Już za 100 dni trzeba będzie chronić dane osobowe nieco inaczej niż dotychczas. Do stosowania nowych europejskich regulacji zawartych w ogólnym rozporządzeniu o ochronie danych (RODO) przygotowujemy się z wyprzedzeniem. Obowiązkowym elementem tych przygotowań jest ocena ryzyka.
DasWortgewand, pixabay.com, CC0 Public Domain
O wchodzącej w życie 25 maja 2018 roku reformie ochrony danych osobowych, wprowadzającej nowe rozwiązania w tej dziedzinie, pisaliśmy już w ubiegłym roku. Koncentrowaliśmy się wtedy na pierwszeństwie jakie uzyskają regulacje unijne – Rozporządzenie Parlamentu Europejskiego i Rady Unii Europejskiej z dnia 27 kwietnia 2016 r. tzw. ogólne rozporządzenie o ochronie danych (w skrócie RODO). Chroniąc dane osobowe będziemy bezpośrednio stosować RODO. Jego uzupełnieniem będzie regulacja krajowa – wcześniej to właśnie polska ustawa regulowała całościowo te zagadnienia.
RODO: Analiza ryzyka zastąpi obligatoryjną listę dokumentów i procedur
Dotychczasowe regulacje nakładały na wszystkich administratorów danych osobowych obowiązek posiadania instrukcji zarządzania systemem informatycznym oraz polityki bezpieczeństwa. W zależności od zakresu działań administratora powstawać mogły jeszcze inne dokumenty, takie jak: ewidencje upoważnień, plan sprawdzeń czy umowy o powierzeniu przetwarzania danych.
W kontekście RODO możemy mówić o dwóch rodzajach analizy ryzyka. Pierwszy rodzaj to ogólna ocena ryzyka przetwarzania danych osobowych. Ta analiza ma charakter obligatoryjny i powinna być sporządzana przez wszystkie podmioty. Wielkość organizacji czy ograniczony zakres jej działania nie mają znaczenia i nie zwalniają z tego obowiązku. Nie jest wymagana żadna szczególna forma, jednak ze względu na zasadę rozliczalności (art. 5 ust. 2 RODO) trzeba wykazać istnienie takiej analizy organowi nadzorczemu. Dlatego warto sporządzić ją (spisać) przynajmniej w wersji elektronicznej.
RODO. Jakie są etapy analizy ryzyka?
RODO nie wskazuje, jaką metodę analizy ryzyka przyjąć. Na rynku funkcjonują uznane standardy dotyczące bezpieczeństwa informacji (np. ISO/IEC 27002 – Praktyczne zasady zabezpieczania informacji), ale wdrożenie ich nie jest równoznaczne ze spełnieniem wymogów RODO.
Wskazówki co do tego, jak ocenę ryzyka przeprowadzić, możemy znaleźć na stronach Urzędu Ochrony Danych Osobowych (Jak rozumieć i stosować podejście oparte na ryzyku? uodo.gov.pl).
Proces podzielono na cztery etapy:
- kontekst dla oceny ryzyka,
- opis i identyfikacja wymagań prawnych i techniczno-organizacyjnych,
- szacowanie i ocena ryzyka,
- postępowanie z ryzkiem.
Jednocześnie wiele organizacji pozarządowych, właśnie w ramach działań statutowych, przetwarza dane wrażliwe swoich członków lub osób, którym świadczy pomoc. Są to na przykład dane o stanie zdrowia, informacje o adopcji, orientacji seksualnej. Pomijając fakt, że przetwarzanie danych wrażliwych wymaga spełnienia określonych warunków, to ryzyko naruszenia praw jednostki w przypadku, gdy dane te wyciekną, jest znacznie większe, niż w przypadku zwykłych danych (jak imię i nazwisko).
Co warto wziąć pod uwagę:
- w ilu lokalizacjach organizacja ma swoją siedzibę?
- czy w każdej lokalizacji organizacja prowadzi działalność związaną z przetwarzaniem danych osobowych?
- ile osób ma dostęp do danych osobowych?
- czy osoby mające dostęp do danych to tylko pracownicy, czy też wolonatiusze lub osoby z zewnątrz?
- dane ilu osób są przetwarzane?
-
czy są to dane o charakterze wrażliwym – jeżeli tak, to jakim?
Można przyjąć, że im więcej danych przetwarzamy i im bardziej są one sensytywne (wrażliwe), tym ryzyko naruszenie prawa jednostki do prywatności jest większe.
