LISTA KONTROLNA (WERYFIKACYJNA) ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH W CELU ZACHOWANIA BEZPIECZEŃSTWA DANYCH OSOBOWYCH
Lista kontrolna ma na celu weryfikację przez administratora spełnienia obowiązków spoczywających na podmiocie przetwarzającym, wynikających z zawartej umowy, w szczególności weryfikacji stosowania zabezpieczeń stosowanych przez podmiot przetwarzający dla celów ochrony danych osobowych.
Podstawa prawna: art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
Administrator: 			Samodzielny Publiczny Wojewódzki Szpital Chirurgii Urazowej im. dr. Janusza Daaba w Piekarach Śląskich
Podmiot przetwarzający (PP): 	…………………………………………………………………………………………………………………………………………..
Data zawarcia umowy: 		…………………………………………………………………………………………………………………………………………..
Prosimy o wypełnienie Listy kontrolnej (weryfikacyjnej) oraz jej przesłanie do administratora w terminie 2 tygodni od jej otrzymania.
Lp.	OBSZAR	PYTANIE	ODPOWIEDŹ: 
TAK	ODPOWIEDŹ: 
NIE	UWAGI	
1.		WERYFIKACJA OGÓLNA	Czy PP wyznaczył inspektora ochrony danych? 
				
2.		WERYFIKACJA OGÓLNA	Jeśli PP nie wyznaczył inspektora ochrony danych to czy PP monitoruje obowiązek wyznaczenia IOD w organizacji?
Kto wykonuje zadania dotyczące zapewniania przestrzegania przepisów o ochronie danych osobowych w organizacji (w sytuacji braku powołania inspektora ochrony danych)? – proszę podać dane kontaktowe				
3.		WERYFIKACJA OGÓLNA	Czy PP miał przeprowadzoną kontrolę, postępowanie wyjaśniające lub inne działania prowadzone przez Prezesa UODO lub inny organ nadzorczy w związku z przepisami o ochronie danych osobowych?
Jeżeli tak, prosimy o wskazanie co było przedmiotem działań prowadzonych przez Prezesa UODO i jakie są wyniki przeprowadzonych działań? 				
4.		WERYFIKACJA OGÓLNA	Czy PP stosuje się do przyjętych przez organ nadzorczy kodeksów postępowania? Oczywiście o ile taki kodeks występuję w danej branży. 
Brak stosowania kodeksu nie wpływa samoistnie na negatywną ocenę PP. 				
5.		WERYFIKACJA OGÓLNA
	Czy PP objęty jest monitorowaniem przestrzegania kodeksu postępowania przez akredytowany podmiot monitorujący? Oczywiście o ile taki kodeks występuję w danej branży. 
Brak stosowania kodeksu nie wpływa samoistnie na negatywną ocenę PP. 				
6.		WERYFIKACJA OGÓLNA
	Czy PP otrzymał certyfikat zgodności z RODO?  
Brak posiadania certyfikatu nie wpływa samoistnie na negatywną ocenę PP. 				
7.		WERYFIKACJA OGÓLNA	Czy PP posiada certyfikat jakości ISO 27001?  
Brak posiadania certyfikatu nie wpływa samoistnie na negatywną ocenę PP. 				
8.		WERYFIKACJA OGÓLNA	Czy PP prowadzi rejestr kategorii czynności przetwarzania, zawierający wszystkie informacje wskazane w art. 30 ust. 2 RODO?				
9.		WERYFIKACJA OGÓLNA	Czy PP wdraża nowe rozwiązania, w szczególności w zakresie objętym umową z administratorem, zgodnie z zasadą „Privacy by design”?				
10.		WERYFIKACJA OGÓLNA	Czy PP działa zgodnie z zasadą „Privacy by default”?				
11.		ZASOBY/ ZARZĄDZANIE PERSONELEM	Czy PP zapewnia, aby każdy nowozatrudniony pracownik przed podjęciem czynności związanych z przetwarzaniem danych osobowych został odpowiednio przeszkolony w tym zakresie i zapoznany z obowiązującymi przepisami prawa?  				
12.		ZASOBY/ ZARZĄDZANIE PERSONELEM	Czy osoby delegowane do obsługi danych powierzonych przez administratora posiadają nadane upoważnienia do przetwarzania danych?				
13.		ZASOBY/ ZARZĄDZANIE PERSONELEM	Czy osoby upoważnione do przetwarzania danych osobowych zostały zobowiązane do zachowania danych osobowych w tajemnicy?				
14.		WERYFIKACJA PROCEDUR
	Czy PP wprowadził procedury realizacji praw osób, których dane dotyczą, uwzględniające wspieranie administratora w realizacji tych praw (np. prawa do usunięcia danych, ograniczenia przetwarzania?				
