Reagujte na rizika – bezpečnost dat nesmí zastarat!

Jedním z požadavků, hlavních principů, obecného nařízení o ochraně osobních údajů (GDPR), je povinnost zabezpečit osobní údaje. Jinými slovy, zajistit integritu a důvěrnost zpracovávaných dat.

Co to znamená?

Správce i zpracovatel osobních údajů jsou povinni přijmout dostatečná technická a organizační opatření, aby zajistili osobní údaje proti neoprávněné změně, přístupu, zneužití či nedostupnosti. GDPR zdůrazňuje přístup založený na riziku. V čl. 32, kde jsou požadavky na bezpečnost dat formulovány, je výslovně uvedeno, že bezpečnostní opatření mají zohlednit stav techniky, náklady na provedení, povahu, rozsah, kontext a účel zpracování i také rizik, které zpracování může přinést pro práva a svobody dotčených fyzických osob.

Nefunkční nebo zastaralé bezpečnostní politiky vás neochrání

Stejně jako v jiných oblastech, ať už zabezpečení informací (ISMS) nebo kontrolních procesech (např. compliance), i v případě zabezpečení osobních údajů platí, že nastavený systém musí být „živý“. Správce i zpracovatel musejí průběžně reagovat na relevantní podněty a impulsy k aktualizaci bezpečnostních prvků, ať už tyto podněty přicházejí z interního prostředí (např. incidenty) nebo externích okolností a změn (nové hrozby, nová regulace).

Zdá se to jako zřejmá věc. V praxi ale vidíme, že organizace na skutečně efektivní, funkční a aktualizovaný systém bezpečnostních opatření často rezignují. Jak ukazují nedávné případy, správce údajů sice třeba formálně přijme robustní bezpečnostní politiky, ale pak je sám ani nedodržuje. Jindy zase organizace na zjištěné hrozby a zranitelnosti nereagují buď vůbecnebo až po úniku dat. Samostatnou kategorií je zavedení skutečně slabých bezpečnostních opatření spojené s nedostatečným dokumentování incidentů a pozdním informováním dozorového úřadu o incidentu s dopadem na osobní údaje, jako nám to nedávno předvedla společnost Meta.

Zabezpečení osobních údajů je proces!

Chcete se vyhnout pokutě?  Nezapomeňte, že i systém pro zabezpečení osobních údajů by měl probíhat podle klasického Demingova cyklu.

• Plánuj - Správce či zpracovatel by měl analyzovat rizika a hrozby pro zpracovávané osobní údaje a po jejich vyhodnocení (pravděpodobnost, dopad, závažnost) zavést odpovídající bezpečnostní opatření a kontroly.
• Dělej - Opatření a kontroly definované v předchozím bodu je nutné zavést do praxe. A to včetně určení konkrétních rolí, povinností a odpovědností za to, kdo bude které opatření či kontrolu fakticky provádět, dokumentovat a evidovat.
• Kontroluj - V pravidelných intervalech, nebo v případě závažného incidentu či jiné důležité události i ad hoc, je nutné celý systém bezpečnosti osobních údajů zrevidovat. Jsou stejné účely, rozsah a prostředky zpracování? