ANALIZA RYZYKA W OCHRONIE DANYCH OSOBOWYCH

ISBN: 978-83-8286-718-3 426 stron format: A5 oprawa: miękka Rok wydania: 2022

Publikacja przedstawia analizę zastosowania konstrukcji prawnej konkretyzacji obowiązków prawnych, opartej na kryterium ryzyka naruszenia praw lub wolności osób fizycznych.

W opracowaniu zostały omówione m.in.:
- przyczyny stosowania norm prawnych opartych na analizie ryzyka,
- sposoby konkretyzacji obowiązków prawnych w prawie powszechnie obowiązującym,
- akt konkretyzacji obowiązku prawnego na podstawie kryterium ryzyka naruszenia praw lub wolności osób fizycznych i jego wykonanie,
- pojęcie "ryzyko" oraz regulacja prawna "ryzyka naruszenia praw lub wolności osób fizycznych",
- metodyka identyfikacji i szacowania ryzyka naruszenia praw lub wolności osób fizycznych,
- postępowanie z ryzykiem naruszenia praw lub wolności osób fizycznych,
- kompetencje Prezesa Urzędu Ochrony Danych Osobowych w zakresie prowadzenia postępowań odnoszących się do ryzyka naruszenia praw lub wolności osób fizycznych, w tym m.in. zasady postępowania przed Prezesem Urzędu Ochrony Danych Osobowych,
- rola sądownictwa administracyjnego w kontekście stosowania modelu regulacji, polegającego na konkretyzacji obowiązków prawnych przez podmioty zobowiązane, za pomocą kryterium ryzyka.

Książka będzie przydatna administratorom, inspektorom ochrony danych, adwokatom i radcom prawnym. Zainteresuje też przedstawicieli nauki.

SPIS TREŚCI

Wykaz skrótów

Wprowadzenie

Rozdział I
Regulowanie obowiązków prawnych w oparciu o kryterium ryzyka
1. Sposoby konkretyzacji obowiązków w prawie
2. Definicja terminu "ryzyko"
3. Zastosowanie konstrukcji konkretyzacji obowiązków prawnych w oparciu o kryterium ryzyka w wybranych aktach prawnych

Rozdział II
Metody badawcze konkretyzacji obowiązków prawnych ustalanych w oparciu o kryterium ryzyka
1. Wprowadzenie
2. Metoda badań naukowych
3. Zastosowanie normatywnej teorii wykładni

Rozdział III
Ryzyko naruszenia praw lub wolności osób fizycznych
1. Regulacja prawna ryzyka w RODO
2. Akt konkretyzacji obowiązku prawnego na podstawie kryterium ryzyka naruszenia praw lub wolności osób fizycznych i jego wykonanie
3. Ujęcie podmiotowe i przedmiotowe ryzyka naruszenia praw lub wolności osób fizycznych
3.1. Ujęcie podmiotowe
3.2. Ujęcie przedmiotowe
3.3. Prawa i wolności osób fizycznych, których dotyczy ryzyko
3.3.1. Źródła regulacji praw i wolności osób fizycznych - uwagi wstępne
3.3.2. Prawa i wolności osób fizycznych określone w RODO
3.3.3. Prawa i wolności osób fizycznych określone w Traktatach
3.3.4. Prawa i wolności osób fizycznych określone w Karcie Praw Podstawowych Unii Europejskiej
3.3.5. Prawa i wolności osób fizycznych określone w EKPCz
3.3.6. Prawa i wolności osób fizycznych określone w Konstytucji RP
3.4. Skutki prawne naruszenia praw lub wolności osób fizycznych

Rozdział IV
Metody identyfikacji i szacowania ryzyka naruszenia praw lub wolności osób fizycznych
1. Znaczenie podejścia procesowego dla identyfikacji i zarządzania ryzykiem naruszenia praw lub wolności osób fizycznych, których dane osobowe są przetwarzane
2. Zastosowanie dokumentacji wewnętrznej do identyfikacji ryzyka
2.1. Uwagi ogólne
2.2. Modele i mapy procesów
2.3. Metodyka analizowania ryzyka
2.3.1. Wyjaśnienie pojęć metodologii, metodyki i metody oceny ryzyka
2.3.2. Wymagania RODO dotyczące metodyki analizowania ryzyka
2.4. Przegląd wybranych metodyk wykorzystywanych do analizy ryzyka związanej z przetwarzaniem danych osobowych
2.4.1. Metodyka proponowana przez polskiego regulatora - GIODO
2.4.2. Metodyki opracowane przez regulatora francuskiego - CNIL
2.4.3. Metodyka zaproponowana przez brytyjski organ nadzorczy - ICO
2.4.4. Metodyka zaproponowana w Podręczniku Inspektora Ochrony Danych
2.4.5. Porównanie metodyk
3. Przegląd wybranych rekomendacji i standardów związanych z podejściem opartym na ryzyku
3.1. Rekomendacje ENISA w sprawie oceny skutków naruszenia danych osobowych
3.2. Norma ISO 31010 - wybrane metody analizowania ryzyka
3.3. Norma ISO 27005. Zarządzanie ryzykiem w bezpieczeństwie informacji
3.4. Norma ISO 29134. Wytyczne dotyczące oceny skutków dla prywatności
4. Iteracje, wykorzystanie audytu do zarządzania przetwarzaniem danych osobowych opartego na ryzyku
5. Ustanawianie kontekstu i szacowanie ryzyka naruszenia praw lub wolności osób fizycznych
5.1. Uwagi ogólne
5.1.1. Analiza prosta w zastosowaniu
5.1.2. Analiza obiektywna i pomocna przy wykazywaniu zgodności
5.2. Ustanawianie kontekstu przetwarzania
5.2.1. Uwagi wprowadzające
5.2.2. Cele analizowania ryzyka
5.2.3. Kryteria identyfikacji ryzyka naruszenia praw lub wolności osób fizycznych, skala ryzyka
5.2.4. Cele przetwarzania danych osobowych i czynności przetwarzania
5.2.5. Kategorie danych, osób, których dane dotyczą, ich prawa i wolności
5.3. Szacowanie ryzyka
5.3.1. Uwagi ogólne
5.3.2. Zagrożenia
5.3.3. Prawdopodobieństwo materializacji
zagrożenia
5.3.3.1. Przegląd metodyk dotyczących szacowania prawdopodobieństwa
5.3.3.2. Wykorzystanie statystyki do oceny prawdopodobieństwa naruszenia praw i wolności
5.3.3.3. Ocena niezawodności człowieka
5.3.3.3.1. Uwagi wprowadzające
5.3.3.3.2. Metoda TESEO
5.3.3.3.3. Metoda HEART (ang. human error assessment and reduction technique)
5.3.3.4. Sposób obliczania prawdopodobieństwa
5.3.4. Następstwa materializacji zagrożenia
5.3.5. Wstępne wyliczenie ryzyka

