W pierwszej części artykułu zaprezentowane zostały modele certyfikacji IOD i specjalistów w zakresie ochrony danych osobowych, które z mniejszym lub większym sukcesem funkcjonują w innych państwach UE, w tym m.in. w Hiszpanii czy Francji. W drugiej części artykułu, uwaga zostanie natomiast skupiona na projekcie certyfikacji, nad którym pracuje NASK, przy wsparciu Prezesa UODO. Warto zweryfikować, na ile w tym zakresie NASK korzysta z doświadczeń podobnych – zagranicznych – systemów certyfikacji, a na ile próbuje podążać własną ścieżką. Warto również zwrócić uwagę, że sam pomysł stworzenia przez NASK certyfikacji specjalistów z zakresu ochrony danych osobowych spotkał się z różnym odbiorem w branży ochrony danych. Można odnieść wrażenie, że nie wszystkim specjalistom z tej branży pomysł ten przypadł do gustu.
W swoim projekcie NASK proponuje wprowadzenie krajowego systemu certyfikacji, którego celem jest potwierdzanie kompetencji w zakresie ochrony danych osobowych, w tym w kontekście wymogów prawnych, technologii, czy zarządzania ryzykiem. Na ten moment trwają prace nad systemem certyfikacji specjalistów ochrony danych, choć planowane są również prace nad certyfikacją IOD.
Projekt NASK znajduje się jeszcze na wczesnym etapie. Nie wiadomo więc, jakie konkretnie kryteria będą ostatecznie przyjęte. Wiadomo, jednak, że zgodnie z aktualnymi założeniami, jednostką certyfikującą ma być NASK (Ośrodek Standaryzacji i Certyfikacji).
Projekt certyfikacji NASK zakłada, że dla dopuszczenia do egzaminu wymagane ma być wykształcenie wyższe oraz minimum pięć lat doświadczenia zawodowego w obszarze ochrony danych osobowych. Jeżeli kandydat pracował na stanowiskach kierowniczych lub samodzielnych albo wynikających z prowadzenia działalności gospodarczej na własny rachunek, wystarczy co najmniej trzyletnie doświadczenie zawodowe. Natomiast w przypadku kandydatów, którzy ukończyli studia podyplomowe z zakresu zarządzania bezpieczeństwem informacji, ochrony danych osobowych lub innych pokrewnych, to wówczas wystarczające mają być jedynie dwa lata doświadczenia zawodowego.
Projekt certyfikacji NASK przewiduje obligatoryjny egzamin, który ma być przeprowadzany w formie pisemnej (zdalnie lub stacjonarnie) i trwać ma 80 minut. W założeniu, egzamin ma składać się z 30 pytań testowych jednokrotnego wyboru i 7 pytań otwartych, na które odpowiedź będzie udzielana w formie opisowej. Dla pozytywnego wyniku egzaminu potrzebne będzie uzyskanie co najmniej 70% prawidłowych odpowiedzi [1]. Certyfikat ma być ważny przez dwa lata, a dla jego przedłużenia konieczne ma być przedstawienie dowodów na zatrudnienie w obszarze ochrony danych oraz zdanie egzaminu składającego się, tym razem, z 20 pytań testowych. Projekt zakłada również prowadzenie publicznego rejestru certyfikowanych osób.
| Certyfikat NASK | |
| Wymogi dla osób przystępujących | Wykształcenie wyższe i co najmniej 2 lata doświadczenia zawodowego w ochronie danych osobowych.
