Case studies: sprawy z mojej praktyki.

Wieloletnia obsługa ochrony danych w polskiej jednostce międzynarodowej grupy

Klient

Polska jednostka zagranicznej grupy z sektora ochrony zdrowia.

Wyzwanie

Grupa co roku sprawdza zgodność z RODO przez zewnętrznego audytora. Lokalna organizacja potrzebowała kogoś, kto prowadzi ochronę danych między audytami, odpowiada na ustalenia i rozmawia z grupą jej językiem.

1. Od kilku lat pełnię funkcję zewnętrznego pełnomocnika ds. ochrony danych. Całą obsługę prowadzę po angielsku, w bezpośrednim kontakcie z grupą i jej audytorem.
2. Przeprowadziłem organizację przez pięć cykli audytu grupowego i po każdym domykałem ustalenia.
3. Przebudowałem dokumentację od podstaw: politykę ochrony danych z kompletem procedur, od retencji i naruszeń po DPIA i kontrolę podmiotów przetwarzających.
4. Uporządkowałem transfery danych w grupie i do dostawców spoza EOG, umowy powierzenia i zasady pracy zdalnej.

Bezpieczne wdrożenie asystenta AI w organizacjach regulowanych, w tym na rynku finansowym

Opis łączony: doświadczenia z kilku wdrożeń generatywnej AI.

Klient

Organizacje regulowane, w tym instytucje rynku finansowego działające pod nadzorem organu sektorowego.

Wyzwanie

Organizacja chce włączyć asystenta AI w narzędzia biurowe: pocztę, dokumenty i spotkania. Asystent widzi wszystko, do czego ma dostęp użytkownik, a podmiot nadzorowany odpowiada przed nadzorcą za tajemnicę zawodową, bezpieczeństwo ICT i dane klientów.

1. Przeprowadzam ocenę skutków dla ochrony danych całej platformy biurowej i osobną, pogłębioną DPIA samego asystenta AI, według metodyki organizacji.
2. Oceniam wdrożenie w świetle DORA, NIS2 i przepisów o tajemnicy sektorowej, razem z warunkami korzystania z chmury i łańcuchem podwykonawców dostawcy.
3. Piszę politykę korzystania z AI, model odpowiedzialności za narzędzie i program szkolenia z kompetencji AI dla pracowników.
4. Przygotowuję pakiet warunków uruchomienia: każdy warunek ma przypisany dowód i test, a wynik jest binarny.

Audyt organizacyjno-compliance oparty na wywiadach i księga procedur

Klient

Wielooddziałowa grupa usługowa zatrudniająca kilka tysięcy osób.

Wyzwanie

Procedury istniały częściowo na papierze, a częściowo w głowach kierowników regionów. Zarząd chciał wiedzieć, jak firma działa naprawdę.

1. Przeprowadziłem 51 wywiadów z kierownictwem i pracownikami.
2. Na ich podstawie przygotowałem raport dla zarządu z 15 ustaleniami, każde z ekspozycją, ścieżką naprawczą i planem na 0-180 dni.
3. Opracowałem 9 map procesów w stanie obecnym i przegląd krytyczny z 46 uwagami.
4. Napisałem księgę 75 procedur w 12 obszarach (49 od podstaw, 26 przebudowanych), każdą w tym samym 11-punktowym układzie, z listą 466 pytań do organizacji, z których 95 blokuje wdrożenie.

Wartościowanie stanowisk, zanim jawność wynagrodzeń stanie się obowiązkiem

Klient

Duży pracodawca z sektora usług, kilka tysięcy pracowników.

Wyzwanie

Dyrektywa o jawności wynagrodzeń wymaga, żeby różnice płac między stanowiskami wynikały z obiektywnych kryteriów. Pracodawca chciał mieć to gotowe, zanim przepisy zaczną obowiązywać.

1. Zbudowałem metodę analityczno-punktową: 13 kryteriów, pula 1000 punktów, wycena liczona za każdym razem tak samo, bez uznaniowości.
2. Opracowałem katalog 46 stanowisk, wyceniłem 25 z nich i ułożyłem siatkę 7 grup.
3. Przygotowałem karty stanowisk dla kierowników i test luki płacowej.
4. Przedstawiłem zarządowi metodykę i wyniki.

AI literacy, która zostaje w głowach, a nie w prezentacji

Opis łączony: kilka programów szkoleniowych.

Klient

Zarządy, działy IT i HR oraz zespoły operacyjne w organizacjach, które wdrażają AI.

Wyzwanie

AI Act wymaga, żeby każdy, kto stosuje AI, zapewnił pracownikom odpowiednią wiedzę o tej technologii. Większość szkoleń kończy się wykładem o przepisach, po którym nikt nie wie, co wolno wpisać w okno czatu.

1. Buduję szkolenia pod narzędzia, z których zespół naprawdę korzysta, na przykładach z jego codziennej pracy.
2. Stawiam na ćwiczenia zamiast wykładu: uczestnicy sami sprawdzają, co wolno przekazać AI, rozpoznają ryzykowne polecenia i ćwiczą reakcję na incydent.
3. Prowadzę osobny program dla oddziałów: jak rozpoznać naruszenie ochrony danych i co zrobić w pierwszej godzinie, sprawdzany na realnych scenariuszach.
4. Każdy zespół wychodzi z jednostronicową ściągą, która zostaje na biurku po szkoleniu.

Transfery danych poza EOG w grupach międzynarodowych i przy narzędziach AI

Opis łączony: doświadczenia z kilku projektów.

Klient

Grupy międzynarodowe i organizacje korzystające z chmury oraz narzędzi AI.

Wyzwanie

Dane płyną do spółki matki, do dostawcy chmury i do dostawcy modelu AI. Każdy przepływ potrzebuje podstawy prawnej i oceny, czy prawo kraju odbiorcy jej nie podważa.

1. Zinwentaryzowałem przepływy danych i każdemu przypisałem podstawę: decyzję o odpowiednim stopniu ochrony albo standardowe klauzule umowne.
2. Przygotowałem umowy transferowe i rejestr czynności dla przepływów wewnątrz grupy.
3. Przeprowadziłem ocenę skutków transferu dla dostawców spoza EOG.
4. Przy narzędziach AI przeanalizowałem podwykonawców dostawcy, miejsce przetwarzania danych i zasady powiadamiania o zmianach.