Lista kontrolna

ZABEZPIECZENIA ORGANIZACYJNE

Czy zostały wyznaczone osoby, które mają prawo przetwarzać dane osobowe?

Czy pracownicy przetwarzający dane osobowe otrzymali pisemne upoważnienia?

Czy jest prowadzona ewidencja osób upoważnionych do przetwarzania danych osobowych?

Czy została opracowania Polityka kluczy regulująca zasady dostępu do pomieszczeń, w których przetwarzane są dane osobowe?

Czy osoby postronne pozostają w pomieszczeniach same, bez osób posiadających upoważnienie do przetwarzania danych osobowych (np. klienci, osoby sprzątające)?

Czy dostęp do archiwum (np. akt osobowych pracowników) posiada tylko i wyłącznie jedna, upoważniona osoba?

Fundusz Socjalny – czy został opracowany regulamin, który dopuszcza pobieranie danych osobowych od współmałżonka pracownika?

Czy dane osobowe np. pracowników są przekazywane innym podmiotom telefonicznie (np. bankom)?

Jeżeli jest prowadzony monitoring osób wchodzących do pomieszczeń czy zostały opracowane zasady nadzorowania zapisów (np. kto i kiedy ma dostęp, kto jest odpowiedzialny za kopie).

Czy działania marketingowe (np. mailing) prowadzone są za zgodą osób zainteresowanych?

Czy dane osobowe są przekazywane innym podmiotom niż upoważnione z mocy prawa np. firma informatyczna, biuro rachunkowe itp.?

Czy są zawarte umowy z firmami zajmującymi się serwisami sprzętu lub oprogramowania, czy zwierają klauzule art. 31

Czy dziennik korespondencji wychodzącej i przychodzącej został zarejestrowany w biurze Generalnego Inspektora Ochrony Danych Osobowych (GIODO)?

ZABEZPIECZENIA TECHNICZNE

Czy hasło składa się z co najmniej 8 znaków zawierających małe i duże litery oraz cyfry lub znaki specjalne?

Czy wszyscy użytkownicy zmieniają hasło co 30 dni?

Czy monitory komputerów, na których przetwarzane są dane osobowe ustawione są w sposób uniemożliwiający wgląd osobom postronnym w przetwarzane dane?

Czy zainstalowano wygaszacze ekranów na stanowiskach, na których przetwarzane są dane osobowe.

Jeżeli dane osobowe zapisane są na dysku laptopa czy jest stosowane oprogramowanie szyfrujące?

Czy dostęp do serwera jest ograniczony dla osób postronnych (np. oddzielne pomieszczenie, kraty w oknach itp.)

Czy serwer, na którym znajdują się bazy danych został wyposażony w urządzenie podtrzymujące zasilanie?

Czy zostały uregulowane zasady dostępu zdalnego do danych na serwerze (np. VPN)?

Czy są sporządzane kopie zapasowe danych zawartych na stacjach roboczych?

Czy jest określona procedura likwidacji nośników zawierających dane osobowe (np. płyty CD zawierające kopie baz danych Płatnika)?

Czy zostały określone zasady administrowania danymi w przypadkach awaryjnych np. nieobecności administratora  oraz sposób odnotowywania tego faktu?

Czy użytkownicy stacji roboczych mają możliwość zainstalowania jakiegokolwiek oprogramowania lub wyłączenia np. antywirusa?

Czy są określone procedury na wypadek zidentyfikowania wirusa w komputerze?

Czy jest przeprowadzana okresowo kontrola oprogramowania na stacjach roboczych?