OPIS I IDENTYFIKACJA WYMAGAŃ odnosi się do ustalenia m. in.:
- przy pomocy jakich środków dane są przetwarzane (w formie papierowej, na komputerach, w chmurze),
- czy dane są przetwarzane zgodnie z prawem, w tym z adekwatnością celu i proporcjonalnością (czy nie zbieramy za dużo danych bez powodu, np. na zapas),
- czy mamy środki przyczyniające się do zachowania praw osób, których zbierane dane dotyczą.
Warto zwrócić uwagę na to, czy organizacja posiada własną infrastrukturę IT, czy korzysta z usług zewnętrznych (np. danych w chmurze) oraz z ilu i z jakich programów organizacja korzysta w trakcie przetwarzania danych osobowych.
- obniżenie poziomu ryzyka poprzez zastosowanie odpowiednich środków organizacyjnych lub faktycznych (np. szkolenia pracowników),
- unikanie ryzyka (np. poprzez niewdrażanie określonych projektów, które wymagają przetwarzania danych wrażliwych), lub
- przeniesienie ryzyka (np. poprzez zawarcie odpowiednich klauzul w umowach z kontrahentami).
RODO. Co jeszcze wziąć pod uwagę dokonując analizy ryzyka?
RODO. Minimalizowanie ryzyka
Artykuł 32 ust. 1 RODO wskazuje działania i środki, które mogą być wdrożone do minimalizowania ryzyka. Są to:
- pseudonimizacja i szyfrowanie danych osobowych,
- zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,
- zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego,
- regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
Należy pamiętać, że są to przykłady możliwych działań - konkretne rozwiązania zależą od administratora i są wynikiem oceny ryzyka.
RODO wskazuje również przypadki, gdy wywiązywanie się z obowiązku przeprowadzenia analizy ryzyka będzie ograniczone. Ma to miejsce w sytuacji, gdy organizacja stosuje zatwierdzony przez organ nadzorczy kodeks postępowania lub mechanizm certyfikacji. Należy zwrócić uwagę, że konieczne jest, aby takie dokumenty uzyskały formalną akceptację GIODO (a docelowo organu, który po wejściu w życie RODO i nowej polskiej ustawy o ochronie danych zastąpi GIODO), ponieważ bez takiej akceptacji nie dają ochrony przewidzianej przepisami.
Przeprowadzenie analizy opisanej powyżej przesłanek ma prowadzić do wdrożenia środków technicznych i organizacyjnych, aby zapewnić odpowiedni stopień bezpieczeństwa odpowiadający ustalonemu ryzyku. Środki techniczne obejmują rozwiązania o charakterze fizycznym, np. przechowywanie dokumentacji w sejfie lub informatycznym, np. stosowanie odpowiednich programów antywirusowych. Środki organizacyjne to przede wszystkim procedury bezpieczeństwa np. polityka czystego biurka czy obowiązek zmiany haseł dostępu.
Trzeba pamiętać, że po wejściu w życie RODO dotychczasowe dokumenty dotyczące danych osobowych stracą podstawę normatywną, ponieważ zostanie uchylone rozporządzenie ministra, na podstawie którego były tworzone. Nie oznacza to jednak, że stają się bezużyteczne. Jeżeli analiza ryzyka przeprowadzona w organizacji potwierdzi, że opisane w nich sposoby postępowania i zabezpieczenia są wystarczające do ochrony przetwarzanych danych, z powodzeniem można je zaadaptować do wymogów RODO. Będzie to jednak wymagało zaplanowania i wdrożenia procesu oceny własnych działań w zakresie ochrony danych osobowych.
Warto przeczytać:
- Nowa Filozofia w ochronie danych osobowych: Od Oceny Ryzyka Do Spójnej Strategii W Organizacji, opracowała Katarzyna Szymielewicz, Fundacja Panoptykon, 2017
- Jak stosować podejście oparte na ryzyku, część 1 i 2, Generalny Inspektor Ochrony Danych Osobowych, 2017
Jak przestrzegać prawa w NGO, jakie przepisy są ważne dla NGO – dowiesz się w serwisie poradnik.ngo.pl.
Źródło: inf. własna (poradnik.ngo.pl)
Skorzystaj ze Stołecznego Centrum Wspierania Organizacji Pozarządowych
(22) 828 91 23
