Nadchodzi RODO. Przygotowania czas zacząć!

W maju 2018 r. wejdzie w życie europejskie Rozporządzenie o ochronie danych osobowych (GDPR). Ujednolicone w skali całej Unii Europejskiej praktyk w tym zakresie będzie obowiązywać wszystkich. Odchodzimy od koncepcji zgłaszania zbiorów danych w kierunku domyślnej ochrony danych. Obowiązkowe będzie natomiast zgłaszanie naruszeń. Choć zostało niespełna półtora roku do wejścia w życie nowych regulacji, to nadal jest mnóstwo niewiadomych. Wiele pytań i wątpliwości mają sami szefowie bezpieczeństwa informacji.

Rozporządzenie o ochronie danych osobowych (RODO) stanowi odpowiedź Komisji Europejskiej na nową sytuację, która wytworzyła się w związku cyfryzacją wszystkich aspektów ludzkiego życia. Dane osobowe są gromadzone w ogromnych ilościach przez przedsiębiorstwa i instytucje publiczne. Dlatego podjęta została decyzja, że w ramach jednolitego rynku cyfrowego konieczne jest ujednolicenie – w skali całej Unii – ochrony danych osobowych. Dotychczas w poszczególnych krajach występowały znaczące różnice – w zakresie obowiązujących regulacji prawnych a także organów powołanych do egzekwowania ich przestrzegania.

GDPR to temat ważny dla wszystkich dyrektorów bezpieczeństwa informacji. Wzrośnie zakres ich odpowiedzialności i kluczową rzeczą będzie tutaj harmonijna współpraca z Inspektorem Ochrony Danych w firmie – z czym dzisiaj często bywa rozmaicie.

Nowe ogólnoeuropejskie rozporządzenie o ochronie danych osobowych wchodzi w życie 25 maja 2018 r. Równocześnie powinna wejść w życie nowa ustawa przygotowywana przez Ministerstwo Cyfryzacji. Projekt tej ustawy ma być gotowy do końca marca 2017 r. Później mają być prowadzone uzgodnienia międzyresortowe i konsultacje społeczne. Zakres nowej ustawy obejmuje zasady nadzoru nad zapewnieniem ochrony danych osobowych przez GIODO oraz zasady współpracy na rzecz danych osobowych.

„Realizacja idei przyświecającej Komisji w tym przypadku będzie jednak bardzo trudna do zrealizowania. Obowiązujące dziś systemy ochronnych danych osobowych w różnych państwach europejskich są już mocno zakorzenione. Dodatkowo w RODO znajduje się bardzo dużo wyłączeń – w zakresie sektorowym, rejestrów zbiorów danych, skazań karnych czy w odniesieniu do dzieci” – mówiła, podczas listopadowego spotkania CSO Council, towarzyszącego konferencji Advanced Threat Summit 2016, mec. Izabela Kowalczuk-Pakuła z Kancelarii Bird & Bird.

„Różni prawnicy inaczej interpretują niektóre zapisy. Sprawy nie poprawia konieczność tłumaczenia rozporządzenia na języki narodowe. Pojawiające się błędy w dostępnych tłumaczeniach dodatkowo pogłębiają rozbieżności interpretacyjne” – dodawała Izabela Kowalczuk-Pakuła.

Co budzi niepokój?

Oczywiście największy niepokój budzą potencjalne koszty związane z wejściem w życie RODO. Wynikają one m.in. z niejasności definicji, wyższych wymagań dotyczących zgody na przetwarzanie, minimalizacji danych, nowych praw osób, których dane dotyczą itp. Nie są to jednak jedyne wątpliwości. Uczestnicy spotkania CSO Council w pierwszej kolejności zapytali o ważność zgód udzielanych przy zbierani danych do przetwarzania przed wejściem w życie RODO.

Spotkanie CSO Council „Ochrona danych osobowych po nowemu” zgromadziło wyjątkowo liczne grono dyrektorów bezpieczeństwa informacji.

Od 28 maja 2018r. mogą one stać się nieważne. Oznacza to, że w przypadku dotychczasowych klientów firm, zgoda musi być ponownie uzyskana – wyrażona wprost i bez żadnych wątpliwości. Dopytywano również czy zmienią się podstawy do przetwarzania danych osobowych. Obecnie marketing to prawnie usprawiedliwiony cel przetwarzania. W tym wypadku jednak nic się nie zmienia. Niemniej mec. Izabela Kowalczuk-Pakuła rekomendowała, żeby firmy zbierające dzisiaj zgody, robiły to już zgodnie z RODO, ponieważ na ich podstawie będzie można przetwarzać dane po 25 maja 2018 r. Ponadto już dziś warto stosować nowe wzory umów powierzenia przetwarzania danych. Dzięki temu później nie trzeba będzie ich zmieniać ani renegocjować.