Alternatywnie: ukończone studia podyplomowe związane z ochroną danych lub bezpieczeństwem informacji i co najmniej rok doświadczenia zawodowego w ochronie danych osobowych. |
| Forma egzaminu | Egzamin w formie pisemnej obejmujący 30 pytań testowych i 7 pytań otwartych. |
| Próg zdawalności | 70% |
| Czas ważności certyfikatu | 2 lata |
| Przedłużenie certyfikatu | Zatrudnienie w obszarze ochrony danych, zdanie egzaminu złożonego z 20 pytań testowych. |
Analizując wstępne założenia projektu NASK można dostrzec szereg podobieństw do modeli certyfikacji funkcjonujących w innych krajach. Pod względem instytucjonalnym najbliższe są mu Hiszpania i Francja. Podobieństw można tu szukać np. w zakresie delegowania certyfikacji do niezależnej jednostki, czy też oparcie certyfikacji o tę samą normę jakości (ISO/IEC 17024). Odmiennym modelem – m.in. ze względu na bezpośrednią rolę organu nadzorczego w procesie certyfikacji – jest natomiast ten, przyjęty na Łotwie.
Warto zwrócić uwagę, że certyfikacja o której mowa, a którą prowadzi co przypominamy NASK przy wsparciu Prezesa UODO (nie odwrotnie) dotyczy specjalistów w zakresie ochrony danych. Wskazuje się jednak, że w przyszłości planowana jest również praca nad certyfikacją IOD, ale to jest przyszłość. Ta ostatnia certyfikacja może budzić jeszcze większe kontrowersje i stanowić wyzwanie dla NASK i UODO, biorąc pod uwagę, że IOD nie tylko musi gwarantować odpowiedni poziom merytoryczny, ale również musi on posiadać odpowiednią pozycję w organizacji oraz mieć zapewnioną pełną niezależność w zakresie wykonywania swoich zadań, jak również musi on posiadać odpowiednie zasoby. Dodatkowo, funkcja IOD jest regulowana wprost w przepisach RODO, inaczej niż w przypadku specjalistów w zakresie ochrony danych osobowych.
Warto również zwrócić uwagę, że certyfikacja NASK wymagać będzie odpowiedniej komunikacji. Posługiwanie się bowiem terminem certyfikacja, może być błędnie odbierane, jako certyfikacja, o której mowa w RODO, a więc mówiąc najprościej, potwierdzaniem zgodności określonych procesów przetwarzania z przepisami RODO. W modelu certyfikacji NASK założenie jest jednak inne. Jednostka certyfikująca będzie jedynie odpowiadać za potwierdzenie, że określona osoba posiada odpowiednią wiedzę i kwalifikację w zakresie ochrony danych osobowych. Certyfikacja ta oderwana będzie natomiast od organizacji, w których osoby te pełnić będą swoje obowiązki.
Podsumowując, wydaje się, że w zakresie projektowania modelu certyfikacji specjalistów w obszarze ochrony danych, NASK korzystał z doświadczeń wypracowanych w innych krajach. Widać to m.in. w takich elementach, jak:
- konkretne określenie minimalnych wymagań, które potrzebne są aby przystąpić do egzaminu;
- praktyczny wymiar egzaminu, obejmującego nie tylko pytania testowe, ale również zadania opisowe;
- określony czas obowiązywania certyfikatu;
- obowiązek ciągłego doskonalenia zawodowego; czy też w
- publiczny rejestr osób certyfikowanych.
Jesteśmy ciekawi, w którą stronę ten projekt będzie rozwijany, jak również czy uda się faktycznie go uruchomić. Wydaje się, że kluczową kwestią, na którą zwraca uwagę również UODO, jest to, że planowany projekt certyfikacji jest ukierunkowany na potwierdzanie kompetencji określonych osób, a nie jest certyfikacją, o której mowa w art. 42 RODO. W tym zakresie, wydaje się, że żadne prace się nie toczą, choć jest to temat na zupełnie inny artykuł.
Przeczytaj także część I artykułu: LINK
Źródła:
- ST3 – Specyfikacja kompetencji, kryteriów i metodyka oceny dla profilu ACE-CRL (osoby zarządzające podmiotami KSC). NASK-PIB DOKUMENT NR: ST3/1.3 URL: https://certyfikacja.nask.pl/downloads/SEK-Cyber/ST3%20Specyfikacja%20kompetencji,%20kryteri%C3%B3w%20i%20metodyka%20oceny%20dla%20profilu%20ACE-CRL_v.%201.3_Klient.pdf