Warsztaty Inspektorów Ochrony Danych (IOD) dr hab. Marleny Sakowskiej-Baryły, prof. UŁ

Dzień I – 24 sierpnia (poniedziałek):

Od godz. 14.00 – kwaterowanie uczestników;

16.00-19.00 – zajęcia w 2 blokach po 1,5 godziny zegarowej.

I. Shadow AI – niekontrolowane korzystanie z narzędzi sztucznej inteligencji a zgodność z RODO:
a) shadow AI – czym jest i dlaczego stało się problemem m.in. w obszarze ochrony danych osobowych;
b) skala zjawiska w administracji i sektorze prywatnym i najczęstsze scenariusze użycia;
c) granica między „ułatwieniem pracy” a nieautoryzowanym przetwarzaniem;
d) jak pracownicy faktycznie korzystają z AI – mapowanie ryzyk;
e) shadow AI a RODO – podstawowe problemy prawne i wątpliwa rozliczalność;
f) dane w promptach – kiedy dochodzi do naruszenia ochrony danych;
g) naruszenia ochrony danych wynikające z użycia AI;
h) ujawnienie tajemnicy przedsiębiorstwa i informacji poufnych;
i) transfery danych poza EOG w narzędziach AI;
j) rola IOD w identyfikowaniu Shadow AI;
k) audyt praktyk pracowników, rozpoznawanie „ukrytego” użycia AI;
l) ocena ryzyka i DPIA dla wdrożeń AI;
m) polityki wewnętrzne dotyczące AI;
n) zakazy, ograniczenia i model dopuszczalnego użycia;
o) dobre praktyki dla IOD – jak budować bezpieczne środowisko korzystania z AI.

20.00 – kolacja powitalna.

Dzień II – 25 sierpnia (wtorek):

Do godz. 9.00 – śniadanie;

9.00-16.30 – zajęcia w 4 blokach po 1,5 godziny zegarowej.

II. Powierzenie przetwarzania danych osobowych na tle orzecznictwa Prezesa UODO i sądów administracyjnych:
a) powierzenie przetwarzania danych – istota konstrukcji z art. 28 RODO;
b) funkcje i cele instytucji powierzenia, granice dopuszczalności korzystania z procesora;
c) powierzenie jako element systemu rozliczalności administratora;
d) administrator, procesor czy współadministrator – najtrudniejsze kwalifikacje praktyczne;
e) kryteria odróżniania ról;
f) decyzyjność a samodzielność operacyjna;
g) kto ustala cele, a kto środki przetwarzania;
h) granice wpływu procesora na sposób przetwarzania;
i) znaczenie koncepcji „faktycznego wpływu”;
j) wpływ orzecznictwa unijnego na praktykę krajową;
k) obowiązek weryfikacji procesora – jak badać zdolność procesora do zapewnienia zgodności;
l) środki techniczne i organizacyjne;
m) audyty i prawo inspekcji;
n) dokumentowanie wyboru procesora;
o) umowa powierzenia – elementy obligatoryjne i najczęstsze błędy z perspektywy orzecznictwa;
p) minimalna treść umowy z art. 28 ust. 3 RODO;
q) błędy konstrukcyjne w umowach;
r) powierzenie „pozorne” – kiedy umowa nie odpowiada rzeczywistości;
s) umowa jako fasada niezgodna z modelem współpracy;
t) faktyczna autonomia procesora;
u) ryzyka błędnej kwalifikacji;
v) konsekwencje kontrolne i sankcyjne;
w) podpowierzenie (subprocessing) – granice i obowiązki;
x) odpowiedzialność za subprocesorów;
y) chmura i usługi globalne jako model wielowarstwowy;
z) powierzenie a transfer danych poza EOG.

III. Naruszenia ochrony danych osobowych na tle praktyki i orzecznictwa – zgłoszenie naruszenia a kontrola Prezesa UODO, postępowanie administracyjne i administracyjna kara pieniężna:
a) naruszenie ochrony danych osobowych – granice definicji z art. 4 pkt 12 RODO;
b) typologia naruszeń na podstawie praktyki i orzecznictwa;
c) o czym Prezes UODO dowiaduje się w związku z naruszeniem – wyciągnijmy wnioski na podstawie orzecznictwa;
d) brak ryzyka, ryzyko i wysokie ryzyko – praktyczne różnice;
e) zawiadomienie osób, których dane dotyczą (art. 34 RODO) i odpowiedzialność związana z zaniechaniem zawiadomienia;
f) czy zgłoszenie naruszenia uruchamia kontrolę Prezesa UODO i w jakich przypadkach;
g) kontrola Prezesa UODO po zgłoszeniu naruszenia – przebieg i praktyka;
h) naruszenie u podmiotu przetwarzającego a odpowiedzialność – analiza podstaw administracyjnej kary pieniężnej dla administratora;
i) od zgłoszenia do postępowania administracyjnego na tle orzecznictwa Prezesa UODO;
j) czy można być ukaranym karą pieniężną za brak zgłoszenia naruszenia lub opóźnienie w zgłoszeniu;
k) administracyjne kary pieniężne – jak organ ocenia naruszenia.

13.30-14.30 – obiad;

20.00 – kolacja, atrakcje.

Dzień III – 26 sierpnia (środa):

Do godz. 9.00 – śniadanie;

9.00-12.00 – zajęcia w 2 blokach po 1,5 godziny zegarowej.

IV. Retencja i usuwanie danych osobowych – obowiązki prawne, praktyka organizacyjna i najczęstsze ryzyka:
a) zasada ograniczenia przechowywania – podstawy retencji danych;
b) art. 5 ust. 1 lit. e RODO w praktyce – jak rozumieć „nie dłużej, niż jest to niezbędne”;
c) retencja a usuwanie danych – dwa obowiązki – kiedy dane „powinny być przechowywane”, a kiedy „muszą być usunięte”;
d) orzecznictwo dotyczące usuwania danych osobowych;
e) usunięcie, anonimizacja, archiwizacja, pseudonimizacja;
f) retencja w Rejestrze Czynności Przetwarzania (RCP);
g) retencja a przepisy szczególne;
h) naruszenia wynikające z nadmiernej retencji danych;
i) kontrola retencji – rola IOD;
j) projektowanie i nadzorowanie procesu usuwania danych i budowanie polityki retencji danych osobowych.

V. Dyskusja. Odpowiedzi na pytania uczestników szkolenia.

Do godz. 12.00 – wykwaterowywanie uczestników.