Pytano także o czas zgłaszania naruszeń bezpieczeństwa, które mogą dotykać danych osobowych. Teoretycznie powinno to mieć miejsce w ciągu 74 godzin – od jakiego momentu zaczyna płynąć ten czas? Uznaje się, że od momentu uzyskania pewności, że doszło do naruszenia, a nie od chwili rozpoczęcia dochodzenia. Dzisiaj takie zgłoszenia kierowane do polskiego biura GIODO są raczej incydentalne. Pod władzą nowych regulacji mogą stać się zjawiskiem znacznie częstszym.

Uczestników interesowały także zmiany w zakresie funkcji i kompetencji ABI (w nomenklaturze RODO to Inspektor Ochrony Danych). Będą one niezbyt duże – z tą różnicą, że teraz w niektórych organizacjach powołanie IOD będzie konieczne. Ważne jest jednak, że konieczne będzie zapewnienie IOD zasobów niezbędnych do wykonania zadań oraz nieudzielania instrukcji, jak je wykonywać – rola IOD ma być w dużej mierze niezależna.

RODO w praktyce

Konkretnych porad uczestnikom udzielał Michał Jaworski, członek Zarządu w Microsoft Polska. Jego firma, jak dostawca rozwiązań chmurowych, od dawna bardzo intensywnie przygotowuje się do RODO. W każdej firmie potrzebna jest decyzja o budowie wiedzy i kompetencji – w szczególności poprzez udział w szkoleniach lub warsztatach, najlepiej w towarzystwie firmowych prawników.

„Ważne jest określenie obszarów największego zainteresowania. Marketing? Komunikacja z klientem? Profilowanie? Jeśli chodzi o konkretne przygotowania, to należy zacząć od inwentaryzacji operacji przetwarzania danych w organizacji, dokonać analizy wszelkich punktów kontaktu z klientem, zastanowić się nad zabezpieczeniem danych. Kluczowe znaczenie ma podejście w oparciu o analizę ryzyk. To administrator danych jest odpowiedzialny za właściwą oceną ryzyka i ocenę skutków przetwarzania.” – mówił Michał Jaworski. Jednocześnie porównał on RODO do wyzwań związanych z problemem roku 2000 (Y2K). Z tą jednak różnicą, że po 1 stycznia 2000 wszyscy mogli się uspokoić, bo nic się takiego nie stało. W przypadku RODO będzie odwrotnie – po 25 maja 2018 r. sytuacja zacznie się komplikować i skala wyzwań rosnąć.

Michał Jaworski zwrócił także uwagę, że rozwiązania chmurowe pozwalają na pewien rodzaj outsourcingu odpowiedzialności. Część wymagań związanych z ochroną danych osobowych można przenieść na dostawcę usług chmurowych. W tym sensie cloud może stanowić potencjalną metodę na ograniczenie problemów z wdrożeniem RODO. Uczestnicy wyrazili jednak swoje wątpliwości co do transferu odpowiedzialności z ADO do procesora. Odpowiedzialność bowiem nadal będzie spoczywać na administratorze danych i to on będzie podlegać potencjalnej karze.

Wartościowe rady

Mecenas Beata Marek z Cyberlaw, zwracała natomiast uwagę m.in. na pseudonimizację danych, która stanowi jeden z podstawowych aspektów zabezpieczania danych. Wszędzie tam gdzie jest to możliwe, warto robić pseudonimizację, czyli ograniczanie zakresu przetwarzanych danych do niezbędnego minimum. Można się spodziewać, że w wypadku pojawienia się kłopotów w przyszłości, wykonanie tego zabiegu będzie traktowane jako okoliczność łagodząca w kontekście kar.

Doświadczeniami w zakresie praktycznych trudności związanych z implementacją podzielił się także Daniel Ślęzak, Privacy Officer z T-Mobile. Zwracał on uwagę na konieczność współpracy Privacy Officera z CISO oraz uspokajał, że dla organizacji posiadających system ISO 27001 przygotowanie do RODO nie będzie tak trudne.

„Zadanie dla podmiotów grupowych, zwłaszcza międzynarodowych, będzie łatwiejsze, bo z pewnością już od dawna stosują zunifikowane polityki, prowadza wewnętrzne audyty albo zlecają zewnętrzne przez konsultantów” – przekonywał Daniel Ślęzak. Wiele osób wskazuje jako zaletę RODO to, iż nie zawiera ono wskazówek dotyczących wymogów stosowania określonych środków technicznych czy organizacyjnych, jednak jednocześnie zwiększa to zakres odpowiedzialności ciążących na firmach i to także stanie się obszarem odpowiedzialności szefa bezpieczeństwa informacji w firmach.