Pierwszy rok z IOD. Plan działania, harmonogram i co zrobić w pierwszych 90 dniach
Share
Wyznaczyliście IOD. Zgłoszony do UODO, opublikowany na stronie, ma adres mailowy. I co teraz? Większość firm w tym momencie zatrzymuje się bo nikt nie wie od czego zacząć.
Powołanie Inspektora Ochrony Danych to nie koniec wdrożenia. To początek pracy która ma sens tylko jeśli przebiega systematycznie. IOD wyznaczony i pozostawiony bez planu to IOD który po roku nadal nie wie od czego zacząć – albo gorzej, nie wie nawet czego nie wie.
Poniżej praktyczny rozkład pierwszego roku pracy IOD w nowej firmie. Pierwsze 90 dni jako fundament, kolejne miesiące jako rozbudowa.
Pierwszy tydzień: zrozumieć teren
IOD który pierwszego dnia siada do biurka i zaczyna pisać politykę ochrony danych – popełnia podstawowy błąd. Najpierw trzeba zrozumieć firmę. Potem dopiero zacząć regulować.
Pierwszy tydzień to rozmowy. Z zarządem o tym jak firma traktuje ochronę danych, jakie są priorytety, jakie obawy. Z managerami głównych działów o tym jakie procesy mają, jakie dane przetwarzają, gdzie widzą ryzyka.
To są spotkania których celem nie jest wprowadzanie zmian. Celem jest wsłuchanie się. Notatki z każdej rozmowy. Lista nazwisk z którymi warto być w kontakcie. Mapa pierwszych obserwacji.
Bez tego pierwszego tygodnia IOD pracuje na podstawie założeń a nie rzeczywistości. A założenia o firmie której się nie zna są zazwyczaj błędne.
Pierwsze 30 dni: inwentaryzacja stanu obecnego
Po pierwszym tygodniu rozmów przychodzi pierwszy miesiąc systematycznej inwentaryzacji.
Inwentaryzacja istniejącej dokumentacji.
Co firma już ma. Jakie polityki, procedury, klauzule, rejestry. W jakim są stanie. Kiedy były aktualizowane ostatnio. Czy odzwierciedlają to co firma faktycznie robi.
W większości firm po tej inwentaryzacji wniosek jest podobny – dokumentacja istnieje ale w stanie wymagającym aktualizacji. To jest ok. Lepiej mieć stare dokumenty do odświeżenia niż żadne.
Inwentaryzacja procesów przetwarzania danych.
Wszystkie miejsca w firmie gdzie dotyka się danych osobowych. HR, marketing, sprzedaż, obsługa klienta, IT, finanse, prawne. Każdy proces który ma punkt styku z danymi osobowymi powinien być na liście.
To jest fundament rejestru czynności przetwarzania. Często okazuje się że istniejący rejestr opisuje 60% rzeczywistości – brakuje procesów które weszły do firmy w ostatnich latach.
Inwentaryzacja dostawców z dostępem do danych.
Lista wszystkich podmiotów przetwarzających. Z którymi są umowy powierzenia, z którymi nie ma. Stan każdej umowy.
Inwentaryzacja systemów IT.
Jakie systemy używa firma do przetwarzania danych osobowych. Gdzie są serwery. Kto ma dostęp. Jakie są zabezpieczenia.
Po 30 dniach IOD powinien mieć mapę stanu obecnego. Nie pełną, nie idealną, ale wystarczająco dobrą żeby zacząć priorytetyzować pracę.
Dni 31-60: priorytetyzacja i pierwsze szybkie wygrane
Mapa stanu pokazuje co trzeba zrobić. Drugi miesiąc to wybranie czym zająć się najpierw.
Klasyczny błąd to próba naprawiania wszystkiego naraz. Zarząd patrzy na to z niepokojem, pracownicy są przeciążeni nowymi wymaganiami, IOD się wypala bo nie widzi efektów.
Lepsza strategia: dwa-trzy konkretne projekty które dają widoczny efekt w krótkim czasie.
Szybka wygrana pierwsza: aktualizacja klauzul informacyjnych.
Jeśli klauzule są nieaktualne, niekompletne albo nie istnieją – to jest zwykle najpilniejsze. Bo każdy nowy klient i każdy nowy pracownik dostaje braki klauzuli każdego dnia.
Aktualizacja klauzul to projekt na 2-3 tygodnie. Efekt jest widoczny natychmiast – nowe klauzule wchodzą do obiegu.
Szybka wygrana druga: rejestr czynności przetwarzania.
Jeśli rejestru nie ma albo jest nieaktualny – to drugie pilne zadanie. Bo bez rejestru nie da się odpowiedzialnie zarządzać żadnym innym aspektem RODO.
Stworzenie rejestru od podstaw dla średniej firmy to 3-4 tygodnie pracy. Aktualizacja istniejącego rejestru – tydzień do dwóch.
Szybka wygrana trzecia: lista podmiotów przetwarzających i status umów.
Sama lista – kilka dni. Identyfikacja luk – kolejny tydzień. Negocjacja brakujących umów powierzenia – proces który zacznie się w drugim miesiącu ale potrwa kilka miesięcy.
Po 60 dniach trzy projekty są albo zakończone albo w widocznym postępie. Zarząd widzi że IOD pracuje konkretnie. Pracownicy widzą że nowe dokumenty pojawiają się systematycznie.
Dni 61-90: pierwsze szkolenia i ustalenie rytmu pracy
Trzeci miesiąc to fundamenty na dłużej.
Pierwsze szkolenie pracowników.
Po 60 dniach IOD wie kto jest kim w firmie, jakie są procesy, gdzie są ryzyka. To wystarczająco żeby zaprojektować pierwsze szkolenie które będzie konkretne a nie ogólnikowe.
Szkolenie nie musi być wielogodzinną prelekcją. Lepiej dwie krótkie sesje – jedna ogólna dla wszystkich, druga dedykowana dla działów najbardziej narażonych (HR, marketing, obsługa klienta).
Cel szkolenia w pierwszym roku to nie nauczenie wszystkiego o RODO. Cel to pokazanie że IOD istnieje, do czego służy, jak się z nim kontaktować i co pracownik powinien robić w typowych sytuacjach – żądanie klienta, incydent, podejrzenie problemu.
Ustalenie rytmu pracy z zarządem.
IOD podlega bezpośrednio najwyższemu kierownictwu z mocy art. 38 ust. 3 RODO. To nie jest tylko struktura organizacyjna – to jest realna potrzeba kontaktu.
Po 90 dniach warto ustalić stały rytm spotkań z zarządem. Roczne raporty są minimum dla większości firm.
Procedury operacyjne na pierwszy rok.
Jak firma obsługuje żądania podmiotów danych. Jak reaguje na incydenty. Kto i kiedy konsultuje z IOD nowe projekty.
To są procedury które muszą działać w codziennej pracy firmy. Nie muszą być idealne. Muszą istnieć i być znane pracownikom.
Miesiące 4-6: pogłębienie i pierwsze analizy ryzyka
Po pierwszych 90 dniach firma ma fundamenty. Klauzule informacyjne aktualne. Rejestr czynności przetwarzania istnieje. Lista dostawców jest gotowa. Pracownicy zostali przeszkoleni. Zarząd dostaje regularne raporty.
Drugi kwartał to pogłębienie.
Pierwsze analizy ryzyka dla głównych procesów.
Wybór 3-5 najważniejszych procesów i przygotowanie dla nich analizy ryzyka. Nie pełna DPIA dla każdego – analiza ryzyka jako fundament.
DPIA dla procesów spełniających kryteria art. 35 RODO.
Identyfikacja procesów które obiektywnie wymagają DPIA – monitoring wizyjny, monitoring pracowniczy, profilowanie, dane szczególnej kategorii na dużą skalę. Przeprowadzenie DPIA dla każdego z nich.
Negocjacja brakujących umów powierzenia.
Projekty rozpoczęte w drugim miesiącu kończą się w drugim kwartale. Wszyscy istotni dostawcy powinni mieć podpisane umowy powierzenia.
Pierwsze testy procedur w praktyce.
Czy pierwsze żądania podmiotów danych były obsłużone w terminie. Czy procedura reagowania na incydenty została przetestowana symulacyjnie. Czy szkolenie miało faktyczny efekt.
Miesiące 7-9: drugi kwartał szkoleń i monitorowanie
Trzeci kwartał to konsolidacja.
Audyt wewnętrzny wybranych obszarów.
