Procedury, które odpowiadają rzeczywistym przepływom danych.
Sama dokumentacja nie wystarczy, jeżeli proces działa inaczej. Materiały w tej sekcji koncentrują się na tym, gdzie dane faktycznie trafiają, kto podejmuje decyzje, jak długo informacje są przechowywane i co dzieje się w razie incydentu.
Praktyczne pytania
Od czego zacząć analizę?
01Jakie dane i w jakim celu są przetwarzane?
02Kto jest administratorem, a kto procesorem?
03Czy dostawcy odpowiadają dokumentacji?
04Czy retencja działa także w systemach i skrzynkach?
Legalny cel nie wystarcza. Monitoring musi być niezbędny, proporcjonalny, opisany w dokumentach zakładowych i zakomunikowany pracownikom przed uruchomieniem.
Po wykryciu naruszenia firma nie powinna czekać na pełny raport techniczny. Trzeba równolegle ograniczyć skutki, zabezpieczyć dowody, ustalić role, ocenić ryzyko i podjąć udokumentowaną decyzję o zgłoszeniu.
Umowa powierzenia jest potrzebna, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu firmy. Sam wzór DPA nie wystarcza: najpierw trzeba prawidłowo ustalić role, a następnie opisać rzeczywisty proces, zabezpieczenia, podwykonawców i zakończenie współpracy.
Sam wniosek o adres do e-Doręczeń nie zamyka wdrożenia. Firma powinna aktywować skrzynkę, wyznaczyć administratora i zapewnić regularny odbiór korespondencji także podczas nieobecności właściciela.
Raportowanie CRA już obowiązuje. Producent potrzebuje działającego procesu kwalifikacji zdarzeń, dostępu do platformy ENISA oraz umów zapewniających informacje w terminie.
Samo zezwolenie zespołowi na używanie AI nie tworzy bezpiecznego procesu. Agencja powinna ustalić dopuszczone narzędzia i dane, zasady weryfikacji wyników, łańcuch praw oraz odpowiedzialność wobec klienta.
Spory między agencją a klientem często dotyczą dostępu do kont, danych i niewykorzystanego budżetu. Zasady przekazania środowiska reklamowego warto ustalić przed pierwszą wpłatą.
Agencja może być podmiotem przetwarzającym, odrębnym administratorem albo uczestnikiem wspólnego przetwarzania. Rola zależy od rzeczywistych decyzji dotyczących danych.