Source: https://odo24.pl/blog-post.rodo-wdrozyles-czy-przypudrowales
Timestamp: 2019-02-20 02:49:19+00:00

Document:
﻿ RODO – wdrożyłeś czy przypudrowałeś? - ODO24.pl
Koniec 2018 roku przyniósł porażające statystyki, zgodnie z którymi aż połowa polskich organizacji przyznaje, że nie poradziła sobie z wdrożeniem RODO w swoich strukturach. Przy tak przytłaczającej liczbie tych, którzy ponieśli porażkę przy implementowaniu nowych przepisów unijnych lub w ogóle nie podjęli działań mających zapewnić im zgodność z Rozporządzeniem, mało kto poświęca uwagę drugiej połowie, która – rzekomo – sprostała temu wyzwaniu i wdrożyła rozwiązania przez RODO ustanowione. Właśnie… wdrożyła czy tylko przypudrowała?
W ramach noworocznego podsumowania skupimy się na błędach i niedociągnięciach administratorów danych, które – choć nie do wyłapania przy przeglądaniu strony internetowej administratora czy jego formularza kontaktowego – mogą mieć dla organizacji o wiele poważniejsze konsekwencje niż źle skonstruowana zgoda na przetwarzanie danych. Obszary, które omówimy poniżej, wyodrębniliśmy w oparciu o dziesiątki audytów przeprowadzonych u podmiotów deklarujących, że RODO zostało w ich organizacjach wdrożone, i w naszej opinii to one sprawiają najwięcej problemów – i to nie tylko samym administratorom danych, ale również „specjalistom”, którzy podejmują się ich dostosowania, ale nie stają na wysokości zadania.
Zgodnie z art. 32 ust. 1 RODO „Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych
o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku”.
Zdaniem naszych ekspertów ds. IT błędnie przeprowadzona analiza ryzyka dla zasobów to niemal nieuniknione ustalenie audytowe, jeśli wdrożenia nie dokonywała specjalistyczna firma z wieloletnim doświadczeniem w dziedzinie ochrony danych osobowych .
O tym, jak ważne może okazać się wsparcie sprawdzonych przez rynek ekspertów pisaliśmy w artykule: "W bezpiecznym kierunku - bieżące wsparcie w zakresie RODO". Takie rozwiązanie zyskuje na popularności, ponieważ stanowi pewien kompromis pomiędzy zachowawczym podejściem do tematu ochrony danych osobowych i niejakim „zabezpieczeniem” przed konsekwencjami niezgodnego z prawem przetwarzania takich danych a zbilansowanym budżetem i możliwością ograniczenia wydatków do minimum, przy jednoczesnym zachowaniu poczucia bezpieczeństwa organizacji.
W ich opinii przyczyny szukać należy przede wszystkim w nieprawidłowym podejściu do analizy ryzyka
i nieskupieniu się na jej najważniejszych elementach – a błędnie wykonana analiza ryzyka najprawdopodobniej doprowadzi do niepoprawnego zidentyfikowania zagrożenia względem danego zasobu, a w konsekwencji do złego dostosowania zabezpieczenia, które po prostu nie będzie pełniło swojej roli.
Prowizoryczne narzędzia do przeprowadzania analizy ryzyka, którymi dysponują firmy zajmujące się ochroną danych „z doskoku”, brak współpracy z właścicielami procesów przy określaniu potencjalnych ryzyk w nim występujących i przez to ich nieuwzględnienie, a w końcu modelowanie analizy ryzyka
w sposób dla administratora wygodny i niewymagający zbyt wielu działań czy nakładów pieniężnych – wszystko to jest normą, nie wyjątkiem od reguły. Szkoda tylko, że tak poważne niedociągnięcia dotyczą obszaru, na którym opiera się cały system ochrony danych osobowych w organizacji – proaktywne podejście pozwala przecież dobierać mające chronić wszystkie dane osobowe przetwarzane w organizacji zabezpieczenia właśnie w oparciu o prawidłowo przeprowadzoną analizę ryzyka.
Analiza ryzka - udostępniamy formularz
Korzystając z zawartego w artykule pliku, krok po kroku dokonasz analizy ryzyka: zidentyfikujesz zabezpieczenia, wskażesz podatności, a także zagrożenia i ich możliwe następstwa. Na tej podstawie, obliczysz poziom ryzyka i odpowiesz, czy ryzyko przekracza próg akceptowalności. Pisaliśmy o tym w artykule: "Analiza ryzyka dla zasobów przetwarzających dane osobowe".
