Anna Dąbrowska-Lipka

Dziś, w Europejski Dzień Ochrony Danych Osobowych, rozprawiamy się z tymi, które pojawiają się najczęściej. Dotyczą one choćby tego, że nie trzeba przestrzegać RODO, jeśli jest się tylko obserwatorem danych albo jeśli ich administratorem jest spółka spoza UE, choć do jej obywateli kieruje swoją ofertę

Czy o wykrytych w firmie naruszeniach trzeba zawiadamiać Urząd Ochrony Danych Osobowych? Czy w niektórych przypadkach można swobodnie podchodzić do własnych procedur? Na te i inne pytania odpowiadamy, analizując niektóre decyzje wydane przez organ nadzorczy.

Mimo że pojęcie „audytu” pojawia się kilkukrotnie w postanowieniach RODO, nie zostało w nim zdefiniowane. Z całokształtu regulacji można wywnioskować, że jest to ocena zgodności z prawem, w tym przypadku z RODO oraz innymi przepisami dotyczącymi przetwarzania danych osobowych (np. prawem telekomunikacyjnym, kodeksem pracy, prawem bankowym), procedurami czy umowami (np. umowami przetwarzania danych osobowych). Przy czym obejmuje ona kilka etapów, tj. ustalenie stanu faktycznego, porównanie ze stanem pożądanym oraz wskazanie wniosków wynikających z porównania wraz z rekomendacjami. Poniżej odpowiadamy, dlaczego warto go przeprowadzić i co należy uwzględnić.