Szkolenie RODO - jaką rolę odgrywają szkolenia w prawidłowym funkcjonowaniu systemu ochrony danych osobowych?

Z tego artykułu dowiesz się:

• czy szkolenia w zakresie ochrony danych osobowych są obowiązkowe,
• czy potrzebujesz dowodów z przeprowadzonych szkoleń,
• jak często realizować szkolenia RODO,
• jaki zakres szkolenia RODO wybrać dla swojej organizacji,
• jaka forma szkoleń dotyczących ochrony danych osobowych jest najbardziej skuteczna.

Czy szkolenia RODO są obowiązkowe?

W myśli art. 24 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO) administrator odpowiedzialny jest za „wdrożenie odpowiednich środków technicznych i organizacyjnych”, aby przetwarzanie odbywało się zgodnie z RODO.

Zatem Rozporządzenie nie narzuca wprost obowiązku przeprowadzania szkoleń dla pracowników, jednak uznaje się, że aby system ochrony danych osobowych funkcjonował we właściwy sposób, powinny one być uznane jako obowiązkowy element działań administratora. Pracownicy są najważniejszym ogniwem w tym systemie, więc ich wiedza i świadomość będzie odgrywała ogromne znaczenie m.in. we właściwym przetwarzaniu danych osobowych, ich zabezpieczaniu czy identyfikowaniu potencjalnych incydentów i naruszeń.

Błąd ludzki stanowi ponad 70% przyczyn wszystkich incydentów bezpieczeństwa informacji, w związku z czym budowanie świadomości pracowników jest niezbędne. Administrator może wdrożyć najbardziej restrykcyjne zabezpieczenia fizyczne i organizacyjne, natomiast jeśli nie zadba o budowanie świadomości swoich pracowników o ochronie danych osobowych, to pozostałe zabezpieczenia nie uchronią go przed niepożądanymi sytuacjami, które mogą wystąpić w organizacji.

SZKOLENIE RODO A KONTROLA UODO

Należy pamiętać także, że świadomość personelu to jedna z podstawowych kwestii, która może być weryfikowana podczas każdej kontroli prowadzonej przez Urząd Ochrony Danych Osobowych. Każdy z nas bowiem może być tzw. świadkiem w czasie kontroli i zostać poproszony o wyśnienie zasad przetwarzania danych w określonym obszarze.

Czy wiesz, kim jest Inspektor ochrony danych osobowych? Jest to osoba odpowiedzialna za nadzór nad przestrzeganiem przepisów ochrony danych osobowych w organizacji. Stanowisko to zastąpiło wcześniejszą pozycję "Administratora bezpieczeństwa informacji". Funkcję inspektora ochrony danych osobowych może pełnić, jak i osoba, zatrudniona w firmie, tak i zewnętrzny ekspert.

INSPEKTOR OCHRONY DANYCH I CZY PROWADZENIE SZKOLEŃ NALEŻY DO FUNKCJI INSPEKTORA OCHRONY DANYCH?

Obowiązku prowadzenia szkoleń można doszukać się także w zadaniach, jakie nakłada Rozporządzenie na inspektora ochrony danych. Zadania te zostały opisane w art. 39 ust. 1 oraz art. 38 ust. 4 RODO.  

Zgodnie z zapisami rozporządzenia należy do nich:

1. informowanie administratora, a w tym jego pracowników o obowiązkach spoczywających na nich na mocy RODO oraz innych przepisów z zakresu ochrony danych osobowych (art. 39 ust. 1 lit. a),
2. monitorowanie przestrzegania RODO oraz innych przepisów z zakresu ochrony danych osobowych, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty (art. 39 ust. 1 lit. b),
3. udzielanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania (art. 39 ust. 1 lit. c),
4. współpraca z organem nadzorczym (art. 39 ust. 1 lit. d),
5. pełnienie funkcji punktu kontaktowego dla organu nadzorczego (art. 39 ust. 1 lit. e),
6. pełnienie roli punktu kontaktowego dla osób, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy niniejszego rozporządzenia (art. 38 ust. 4).

Budowanie świadomości osób pracujących to jedno z elementarnych zadań inspektora ochrony danych. Organizacje, które powołały inspektorów ochrony danych osobowych powinny mieć regularne szkolenia z zakresu przepisów o ochronie danych osobowych. Trzeba jednak pamiętać, że nawet podmioty niezobligowane do powołania inspektora ochrony danych muszą tego typu kursy dla pracowników przeprowadzać, a obowiązek ten spoczywa wówczas na administratorze danych.

CZY SZKOLIĆ W ZAKRESIE OCHRONY DANYCH OSOBOWYCH CAŁY PERSONEL?