Duża część powyższych obserwacji, w tym przede wszystkim źle opracowane narzędzia i niewłaściwe rozumienie samej idei analizy ryzyka, ma również zastosowanie do oceny skutków dla ochrony danych (DPIA). Z naszej perspektywy jednym z głównych problemów związanych z przeprowadzaniem DPIA jest jej… nieprzeprowadzanie . W tym miejscu warto wskazać, iż wielu warunkuje konieczność jej przeprowadzenia od treści art. 35 ust. 3 RODO, który mówi o tym, że DPIA wymagana jest szczególnie
przetwarzania na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10; lub.
o skutku prawnym lub podobnie znaczącym skutku,
Dane dotyczące osób wymagających szczególnej opieki
(lub pozbawionych równowagi sił – np. pracowników),
Tym bardziej za zaskakujący należy uznać fakt, iż od 25 maja 2018 r., a więc od rozpoczęcia stosowania RODO, do organu nadzorczego po uprzednie konsultacje zwrócił się na dzień opublikowania tego artykułu tylko jeden (sic!) podmiot. Przypomnijmy, że zgodnie z art. 36 ust. 1 RODO „Jeżeli ocena skutków dla ochrony danych, o której mowa w art. 35, wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby administrator nie zastosował środków w celu zminimalizowania tego ryzyka, to przed rozpoczęciem przetwarzania administrator konsultuje się
z organem nadzorczym”. Jak to zatem możliwe, że praktycznie żadne organizacje z organem nadzorczym się nie konsultują? Czyżby dlatego, że tak dobrze radzą sobie z minimalizacją ryzyka? Czy może w ogóle nie wiedzą o konieczności przeprowadzenia DPIA dla swoich procesów?
Dostosowanie obszaru IT
Zdecydowanie najwięcej wątpliwości w tym zakresie może wzbudzić punkt dotyczący konieczności zagwarantowania zdolności do ciągłego zapewnienia poufności, integralności, dostępności
i odporności systemów i usług przetwarzania (art. 32 ust. 1 lit. b). Okazuje się bowiem, że nawet dogłębne zapoznanie się z przepisami, w tym z wszelkimi poradnikami opublikowanymi przez Prezesa Urzędu Ochrony Danych Osobowych czy też Wytycznymi Grupy Roboczej art. 29 nie przyniesie nam jednoznacznej odpowiedzi na to jakie środki techniczne i organizacyjne będą w tym względzie wystarczające. Wskazany
w RODO obowiązek zawarty w jednym zdaniu jest tak pojemny, że w zasadzie możemy tu zmieścić każde możliwe zabezpieczenie, które przyjdzie nam do głowy. Co nam w takim razie pozostaje? Otóż najczęściej stosowaną praktyką jest stosowanie wytycznych, które nie od dziś funkcjonują na rynku międzynarodowym. Mowa oczywiście o normach ISO, w szczególności normach z „rodziny” 27000 dotyczących zarządzania bezpieczeństwem informacji, co też w efekcie przekłada się na ochronę danych osobowych.
Mówiąc o dostosowaniu obszaru IT do nowych regulacji prawnych, nie sposób pominąć odpowiedniej dokumentacji. Mimo iż RODO nie narzuca administratorom danych dokładnego zakresu wewnętrznych polityk, to wyraźnie naciska na ich obecność w organizacji. Do problemu związanego
z ich wymaganą zawartością odniósł się polski organ nadzorczy. Tutaj po raz kolejny widać bardzo duże powiązanie przedmiotowego aktu prawnego z wspomnianymi powyżej międzynarodowymi normami ISO. Otóż Prezes UODO, odwołując się do wymogu posiadania odpowiednich polityk bezpieczeństwa zdecydowanie sugeruje – a nawet wprost wskazuje – dobrze znane elementy zawarte w normie PN-EN ISO/IEC 27002:2017.
Niestety na „biurokracji” skończyć nie możemy. Kolejnym niezmiernie ważnym oraz niezwykle trudnym do wykonania elementem jest dostosowanie infrastruktury pod kątem możliwości realizacji praw osób, których dane dotyczą. Mowa tutaj m.in. o wykonywaniu prawa do przenoszenia danych, ograniczenia ich przetwarzania czy też zrealizowaniu sławnego już prawa do bycia zapomnianym. Do powyższego problemu próbowano podejść z różnych stron, za każdym razem organizacje spotykają się jednak z największą trudnością dotyczącą możliwości wyszukania danych konkretnej osoby w firmowych zasobach. Mowa
w tym miejscu o danych niezagregowanych, nieustrukturyzowanych, informacjach utrwalonych poza bazami danych, np. na lokalnych dyskach twardych służbowych komputerów lub mobilnych nośnikach zewnętrznych. Oczywiście takich miejsc jest znacznie więcej. Trudnością jest także zrealizowanie prawa do bycia zapomnianym w stosunku do wykonanych kopii bezpieczeństwa, które nie zostały w tym względzie wyłączone przez przepisy. Istnieją różne praktyki. Poczynając od przygotowania środowiska testowego, na którym backup jest odtwarzany, rekord usuwany, a następnie kopia wykonywana ponownie, aż po skrócenie czasu jego przechowywania do 3 miesięcy, o czym stanowi art. 12 RODO umożliwiający nam wydłużenie realizacji wspomnianego obowiązku. Dotykając tematyki dostosowania środowiska IT
z pewnością nie należy zapominać o funkcjonalności odnotowania sprzeciwu w przypadku wykorzystywania systemów do celów marketingowych. Dodatkowo systemy takie zgodnie z omawianą powyżej zasadą rozliczalności powinny gwarantować możliwość zweryfikowania dokładnej daty i godziny udzielenia zgody, jak również jej wycofania.