15.		WERYFIKACJA PROCEDUR	Czy PP  jest w stanie wykazać przestrzeganie zasad dotyczących przetwarzania osobowych m. in. poprzez przedstawienie obowiązujących w jego organizacji polityk,  procedur i dokumentacji ochrony danych osobowych?				
16.		ZARZĄDZANIE DOSTĘPEM
	Czy każdy pracownik otrzymuje imienny identyfikator do systemów informatycznych?				
17.		ZARZĄDZANIE DOSTĘPEM
	Czy PP zarządza dostępem do systemów oraz programów komputerowych, w którym są przetwarzane dane osobowe, poprzez proces nadawania, przeglądu i odbierania uprawnień oraz stosuje bezpieczne mechanizmy uwierzytelniania?				
18.		ANALIZA RYZYKA
	Czy PP dobrał odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych zgodnie z aktualnie przeprowadzoną analizą ryzyka naruszenia praw lub wolności osób fizycznych?				
19.		ŚRODKI BEZPIECZEŃSTWA	Czy istniejące systemy informatyczne, zapewniają wymuszanie na użytkownikach okresowej zmiany haseł oraz czy istnieje możliwość zmiany hasła w razie zaistniałej potrzeby?				
20.		ŚRODKI BEZPIECZEŃSTWA	Czy PP stosuje politykę tzw. „czystego biurka”?				
21.		ŚRODKI BEZPIECZEŃSTWA	Czy dane osobowe gromadzone w formie papierowej, po godzinach pracy PP, przechowywane są w zamykanych szafach/szafkach/szufladach bez możliwości dostępu do nich osób nieupoważnionych?				
22.		ŚRODKI BEZPIECZEŃSTWA	Czy PP stosuje politykę „czystego ekranu” (np. blokada ekranu w czasie nieużywania lub inny równoważny sposób)?				
23.		ŚRODKI BEZPIECZEŃSTWA	Czy zapewniono oprogramowanie antywirusowe na wszystkich stacjach komputerowych oraz urządzeniach mobilnych?				
24.		ŚRODKI BEZPIECZEŃSTWA	Czy oprogramowanie stosowane i PP posiada licencję i jest na bieżąco aktualizowane?				
25.		ŚRODKI BEZPIECZEŃSTWA	Czy urządzenia mobilne posiadają skonfigurowaną kontrolę dostępu?				
26.		ŚRODKI BEZPIECZEŃSTWA	Czy PP wykorzystuje systemy operacyjne oraz aplikacje posiadające bieżące i aktywne wsparcie ich producentów? (nie wykorzystywane są systemy operacyjne oraz aplikacje nieposiadające bieżącego i aktywnego wsparcia ich producentów np: Windows XP, Vista, 7, 8, 8.1.)				
27.		KOPIA BEZPIECZEŃSTWA	Czy PP przechowuje kopie bezpieczeństwa w bezpiecznej lokalizacji oraz zabezpiecza kopie przed ich nieuprawnionym dostępem?				
28.		KOPIA BEZPIECZEŃSTWA	Czy PP posiada procedury odtwarzania systemu z kopii zapasowych po awarii oraz procedury ich testowania?				
29.		AUDYTY PP	Czy PP prowadzi regularnie audyty dotyczące zasad bezpieczeństwa informacji, w tym danych osobowych, w celu weryfikacji spełniania wymogów polityki ochrony danych lub innej wewnętrznej procedury, w tym ocena skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania?
Prosimy o przekazanie z jaką regularnością takie audyty się odbywają				
30.		BEZPIECZEŃSTWO FIZYCZNE	Czy PP zapewnia nadzór, wykluczający dostęp do danych osobowych, przez osoby niebędące pracownikami PP lub niebędące osobami upoważnionymi do dostępu do danych osobowych (np. personelu firmy sprzątającej, ochrony), a przebywającymi w jego siedzibie?				
31.		ZARZĄDZANIE INCYDENTAMI	Czy PP wdrożył procedurę postępowania w sytuacji naruszenia ochrony danych osobowych, w szczególności przetwarzanych w imieniu administratora, zawierającą m.in. określenie osoby odpowiedzialnej za kontakt i jej wykonywanie?				
32.		PODPOWIERZENIE	Czy PP podpowierza dane innym podmiotom zewnętrznym/podwykonawcom, wyłącznie po poinformowaniu administratora i za zgodą administratora?				
33.		PODPOWIERZENIE	Jeśli PP korzysta z usług podmiotów zewnętrznych/podwykonawców, to czy korzysta tylko z takich którzy zostali wcześniej przez niego sprawdzeni pod kątem zapewnienia odpowiedniego poziomu ochrony danych osobowych?				

Oświadczam, że powyższe dane są zgodne z prawdą i stanem rzeczywistym
…………………………………………… 		    …………………………………………… 
                 data 			    osoba reprezentująca podmiot przetwarzający