OPIS KURSU
Warsztaty oparte są na prezentacjach multimedialnych wzbogaconych o liczne case study. Prowadzone są przez praktyka i skierowane do praktyków o zróżnicowanym poziomie znajomości tematu. Uwzględniają nie tylko aktualny stan prawny, ale najważniejsze planowane zmiany w obszarze ochrony danych osobowych na szczeblu krajowym, jak i europejskim. Każdy z uczestników będzie miał możliwość praktycznego rozwiązania nurtujących go problemów, zadania pytań, rozwiania wątpliwości. W trakcie zajęć przedstawione zostaną zarówno zagadnienia ściśle prawne, jak i informatyczne. Ważną, dodatkową częścią warsztatów będzie możliwość uczestnictwa w indywidualnych konsultacjach.
CEL
Warsztaty mają za zadanie w sposób praktyczny wprowadzić uczestników w tematykę ochrony danych z punktu widzenia administratora bezpieczeństwa informacji, inspektora ochrony danych. Celem jest przekazanie wiedzy, która pozwoli wykonywać na co dzień i w sposób efektywny zadania ABI, IOD (zagadnienia prawne, jak i informatyczne). Warsztaty w sposób kompleksowy przygotowują do pełnienia funkcji ABI według nowych standardów obowiązujących od 2015 r. i funkcji IOD po 25 maja 2018 r.
DLA KOGO
Adresatami szkolenia są osoby pełniące lub mające pełnić funkcję ABI, a po 25 maja 2018 r. Inspektora Ochrony Danych (skrót pol.: IOD, ang. DPO).
PROGRAM
Dzień pierwszy
Ochrona danych osobowych – wprowadzenie do tematu.
- Ustawa o ochronie danych osobowych – obecna i projekt nowej uodo.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
- Certyfikaty i Kodeksy Postępowania
- Przypomnienie podstawowych definicji i nowe pojęcia: dane osobowe, zbiór danych osobowych, administrator danych osobowych, system informatyczny, przetwarzanie, dane zwykłe, dane wrażliwe, dane biometryczne, pseudonimizacja, profilowanie, itd.
- Omówienie różnic pomiędzy administratorem danych osobowych a ich „procesorem” – studia przypadków.
- Podstawy przetwarzania danych osobowych.
- Zasady udostępniania danych osobowych – omówienie i praktyczne zastosowanie.
Odpowiedzialność prawna w wypadku naruszenia przepisów ustawy:
- odpowiedzialność wynikająca z ustawy (cywilna, karna, administracyjna)
- kary finansowe za naruszenie zasad ochrony danych osobowych przewidziane w rozporządzeniu
Podstawowe obowiązki administratora danych osobowych – omówienie i praktyczne zastosowanie
- nowe przesłanki przetwarzania danych osobowych zwykłych oraz wrażliwych
- nowe zasady realizacji obowiązku informacyjnego
- nowe mechanizmy certyfikacji, profilowanie, kodeksy postępowań z danymi
- audyty należytej ochrony danych osobowych
- zasada ochrony danych osobowych na etapie projektowania tzw. privacy by design oraz domyślna ochrona danych i jej zastosowanie do tworzenia projektów aktów prawnych (w tym aktów prawa miejscowego) – zasady ujęte w ogólnym rozporządzeniu o ochronie danych
- dokumentowanie zasad ochrony danych osobowych
- nowe zasady powierzania danych osobowych, nowe kategorie danych – identyfikatory sieciowe, dane biometryczne
- obowiązek zgłaszania GIODO przypadków naruszenia danych osobowych -notyfikacja (rejestracja i procedowanie naruszeń, raportowanie incydentów, instrukcja alarmowa, dzienniki zdarzeń)
- szczególne zasady udostępniania danych osobowych na wniosek
- prawnie usprawiedliwiony cel jako przesłanka przetwarzania danych w sektorze publicznym, prywatnym
- ocena skutków na ochronę danych osobowych a podejmowanie działań prawodawczych
Administrator Bezpieczeństwa Informacji/Inspektor Ochrony Danych Osobowych (DPO) – rola i zadania – teraz i po 25 maja 2018 r..
