Od listopada powoli będziemy zmieniać RODOmaniaków, budując wiedzę, dzieląc się narzędziami czy pisząc felietony wokół tych dwóch ról. Wokół IOD nie. Nie dlatego, że uznaję, że jest to rola nieistotna w RODO. Tylko dlatego, że po wielu latach funkcjonowania w tym środowisku modelowa rola IOD, wcześniej ABI jest (powinna być?) czysto nadzorcza.
Realizacja, realizacja, jeszcze raz realizacja
RODOmaniacy w nowej odsłonie to już zupełnie inne podejście. Skupiać się będę na tym co powinni realizować:
- Manager / specjalista ochrony danych osobowych, czyli osoba tworząca system, zadania, szkoląca i nadzorująca działania, również rozliczająca ich brak. Stanowisko to nie zawsze jest wyodrębnione w strukturach, zadania są jednak opisane.
- Audytor RODO, czyli osoba oceniająca skuteczność systemu. Nie tylko jego zgodność z RODO, przepisami prawa, czy wymaganiami polityk, procedur i instrukcji. Przede wszystkim oceniająca, czy całość jako system działa i jest skuteczne.
Struktura artykułów
Będzie dość zbliżona do siebie w obu działach. Bazować będę na koncepcji 5 filarów bezpieczeństwa, stanowiących strukturę większości systemów zarządzania bezpieczeństwem, które wdrażam. Są to:
- Dokumentacja – rozumiana jako dokumentacja systemowa. Nie tylko jej zawartość, ale również jej struktura, zawartość, integralność, sposób przygotowania (OSR i nie tylko) i cała masa różnych podpowiedzi, jak powinna być dystrybuowana czy nadzorowana.
- Personel – również przedstawiony w sposób nieoczywisty. Wstępnie – wymagania kwalifikacyjne, kompetencje i doświadczenie. Nie szkolenie z systemu, bo to jest w ostatnim filarze. Nieoczywistością jest np. to, że w artykułach pojawi się szereg wymagań dla osób, które przychodzą do pracy na stanowiska np. w marketingu, mając świetne pomysły. Okazuje się jednak, że wcześniej były wdrażane w środowisku w którym RODO było delikatnie mówiąc traktowane po macoszemu. Okazuje się, że w naszej firmie ów świetny marketingowiec nie będzie mógł “rozwinąć skrzydeł bo RODO”.
- Technika – czyli wszelkie rozwiązania techniczne wspierające ochronę danych osobowych. Nie tylko w obszarze IT i telekomunikacji (ICT), ale również występujące w środowisku fizycznym, nazywane zabezpieczeniami technicznymi.
- Współpraca – rozumiana jako sposoby i metody współpracy między administratorami, z procesorami lub administratorami (zależnie od naszej roli) czy z organem nadzorczym.
- Wiedza i szkolenie – jest niejako podsumowaniem poprzednich filarów. W nim dobieramy formy i metody szkoleń i dostarczenia wiedzy i umiejętności z dokumentacji (informujemy jak system jest zbudowany), wymagań dla personelu (np. do rekrutacji), techniki (jak stosować i jak dobierać, jakie są cele zabezpieczeń), czy współpracy (jak ją widzimy, jak chcemy ułożyć).
Audytor RODO
Aby uznać, że coś jest poprawnie wdrożone audytor musi wiedzieć, jak powinno być wdrożone. Dlatego poza szczegółową wiedzą z zakresu RODO, identyfikacją wymagań, konieczne jest zrozumienie jak konkretne działanie, dokument, opis mają wyglądać.
Świetnym przykładem wskazania źródła nieskuteczności działania, wynikającej z braku wiedzy merytorycznej jest błędnie zrealizowane szkolenie z umiejętności stosowania pola “ukryte do wiadomości”. Większość szkoleń prowadzonych jest w sali szkoleniowej, w formie prezentacji, zamiast zrealizować je przy komputerze, z otwartym outlookiem czy innym klientem pocztowym.
Poza 5 Filarami Bezpieczeństwa treści w Audytorze RODO będą obejmować metody i formy audytu w podziale na fazy:
- Fazę 1 – przygotowanie audytu, analizę dokumentacji i przygotowanie fazy II.
- Fazę 2 audytu – realizację audytu w miejscu, w którym realizowane jest działanie badanej organizacji (z punktu widzenia operacji i czynności).
- Raportowanie – na poziomie zgodności z wymaganiami (np. RODO, politykami i procedurami), sensowności wdrożonego systemu (czyli odpowiedzi na pytanie, czy on będzie działać) oraz organizacji (czy z punktu widzenia biznesu i RODO da się cele pogodzić).
Formaty
Do końca roku testować będę nowe formaty. Nie nowe w ujęciu całości, nowe w RODOmaniakach. Będą to:
- Krótkie, tematyczne wpisy typu “tips & tricks” czyli jak zrobić? Poświęcone jednemu, konkretnemu zagadnieniu.
- Krótkie, 5-6 minutowe formaty video (filmiki).
Z tych, które obecnie są realizowane pozostają
- RODOrozkminki (grupa zamknięta)
- Warsztaty zamknięte – również dla grupy zamkniętej
- Warsztaty i webinary otwarte, choć tutaj też jest pewna różnica. Będą realizowane w dłuższych cyklach, tj. jedno wydarzenie z cyklu na miesiąc. Wcześniejsze, intensywne działania były… zbyt intensywne. 3 spotkania w miesiącu z danego zagadnienia to zdecydowanie zbyt dużo!
Paywall czyli treści płatne
Największą zmianą, która będzie testowana już w listopadzie będzie wprowadzenie płatnych treści. I tutaj rozwiązania:
- Treści merytoryczne będą dostępne 7 dni bezpłatnie, później w dostępach Manager RODO i Audytor RODO
- Treści darmowe – to felietony i newsy.
- Dla osób, które biorą udział w więcej niż 3 wydarzeniach w miesiącu dostęp będzie nadawany bezpłatnie, zależnie od wydarzeń.
