rodo

[iwomik192]

Mam pytanie odnośnie zmian od maja w zakresie ochrony danych osobowych, czy lekarz prowadzący jednocześnie prywatną praktykę lekarską i posiadający kontrakt z NFZ powinien mieć 2 oddzielne polityki? i jaki jest koszt napisania ?

[karolweksler]

To jedna firma czy dwie? Ile jest NIPów?

[iwomik192]

jeden nip

[karolweksler]

W takim razie jedna polityka ochrony danych osobowych. A jeśli chodzi o koszta to popytaj firm, które się tym zajmują, ale uważaj - widziałem jak to teraz (jeszcze przed RODO) potrafi się odbywać - oni mają wzór (który sama też znajdziesz w internecie), wyślą Ci tabelki do uzupełnienia i zainkasują.

[iwomik192]

a jakie są ceny ? bo szef na pewno będzie chciał to komuś zlecić. nie wiem czy są do tego potrzebne zdolności informatyczne czy wystarczy zdrowy rozum:)

[mpi]

Poczytaj trochę artykułów na ten temat dostępnych w internecie, poszukaj gotowych wzorów i na tej podstawie zrób sobie własną politykę. Będzie lipna ale wcale nie gorsza od tej zakupionej za kilka tys zł.

Miałem do czynienia z kilkoma tego typu firmami. W jednej nawet "audyt informatyczny" zrobili i dali mi kilkadziesiąt stron z najczęściej odwiedzanymi stronami, czasem w internecie na poszczególnych końcówkach, zainstalowanych aplikacjach itd... Tylko po co? Dokumentacja wyglądała zawsze tak jak ja wskazywałem - tzn. niezależnie od tego co było, nikt nigdy nic nie zakwestionował - pomimo że zawsze liczyłem na wytknięcie błędów, których ja nie widziałem.
Wskazać wszystkie zbiory danych musisz Ty, strukturę zbiorów Ty musisz opisać, przepływ informacji Ty musisz przedstawic, wskazać użytkowników wraz z uprawnieniami Ty musisz, opisać pomieszczenia w których są przetwarzane dane musisz też Ty - praktycznie wszystko zrobić musisz sama.

I nie wierz, że ktoś przyjedzie i opracuje to z Tobą, bo jeśli się nie znasz to nie opracujecie. Firmy są nastawione na zarabianie a nie na siedzenie u klienta, analizowanie, dopytywanie i myślenie za niego.

Ja w każdym razie nie spotkałem jeszcze firmy, która zrobi to kompleksowo tj. od zrobienia porządnego audytu, zaproponowania zmian organizacyjnych i sprzętowych, wdrożenie ich w życie, przygotowania samodzielnie lub z niewielkim udziałem klienta dokumentacji.

[09061303]

Koszty zależą od regionu i wielu innych czynników. Ostatnio na szkoleniu odnoście RODO prowadzonego przez jedną z firm z stolicy (nie są najtańsi, ale zdają się solidni, bo poruszane kwestie potwierdziły się przy konsultacji z innymi firmami) na moje pytanie za ile, padła odpowiedź, że mniej więcej od 5k zł netto bez szkoleń, ale to też zależy od konkretnej sytuacji. Górna granica - ciężko powiedzieć.
Osobiście uważam, że cena startowa za sensowną (w sensie analizy w danej jednostce) dokumentację RODO powinna być na poziomie 3-4k zł netto. Jak byłby przypadek jednoosobowej firmy (mały gabinet, 1 lekarz), to można by to jeszcze zrabatować. Pozostałe elementy oczywiście nie są w tym uwzględnione (np. późniejsze audyty wewnętrzne, bo w tym temacie nie wystarczy mieć kwita i go rzucić w kąt; na tymże szkoleniu padło stwierdzenie później poparte przez inną firmę, że nie wiadomo jak przebiega będą kontrole, bo nie ma jeszcze urzędu od tego, ale jak po stronie formy będzie widać jakieś działania mające na celu poprawę bezpieczeństwa ochrony danych, to powinno być dobrze).
W przypadku jednostek medycznych trzeba jeszcze pamiętać o rodzaju danych przetwarzanych (dane wrażliwe) i z tego powodu trzeba brać pod uwagę takie coś (ktoś) jak IOD i ewentualne z tego tytułu pojawiające się koszty.
Mam zamiar jako firma zewnętrzna się trochę w tym temacie pobawić i jak na razie mam zamiar do tego podejść jak napisał mpi w ostatnim zdaniu, aczkolwiek zewnętrzna firma nie zrobi za daną firmę wszystkiego.