- Wyznaczenie ABI, obowiązek czy uprawnienie?
- Status ABI, kto może nim być, usytuowanie, łączenie funkcji.
- Zadania ABI – omówienie – jak wygląda praktyka:
- nadzór nad prawidłowością przetwarzania danych
- nadzór nad dokumentacją
- zapewnienie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych
- prowadzenie rejestru zbiorów danych osobowych
- prowadzenie regularnych audytów
- raportowanie o nieprawidłowościach do zarządzających organizacją oraz do GIODO
- problemy w pełnieniu funkcji ABI (case study)
- DPO – nowe szanse i nowe wyzwania:
- status prawny inspektora ochrony danych
- gwarancje niezależności
- zgłoszenie IOD, zgłoszenie ABI do rejestru – różnice i praktyka.
- precyzyjne określenie zakresu obowiązków ADO, IOD oraz osób zaangażowanych w proces przetwarzania.
Rola organów nadzorczych w procesie kontroli przetwarzania danych osobowych – aspekty praktyczne
- Nowe kompetencje organu nadzoru, w tym w szczególności możliwość nakładania kar finansowych.
Dzień drugi
Procedury i wzory dokumentów, które obowiązują podmioty zarówno w sektorze publicznym, jak prywatnym zgodnie z ustawą o ochronie danych osobowych i GDPR.
Część pierwsza
- pozyskiwanie i przekazywanie danych osobowych, archiwizacja danych osobowych
- obowiązek informacyjny – porównanie treść obowiązku informacyjnego z ustawy o ochronie danych osobowych oraz w rozporządzeniu (case study), co trzeba zrobić teraz, a co można już wdrażać
- prawo do kontroli Administratora danych wyrażone w art. 33 ustawy o ochronie danych osobowych, prawo do informacji i kontroli przetwarzania danych, prawo do poprawiania danych, prawo do wniesienia sprzeciwu (forma i rodzaje), prawo żądania wstrzymania i przetwarzania danych lub ich usunięcia
- powierzenie przetwarzania – jak prawidłowo skonstruować umowę powierzenia i dlaczego należy ją stosować? (case study),
- nowe elementy umowy powierzenia oraz podpowierzenie przetwarzania danych przewidziane przez rozporządzenie,
- odpowiedzialność Administratora Danych przy zawarciu umowy powierzenia.
Rejestracja/aktualizacja baz danych – rozwiązania obecne oraz przyszłe:
- zwolnienie z obowiązku rejestracji zbiorów danych w przypadku powołania ABI
- jak wypełnić wniosek rejestracyjny (gdzie kryją się pułapki)
- wzór wniosku rejestracyjnego
- jakie zbiory danych nadal podlegają obowiązkowi rejestracji
Bezpieczeństwo danych:
- fizyczne środki ochrony danych osobowych – z doświadczenia trenera
- jak powinny być zabezpieczone systemy informatyczne, podstawowe wymagania dot. funkcjonalności SI, definicja Systemu Informatycznego, privacy by design, privacy by default, kontrola dostępu do danych
- zasady tworzenia i dystrybucji dokumentacji przetwarzania w organizacji – wymagania UODO i RODO
- konstrukcja dokumentacji, zatwierdzenie dokumentacji, osoby odpowiedzialne, zakres obowiązywania, struktura i forma dokumentacji, dystrybucja procedur.
- polityka bezpieczeństwa, instrukcja zarządzania i inne wymagane przez przepisy dokumenty – omówienie wzorcowej dokumentacji
- dobre praktyki w zakresie ochrony informacji
- zagrożenia związane z bezpieczeństwem danych, oraz najczęściej popełniane błędy w zabezpieczeniu przetwarzania danych (case study)
Część druga
Podejście oparte na ryzyku (Risk Based Approach)
- szacowanie ryzyka, przegląd procesu zarządzania ryzykiem w bezpieczeństwie informacji, dostępne narzędzia.
- analiza ryzyka w praktyce, identyfikacja aktywów podstawowych, zbiory danych osobowych, proces profilowania.