Co ważne, szkolenia RODO nie są obowiązkowe dla tych zatrudnionych, którzy nie mają żadnej styczności z danymi osobowymi przetwarzanymi w danej organizacji. Jednak należy przyjąć, że w obecnych czasach większość zatrudnionych będzie przetwarzała dane w ramach realizacji swoich obowiązków.

Czy administrator musi posiadać dowody na przeprowadzenie szkoleń z obszaru ochrony danych osobowych?

Administrator zobowiązany jest do wykazania działań podjętych w związku z prowadzonymi szkoleniami, bowiem ciąży na nim stosowanie zasady "rozliczalności" wynikającej z art. 5 ust. 2 ogólnego rozporządzenia. Zasada to odnosi się do przetwarzania danych osobowych i i mówi o tym, że administrator jest odpowiedzialny za przestrzeganie przepisów RODO i musi być w stanie to wykazać. Jak zatem gromadzić dowody?

LISTY OBECNOŚCI I TESTY

Jedną z możliwości jest dokumentowanie prowadzonych działań np. poprzez prowadzenie list obecności osób uczestniczących w szkoleniu czy posiadanie dowodów w postaci wyników testów ugruntowujących wiedzę pracowników, które są wypełniane przez pracowników po szkoleniu. Tradycyjne listy obecności nadal cieszą się powodzeniem, jednak w ostatnich latach coraz bardziej zyskują na popularności elektroniczne zestawienia i wykazy osób uczestniczących w spotkaniach on-line.

W przypadku kiedy dowodem z przeprowadzonych szkoleń są wyniki testów, administrator może wdrożyć dodatkowe rozwiązanie polegające na dopuszczeniu do pracy wyłącznie pracowników, którzy pozytywnie rozwiązali test, czyli uzyskali wymaganą liczbę punktów. Działanie takie może znacząco wpływać na efektywność szkoleń, bowiem pracownicy przykładają wówczas większą wagę do przyswojenia treści przekazywanych podczas spotkań szkoleniowych.

Akta osobowe pracownika - jakie informacje zawierają i dlaczego są niezbędne dla firmy?

CERTYFIKATY I ZAŚWIADCZENIA

Kolejną formą dokumentowania szkoleń może być zaświadczenie lub certyfikat potwierdzający udział pracownika w odbytym szkoleniu. Kopia certyfikatu może stanowić element akt osobowych pracownika.

DOKUMENTACJA WEWNĘTRZNA

Wdrożona w organizacji procedura organizacji i realizacji szkoleń może również stanowić jeden z elementów rozliczalności. Nie musi to być odrębna instrukcja czy procedura, ale warto zapisy o szkoleniach wprowadzić np. do obowiązującej u administratora danych osobowych Polityki ochrony danych osobowych. Dokument taki może określać częstotliwość organizacji szkoleń, formę dokumentowania, określać grupy szkoleniowe (np. ze względu na specyfikę poszczególnych działów).

Jak często organizować szkolenia?

Nie ma wytycznych, które mówiłyby o częstotliwości prowadzenia szkoleń w zakresie ochrony danych osobowych — poradniki Prezesa Urzędu Ochrony Danych Osobowych czy Ministerstwa Cyfryzacji nie zawierają informacji na ten temat. Natomiast jedno z haseł kampanii informacyjnej przeprowadzonej przez Ministerstwa Cyfryzacji mówiło o tym, że „(…) zaleca się, aby szkolenia dla pracowników z zakresu ochrony danych osobowych odbywały się co najmniej raz w roku”.

Należy przyjąć, że kurs RODO jest konieczny dla uczestników w następujących sytuacjach:

• rozpoczęcie pracy przez nowo zatrudnionego pracownika;
• zmiana przepisów prawnych — dotyczy to nie tylko samego RODO, ale także zmian w przepisach branżowych stanowiących w wielu organizacjach podstawę do przetwarzania danych osobowych;
• zmiana regulacji wewnętrznych w firmie;
• zmiana struktury organizacyjnej firmy;
• postępowanie po incydencie lub naruszeniu;

SZKOLENIE ONBOARDINGOWE

Pierwsze szkolenie powinno być przeprowadzone w procesie onboardingu pracownika tj. w pierwszych dniach zatrudnienia. Jest to absolutne minimum przy dopuszczeniu pracownika do przetwarzania danych osobowych. Szkolenie to powinno być pierwszym, ale oczywiście nie jedynym, w jakim będzie uczestniczył zatrudniony. Kolejne szkolenia powinny być dostosowane do potrzeb danego stanowiska pracy i zakresu zadań, jakie wykonuje pracownik na danych osobowych.