[PiotrSz]

Tu jeszcze ciekawy artykuł
http://wartowiedziec.pl/serwis-glowny/aktualnosci/44983-giodo-zgody-na-przetwarzanie-danych-osobowych-nie-traca-waznosci

Pozdrawiam

[PiotrSz]

I jeszcze to może być ciekawe.. :-/
https://niebezpiecznik.pl/post/ustawa-o-krajowym-systemie-cyberbezpieczenstwa-jest-w-drodze-i-wzbudza-wiele-uwag/

Pozdrawiam

[dbfr]

mpi pozwolę sobie odnieść się do Twojej wypowiedzi, chociaż ta odpowiedź nie być zbyt miarodajna bo ja się takimi rzeczami zajmuję zawodowo.

Podstawową kwestią dla mnie w rozmowie z klientem jest jedna rzecz - co klient chce osiągnąć, bo nazwanie celu "RODO" za dużo nie mówi. Sam zresztą wspomniałeś o audycie informatycznym, później o zbiorach danych, ich przepływach a to już zahacza o procesy biznesowe w organizacji i dalej o wyartykułowanie rzeczy niezbędnych do opracowania porządnej polityki bezpieczeństwa.

Nie zgodzę się z tym, że nikt "za Ciebie" czy bardziej "z Tobą" nie zrobi wymienionych przez Ciebie rzeczy. Z pewnością to zależy od podejścia firm i pewnie często są one nastawione tak jak mówisz. Ale zapewniam Cię, że są też firmy, które to ogarniają a powiem nawet inaczej. Jeżeli ktoś zatrudnia do czegoś jakąś firmę i ma jasno sprecyzowane wymagania to jest w stanie je zapisać i od tej firmy wyegzekwować. Niestety właśnie najczęstszym problemem jest, że brak jest tych konkretnych wymagań. Dlatego ja w temacie RODO, chmury czy jakimkolwiek innym zanim zacznę rozmawiać z klientem konkretnie spotykam się z nim na dzień, żeby pomóc mu określić potrzeby. W ten sposób, nawet jeżeli później nie współpracujemy to klientowi przynajmniej otwierają się oczy na to co chce zrobić. Jest zatem w stanie skutecznie szukać tego, czego chce na rynku komercyjnym lub samemu wsiąść się za pewne aspekty.

O cenach ciężko dyskutować  bez zakresu.. Bo mogę powiedzieć, że zrobię RODO (cokolwiek to znaczy) za 2 000 a okazuje się, że zupełnie nie tak rozumiem zakres usług. Albo mogę powiedzieć, że 20 000 a wtedy klient powie, ze go nie stać.

[Weronika]

a ktoś tak na chłopski "babski" rozum wyjaśnić czym się rożni rodo od obecnych przepisów. Mamy w firmie politykę bezpieczeństwa, ale nie rozumiem co tak naprawdę trzeba zmienić w niej by dostosować od maja...

[dbfr]

to chłopski czy babski? może to: https://www.immusec.com/wp-content/uploads/2017/07/Infografika-RODO-1-768x2267.png

[mpi]

Podstawową kwestią dla mnie w rozmowie z klientem jest jedna rzecz - co klient chce osiągnąć, bo nazwanie celu "RODO" za dużo nie mówi.

Hmmmmm jak tu napisać, żeby nie wszczynać niepotrzebnej dyskusji i sporu...
Piszesz o celu "RODO" - tylko skąd wziąłeś taki cel? Autorka tego wątku wyraźnie pisze o polityce (wszyscy wiemy że chodzi o dokumentację wynikającą z obecnych przepisów dotyczących ochrony danych osobowych), a że tytuł wątku brzmi "rodo" to nie oznacza że należy uważać iż potrzeba klienta nie została właściwie sprecyzowana.
A nawet jeśli to w mojej ocenie firma profesjonalnie zajmująca się tego typu tematyką ma na tyle doświadczenia i wiedzę, że takiemu klientowi (nie oszukujmy się - po zadanym pytaniu widać że klient nie ma kompletnego pojęcia co należy zrobić - usłyszał jedynie gdzieś na szkoleniu/od znajomego/przeczytał w internecie że jakąś dokumentację trzeba mieć) trzeba zrobić po prostu wszystko - od przygotowania dokumentacji poprzez modernizację sprzętu informatycznego, zmiany organizacyjne skończywszy na szkoleniach pracowników i czasem nawet zaproponowaniu obecnego ABI (w myśl obowiązujących jeszcze przepisów).

Prawda jest taka, że w większości przypadków wiąże się to jedynie z przygotowaniem dokumentacji na zaczerpniętych ze szkoleń/internetu wzorach, która niekoniecznie przedstawia rzeczywistość. Owszem możemy powiedzieć że klient chciał tylko dokumentację ale w mojej ocenie najczęściej klient nie wie co chce a właściwie co potrzebuje gdyż najzwyczajniej się na tym nie zna i jeśli się zajmuję tym zawodowo proponuję klientowi całość. Nie przekona mnie, że klient i tak się upiera tylko przy dokumentacji - prawidłowo poinformowany klient powinien się zgodzić z proponowanym zakresem prac, klient który ma u siebie totalny chaos a i tak upiera się tylko na dokumentację nie jest dla mnie klientem i ja sobie kogoś takiego bym odpuścił, a nie tłumaczył że zrobiłem tylko 30% potrzeb klienta gdyż to była decyzja klienta. Dla mnie osobiście to po prostu ściema.