Po pół roku pracy warto przeprowadzić mini audyt wybranych procesów. Czy klauzule informacyjne faktycznie są przekazywane. Czy umowy powierzenia są w obiegu. Czy procedura reagowania na incydenty jest znana w działach.
Pierwsze działania doradcze dla nowych projektów.
Trzeci kwartał to moment gdy firma zaczyna konsultować z IOD nowe projekty zanim się je wdroży. Nowy system CRM, nowa kampania marketingowa, nowy proces rekrutacji. IOD ocenia od strony RODO i wskazuje wymagania.
To jest moment przejścia z trybu "naprawiamy stare" do trybu "robimy nowe od razu dobrze." Kluczowa zmiana w funkcjonowaniu IOD.
Miesiące 10-12: zamknięcie roku i plan na następny
Czwarty kwartał to bilans i przygotowanie roku drugiego.
Roczny raport dla zarządu.
Podsumowanie pierwszego roku pracy IOD. Co zostało zrobione, jakie są zidentyfikowane ryzyka, jaki jest plan na rok kolejny. Format raportu powinien być dopasowany do zarządu – nie 50 stron prawnicze, ale 5-10 stron konkretu.
Aktualizacja rejestru czynności przetwarzania.
Po roku każdy rejestr wymaga przeglądu. Procesy się zmieniły, dostawcy się zmienili, nowe systemy doszły. Roczny przegląd jest minimum.
Plan szkoleń na kolejny rok.
Tematy które wynikają z doświadczeń pierwszego roku. Konkretne ryzyka które trzeba lepiej zaadresować przez wiedzę pracowników.
Identyfikacja obszarów do dalszej pracy.
Co w pierwszym roku zostało pominięte ze względu na priorytety. Co wymaga pogłębienia. Co wymaga dodatkowych zasobów.
Co wyróżnia dobry pierwszy rok od złego
Trzy elementy które obserwuję u IOD-ów którzy mają udany pierwszy rok.
Pierwszy: systematyczność zamiast bohaterstwa.
IOD który próbuje zrobić wszystko w pierwszym kwartale wypala się i firma nie odczuwa efektów. IOD który ma plan na 12 miesięcy i konsekwentnie go realizuje – buduje funkcję która działa długoterminowo.
Drugi: konkretne projekty z widocznymi efektami.
"Wdrażam RODO" to nie jest projekt. "Aktualizuję klauzule informacyjne we wszystkich formularzach do końca miesiąca" jest projektem. Konkretne projekty z konkretnymi terminami pokazują postęp.
Trzeci: relacja z zarządem od pierwszego dnia.
IOD który po roku spotyka się z zarządem pierwszy raz – ma problem. IOD który od pierwszego miesiąca regularnie kontaktuje się z najwyższym kierownictwem – buduje pozycję która pozwala mu skutecznie pracować w roku drugim, trzecim i dalszych.
Co jeśli IOD jest outsourcowany
Powyższy plan dotyczy zarówno wewnętrznego jak i zewnętrznego IOD. Z dwiema różnicami.
IOD outsourcowany ma węższy dostęp do codziennej pracy firmy. To znaczy że pierwsze 30 dni muszą być intensywniejsze – więcej spotkań, więcej rozmów, większy nacisk na zrozumienie kontekstu.
IOD outsourcowany potrzebuje wewnętrznego partnera w firmie. Kogoś kto jest "łącznikiem" – managera, asystenta zarządu, osoby z kadr. Bez wewnętrznego punktu kontaktu zewnętrzny IOD nie ma jak skutecznie pracować.
Reszta planu pozostaje aktualna. Pierwsze 90 dni są tak samo kluczowe niezależnie od formy zatrudnienia IOD.
Co zrobić jeśli właśnie zaczynacie
Jeśli macie nowego IOD albo Wasz IOD pracuje już od jakiegoś czasu ale bez planu – ten artykuł może być punktem wyjścia.
Wydrukujcie go. Usiądźcie razem z IOD-em i przejdźcie przez każdy etap.
Co zostało zrobione, co nie zostało zrobione, co wymaga uwagi.
Pierwszy rok z IOD jest fundamentem na lata kolejne. Lepiej zainwestować w niego świadomie niż odkryć po pięciu latach że funkcja istnieje ale nie pracuje.
Artykuł powstał przy wsparciu AI. Weryfikacja merytoryczna i redakcja: Damian Bielecki, Typ od RODO.