Rozdział V
Postępowanie z ryzykiem naruszenia praw lub wolności osób fizycznych
1. Uwagi ogólne
2. Analiza i ocena ryzyka
2.1. Wprowadzenie
2.2. Sposób sprowadzenia wyników do oczekiwanej skali ryzyka (współczynnik korekcji)
2.3. Ewaluacja ryzyka
2.4. Zarządzanie niepewnością danych
3. Modyfikowanie ryzyka do poziomu zwykłego
3.1. Uwagi ogólne
3.2. Katalog referencyjny środków i katalog zrealizowanych środków, czyli wyznaczanie poziomu realizacji zabezpieczeń
3.3. Ocena poziomu realizacji zabezpieczeń
3.4. Ocena adekwatności zastosowanych środków, odniesienie się do charakteru, zakresu, kontekstu i celów przetwarzania
3.4.1. Uwagi wprowadzające
3.4.2. Przykładowe obszary oceny adekwatności zabezpieczeń
3.4.2.1. Środki techniczne
3.4.2.2. Środki organizacyjne
3.4.2.3. Bezpieczeństwo osobowe
3.4.2.4. Testowanie, mierzenie i ocenianie skuteczności środków
3.5. Podatność jako parametr odwrotnie proporcjonalny do poziomu realizacji zabezpieczeń
4. Określanie ryzyka szczątkowego
5. Dalsze postępowanie z nieakceptowalnym ryzykiem czynności przetwarzania
5.1. Obniżanie ryzyka na poziomie poszczególnych operacji - ocena skutków przetwarzania
5.2. Unikanie, transferowanie lub dzielenie ryzyka
6. Rejestrowanie, raportowanie i akceptowanie ryzyka naruszenia praw lub wolności osób fizycznych

Rozdział VI
Nadzór administracyjnoprawny wykonania obowiązków prawnych na podstawie kryterium ryzyka naruszenia praw lub wolności osób fizycznych
1. Wprowadzenie
2. Zdolność prawna Prezesa UODO
3. Kompetencja szczególna Prezesa UODO
3.1. Uwagi wstępne
3.2. Kompetencja szczególna związana z udzielaniem, odmową i cofaniem certyfikatów
3.2.1. Rodzaj kompetencji w ramach postępowania administracyjnego i poza tym postępowaniem
3.2.2. Znaczenie analizy ryzyka w postępowaniu w sprawie udzielenia certyfikatu, odmowy udzielenia oraz cofnięcia certyfikatu
3.3. Kompetencja szczególna związana z zatwierdzaniem kodeksu postępowania oraz warunków i trybu akredytacji podmiotu monitorującego jego przestrzeganie
3.3.1. Rodzaj kompetencji w ramach postępowania administracyjnego i poza tym postępowaniem
3.3.2. Znaczenie analizy ryzyka w postępowaniu w sprawie zatwierdzenia kodeksu postępowania oraz warunków i trybu akredytacji podmiotu monitorującego jego przestrzeganie
3.4. Kompetencja szczególna związana z prowadzeniem postępowania w sprawie naruszenia przepisów o ochronie danych osobowych
3.4.1. Rodzaj kompetencji w ramach postępowania administracyjnego
3.4.2. Znaczenie analizy ryzyka w postępowaniu w sprawie naruszenia przepisów o ochronie danych osobowych
3.5. Kompetencja szczególna związana z nakładaniem administracyjnych kar pieniężnych
3.5.1. Zasady nakładania kar pieniężnych
3.5.2. Znaczenie analizy ryzyka w postępowaniu w sprawie nakładania administracyjnych kar pieniężnych
4. Zastosowanie zasad ogólnych postępowania administracyjnego w postępowaniu przed Prezesem UODO
4.1. Uwagi wstępne
4.2. Zastosowanie zasady praworządności działania organu administracji publicznej i dbałości o praworządne działanie stron i uczestników postępowania w postępowaniu przed Prezesem UODO
4.3. Zasada prawdy obiektywnej
4.4. Zasada pogłębiania zaufania do organu władzy publicznej
4.5. Zasada przekonywania
5. Rozstrzyganie sprawy indywidualnej w postępowaniu przed Prezesem UODO
6. Środki odwoławcze od rozstrzygnięć Prezesa UODO
7. Prawomocność i egzekwowalność orzeczeń sądów administracyjnych w sprawach skarg na decyzje i postanowienia Prezesa UODO

Zakończenie

Bibliografia

Wykaz orzecznictwa

Spis tabel

Spis schematów