ICS CDPP

Description

Posiadacze certyfikatu ICS Certified Data Protection Practitioner wydawanego przez Irish Computer Society posiadają praktyczną wiedzę na temat irlandzkich ram prawnych ochrony danych, ogólnego rozporządzenia o ochronie danych (GDPR), praw osób, których dane dotyczą, oraz obowiązków organizacji przetwarzających dane osobowe.

 

Rozdział 1 egzaminu: Irlandzkie ramy prawne ochrony danych

Sekcja 1 programu: Uzasadnienie ochrony danych i kontekst prawny

• 1.1. Rozumieć cel przepisów dotyczących prywatności i ochrony danych
• 1.2. Wyjaśniać, dlaczego osoby fizyczne wymagają ochrony, gdy ich dane osobowe są gromadzone, wykorzystywane, przechowywane i ujawniane
• 1.3. Rozumieć rozwój przepisów dotyczących ochrony danych w Irlandii i Europie
• 1.4. Rozumieć relację między irlandzkimi przepisami dotyczącymi ochrony danych a prawem Unii Europejskiej
• 1.5. Rozumieć rolę ochrony danych w równoważeniu praw jednostki z uzasadnionymi interesami organizacji i społeczeństwa

Sekcja 2 programu: Ogólne rozporządzenie o ochronie danych (GDPR)

• 2.1. Wyjaśniać status prawny i bezpośrednie stosowanie GDPR
• 2.2. Rozumieć, w jaki sposób GDPR ma zastosowanie na całym Europejskim Obszarze Gospodarczym
• 2.3. Rozróżniać rozporządzenie UE od dyrektywy UE
• 2.4. Rozpoznawać obszary, w których GDPR umożliwia państwom członkowskim wprowadzanie dodatkowych przepisów krajowych
• 2.5. Rozumieć terytorialny zakres stosowania GDPR
• 2.6. Rozpoznawać sytuacje, w których przetwarzanie może pozostawać poza zakresem GDPR, w tym przetwarzanie wyłącznie w celach osobistych lub domowych

Sekcja 3 programu: Kluczowe pojęcia dotyczące ochrony danych

• 3.1. Definiować dane osobowe i rozpoznawać informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
• 3.2. Rozróżniać osobę, której dane dotyczą, administratora, podmiot przetwarzający, odbiorcę i stronę trzecią
• 3.3. Identyfikować szczególne kategorie danych osobowych zgodnie z Artykułem 9 GDPR
• 3.4. Rozumieć odrębne zasady mające zastosowanie do danych osobowych dotyczących wyroków skazujących i naruszeń prawa
• 3.5. Rozróżniać dane zanonimizowane i spseudonimizowane
• 3.6. Rozumieć, kiedy uporządkowane dokumenty papierowe stanowią lub mają stanowić część systemu ewidencji
• 3.7. Rozumieć znaczenie przetwarzania, profilowania i zautomatyzowanego podejmowania decyzji

 

Rozdział 2 egzaminu: Zarządzanie prawami osób, których dane dotyczą

Sekcja 4 programu: Wniosek osoby, której dane dotyczą, o dostęp

• 4.1. Rozpoznawać ważne pisemne i ustne wnioski o dostęp składane przez osoby, których dane dotyczą
• 4.2. Rozumieć, że wnioskodawca nie musi wyraźnie powoływać się na GDPR
• 4.3. Stosować rozsądne i proporcjonalne środki weryfikacji tożsamości
• 4.4. Rozumieć, jakie informacje i dane osobowe należy przekazać w odpowiedzi na wniosek o dostęp
• 4.5. Identyfikować informacje, których co do zasady nie trzeba ujawniać w odpowiedzi na wniosek o dostęp
• 4.6. Stosować miesięczny termin odpowiedzi i rozumieć, kiedy może zostać dopuszczone jego przedłużenie
• 4.7. Rozpoznawać okoliczności, w których dane osobowe mogą zostać tymczasowo wstrzymane do czasu wyjaśnienia kwestii tożsamości lub innego uzasadnionego problemu
• 4.8. Rozumieć prawo osoby fizycznej do złożenia skargi do Data Protection Commission w przypadku niewłaściwej odpowiedzi