Nie wiem z czego wynika ten brak kompleksowych usług - czasem spotykam ludzi którzy się zajmują tematyką ODO a posiadają wiedzę w tym zakresie jedynie ze szkoleń, brak im podstawowej wiedzy informatycznej - jak oni mogą zrealizować taką usługę kompleksowo? Ale kiedyś był jakiś dzień w którym stwierdzili - od dziś zajmuję się ODO, pojadę na 2 szkolenia i będę ekspertem.
Innym razem widzę, że ktoś jest nastawiony tylko i wyłącznie na jak największy zysk. Doradzanie klientowi, proponowanie rozwiązań które generują klientowi dodatkowe koszty (np. wymiana starych komputerów z XP, zakup firewalla, zasilacze awaryjne, antywirusy, zakup serwera, wdrożenie AD itd...) powoduje że klient się zniechęci a przecież trzeba zarabiać...

Nie zamierzam twierdzić, że nie ma w całym naszym kraju firm które to robią rzetelnie - ja jednak takiej do tej pory nie spotkałem, co nie oznacza, że Ty to nie robisz w taki sposób jak ja bym sobie wyobrażał.

[dbfr]

no właśnie cel wziąłem z tytułu a to co napisałeś mi to potwierdziło ["wszyscy wiemy że chodzi o dokumentację wynikającą z obecnych przepisów dotyczących ochrony danych osobowych"]. Zresztą jak to nazwiesz nie ma znaczenia, chodzi  to samo.

Nie twierdze, ze robie to tak jak sobie Ty wyobrażasz. Robię to wg. wypracowanych standardów i doświadczenia.

Widzę, że jednak trochę się zgadzamy. Tylko, że klient nie zawsze potrzebuje "całości" [cokolwiek to wg Ciebie oznacza]. Klient w pierwszej kolejności [tym bardziej ktoś niezorientowany w temacie] powinien najpierw usłyszeć co jest potrzebne, żeby odnieść to do swojej rzeczywistości.

W przypadku podejścia "Nie przekona mnie, że klient i tak się upiera tylko przy dokumentacji - prawidłowo poinformowany klient powinien się zgodzić z proponowanym zakresem prac, klient który ma u siebie totalny chaos a i tak upiera się tylko na dokumentację nie jest dla mnie klientem i ja sobie kogoś takiego bym odpuścił, a nie tłumaczył że zrobiłem tylko 30% potrzeb klienta gdyż to była decyzja klienta" miałem na myśli bardziej współpracę z nim. Podejście, że to Ciebie klient nie przekona mnie rozbawiło. To Ty masz przekonać jego. Oczywiście bywa i tak, że firmy "ściemniają", żeby tylko zarobić. Rozumiem złe doświadczenia, bo tak jest w każdej branży.

A braku kompleksowych usług nie ma. Pewnie źle szukasz

[mpi]

Źle mnie zrozumiałeś - nie chodziło mi o to że klient mnie nie przekonuje, chodziło mi to o to że nie przekonuje mnie tekst (nie klienta tylko firmy która zajmuje się tego typu tematami) z jakim czasem się spotykałem brzmiący mniej więcej w takim stylu - "to klient i tak się upiera, że chce tylko dokumentację" w sytuacji jak on potrzebuje u siebie "rewolucji" informatycznej.
Chodzi mi o to, że ja dość często spotykałem się z podejściem - przynajmniej ja to tak odbieram - w stylu: "ile klient jest w stanie wydać pieniędzy" i formułowanie oferty pod tym kątem. Oczywiście w pierwszej kolejność sprzedaż swoich usług, a dopiero z tego co zostanie (jeśli zostanie) proponowane jest to co jest najważniejsze - czyli modernizacja infrastruktury informatycznej. Pytam się więc: co mi po tej dokumentacji jak mam stare komputery z win xp, brak antywirusów, firewalla, zasilaczy awaryjnych, kopii bezpieczeństwa, nieprzeszkoleni pracownicy itd... Tylko żeby spełnić teoretycznie obowiązki wynikające z przepisów?

Prawda jest taka - w jakiejkolwiek dziedzinie nie szukałbyś rzetelności i wiedzy to ciężko jest ją znaleźć - myślę że każdy się zgodzi.
Tak jak wspomniałem - być może to robisz tak jak ja sobie bym wyobrażał - tego nie kwestionuję.
Ja natomiast osobiście nie spotkałem jeszcze nikogo, kogo mógłbym uczciwie polecić. I na tym może poprzestańmy bo bez sensu się spierać