny system ochrony danych osobowych musi być oparty na kulturze zgłaszania incydentów. Nie chodzi o szukanie winnych. Chodzi o to, aby organizacja wiedziała, co się dzieje, gdzie powstaje ryzyko i które procesy wymagają poprawy.

Rola Inspektora Ochrony Danych i Koordynatora ODO jest w tym obszarze szczególnie ważna. Osoby te powinny wspierać organizację w budowaniu świadomości, analizowaniu zdarzeń, prowadzeniu rejestru naruszeń oraz rekomendowaniu działań zapobiegawczych.

W dojrzałych organizacjach incydent nie jest traktowany wyłącznie jako problem. Jest również źródłem wiedzy o procesie.

Dlaczego procedury nie zapobiegają naruszeniom?

Procedury są potrzebne. Bez nich trudno mówić o uporządkowanym systemie ochrony danych osobowych. Problem zaczyna się wtedy, gdy organizacja uznaje, że samo posiadanie procedury jest równoznaczne z rozwiązaniem problemu.

Podczas audytów często okazuje się, że procedury istnieją, ale pracownicy ich nie znają. Albo znają je tylko ogólnie. Albo wiedzą, że „coś jest w dokumentacji”, ale w sytuacji konkretnego incydentu nie potrafią wskazać, co powinni zrobić.

Procedura obsługi naruszeń jest dobrym przykładem. Dokument może bardzo poprawnie opisywać obowiązki administratora, 72-godzinny termin na zgłoszenie, ocenę ryzyka i rejestr naruszeń. Jeżeli jednak pracownik nie wie, że błędnie wysłany e-mail powinien zgłosić, procedura nie zadziała.

Podobnie jest z procedurą nadawania uprawnień. Może istnieć w dokumentacji, ale jeśli w praktyce dostępy są nadawane na podstawie nieformalnych wiadomości albo pozostają aktywne po odejściu pracownika, dokument nie zabezpiecza organizacji.

Profesjonalne podejście wymaga więc oceny skuteczności procedur. Czy są znane? Czy są stosowane? Czy są aktualne? Czy odpowiadają rzeczywistym procesom? Czy były testowane? Czy po incydentach są aktualizowane?

To jeden z powodów, dla których coraz więcej organizacji potrzebuje nie tylko wdrożenia dokumentacji, ale stałego wsparcia w utrzymywaniu zgodności. RODO nie jest projektem jednorazowym. Jest procesem zarządzania ryzykiem, który wymaga monitorowania, przeglądów i doskonalenia.

Właśnie temu służy System Ochrony Danych Osobowych (SODO): połączeniu dokumentacji, analizy ryzyka, szkoleń, obsługi incydentów, audytów i bieżącego nadzoru w jeden spójny model działania.

Audyt RODO jako narzędzie identyfikacji rzeczywistego ryzyka

Dobry audyt RODO nie polega na sprawdzeniu, czy w segregatorze znajdują się wymagane dokumenty. To tylko jeden z elementów.

Profesjonalny audyt powinien odpowiedzieć na pytanie, jak organizacja rzeczywiście przetwarza dane osobowe, gdzie powstaje ryzyko i czy wdrożone zabezpieczenia są skuteczne.

W praktyce audyt powinien obejmować między innymi analizę dokumentacji, rozmowy z pracownikami, weryfikację uprawnień, ocenę obiegu dokumentów, przegląd sposobu obsługi incydentów, ocenę szkoleń, sprawdzenie realizacji obowiązków informacyjnych oraz analizę zgodności procesów z rejestrem czynności przetwarzania.

Największą wartością audytu jest to, że pozwala wykryć problemy zanim staną się naruszeniem. Jeżeli organizacja odkryje podczas audytu, że byli pracownicy mają aktywne konta, może to uporządkować. Jeżeli dowie się o nieformalnym przesyłaniu dokumentów, może zmienić proces. Jeżeli okaże się, że pracownicy nie zgłaszają incydentów, można wdrożyć szkolenia i uprościć ścieżkę zgłoszeń.

Audyt RODO powinien kończyć się nie tylko listą niezgodności, ale praktycznymi rekomendacjami. Celem nie jest wykazanie błędów dla samych błędów. Celem jest ograniczenie ryzyka, poprawa bezpieczeństwa danych i zwiększenie dojrzałości organizacji.

To właśnie dlatego DSO Consulting realizuje audyty RODO w sposób praktyczny: łącząc ocenę formalną z analizą rzeczywistego działania organizacji.

Analiza ryzyka RODO – dlaczego nie może być dokumentem „do szuflady”

Analiza ryzyka jest jednym z najważniejszych narzędzi ochrony danych osobowych. Niestety w wielu organizacjach traktowana jest jako dokument wdrożeniowy, przygotowany raz i rzadko aktualizowany.

To poważny błąd.

Ryzyko zmienia się wraz z organizacją. Zmieniają się systemy informatyczne, pracownicy, dostawcy, sposoby komunikacji, modele pracy, zakresy danych, procesy biznesowe i oczekiwania klientów. Analiza ryzyka, która nie jest aktualizowana, szybko przestaje odzwierciedlać rzeczywistość.

Z perspektywy naruszeń ochrony danych osobowych analiza ryzyka powinna odpowiadać na bardzo konkretne pytania: gdzie może dojść do ujawnienia danych, kto może uzyskać nieuprawniony dostęp, jakie dane są szczególnie wrażliwe z punktu widzenia skutków dla osób, jakie procesy są najbardziej podatne na błąd ludzki i jakie zabezpieczenia faktycznie działają.

Dobrze przeprowadzona analiza ryzyka nie jest formalnością. Jest narzędziem zarządczym. Pomaga kierownictwu podejmować decyzje, priorytetyzować działania, planować szkolenia, wdrażać zabezpieczenia i oceniać, czy poziom ryzyka jest akceptowalny.