ZMIANY PRZEPISÓW PRAWA LUB REGULACJI WEWNĘTRZNYCH

Ważnym powodem do przeprowadzenia szkolenia jest przyjęcie lub zmiana przepisów prawa, lub wewnętrznych regulacji obowiązujących u administratora danych osobowych. Zwłaszcza gdy aktualizacja obejmuje tę część pracy, za którą jest odpowiedzialny administrator, a w praktyce właściciel biznesowy danego procesu lub, innymi słowy, danej czynności przetwarzania. Jeżeli zmiana dotyczy np. dokumentacji, którą przygotowuje lub wypełnia właściciel biznesowy, warto poświęcić czas na omówienie wymogów względem „produktu końcowego”.

W przypadku szkoleń prowadzonych w związku aktualizacją obowiązujących procedur lub zmienionymi przepisami prawa istotne jest wskazanie uczestnikom ich roli, odpowiedzialności oraz obowiązków. Poza materiałem szkoleniowym w formie prezentacji warto przygotować dla pracowników wyciągi z instrukcji procedur czy znowelizowanych przepisów prawa. Samodzielne wyodrębnienie najważniejszych informacji z danego dokumentu przez pracowników i prawidłowe przypisanie poszczególnych zadań i odpowiedzialności mogłoby przysporzyć problem.  

ISTOTNE ZMIANY W ORGANIZACJI

Istotną przyczyną przeprowadzenia szkolenia z ochrony danych osobowych może być także zmiana struktury organizacji np. wprowadzenie nowych działów, wdrożenie nowych usług, zmiany systemów informatycznych lub wdrożenie nowych funkcjonalności w systemach informatycznych. Tego rodzaju zmiany niosą za sobą konieczność weryfikacji rejestrów czynności i kategorii czynności przetwarzania, przypisania czynności lub umów do właścicieli biznesowych, przeprowadzenie analizy ryzyka. Udział w takim szkoleniu będzie istotny zarówno dla zatrudnionych, jak i dla właścicieli i opiekunów procesów.

SZKOLENIA PO WYSTĄPIENIU INCYDENTÓW I NARUSZEŃ

Konieczność organizacji i przeprowadzenia szkolenia może być konsekwencją zgłoszenia naruszenia do Prezesa UODO, w którym takie działanie wskazano jako środek zaradczy występowaniu kolejnych naruszeń. Takie rodzaje szkoleń są niezwykle ważne dla organizacji, ponieważ z jednej strony są oparte na własnym doświadczeniu organizacji (na zdarzeniu, któremu nie udało się zapobiec), a z drugiej strony mają ograniczyć występowanie podobnych naruszeń w przyszłości.

Istotny jest fakt, iż Prezes UODO w toku postępowania wyjaśniającego może zwrócić się do administratora nie tylko o potwierdzenie uczestnictwa pracowników w szkoleniu, ale także może poprosić o dostarczenie treści materiałów szkoleniowych.

Co ważne, osoby, które prowadzą takiego rodzaju szkolenia, powinny być zaznajomione z rodzajami i specyfiką incydentów ochrony danych osobowych, nie tylko w danej organizacji, ale również w szerokim ujęciu sektorowym. Warto korzystać z doświadczenia innych podmiotów, a więc czerpać informacje z decyzji organów nadzorczych (zarówno polskiego, jak i zagranicznych) oraz wiedzy innych ekspertów (zdobywanej m.in. podczas wymiany doświadczeń w trakcie spotkań stowarzyszeń, konferencji). To naturalne zadanie IOD, ugruntowane w artykule 39 rozporządzenia 2016/679.

Chcesz być na bieżąco z decyzjami organów nadzorczych i wiadomościami dotyczącymi RODO z Polski i świata? Zapisz się na nasz newsletter i otrzymuj co miesiąc dawkę najważniejszych informacji.

SZKOLENIA CYKLICZNE

Niezwykle ważne są też szkolenia cykliczne, planowe, które są prowadzone przez inspektora ochrony danych lub koordynatora ds. ochrony danych. W ramach takich szkoleń mogą być organizowane szkolenia dedykowane dla poszczególnych działów, pracowników, dostosowane do specyfika ich działania oraz wyzwań z jakimi się mierzą w codziennej pracy z danymi osobowymi.

Potrzebujesz przygotowanego szkolenia RODO przez ekspertów? Sprawdź naszą propozycję, która zawiera prezentację szkoleniową, test wiedzy oraz dodatkowe materiały szkoleniowe.

Jaki zakres szkolenia RODO wybrać dla swojej organizacji

Podstawowe szkolenie z zakresu ochrony danych osobowych powinno obejmować następujące zagadnienia:

• przepisy prawa z zakresu ochrony danych osobowych;
• podstawowe definicje (np. dane osobowe, przetwarzanie danych osobowych, administrator, podmiot przetwarzający);
• role poszczególnych osób/stanowisk w systemie ochrony danych;
• podstawy prawne przetwarzania danych;
• szczególne obowiązki pracownika (praktyczne przykłady);
• naruszenia ochrony danych (przykłady, zasady dotyczące zgłaszania);
• konsekwencje nieprzestrzegania zasad i przepisów dotyczących bezpieczeństwa informacji;
• najlepsze praktyki ochrony danych.

