Inwentaryzację aktywów Organizacji, czyli zidentyfikowanie obszarów, w których odbywają się procesy przetwarzania danych osobowych, w szczególności:

• pomieszczenia w siedzibie Organizacji oraz miejscach prowadzenia działalności, w których przetwarzane są dane osobowe, (dostępy do pomieszczeń, dostęp do budynku, zabezpieczenia pomieszczeń, dostęp do usług telekomunikacyjnych, zasilanie w energię),
• sieci teleinformatycznych (dostęp do sieci, użyte urządzenia pośredniczące),
• sprzętu (serwery, stacje komputerowe, komputery przenośne, telefony służbowe, nośniki danych, drukarki, niszczarki, monitoring),
• oprogramowania (systemy operacyjne, aplikacje wykorzystywane w Organizacji, programy wspomagające, konta użytkowników, komunikatory, poczta służbowa, programy antywirusowe),
• dokumentacji zawierającej dane osobowe (akta osobowe, listy obecności, umowy, kartoteki, skorowidze, inne zbiory ewidencyjne),
• personelu mającego dostęp do danych osobowych (zatrudnieni pracownicy, osoby współpracujące na podstawie umów cywilnoprawnych, podmioty zewnętrzne mające dostęp do przetwarzanych danych osobowych),

Inwentaryzację procesów działania we wszystkich komórkach Organizacji związanych z przetwarzaniem danych osobowych, tj.:

• przepływ danych osobowych wewnątrz i na zewnątrz Organizacji,
• źródła pozyskiwania danych osobowych,
• sposoby i miejsca przetwarzania danych osobowych,
• podstawy prawne przetwarzania danych osobowych,
• procedury organizacyjne systemu ochrony danych,
• stosowane zabezpieczenia w obszarze IT oraz w pomieszczeniach w których przetwarzane są dane osobowe,

Przeprowadzenie audytu zgodności przetwarzania danych osobowych według dotychczas istniejących w Organizacji procedur postępowania w związku z ochroną danych osobowych, w tym dostosowanie obowiązujących w Organizacji regulacji do nowych przepisów oraz stworzenie ewentualnej brakującej dokumentacji, rozwijając funkcjonujący już system ochrony danych osobowych,

Przygotowanie szczegółowego harmonogramu prac wdrożeniowych, określającego zadania oraz terminy wykonania,

Określenie zbiorów danych osobowych przetwarzanych w Organizacji, zgodnie z zasadą minimalizacji, w tym:

• kategorii przetwarzanych danych osobowych, w tym danych szczególnych,
• celu przetwarzania (rekrutacja, zatrudnienie, księgowość, marketing, serwis, archiwizacja, niszczenie dokumentów, monitoring, reklamacje)
• podstawy prawnej przetwarzania (weryfikacja zgód na przetwarzanie danych osobowych, umowy powierzenia przetwarzania, umowy podpowierzenia),
• charakteru czynności przetwarzania (forma papierowa, elektroniczna),
• czasu przez jaki przetwarzane będą dane osobowe,

Analizę ryzyka, czyli ocenę zagrożeń w obszarze przetwarzania danych osobowych, oszacowanie prawdopodobieństwa wystąpienia zagrożenia, jego wpływu na system ochrony danych osobowych oraz określenie działania, polegającego na eliminacji lub minimalizacji skutków wystąpienia sytuacji kryzysowej, w tym:

• określenie poziomu ryzyka do zidentyfikowanych zagrożeń mogących występować w obszarze przetwarzania danych osobowych, w poszczególnych komórkach organizacyjnych Jednostki,
• wskazanie rozwiązań organizacyjnych oraz technicznych niezbędnych z punktu widzenia spełnienia zasad dostępności, poufności oraz integralności systemu danych osobowych, zapewniających odpowiedni stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności osób fizycznych,
• ocenę skutków dla ochrony danych osobowych (DPIA – Data Protection Impact Assessment),
• rekomendacje dotyczące usunięcia zidentyfikowanych luk w zakresie bezpieczeństwa systemu ochrony danych osobowych,

Wdrożenie odpowiednich wymogów formalno - prawnych, w celu spełnienia zasady rozliczalności wskazanej w RODO, tj. opracowanie:

• polityk (bezpieczeństwa informacji, prywatności, ochrony danych osobowych, plików ‘cookies’) ,
• procedur postępowania (w tym procedur zgłaszania kierownictwu incydentu w Organizacji, zgłaszania naruszenia ochrony danych osobowych),
• instrukcji (w tym pracy zdalnej, korzystania z telefonów służbowych),
• rejestru czynności przetwarzania danych osobowych,
• rejestru kategorii czynności przetwarzania danych osobowych,
• treści klauzul informacyjnych oraz klauzul poufności (NDA - non-disclosure agreement),
• treści zgód osób fizycznych na przetwarzanie danych osobowych,
• treści odpowiednich upoważnień dla osób biorących udział w czynnościach przetwarzania danych osobowych,
• odpowiednich umów powierzenia przetwarzania danych osobowych,
• ewidencje (w tym ewidencje upoważnień, umów)

Wskazanie adekwatnych środków technicznych w celu zabezpieczenia przetwarzania danych osobowych wymaganych przez RODO, zarówno w obszarze IT jak i w całej infrastrukturze Organizacji.

Szkolenie personelu oraz kadry kierowniczej w zakresie odpowiedniego stosowania regulacji wynikających z RODO oraz budujące świadomość personelu o występujących ryzykach naruszeń systemu ochrony danych osobowych,