Sekcja 5 programu: Zasady i pojęcia ochrony danych

• 5.1. Wyjaśniać zasadę zgodności z prawem, rzetelności i przejrzystości
• 5.2. Rozumieć zasadę ograniczenia celu oraz ograniczenia dotyczące wykorzystywania danych osobowych do celów niezgodnych z pierwotnym celem
• 5.3. Stosować zasadę minimalizacji danych
• 5.4. Wyjaśniać odpowiedzialność administratora za zapewnienie prawidłowości danych osobowych oraz ich aktualizowanie w razie potrzeby
• 5.5. Stosować zasadę ograniczenia przechowywania przy ustalaniu okresów przechowywania
• 5.6. Rozumieć wymagania dotyczące integralności, poufności i bezpieczeństwa
• 5.7. Wyjaśniać zasadę rozliczalności oraz wymóg wykazywania zgodności
• 5.8. Stosować zasady ochrony danych do zapisów elektronicznych i uporządkowanych dokumentów papierowych

Sekcja 6 programu: Podstawy prawne przetwarzania danych

• 6.1. Identyfikować podstawy prawne dostępne zgodnie z Artykułem 6 GDPR
• 6.2. Rozumieć, kiedy przetwarzanie jest niezbędne do wykonania umowy lub podjęcia działań przed jej zawarciem
• 6.3. Wyjaśniać, kiedy przetwarzanie jest wymagane w celu wypełnienia obowiązku prawnego
• 6.4. Rozumieć przetwarzanie prowadzone w interesie publicznym lub w ramach sprawowania władzy publicznej
• 6.5. Stosować test konieczności i test równowagi związane z uzasadnionym interesem
• 6.6. Rozumieć ograniczenia dotyczące powoływania się przez organy publiczne na uzasadniony interes podczas wykonywania zadań publicznych
• 6.7. Identyfikować warunki, które mogą umożliwiać przetwarzanie szczególnych kategorii danych osobowych
• 6.8. Rozpoznawać przetwarzanie niezbędne do wypełniania obowiązków wynikających z prawa pracy, dochodzenia roszczeń prawnych, ochrony żywotnych interesów lub ważnego interesu publicznego

Sekcja 7 programu: Zgoda

• 7.1. Wyjaśniać definicję zgody zgodnie z GDPR
• 7.2. Rozumieć wymagania, zgodnie z którymi zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna
• 7.3. Rozpoznawać konieczność wyraźnego działania potwierdzającego
• 7.4. Rozumieć, dlaczego zgoda może być nieważna w przypadku nierównowagi sił
• 7.5. Wyjaśniać, dlaczego zgoda może być nieodpowiednia w określonych sytuacjach związanych z zatrudnieniem
• 7.6. Rozumieć obowiązek administratora polegający na wykazaniu, że uzyskano ważną zgodę
• 7.7. Wyjaśniać prawo osoby do wycofania zgody równie łatwo, jak została ona udzielona
• 7.8. Odróżniać zgodę od innych podstaw prawnych przetwarzania

Sekcja 8 programu: Prawa osób, których dane dotyczą

• 8.1. Identyfikować główne prawa przysługujące osobom fizycznym na mocy GDPR
• 8.2. Rozumieć prawa do sprostowania, usunięcia i ograniczenia przetwarzania
• 8.3. Wyjaśniać prawo do sprzeciwu wobec przetwarzania, w tym przetwarzania do celów marketingu bezpośredniego
• 8.4. Identyfikować sytuacje, w których ma zastosowanie prawo do przenoszenia danych
• 8.5. Rozumieć warunki mające zastosowanie do decyzji podejmowanych wyłącznie w sposób zautomatyzowany oraz do profilowania
• 8.6. Wyjaśniać prawo do uzyskania istotnych informacji o logice zastosowanej przy podejmowaniu zautomatyzowanej decyzji
• 8.7. Rozpoznawać sytuacje, w których osoba może zażądać interwencji człowieka lub zakwestionować zautomatyzowaną decyzję
• 8.8. Rozumieć prawo do dochodzenia odszkodowania za szkody materialne lub niematerialne

 

