Odpowiedź na pismo UODO
Przekładamy pytania dotyczące IT na listę informacji do zebrania. Weryfikujemy konfigurację systemów, opisujemy zabezpieczenia i przygotowujemy załączniki techniczne do odpowiedzi opracowywanej przez Waszą firmę.
Usługi / Wsparcie w sprawach UODO
Wsparcie w sprawach UODOPomagamy przygotować wyjaśnienia i dokumentację techniczną dla UODO
Otrzymaliście pismo z Urzędu Ochrony Danych Osobowych, przygotowujecie się do kontroli lub wyjaśniacie naruszenie? Sprawdzamy systemy, analizujemy logi i zbieramy informacje o zabezpieczeniach. Współpracujemy z Waszym administratorem danych, inspektorem ochrony danych (IOD) i prawnikiem przy przygotowaniu materiałów technicznych.
Kiedy pomagamy
Pismo z urzędu, naruszenie lub przygotowanie do kontroli
Zakres wsparcia dopasowujemy do konkretnej sprawy i systemów, których dotyczy. Na początku ustalamy dostępne informacje, terminy wskazane w piśmie oraz osoby odpowiedzialne za przygotowanie odpowiedzi.
Podejrzenie naruszenia danych
Pomagamy zabezpieczyć dostępne logi i odtworzyć przebieg zdarzenia. Ustalamy, które systemy i dane mogły zostać objęte naruszeniem oraz jakie działania podjęto, aby ograniczyć jego skutki.
Przygotowanie do kontroli
Zbieramy dokumentację uprawnień, aktualizacji, monitoringu i kopii zapasowych. Sprawdzamy, czy opisane zabezpieczenia działają w systemach, i wskazujemy braki wymagające uzupełnienia.
Ustalenia techniczne do zgłoszeń i wyjaśnień
Sprawdzamy systemy przechowujące dane osobowe: aplikacje, bazy danych, serwery, chmurę i kopie zapasowe. Każde ustalenie wiążemy z dostępnymi logami, konfiguracją lub wynikiem testu. W dokumentacji wskazujemy również braki w danych i ograniczenia analizy.
Ustalamy, gdzie są dane i kto ma do nich dostęp
Przeglądamy bazy danych, pliki, logi i środowiska testowe. Sprawdzamy konta pracowników, administratorów i dostawców. Wskazujemy niepotrzebne uprawnienia i miejsca, w których dane są dostępne zbyt szeroko.
Dostęp przypisany do osoby
Konfigurujemy konta imienne, uwierzytelnianie wieloskładnikowe i uprawnienia potrzebne do konkretnych zadań. Porządkujemy odbieranie dostępu po zakończeniu współpracy.
Dane w środowiskach testowych
Sprawdzamy, czy kopie baz produkcyjnych i logi ujawniają dane osobowe. Uzgadniamy maskowanie danych oraz ograniczenia eksportu i dostępu.
Wdrażamy zabezpieczenia i sprawdzamy odtwarzanie
Dobieramy szyfrowanie, zasady dostępu i kopie zapasowe do systemów oraz przechowywanych danych. Usuwamy zbędnie udostępnione usługi i aktualizujemy konfigurację. Wyniki prac zapisujemy w dokumentacji.
Kopie z oddzielnym dostępem
Oddzielamy uprawnienia do kopii od kont produkcyjnych. Testujemy odzyskanie plików lub uruchomienie systemu i dokumentujemy wynik.
Przechowywanie i usuwanie
Konfigurujemy czas przechowywania logów i kopii według zasad uzgodnionych z administratorem danych. Sprawdzamy, jak usuwanie danych działa w aplikacji i po odtworzeniu kopii.
Pomagamy odtworzyć przebieg naruszenia
Analizujemy dostępne logi, konta i konfigurację systemów. Ustalamy czas zdarzenia, zaangażowane systemy oraz możliwy zakres dostępu do danych. Oddzielamy potwierdzone ustalenia od tego, czego nie da się ustalić na podstawie dostępnych informacji.
Informacje dla administratora danych
Przygotowujemy opis zdarzenia, wykonanych działań i zaleceń. Materiał może posłużyć administratorowi danych oraz inspektorowi ochrony danych (IOD) przy ocenie naruszenia i przygotowaniu zgłoszenia.
Wsparcie przy kontroli
Pomagamy zebrać informacje o konfiguracji, nadanych uprawnieniach, kopiach zapasowych i testach. Wyjaśniamy działanie zabezpieczeń w uzgodnionym zakresie technicznym.
Materiał do odpowiedzi na pytania UODO
Opisujemy stan systemów w okresie objętym sprawą, źródła ustaleń i wykonane zmiany. Jeżeli historycznych logów lub konfiguracji brakuje, zaznaczamy, których faktów nie możemy potwierdzić.
