Audyt zgodności RODO — procesy, dokumenty i plan zmian
Masz dokumentację RODO, ale nie wiesz, czy odpowiada temu, jak działa firma? Sprawdzamy uzgodnione procesy przetwarzania i porównujemy je z dokumentami oraz praktyką zespołów. Otrzymujesz raport z ustaleniami, priorytetami i planem zmian. Zakres próby oraz granice audytu ustalamy przed rozpoczęciem.
W jakiej sytuacji możemy pomóc?
Dla pracodawców, sklepów, usługodawców i innych organizacji przetwarzających dane w Polsce. Audyt może objąć całą ustaloną mapę procesów albo wybrany obszar, na przykład kadry, marketing lub dostawców.
Dokumenty sprzed kilku lat
Firma wdrożyła nowe systemy i usługi, ale rejestry, klauzule oraz umowy nie zostały zaktualizowane.
Zmiana skali działalności
Przybyło pracowników, klientów lub dostawców. Potrzebujesz ustalić, gdzie wzrosło ryzyko i które procesy wymagają uporządkowania.
Przegląd wybranego obszaru
Chcesz ocenić konkretny proces przed uruchomieniem narzędzia, zmianą dostawcy lub przygotowaniem planu naprawczego.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Mapa danych
Rozmawiamy z właścicielami procesów i ustalamy kategorie danych, cele, systemy oraz odbiorców w przyjętym zakresie.
Mapa procesów i przepływów.
Dokumenty i podstawy
Porównujemy praktykę z rejestrami, informacjami dla osób, umowami i przyjętymi zasadami przechowywania.
Lista braków oraz niespójności.
Próba operacyjna
Sprawdzamy wybrane przypadki uprawnień, obsługi żądań, dostawców i incydentów na podstawie uzgodnionych materiałów.
Ustalenia z opisem próby.
Plan poprawy
Porządkujemy działania według ryzyka, odpowiedzialności i zależności organizacyjnych; wskazujemy potrzebne decyzje zarządcze.
Raport i harmonogram rekomendacji.
Granice zlecenia
Audyt dotyczy uzgodnionej próby i dostępnych materiałów. Nie stanowi certyfikacji, testu penetracyjnego ani zapewnienia braku naruszeń w całej organizacji.
Dokument, praktyka i dowód wykonania
Audyt porównuje trzy warstwy tego samego procesu.
| Warstwa | Przykład pytania | Materiał |
|---|---|---|
| Zasady | Co firma deklaruje w dokumentach? | Procedura, rejestr lub klauzula. |
| Wykonanie | Jak działa pracownik i system? | Rozmowa oraz opis przepływu. |
| Potwierdzenie | Czy można wykazać stosowanie zasad? | Próbka zapisów lub wykonanych czynności. |
Co warto ustalić przed zleceniem?
Sam komplet wzorów nie potwierdza zgodności
Weryfikujemy, czy dokumenty opisują realne procesy i przypisują zadania właściwym osobom. Rozbieżność może dotyczyć nie tylko brakującej klauzuli, lecz także nadmiernych dostępów, niejasnej retencji lub nieaktualnej listy dostawców. Raport wskazuje, na jakich informacjach oparto ocenę i które obszary pozostają poza uzgodnioną próbą.
Plan zmian powinien nadawać się do wdrożenia
Rekomendacje dzielimy na działania organizacyjne, dokumentacyjne i wymagające wsparcia technicznego. Ustalamy właścicieli zadań oraz dane potrzebne do zamknięcia ustaleń. Audyt prawno-organizacyjny nie jest testem penetracyjnym ani certyfikacją zgodności. Przy potrzebie szczegółowej oceny zabezpieczeń określamy osobny udział specjalisty IT i sposób połączenia wyników.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Zakres
wybieramy procesy, jednostki i próbę.
Przegląd
analizujemy dokumenty i rozmawiamy z zespołami.
Ustalenia
wyjaśniamy rozbieżności oraz brakujące informacje.
Raport
przekazujemy priorytety i omawiamy plan zmian.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Koszt zależy od liczby procesów, lokalizacji, systemów i osób uczestniczących w przeglądzie. Wycena określa próbę, spotkania oraz formę raportu. Aktualizacja dokumentów, wdrożenie zaleceń, szkolenia i ponowny przegląd wykonania mogą być kolejnymi etapami.
Co wpływa na koszt?
- Liczba procesów i złożoność przepływów danych.
- Dostępność materiałów i zakres próby.
- Raport, warsztat oraz ewentualna weryfikacja wdrożenia.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Mapa procesów lub opis działalności i systemów.
- Rejestry, polityki, klauzule i procedury RODO.
- Lista dostawców oraz umowy dotyczące danych.
- Uzgodnione przykłady uprawnień, żądań i incydentów.
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy audyt obejmuje całą firmę?
Tylko gdy tak uzgodnimy. Zakres może dotyczyć wybranych procesów, jednostek lub próby, co wyraźnie opisujemy w raporcie.
Czy potrzebujemy idealnych dokumentów przed audytem?
Nie. Przegląd ma także zidentyfikować braki. Potrzebujemy rzetelnego opisu praktyki i dostępu do istniejących materiałów.
Czy raport jest certyfikatem zgodności?
Nie. Przedstawia ustalenia i rekomendacje dla określonego zakresu oraz daty, z opisem ograniczeń przeprowadzonego badania.
Czy sprawdzicie bezpieczeństwo systemów?
Oceniamy uzgodnione aspekty organizacyjne i dokumentacyjne. Techniczne testy oraz szczegółowa weryfikacja konfiguracji wymagają osobnego zakresu i kompetencji.
Czy wdrożycie zalecenia po audycie?
Możemy uzgodnić etap wdrożenia. W raporcie wskazujemy priorytety i odpowiedzialności, aby firma mogła zdecydować o dalszych pracach.
Czy mała firma może pominąć analizę procesów?
Wielkość sama nie opisuje ryzyka. Zakres przeglądu dobieramy do danych, działalności i rzeczywistych obowiązków organizacji.
Zapytaj o zakres i wycenę.
Opisz działalność, liczbę systemów i procesy do sprawdzenia. Napisz, czy potrzebujesz ogólnego przeglądu, czy audytu konkretnego obszaru.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Opisz działalność, liczbę systemów i procesy do sprawdzenia. Napisz, czy potrzebujesz ogólnego przeglądu, czy audytu konkretnego obszaru.