Rozdział 3 egzaminu: Rozliczalność w zakresie ochrony danych

Sekcja 9 programu: Przejrzystość w zakresie ochrony danych

• 9.1. Wyjaśniać cel informacji o prywatności
• 9.2. Identyfikować informacje, które należy przekazać, gdy dane osobowe są zbierane bezpośrednio od osoby fizycznej
• 9.3. Rozumieć obowiązki w zakresie przejrzystości mające zastosowanie, gdy dane osobowe są pozyskiwane z innego źródła
• 9.4. Stosować terminy przekazywania informacji wymaganych na mocy Artykułu 14
• 9.5. Rozumieć wymóg przekazania informacji przed pierwszym ujawnieniem danych osobowych pozyskanych pośrednio
• 9.6. Rozpoznawać znaczenie jasnych, dostępnych i sformułowanych prostym językiem informacji o prywatności
• 9.7. Rozumieć, jakie informacje muszą znaleźć się w Rejestrze czynności przetwarzania administratora
• 9.8. Wyjaśniać ramy rozliczalności wynikające z GDPR oraz zniesienie wcześniejszego ogólnego obowiązku zgłaszania przetwarzania

Sekcja 10 programu: Naruszenia ochrony danych osobowych

• 10.1. Rozpoznawać, kiedy incydent bezpieczeństwa stanowi naruszenie ochrony danych osobowych
• 10.2. Rozróżniać naruszenia poufności, integralności i dostępności
• 10.3. Oceniać, czy naruszenie może skutkować ryzykiem dla praw i wolności osób fizycznych
• 10.4. Rozumieć, kiedy należy powiadomić Data Protection Commission
• 10.5. Stosować wymóg powiadomienia organu nadzorczego bez zbędnej zwłoki oraz, jeśli jest to wykonalne, w ciągu 72 godzin
• 10.6. Rozumieć, kiedy naruszenie należy również zakomunikować osobom, których dotyczy
• 10.7. Wyjaśniać obowiązek administratora dotyczący dokumentowania naruszeń ochrony danych osobowych
• 10.8. Rozumieć obowiązek podmiotu przetwarzającego dotyczący powiadomienia administratora bez zbędnej zwłoki
• 10.9. Stosować obowiązki dotyczące zgłaszania naruszeń w ramach ustaleń pomiędzy współadministratorami

Sekcja 11 programu: Kluczowi uczestnicy i ich role

• 11.1. Rozróżniać obowiązki administratorów i podmiotów przetwarzających
• 11.2. Rozumieć, w jaki sposób współadministratorzy określają swoje odpowiednie obowiązki za pomocą przejrzystych uzgodnień
• 11.3. Wyjaśniać wymóg, zgodnie z którym administratorzy powinni wybierać podmioty przetwarzające zapewniające wystarczające gwarancje
• 11.4. Rozumieć cel i obowiązkową treść Umowy powierzenia przetwarzania danych
• 11.5. Rozpoznawać obowiązki podmiotu przetwarzającego dotyczące poufności, bezpieczeństwa i udzielania pomocy
• 11.6. Wyjaśniać rolę, niezależność i ustawowe zadania inspektora ochrony danych
• 11.7. Identyfikować sytuacje, w których administrator lub podmiot przetwarzający musi wyznaczyć inspektora ochrony danych
• 11.8. Rozumieć wymagania mające zastosowanie, gdy organizacja dobrowolnie wyznacza formalnego DPO
• 11.9. Odróżniać doradczą i monitorującą rolę DPO od operacyjnej odpowiedzialności administratora za zgodność

 

Rozdział 4 egzaminu: Nadzór regulacyjny

Sekcja 12 programu: Organ nadzorczy

• 12.1. Rozumieć rolę Data Protection Commission jako organu nadzorczego Irlandii
• 12.2. Identyfikować uprawnienia dochodzeniowe, naprawcze, doradcze i autoryzacyjne organu nadzorczego
• 12.3. Wyjaśniać odpowiedzialność organu nadzorczego za zwiększanie świadomości społecznej i zrozumienia praw oraz ryzyk związanych z ochroną danych
• 12.4. Rozumieć uprawnienie organu nadzorczego do żądania informacji od organizacji
• 12.5. Rozpoznawać uprawnienie organu nadzorczego do wydawania ostrzeżeń, upomnień, ograniczeń przetwarzania i nakładania administracyjnych kar pieniężnych
• 12.6. Odróżniać regulacje dotyczące ochrony danych od obowiązków innych krajowych organów regulacyjnych

