Inspektor ochrony danych

1. Dział marketingu chce wykorzystać w nowej kampanii bazę klientów zebraną kiedyś w zupełnie innym celu i prosi Cię o opinię. Co robisz?

Sprawdzam, w jakim celu i na jakiej podstawie zebrano dane, oceniam, czy nowy cel da się z tym pogodzić, i proponuję zgodny z prawem sposób przeprowadzenia kampanii. Mówię, że raczej się nie da, ale nie wchodzę w szczegóły. Zgadzam się — skoro dane już są w firmie, można z nich korzystać.

2. W piątek po południu pracownik zgłasza, że wysłał plik z danymi kontrahentów do niewłaściwego adresata. Jak reagujesz?

Od razu oceniam ryzyko dla osób, których dane dotyczą, dokumentuję zdarzenie i pilnuję terminu na ewentualne zgłoszenie do organu nadzorczego i zawiadomienie tych osób. Proszę adresata o usunięcie pliku i uznaję sprawę za zamkniętą. Zostawiam to na poniedziałek — w weekend i tak nic się nie stanie.

3. Zarząd planuje wprowadzić monitoring wizyjny i rejestrację czasu pracy na podstawie odcisków palców. Jaka jest Twoja rola?

Doradzam już na etapie planowania: badam niezbędność, proponuję mniej inwazyjne rozwiązania i sprawdzam, czy potrzebna jest ocena skutków dla ochrony danych. Opiniuję gotowy projekt, jeśli ktoś mi go przyśle. To decyzja zarządu, nie mam tu nic do powiedzenia.

4. Klientka żąda dostępu do wszystkich swoich danych, które przetwarza Twoja organizacja. Co robisz?

Ustalam, w których systemach i u których podmiotów przetwarzających są jej dane, i dbam, by odpowiedź była kompletna, zrozumiała i udzielona w terminie. Przesyłam to, co znajduje się w głównym systemie obsługi klientów. Odpisuję, że firma nie udostępnia takich informacji.

5. Jak podchodzisz do czytania przepisów, wytycznych organu nadzorczego i orzeczeń dotyczących ochrony danych?

Lubię to — śledzę je na bieżąco i potrafię przełożyć ogólne zasady na konkretne procedury w organizacji. Czytam, gdy muszę, ale wolę gotowe streszczenia. Nuży mnie to i staram się tego unikać.

6. Kierownik jednego z działów twierdzi, że zasady ochrony danych tylko utrudniają pracę. Jak z nim rozmawiasz?

Wysłuchuję jego argumentów, pokazuję realne ryzyka na przykładach z jego działu i szukam rozwiązań, które chronią dane, a nie paraliżują pracy. Przypominam, że przepisów trzeba przestrzegać, i odsyłam go do polityki ochrony danych. Odpuszczam — nie chcę psuć relacji.

7. Firma chce powierzyć obsługę kadr i płac zewnętrznemu dostawcy usług w chmurze. Na co zwracasz uwagę?

Sprawdzam umowę powierzenia, zabezpieczenia stosowane przez dostawcę, miejsce przetwarzania danych i możliwość przeprowadzenia audytu. Patrzę głównie na to, czy dostawca ma dobrą opinię na rynku. Na nic — za bezpieczeństwo odpowiada dostawca.

8. Prezes prosi Cię, byś „po cichu” przejrzał/przejrzała prywatną korespondencję pracownika podejrzewanego o nielojalność. Jak reagujesz?

Odmawiam działań bez podstawy prawnej, wyjaśniam ryzyko i wskazuję zgodne z prawem sposoby wyjaśnienia sprawy — niezależność to istota tej funkcji. Waham się, ale w końcu robię to, czego oczekuje przełożony. Robię to od razu — polecenie to polecenie.

9. Masz przeszkolić z ochrony danych pracowników, którzy traktują to jako nudny obowiązek. Jak to robisz?

Przygotowuję krótkie zajęcia na przykładach z ich codziennej pracy, z sytuacjami do rozwiązania i jasnymi wskazówkami, co robić. Odczytuję najważniejsze zapisy polityki ochrony danych. Rozsyłam dokument do podpisania i uznaję temat za załatwiony.

10. Co najbardziej motywuje Cię do podjęcia studiów podyplomowych „Inspektor Ochrony Danych”?

Chęć profesjonalnego pełnienia funkcji inspektora ochrony danych — doradzania organizacji, nadzorowania zgodności z przepisami i dbania o prawa osób, których dane dotyczą. Potrzeba uporządkowania wiedzy o ochronie danych, z którą już stykam się w pracy. Nie jestem pewien/pewna, czy to dla mnie