Oprogramowanie RODO do
zarządzania ochroną danych

Ogólne rozporządzenie o ochronie danych (rozporządzenie (UE) 2016/679, ang. GDPR) to prawo ochrony danych Unii Europejskiej. Obowiązuje od 25 maja 2018 r. bezpośrednio we wszystkich państwach członkowskich i określa, na jakich warunkach wolno przetwarzać dane osobowe, jakie prawa mają osoby, których dane dotyczą, i jakie obowiązki spoczywają na administratorach i podmiotach przetwarzających. W Niemczech uzupełnia je federalna ustawa o ochronie danych (BDSG).

System zarządzania ochroną danych (DPMS, ang. Data Protection Management System) to ogół regulacji, procesów, ról i dowodów, dzięki którym organizacja przestrzega RODO i potrafi to wykazać. Obejmuje rejestr czynności przetwarzania, podstawy prawne, środki techniczne i organizacyjne, obsługę wniosków i naruszeń oraz regularny przegląd.

Oprogramowanie RODO odwzorowuje wymagania rozporządzenia jako katalog i wiąże je z tym, czego dotyczą — czynnościami przetwarzania, systemami, kategoriami danych, usługodawcami, osobami. Powtarzalne działania prowadzi się jako sprawy z workflow i terminem, a rejestr, raport DPIA i dokumentacja naruszeń powstają z danych, a nie w arkuszach.

Data Protection Kit to przygotowany zasób startowy oprogramowania DPMS Complaica: typowa struktura organizacyjna, szablon rejestru według art. 30, ocena i raport DPIA oraz katalogi zagrożeń i środków. Ta strona opisuje funkcje i przebieg pracy w oprogramowaniu RODO; zawartość Kitu przedstawia strona o oprogramowaniu DPMS.

Dziesięć typów spraw z własnym workflow: czynność przetwarzania (PA), wniosek osoby, której dane dotyczą (DSR), skarga (CMP), naruszenie ochrony danych osobowych (DPI), ocena progowa DPIA (TA), ocena skutków dla ochrony danych (DPIA), ocena skutków transferu (TIA), zgoda (CR), ocena prawnie uzasadnionego interesu (LIA) i zobowiązanie do poufności (CC). Do tego weryfikacja podmiotu przetwarzającego, incydent bezpieczeństwa i lesson learned.

Według art. 12 ust. 3 RODO bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań; w terminie miesiąca od otrzymania żądania należy poinformować osobę, której dane dotyczą, o przedłużeniu, z podaniem przyczyn opóźnienia. W Complaica każdy wniosek ma swój termin, a pulpit pokazuje, co jest wymagalne.

Według art. 33 ust. 1 RODO administrator bez zbędnej zwłoki — w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia — zgłasza naruszenie ochrony danych osobowych właściwemu organowi nadzorczemu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki. Jeżeli naruszenie może powodować wysokie ryzyko, według art. 34 bez zbędnej zwłoki zawiadamia się także osoby, których dane dotyczą. Według art. 33 ust. 5 dokumentuje się każde naruszenie.

Według art. 35 RODO, gdy przetwarzanie — w szczególności z użyciem nowych technologii — z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Art. 35 ust. 3 wymienia w szczególności systematyczną, kompleksową ocenę czynników osobowych, w tym profilowanie, będącą podstawą decyzji wywołujących skutki prawne, przetwarzanie na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i naruszeń prawa oraz systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie; organy nadzorcze publikują wykazy według art. 35 ust. 4. Czy DPIA jest potrzebna, rozstrzyga w Complaica ocena progowa dla każdej czynności przetwarzania.

Sprawdzenie, czy przekazanie danych osobowych do państwa trzeciego jest dopuszczalne: który instrument z rozdziału V ma zastosowanie — decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne, wiążące reguły korporacyjne —, czy prawo kraju docelowego osłabia ochronę i jakie środki dodatkowe są konieczne. Trybunał Sprawiedliwości UE zażądał tego sprawdzenia w wyroku Schrems II (C-311/18). W Complaica TIA jest typem sprawy z terminem ponownego przeglądu.

Według art. 7 ust. 1 RODO administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę. Według art. 7 ust. 3 zgodę można wycofać w każdej chwili, a wycofanie musi być równie łatwe jak jej wyrażenie. Complaica prowadzi zgody jako sprawy ze statusami Aktywna, Wycofana i Wygasła, powiązane z czynnością przetwarzania, która się na nich opiera.

Sprawdzenie, czy przetwarzanie można oprzeć na prawnie uzasadnionym interesie według art. 6 ust. 1 lit. f RODO: czy istnieje prawnie uzasadniony interes, czy przetwarzanie jest do niego niezbędne i czy nie przeważają interesy lub podstawowe prawa osoby, której dane dotyczą? Wynik jest dokumentowany — w Complaica jako sprawa przypięta do czynności przetwarzania.

Osoby działające z upoważnienia administratora lub podmiotu przetwarzającego i mające dostęp do danych osobowych mogą przetwarzać je wyłącznie na polecenie (art. 29, art. 32 ust. 4); osoby upoważnione do przetwarzania danych u podmiotu przetwarzającego muszą według art. 28 ust. 3 lit. b zobowiązać się do zachowania tajemnicy. Pisemne zobowiązanie do poufności jest zwykłym dowodem spełnienia tych obowiązków. Complaica prowadzi je dla każdej osoby: wysłane, podpisane, wygasłe lub odmówione, z dokumentem i datą.

Koncepcja usuwania danych określa, kiedy i jak usuwa się poszczególne dane osobowe. Rodzaje danych przypisuje się do reguł usuwania — z momentem początkowym i terminem, wyprowadzonymi z celu i z ustawowych obowiązków przechowywania — a jednostki usuwania opisują, w którym systemie i z jaką szczegółowością dane są usuwane. Metodę opisuje norma DIN EN ISO/IEC 27555:2025-09, która we wrześniu 2025 r. zastąpiła DIN 66398. W RODO stoją za tym ograniczenie przechowywania (art. 5 ust. 1 lit. e), prawo do usunięcia danych (art. 17) i terminy usunięcia w rejestrze (art. 30 ust. 1 lit. f).

Według art. 30 RODO każdy administrator i każdy podmiot przetwarzający. Art. 30 ust. 5 wyłącza przedsiębiorców i podmioty zatrudniające mniej niż 250 osób — ale nie wtedy, gdy przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o których mowa w art. 10. W Complaica rejestr powstaje z zatwierdzonych czynności przetwarzania jako raport.

Niemiecka federalna ustawa o ochronie danych korzysta z klauzul otwierających RODO. Między innymi § 38 BDSG nakłada obowiązek wyznaczenia inspektora ochrony danych, jeśli z reguły co najmniej dwadzieścia osób stale zajmuje się zautomatyzowanym przetwarzaniem danych osobowych lub jeśli dokonuje się przetwarzania podlegającego ocenie skutków dla ochrony danych. W Complaica BDSG ocenia się jako osobny katalog wymagań obok RODO.

Tak, jako usługę dodatkową. Nasi eksperci ochrony danych przejmują rolę według art. 37 RODO i § 38 BDSG — jako osoba kontaktowa dla organu nadzorczego, osób, których dane dotyczą, i kierownictwa, z Complaica jako narzędziem pracy. Ponadto doradzamy przy analizie luk, rejestrze, DPIA, powierzeniu przetwarzania i szkoleniach.