Udział zewnętrznych podmiotów w przetwarzaniu danych.
Obecnie trudno organizacjom funkcjonować w oparciu o model działalności, który nie wymagałby współpracy z zewnętrznymi podmiotami. Zazwyczaj taka współpraca nierozerwalnie wiąże się
z przekazywaniem takim podmiotom danych osobowych. I tu do gry wkracza RODO. Część administratorów ignoruje problem i zwyczajnie nie dostrzega (nie chce dostrzec?) stosunku administrator danych – podmiot przetwarzający. Część z kolei w imię, w ich mniemaniu, „bezpiecznego podejścia” masowo zawiera umowy powierzenia ze wszystkimi zidentyfikowanymi zewnętrznymi podmiotami, bez głębszej analizy i wchodzenia w szczegóły tego stosunku, licząc że na wypadek kontroli organu nadzorczego doceniona zostanie ich inicjatywa – nawet jeśli będzie ona błędna.
Każdy stosunek powierzenia należy badać odrębnie w oparciu o ustalenia umowne i faktyczne działania związane z przekazywaniem danych „na zewnątrz”, stąd w paru magicznych zdaniach nie da się przedstawić złotej formuły na zawsze prawidłowe identyfikowanie stosunku powierzenia – często wymaga to wielogodzinnych analiz, rozmów z osobami uczestniczącymi w procesie, badań zapisów umów i samego przebiegu procesu. To, na co jednak pragniemy zwrócić uwagę to fakt, że istnienie stosunku powierzenia determinuje stan faktyczny, a nie zawarcie przez strony umowy powierzenia. Umowa powierzenia nie ma charakteru konstytutywnego – zatem sam fakt jej zawarcia nie tworzy stosunku powierzenia –
a deklaratoryjny, czyli potwierdzający już istniejącą relację na linii administrator danych – procesor. Często wskazówki w zakresie charakteru łączącego nas z drugim podmiotem stosunku odnajdziemy w doktrynie
i różnego rodzaju wytycznych, w tym wydawanych jeszcze przed 25 maja 2018 roku interpretacjach Generalnego Inspektora Ochrony Danych Osobowych.
Druga kwestia, niemniej ważna, dotyczy weryfikacji podmiotu zewnętrznego pod kątem spełniania przez niego wymogów wyrażonych w RODO. Dane do przetwarzania powierzamy innym podmiotom dla wygody, ich specjalistycznej wiedzy z danego zakresu, oszczędności, a czasem nawet w celu przeniesienia ryzyka związanego z przetwarzaniem danych na ten zewnętrzny podmiot – wątpliwości nie powinien budzić zatem fakt, że jako administrator mamy obowiązek upewnić się, czy procesor zapewnia odpowiedni poziom wdrożenia środków technicznych i organizacyjnych zapewniających zgodność przetwarzania danych z przepisami RODO. W treści art. 28 wyraźnie wyposażono administratorów w prawo do audytowania podmiotu przetwarzającego, a na tego drugiego nałożono obowiązek udostępniania administratorowi wszelkich informacji, wykazujących przestrzeganie przepisów RODO w zakresie powierzenia przetwarzania – taki audyt zazwyczaj jest fikcją z uwagi na braki kadrowe i duże obciążenie finansowe, zwłaszcza gdy korzystamy z usług wielu podmiotów. Z tego powodu wielu decyduje się na wygodną alternatywę w postaci listy kontrolnej dla procesora, w oparciu o którą administrator danych może podjąć decyzję o powierzeniu danych konkretnemu podmiotowi i dzięki której, zgodnie z zasadą rozliczalności – wykaże należytą staranność przy wyborze procesora.
Wzór takiej ankiety przedstawiamy w artykule: "Zgodność procesora z RODO - sposoby jej weryfikacji". Wykorzystanie udostępnionego dokumentu, umożliwi administratorowi podjęcia decyzji w zakresie wyboru takiego podmiotu przetwarzającego, który gwarantować będzie przetwarzanie powierzonych danych zgodnie z wymogami RODO.
Pamiętaj, że w razie oparcia się na jednym z powyższych wyjątków, Twoja organizacja, czyli administrator danych osobowych powinien być w stanie wykazać jego spełnienie – także na wypadek kontroli Prezesa UODO.
To, co widać „na zewnątrz”
Agata Kłodzińska, specjalista ds. ochrony danych.
Damian Gąska, inżynier ds. bezpieczeństwa informacji.

References: art. 32
 art. 35
 art. 9
 art. 10
 art. 36
 art. 35
 art. 29
 art. 12
 art. 28