Zwracam się z zapytaniem dotyczącym corocznych sprawdzeń (audytów) prowadzonych przez Inspektora Ochrony Danych, zgodnie z zapisami Systemu Zarządzania Bezpieczeństwem Informacji, które wskazują na konieczność ich realizacji. Obecnie, jako IOD, przeprowadzam każdego roku kontrole we wszystkich komórkach organizacyjnych biblioteki (działach i filiach), obejmujące różne aspekty przetwarzania danych osobowych. Moje pytanie dotyczy zasadności takiego podejścia – czy istnieje obowiązek corocznego audytowania wszystkich komórek organizacyjnych, czy też dopuszczalne jest opracowanie rocznego planu kontroli, w którym wybierane są konkretne działy oraz zakres sprawdzenia? Rozważam model, w którym kontrole obejmowałyby wybrane obszary w danym roku, co pozwoliłoby na ich bardziej pogłębioną analizę i dokładniejsze sprawdzenie procesów przetwarzania danych osobowych. Czy istnieją wytyczne lub dobre praktyki wskazujące, że wszystkie obszary przetwarzania danych powinny być kontrolowane każdego roku, czy też dopuszczalne jest podejście rotacyjne, oparte na analizie ryzyka?