W kontekście najczęstszych naruszeń RODO analiza ryzyka powinna obejmować nie tylko systemy IT, ale również komunikację, dokumentację papierową, pracę zdalną, uprawnienia, obsługę klienta, procesy kadrowe i zarządzanie incydentami.

To obszar, w którym wsparcie zewnętrznego eksperta bywa szczególnie wartościowe, ponieważ pozwala spojrzeć na organizację bez przyzwyczajeń i wewnętrznych uproszczeń.

Inspektor Ochrony Danych i Koordynator ODO – rola, która zaczyna się tam, gdzie kończy się dokumentacja

W wielu organizacjach rola Inspektora Ochrony Danych bywa sprowadzana do opiniowania dokumentów, prowadzenia szkoleń i odpowiadania na pytania dotyczące RODO. To zbyt wąskie podejście.

Skuteczny IOD powinien wspierać organizację w monitorowaniu zgodności, analizowaniu ryzyka, ocenie incydentów, opiniowaniu nowych procesów i budowaniu kultury ochrony danych. Jego rola nie polega na przejęciu odpowiedzialności administratora, ale na zapewnieniu fachowego wsparcia i niezależnej perspektywy.

W praktyce IOD powinien być obecny tam, gdzie pojawiają się realne ryzyka: przy wdrażaniu nowych systemów, zmianach organizacyjnych, incydentach, audytach, analizach ryzyka, skargach osób, których dane dotyczą, oraz przy projektowaniu nowych procesów przetwarzania.

Nie każda organizacja ma obowiązek wyznaczenia Inspektora Ochrony Danych. Nie oznacza to jednak, że nie potrzebuje stałego nadzoru nad ochroną danych osobowych. W takich przypadkach bardzo dobrym rozwiązaniem może być funkcja Koordynatora Ochrony Danych Osobowych.

Koordynator ODO może wspierać organizację w bieżącym utrzymaniu dokumentacji, monitorowaniu realizacji obowiązków, koordynowaniu szkoleń, weryfikacji incydentów, przygotowywaniu analiz ryzyka i kontaktach z podmiotami przetwarzającymi. Dla wielu podmiotów jest to praktyczny model zapewnienia stałej opieki merytorycznej bez formalnego powoływania IOD tam, gdzie nie jest to wymagane.

DSO Consulting świadczy zarówno usługi zewnętrznego Inspektora Ochrony Danych, jak i usługi Koordynatora ODO. W obu modelach celem nie jest wyłącznie zapewnienie zgodności formalnej, ale budowanie takiego systemu ochrony danych, który działa w codziennej praktyce.

Jak DSO Consulting wspiera organizacje w ograniczaniu ryzyka naruszeń?

Z naszych doświadczeń audytowych wynika, że organizacje najrzadziej potrzebują kolejnych dokumentów tworzonych wyłącznie po to, aby „coś było w teczce”. Znacznie częściej potrzebują niezależnej oceny istniejących procesów, identyfikacji rzeczywistych zagrożeń oraz wsparcia w budowaniu rozwiązań, które działają nie tylko podczas audytu, ale przede wszystkim w codziennej działalności.

DSO Consulting wspiera organizacje między innymi poprzez:

• audyty zgodności z RODO,
• pełnienie funkcji zewnętrznego Inspektora Ochrony Danych,
• świadczenie usługi Koordynatora Ochrony Danych Osobowych,
• przygotowywanie i aktualizację analiz ryzyka,
• budowę i utrzymywanie Systemu Ochrony Danych Osobowych,
• wsparcie przy obsłudze naruszeń ochrony danych,
• szkolenia dla pracowników i kadry kierowniczej,
• wsparcie podczas kontroli Prezesa UODO,
• opiniowanie nowych procesów, systemów i umów powierzenia.

Najważniejsze jest jednak podejście. Ochrona danych osobowych nie może być oderwana od sposobu działania organizacji. Procedury, analiza ryzyka, upoważnienia, szkolenia, audyty i obsługa incydentów powinny tworzyć spójny system.
Tylko wtedy RODO przestaje być zbiorem dokumentów, a staje się realnym mechanizmem zarządzania ryzykiem.

Podsumowanie

Najczęstsze naruszenia RODO nie są spektakularne. Nie zawsze wynikają z cyberataków. Nie zawsze obejmują tysiące osób. Nie zawsze są od razu widoczne dla kierownictwa.

Bardzo często powstają w zwykłych, codziennych procesach: podczas wysyłania wiadomości, udostępniania informacji, nadawania uprawnień, pracy z dokumentacją papierową albo obsługi klientów i pracowników.

Największym zagrożeniem dla organizacji nie jest wyłącznie samo naruszenie. Równie poważnym problemem jest brak wiedzy o tym, że naruszenie wystąpiło.

Dlatego skuteczna ochrona danych osobowych nie polega na tworzeniu coraz większej liczby dokumentów. Polega na zrozumieniu, jak organizacja naprawdę działa, gdzie powstaje ryzyko i czy wdrożone zabezpieczenia funkcjonują w praktyce.
Podstawowe pytanie nie brzmi więc:

„Czy posiadamy dokumentację RODO?”

Prawdziwe pytanie brzmi:

„Czy nasza organizacja potrafi wykryć, ocenić i obsłużyć incydent wtedy, gdy pojawi się w codziennej pracy?”

Jeżeli odpowiedź nie jest jednoznaczna, warto rozpocząć od audytu RODO, aktualizacji analizy ryzyka albo wdrożenia stałego wsparcia IOD lub Koordynatora ODO.

To właśnie takie działania pozwalają przejść od formalnej zgodności do rzeczywistego bezpieczeństwa danych osobowych.