Działania po incydencie
Uzgadniamy poprawki, ograniczamy zbędny dostęp i sprawdzamy działanie zabezpieczeń po zmianach. Przekazujemy wykaz wykonanych prac oraz listę pozostałych zadań.
Jak pracujemy
Od analizy sprawy do dokumentacji i poprawek
Ustalamy, czy potrzebujecie materiału do odpowiedzi dla UODO, analizy zdarzenia czy przeglądu przed kontrolą. Dostęp do systemów i sposób przekazania informacji uzgadniamy przed rozpoczęciem prac.
- Sprawa i zakres pytań Omawiamy zdarzenie lub pytania urzędu. Ustalamy terminy, systemy objęte analizą i podział zadań między IT, IOD i prawnikiem.
- Zebranie informacji Zabezpieczamy dostępne logi i sprawdzamy konta, konfigurację oraz kopie. Dokumentujemy źródła informacji i zakres, który można potwierdzić.
- Opracowanie materiału technicznego Przekazujemy chronologię zdarzeń, opis zabezpieczeń i odpowiedzi na pytania dotyczące systemów. Omawiamy ustalenia z osobą przygotowującą zgłoszenie lub wyjaśnienia.
- Poprawki i weryfikacja W uzgodnionym zakresie wdrażamy zmiany i testujemy ich działanie. Dokumentujemy stan po pracach oraz zadania wymagające dalszej obsługi.
Co otrzymujecie po pracach
Zakres materiałów zależy od sprawdzanych systemów i uzgodnionych zadań.
- Opis systemów i miejsc przechowywania danych objętych sprawą.
- Materiał techniczny do odpowiedzi na pytania UODO lub przygotowania zgłoszenia.
- Przy analizie naruszenia: chronologię zdarzenia i możliwy zakres dostępu do danych.
- Wykaz źródeł ustaleń oraz ograniczeń wynikających z brakujących logów lub dokumentacji.
- Listę zaleceń z priorytetami oraz opis wdrożonych zmian i wyników testów.
Odpowiadamy za uzgodnione prace techniczne. Ocenę prawną, podstawy przetwarzania i decyzje dotyczące zgłoszeń ustala administrator danych przy wsparciu IOD lub prawnika.
Pytania o wsparcie w sprawach UODO
Dostaliśmy pismo z UODO. Od czego zacząć?
Sprawdźcie zakres pytań i termin odpowiedzi wskazany w piśmie. Wyznaczcie osobę koordynującą sprawę i zbierzcie istniejącą dokumentację. Pomagamy ustalić, jakie informacje techniczne są potrzebne i gdzie można je znaleźć. Sposób bezpiecznego przekazania pisma oraz dostępów uzgadniamy przed analizą.
Czy pomożecie, jeśli serwery utrzymuje inny dostawca?
Tak, po uzgodnieniu zakresu i uzyskaniu niezbędnych upoważnień możemy współpracować z Waszym hostingiem, administratorem lub zespołem aplikacyjnym. Wynik analizy zależy od dostępności logów, konfiguracji i informacji przekazanych przez dostawcę.
Czy po wdrożeniu zabezpieczeń firma jest zgodna z RODO?
Sama konfiguracja IT nie przesądza o zgodności z RODO. Nasza praca dotyczy zabezpieczeń i informacji technicznych. Organizacja musi również zadbać o zasady przetwarzania, obowiązki informacyjne i pozostałe wymagania dotyczące ochrony danych.
Kto decyduje o zgłoszeniu naruszenia do UODO?
Administrator danych ocenia ryzyko i podejmuje decyzję o zgłoszeniu. Pomagamy zebrać fakty techniczne. Jeżeli działamy jako podmiot przetwarzający, o stwierdzonym naruszeniu informujemy administratora bez zbędnej zwłoki.
Czy każde naruszenie trzeba zgłosić w ciągu 72 godzin?
Zgłoszenie nie jest wymagane, gdy jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób. W pozostałych przypadkach administrator zgłasza je bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. To termin wynikający z RODO, a nie deklarowany czas reakcji naszej usługi.
Czy pełnicie funkcję IOD lub reprezentujecie firmę przed UODO?
Ta usługa obejmuje wsparcie techniczne. Współpracujemy z wyznaczoną przez Was osobą odpowiedzialną za ochronę danych. Pełnienie funkcji IOD, opinie prawne i reprezentacja przed urzędem nie są częścią opisanej oferty.
Więcej o obowiązkach przy naruszeniu: wyjaśnienia UODO oraz art. 32 i 33 RODO .
Kontakt
Potrzebujecie wsparcia w sprawie UODO?
Napiszcie, czy chodzi o pismo z urzędu, kontrolę czy podejrzenie naruszenia. Podajcie termin odpowiedzi i rodzaj systemów objętych sprawą. W pierwszej wiadomości wystarczy krótki opis. Sposób przekazania dokumentów i danych uzgodnimy osobno.
Skontaktuj się