Kamil Kozioł: Bezpieczeństwo do przeglądu

Przepisy europejskiego ogólnego rozporządzenia o ochronie danych (RODO) wymagają, aby administratorzy danych poddawali środki techniczne i organizacyjne wdrożone w ramach systemu ochrony danych regularnym testom, pomiarom i ocenom skuteczności. Niestety, wśród przedsiębiorców istnieje duża pokusa, aby wdrożenie RODO potraktować jako projekt jednorazowy.

Środki bezpieczeństwa

Zgodnie z art. 32 RODO, każdy administrator danych osobowych oraz podmiot przetwarzający ma obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający zidentyfikowanym ryzykom. Przy podejmowaniu decyzji o rodzaju tych środków powinien on uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania.

Czytaj więcej:

Administracja

Dostęp do swoich danych nie jest prawem absolutnym

Organ administracji, jak każdy inny administrator danych osobowych, ma obowiązek zapewnienia, żeby komunikacja z osobą, której dane dotyczą, była przejrzysta.

Pro

Dzięki takiemu ujęciu obowiązków administratorów danych każdy przedsiębiorca może samodzielnie określić, jakie środki techniczne i organizacyjne będą odpowiednie do zastosowania w jego organizacji, biorąc pod uwagę wszystkie wymienione czynniki. Oczywiście, środki takie mogą podlegać kontroli prezesa Urzędu Ochrony Danych Osobowych, który może z oceną przedsiębiorcy się nie zgodzić. Niemniej, przepisy RODO wprost wskazują, że nie ma jednego, idealnego zestawu środków technicznych i organizacyjnych, które sprawdzą się w każdej organizacji. Inny zestaw środków konieczny będzie w przychodni lekarskiej czy firmie produkcyjnej, a jeszcze inny w sklepie internetowym oferującym płatność ratalną.

Jednocześnie art. 32 RODO wymienia przykładowe środki techniczne i organizacyjne, które wydają się obowiązkiem każdego przedsiębiorcy. W szczególności mowa tu o art. 32 ust. 1 lit. d) RODO. Ten wskazuje, że administrator i podmiot przetwarzający powinni zapewnić regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych, które mają zapewnić bezpieczeństwo przetwarzania danych osobowych.

Przepis, o którym mowa, ustanawia obowiązek regularnego, zaplanowanego testowania zastosowanych w firmie środków bezpieczeństwa, w tym zabezpieczeń systemów informatycznych. Jest on także wyraźną wskazówką dla przedsiębiorców, że nie można „jednorazowo wdrożyć RODO" i zapomnieć o jego istnieniu – konieczne jest nie tylko uwzględnienie ochrony danych osobowych przy projektowaniu nowych procesów przetwarzania, ale także sprawdzanie tych zabezpieczeń (środków technicznych i organizacyjnych), które już zostały w organizacji wdrożone.

Ważna jest regularność

W kontekście tego przepisu konieczne jest zwrócenie uwagi na „regularność" dokonywania takiego przeglądu środków bezpieczeństwa. W jednej ze swoich decyzji prezes UODO wprost wskazał, że dokonywanie incydentalnego przeglądu stosowanych środków jest niewystarczające i nie spełnia norm wskazanych w powołanym przepisie.

Dlatego z perspektywy przedsiębiorcy konieczne będzie zaplanowanie regularnego przeglądu stosowanych środków oraz dokonanie pomiaru lub oceny ich skuteczności, których częstotliwość dopasowana jest do charakteru, kontekstu, celów przetwarzania i zidentyfikowanego ryzyka przetwarzania. Trudno o wskazanie częstotliwości takich przeglądów, jednak za pewne minimum uznaje się przeprowadzanie sprawdzeń raz w roku. W podmiotach, które przetwarzają większą ilość danych lub wykorzystują specyficzne, nowoczesne technologie, takie sprawdzenia powinny odbywać się częściej.

Jako dobrą praktykę można wskazać także dokonywanie przeglądu stosowanych środków bezpieczeństwa po każdym zarejestrowanym incydencie. W takiej sytuacji przegląd może być ograniczony do środków powiązanych z konkretnym incydentem. Przykładowo, gdy polegał on na zaszyfrowaniu danych administratora za pomocą ransomware, konieczne będzie dokonanie przeglądu zabezpieczeń informatycznych.

Jednocześnie należy podkreślić, że monitorowanie podatności systemów informatycznych wykorzystywanych do przetwarzania danych osobowych, a zwłaszcza ich przetwarzania w chmurze, powinno odbywać się na bieżąco. Do takich celów stworzono rozwiązania, które pozwalają na weryfikację, czy – w świetle dostępnych informacji – system jest odporny na poszczególne podatności.

Rozliczalność też jest istotna

Bardzo ważnym aspektem z punktu widzenia RODO jest również zapewnienie rozliczalności działań administratora lub podmiotu przetwarzającego. Z tego powodu testowanie, ocenianie i mierzenie środków bezpieczeństwa powinno być zaplanowane. Należy również zapewnić zachowanie dokumentacji z przeglądów, gdyż bez tego nie będziemy w stanie wykazać przed organem nadzorczym, że w organizacji środki bezpieczeństwa są monitorowane.