- identyfikacja zasobów i wdrożonych zabezpieczeń, systemy IT w procesie przetwarzania, modele współpracy systemów informatycznych ze zbiorami danych, struktura i przepływ danych, identyfikacja zagrożeń i podatności, metoda jakościowa – szacowanie prawdopodobieństwa, wyznaczanie poziomu ryzyka
Opracowanie i wdrożenie polityk ochrony danych
- bezpieczeństwo osobowe, w trakcie rekrutacji, podczas i po ustaniu zatrudnienia, szkolenia osób upoważnionych, upoważnienie do przetwarzania danych osobowych, oświadczenie o zachowaniu tajemnicy
- bezpieczeństwo fizyczne i środowiskowe
- rejestr czynności przetwarzania
Opracowanie i wdrożenie procedur bezpieczeństwa IT
- bezpieczeństwo eksploatacji systemów informatycznych, bezpieczeństwo użytkowników i stacji roboczych, kryptografia
- zarządzanie bezpieczeństwem sieci, usługi sieciowe – zabezpieczenie i dostęp, szyfrowanie ruchu sieciowego, poczta elektroniczna
- współpraca z firmami zewnętrznymi, udostępnianie danych osobowych, nadzorowanie prac
EKSPERT
Agnieszka Szalińska – Uflewska
Prawnik z ponad 15–letnim doświadczeniem i praktyczną znajomością zasad ochrony danych osobowych (m.in. starszy specjalista w Departamencie Orzecznictwa, Legislacji i Skarg, radca w Departamencie Inspekcji w Biurze Generalnego Inspektora Ochrony Danych Osobowych z siedzibą w Warszawie.) Posiada kilkunastoletnie doświadczenie trenera – szkoleniowca, przeprowadza audyty z zakresu ochrony danych osobowych, przygotowuje opinie prawne w tym zakresie. Stały współpracownik, jednej z wiodących firm zajmujących się ochroną danych osobowych ( Omni Modo Sp. z o.o. z siedzibą w Warszawie) oraz największego portalu zajmującego się tematyką ochrony danych osobowych www.e-ochronadanych.pl i innymi jednostkami szkoleniowymi.
Przeprowadziła szereg szkoleń z zakresu ochrony danych osobowych w sektorze publicznym (Powiatowe Urzędy Pracy, Ośrodki Pomocy Społecznej, Urzędy Gminy i Miasta, Szkoły), jak i w sektorze prywatnym (Telewizja Polsat S.A., FMG International S.A., Agencja Wydawniczo – Reklamowa „Wprost”
Sp. z o.o.).
Wyróżnia się biegłością w tworzeniu dokumentacji prawnej dotyczącej ochrony danych osobowych (m.in. umowy powierzenia, polityka bezpieczeństwa informacji, obowiązki informacyjne, formułki zgód, upoważnienia ds. przetwarzania danych osobowych, wnioski rejestracyjne).
REJESTRACJA
cena: 1300 zł (podana kwota jest kwotą netto)*
* Cena netto (usługa zwolniona z VAT) dotyczy uczestników aktualizujących wiedzę zawodową i opłacających szkolenie ze środków publicznych w całości lub w co najmniej 70%, którzy wypełnią i prześlą oświadczenie VAT.
Rejestracja odbywa się tylko poprzez formularz zgłoszeniowy. Rejestracja jest otwarta do dnia 15.02.2018r. do godziny 23:59 albo do wyczerpania się miejsc. Maksymalna liczba uczestników szkolenia to 25 osób.
O przyjęciu na kurs decyduje kolejność zgłoszeń i uiszczenie wpłaty. Płatność za kurs można dopełnić tylko przelewem na konto wskazane w mailu potwierdzającym rejestrację.
Każdy z uczestników otrzymuje certyfikat potwierdzający ukończenie szkolenia.
Zamawiający przesyłając zgłoszenie udziału w szkoleniu, akceptuje powyższe warunki.
Organizatorzy zastrzegają sobie możliwość odwołania szkolenia i zaproponowanie innego terminu.
ORGANIZATORZY