Po pięciu latach obowiązywania RODO coraz bardziej popularne stają się np. szkolenia z zakresu analizy ryzyka, z zasady privacy by design i privacy by default, transfer danych poza EOG, a także szkolenia dedykowane dla poszczególnych grup pracowników np. dla działu marketingu, dla HR, biura obsługi klienta, dla IT. Są to tylko przykładowe szkolenia, ale wachlarz zagadnień i obszarów, z których należy pogłębiać wiedzę, jest naprawdę bardzo szeroki.

Warto również sięgać po ofertę szkoleniową dedykowaną poszczególnym obszarom biznesowym i konkretnym zagadnieniom. Program zajęć należy każdorazowo dostosować do odbiorców.

SKUTECZNOŚĆ SZKOLEŃ

Należy mieć jednak na uwadze, iż zwiększenie częstotliwości szkoleń prowadzonych przez IOD nie zmniejszy ilości rejestrowanych incydentów. Szkolenia mają wpływać na rozwój świadomości pracowników dotyczącej między innymi tego, jakie zdarzenia są incydentami z obszaru ochrony danych osobowych oraz jakie konsekwencje mogą spotkać pracowników za brak zgłoszenia incydentu.

Zatem efektem szkoleń nie będzie zmniejszenie liczby incydentów w rejestrze administratora, a wręcz przeciwnie, świadomy personel będzie przekazywał informacje o każdym, nawet niegroźnym incydencie, w związku z czym liczba incydentów w rejestrze będzie przyrastała. Jest to pożądane zjawisko, bowiem w przypadku kontroli pracowników Urzędu Ochrony Danych Osobowych taki rejestr incydentów wewnętrznych będzie potwierdzeniem wysokiej świadomości pracowników, w przeciwieństwie do rejestru, w którym liczba pozycji byłaby równa zeru.

Jaka forma szkoleń jest najbardziej skuteczna?

Formy i metody szkoleniowe powinny zostać dostosowane do organizacji tj. do specyfiki działania administratora, wielkości organizacji, formy zatrudnienia pracowników. Od skutecznego szkolenia oczekuje się przede wszystkim: przyswojenia wiedzy przez pracowników i współpracowników o funkcjonujących w organizacji dokumentach i zasadach bezpieczeństwa, o tym, jak podstępować w codziennej pracy, żeby we właściwy sposób zabezpieczać przetwarzane dane osobowe oraz o tym, jaka odpowiedzialność wynika z przepisów prawa i wdrożonych regulacji wewnętrznych.

Zdecydowanie najbardziej skuteczną formą podnoszenia wiedzy pracowników są szkolenia stacjonarne, podczas których uczestnicy mają możliwość bezpośredniej interakcji z prowadzącym. Szkolenia takie są jednocześnie doskonałą okazją do podzielenia się z prowadzącym spostrzeżeniami z zakresu przetwarzanych danych osobowych i zakomunikowania bieżących wyzwań dano-osobowych, z którymi personel mierzy się w codziennej pracy.

Niemniej skuteczne są szkolenia prowadzone w formie zdalnej. Taka forma szkoleniowa zapewnia możliwość przeszkolenia dużych grup pracowników. Ważnym elementem takich szkoleń jest zapewnienie uczestnikom możliwości zadawania pytań, bowiem jest to forma aktywizacji słuchaczy do czynnego udziału w szkoleniu oraz rozwianiu ich wątpliwości.

Zdecydowanie bardziej efektywne są szkolenia prowadzone w małych grupach. Taka forma podnoszenia świadomości pracowników owocuje większą śmiałością pracowników w analizowaniu poszczególnych działań związanych z przetwarzaniem danych osobowych.

Można również zdecydować się na formę e-learningu, która staje się coraz bardziej popularna.

PODSUMOWANIE

Szkolenia związane z tematyką ochrony danych osobowych są z jednej strony obowiązkiem spoczywającym na administratorach danych, a z drugiej strony są niezwykłą okazją do budowania kultury organizacji. Zdecydowanie warto wykorzystać możliwość uczenia się organizacji na własnym doświadczeniu, skupić się na tym, co najbardziej nas interesuje.

Jeśli zastanawiasz się jakie szkolenie powinieneś zapewnić swojej organizacji — skontaktuj się z nami. Nasz zespół dobierze odpowiedni zakres i formę szkolenia dla Twoich potrzeb.