Sekcja 13 programu: Obowiązki organizacyjne

• 13.1. Wyjaśniać odpowiedzialność administratora za zgodność z GDPR
• 13.2. Rozumieć wymóg wdrażania odpowiednich środków technicznych i organizacyjnych
• 13.3. Stosować ochronę danych w fazie projektowania oraz domyślną ochronę danych
• 13.4. Opracowywać i stosować odpowiednie okresy przechowywania danych
• 13.5. Rozumieć znaczenie udokumentowanych polityk, procedur i rejestrów
• 13.6. Wyjaśniać wymóg prowadzenia Rejestrów czynności przetwarzania, gdy ma to zastosowanie
• 13.7. Rozumieć potrzebę odpowiedniej weryfikacji podmiotów przetwarzających i nadzoru umownego
• 13.8. Stosować wymagania dotyczące poufności i kontroli dostępu wobec pracowników i innych upoważnionych osób
• 13.9. Rozumieć obowiązki organizacji dotyczące marketingu bezpośredniego i sprzeciwów osób fizycznych

Sekcja 14 programu: Regulacja i egzekwowanie przepisów

• 14.1. Rozumieć, w jaki sposób GDPR jest egzekwowane przez organy nadzorcze i sądy krajowe
• 14.2. Wyjaśniać prawo osób fizycznych do złożenia skargi do Data Protection Commission
• 14.3. Rozumieć różnicę między egzekwowaniem przepisów przez organy regulacyjne a cywilnymi roszczeniami o odszkodowanie
• 14.4. Rozpoznawać okoliczności, w których mogą zostać nałożone środki naprawcze i administracyjne kary pieniężne
• 14.5. Wyjaśniać czynniki brane pod uwagę przy ustalaniu odpowiedniego poziomu administracyjnej kary pieniężnej
• 14.6. Rozumieć zasady dotyczące przetwarzania do celów dziennikarskich, akademickich, artystycznych lub literackich zgodnie z prawem irlandzkim
• 14.7. Wyjaśniać, kiedy określone przepisy GDPR mogą zostać ograniczone w celu ochrony wolności wypowiedzi i informacji
• 14.8. Rozpoznawać odpowiednie przestępstwa i sankcje nakładane przez sądy na mocy irlandzkich przepisów dotyczących ochrony danych

 

Rozdział 5 egzaminu: Zarządzanie ryzykiem w zakresie ochrony danych

Sekcja 15 programu: Ryzyka

• 15.1. Identyfikować ryzyka wynikające z gromadzenia, wykorzystywania, przechowywania, ujawniania i usuwania danych osobowych
• 15.2. Oceniać prawdopodobieństwo i wagę ryzyk dla praw i wolności osób fizycznych
• 15.3. Rozumieć różnicę między ryzykami dla osób fizycznych a ryzykami handlowymi lub reputacyjnymi dla organizacji
• 15.4. Identyfikować ryzyka związane ze szczególnymi kategoriami danych, danymi finansowymi i innymi informacjami wrażliwymi
• 15.5. Stosować minimalizację danych, kontrolę dostępu, pseudonimizację i szyfrowanie jako środki ograniczania ryzyka
• 15.6. Rozumieć znaczenie poufności, integralności, dostępności i odporności
• 15.7. Wyjaśniać potrzebę szybkiego przywrócenia dostępu do danych osobowych po incydencie fizycznym lub technicznym
• 15.8. Rozumieć znaczenie regularnego testowania i oceniania środków bezpieczeństwa

Sekcja 16 programu: Ocena skutków dla ochrony danych (DPIA)

• 16.1. Wyjaśniać cel Oceny skutków dla ochrony danych
• 16.2. Identyfikować czynności przetwarzania, które mogą powodować wysokie ryzyko dla praw i wolności osób fizycznych
• 16.3. Rozumieć, kiedy należy przeprowadzić DPIA
• 16.4. Wyjaśniać, dlaczego DPIA musi zostać ukończona przed rozpoczęciem odpowiedniego przetwarzania
• 16.5. Identyfikować i oceniać ryzyka podczas projektowania i opracowywania czynności przetwarzania
• 16.6. Rozumieć odpowiedzialność administratora za przeprowadzenie DPIA
• 16.7. Wyjaśniać odpowiedzialność DPO za udzielanie porad na żądanie oraz monitorowanie przeprowadzania DPIA
• 16.8. Rozumieć, kiedy może być wymagana uprzednia konsultacja z Data Protection Commission

