Zarządzanie danymi według RODO

Pozyskiwanie, zarządzanie, przeformowywanie i składowanie danych powinno opierać się na decyzjach, w których uwzględnia się wystąpienie ewentualnego ryzyka. Ryzyko to może być związane ze złymi warunkami przetwarzania informacji, nieodpowiednim usunięciem, utratą, kradzieżą, niekontrolowaną modyfikacją, nieuprawnionym udostępnieniem czy niedostosowanym przechowywaniem.

Środki służące zachowaniu bezpieczeństwa danych

W Rozporządzeniu Ogólnym o Ochronie Danych (RODO), które zacznie obowiązywać 25 maja 2018 roku zostały uwzględnione środki techniczne oraz organizacyjne, mające na celu zapewnienie właściwego stopnia bezpieczeństwa informacji osobowych. Wśród środków organizacyjnych (w określonych okolicznościach obowiązkowych) wyróżnia się ocenę skutków dla ochrony danych, audyty bezpieczeństwa, przeglądy polityk, rejestry zdarzeń i (opcjonalnie) powołanie Data Protection Officera (DPO). Natomiast środkami technicznymi jest m.in. zasada ochrony, która polega na nałożeniu na Administratora Danych obowiązku dokonywania regularnych przeglądów oraz ocen procesów przetwarzania danych, w celu zachowania zgodność ze standardami; procedury podejmowane w momencie incydentu, dzięki którym Administrator będzie mógł sprawniej reagować oraz powiadamiać o sytuacji kryzysowej.

Ponadto Rozporządzenie wprowadza:

• pseudonimizację
• sposoby szyfrowania danych osobowych

Wymienione punkty to narzędzia służące zachowaniu poufności, nienaruszalności, dostępności oraz niepodatności systemów skupionych wokół danych; zdolność do formułowania podstawowych założeń, które (w momencie incydentu) posłużą przywróceniu prawidłowej dostępności do przechowywanych danych. Podstawowym celem dobrania adekwatnych środków technicznych oraz organizacyjnych jest zachowanie bezpieczeństwa danych osobowych o różnym charakterze i stopniu poufności. Warto przeanalizować sposoby na ich implementację oraz koszty ich zastosowania w swojej działalności. Wspomniane środki - aby spełniały swoją ochronną funkcję - powinny być poddawane testom oraz obiektywnej ocenie ze strony działu/partnera zewnętrznego zajmującego się bezpieczeństwem.

Ważne jest określenie możliwych scenariuszy utraty danych - ustalenie prawdopodobieństwa i częstotliwości ich wystąpienia, stopnia szkodliwości, a w kolejnym etapie zaplanowanie działań mających na celu niwelację sytuacji kryzysowej. Należy pamiętać, że wchodzące w życie w maju 2018 roku Rozporządzenie 680/2016 nie jest zbiorem gotowych do zastosowania rozwiązań. Nie generuje ono jednoznacznych metod pozbycia się problemów jakie mogą pojawić się w ramach ochrony danych osobowych, a pozwala dostosować wymogi Rozporządzenia do skali i ważności wspomnianych danych.

Postępowanie w sytuacjach naruszenia danych

W momencie wykrycia i stwierdzenia nieprawidłowości w systemach zarządzających danymi, Administrator danych osobowych, Generalny Administrator Ochrony czy inna osoba powołana na podobne stanowisko jest zobligowana do zgłoszenia niepokojącej sytuacji właściwemu organowi nadzorczemu w ciągu 72 godzin. Takie zgłoszenie powinno przede wszystkim opisywać charakter naruszenia, czyli wskazywać na obszar, którego dotyczy; określać typ przechwyconych/utraconych informacji, ich wagi, a także ilość osób z nimi powiązanych. Dodatkowo należy zamieścić wszelkie konsekwencje zjawiska (materialne i niematerialne) zarówno dla podmiotu zarządzającego danymi, jak i dla osoby, która je udostępniła.

Administrator Ochrony Danych powinien zastosować (przygotowaną wcześniej) strategię kryzysową, uwzględniającą środki zaradcze, a następnie rozpocząć w jej ramach odpowiednie czynności minimalizujące negatywne skutki powstałego zakłócenia. Bardzo ważne jest, aby w kryzysowych sytuacjach dokumentować podejmowane kroki. Nie tylko po to, aby organ nadzorczy mógł je zweryfikować, ale także, aby przyszła osoba na stanowisku Administratora mogła się nią posługiwać. W dokumentacji powinno się także wziąć pod uwagę, czy naruszone dane osobowe były w jakiś sposób zabezpieczone przed różnymi rodzajami nadużyć. Jeżeli tak, Administrator Ochrony Danych musi zbadać przyczynę nieskuteczności środków ochrony i po ich dokładnej analizie wprowadzić udoskonalenia.

Obowiązek zawiadamiania dotkniętego otoczenia o incydencie

Mogą zdarzyć się sytuacje, w których wyciek danych stwarza szczególne niebezpieczeństwo oraz naraża osobę na nieodwracalne szkody. Wówczas do obowiązków Administratora należy jak najszybsze zawiadomienie poszkodowanego i - unikając języka specjalistycznego - objaśnienie mu, na czym polegało zakłócenie. Powinien on także przedstawić rozwiązania dla sytuacji, a także nieustannie informować o dokonanych krokach naprawczych. Osoba poszkodowana musi mieć zapewniony komfort psychiczny, ponieważ jej zaufanie zostało nadwyrężone.

Reasumując:

Zadania podejmowane w momencie wystąpienia zakłócenia różnią się od siebie. Wszystko zależy od jakości oraz ilości akcji w ramach nielegalnej ingerencji w systemy zarządzania danymi. Działania naprawcze (niewynikające z przemyślanej strategii bezpieczeństwa) wymagają nagłego poświęcenia zasobów czasowych czy finansowych oraz dokonywania szybkich ustaleń pod presją otoczenia. Wobec tego warto być przygotowanym na ewentualne naruszenia danych, kontrolować posiadane systemy czy środki oraz zaprojektować program przywrócenia poprawnego stanu. Więcej na temat RODO znajdziesz na blogu Lemlocka