Sekcja 17 programu: Naruszenia, kary pieniężne i sankcje

• 17.1. Rozróżniać niższy i wyższy poziom administracyjnych kar pieniężnych przewidzianych przez GDPR
• 17.2. Identyfikować naruszenia, które mogą należeć do każdego poziomu kar
• 17.3. Rozumieć, że maksymalna kara może być określona jako stała kwota lub procent całkowitego rocznego światowego obrotu, w zależności od tego, która wartość jest wyższa
• 17.4. Wyjaśniać, dlaczego administracyjna kara pieniężna musi być skuteczna, proporcjonalna i odstraszająca
• 17.5. Rozumieć potencjalną odpowiedzialność administratorów i podmiotów przetwarzających za naruszenia GDPR
• 17.6. Rozpoznawać sytuacje, w których podmiot przetwarzający może ponosić odpowiedzialność za działania wykraczające poza zgodne z prawem instrukcje administratora lub sprzeczne z nimi
• 17.7. Rozumieć możliwość uzyskania odszkodowania cywilnego za szkody materialne i niematerialne
• 17.8. Rozpoznawać przestępstwa i sankcje ustanowione w irlandzkich przepisach dotyczących ochrony danych

Sekcja 18 programu: Międzynarodowe przekazywanie danych

• 18.1. Rozumieć, kiedy mają zastosowanie zasady GDPR dotyczące międzynarodowego przekazywania danych
• 18.2. Odróżniać przekazywanie danych w ramach EOG od przekazywania danych do państw trzecich lub organizacji międzynarodowych
• 18.3. Wyjaśniać skutki decyzji stwierdzającej odpowiedni stopień ochrony
• 18.4. Rozumieć stosowanie Standardowych Klauzul Umownych oraz innych odpowiednich zabezpieczeń
• 18.5. Rozpoznawać role administratorów i podmiotów przetwarzających w międzynarodowym przekazywaniu danych
• 18.6. Identyfikować ograniczone wyjątki dostępne zgodnie z Artykułem 49 GDPR
• 18.7. Stosować wyjątki związane z umowami, roszczeniami prawnymi, ważnymi względami interesu publicznego i żywotnymi interesami
• 18.8. Rozumieć potrzebę oceny okoliczności i ryzyk związanych z planowanym międzynarodowym przekazaniem danych

 

Rezultaty zawodowe

Specjaliści certyfikowani jako ICS Certified Data Protection Practitioner potrafią:

• Wyjaśniać irlandzkie i europejskie ramy prawne regulujące przetwarzanie danych osobowych
• Rozpoznawać dane osobowe, szczególne kategorie danych osobowych oraz główne role określone w GDPR
• Stosować zasady ochrony danych i identyfikować odpowiednią podstawę prawną przetwarzania
• Odpowiednio reagować na wnioski o dostęp składane przez osoby, których dane dotyczą, oraz inne żądania związane z wykonywaniem ich praw
• Przygotowywać i aktualizować informacje o prywatności, okresy przechowywania, Rejestry czynności przetwarzania oraz Umowy powierzenia przetwarzania danych
• Rozumieć obowiązki administratorów, podmiotów przetwarzających, współadministratorów i inspektorów ochrony danych
• Identyfikować i oceniać naruszenia ochrony danych osobowych oraz stosować odpowiednie wymagania dotyczące powiadamiania
• Wspierać zgodność organizacji poprzez odpowiednie polityki, środki bezpieczeństwa i dokumentację dotyczącą rozliczalności
• Rozpoznawać, kiedy wymagana jest Ocena skutków dla ochrony danych, oraz uczestniczyć w ocenie czynności przetwarzania obarczonych wysokim ryzykiem
• Rozumieć uprawnienia Data Protection Commission oraz możliwe konsekwencje niezgodności
• Identyfikować odpowiednie zabezpieczenia i wyjątki dotyczące międzynarodowego przekazywania danych osobowych
• Stosować irlandzkie wymagania dotyczące ochrony danych w praktycznych sytuacjach związanych z zatrudnieniem, marketingiem bezpośrednim, opieką zdrowotną, rekrutacją i informacjami o klientach

Ogólnie rzecz biorąc, specjalista certyfikowany jako ICS Certified Data Protection Practitioner posiada wiedzę niezbędną do praktycznego wspierania zgodności z GDPR, identyfikowania i zarządzania ryzykami w zakresie ochrony danych, obsługi żądań związanych z prawami osób fizycznych oraz wspierania odpowiedzialnego przetwarzania danych osobowych w organizacji.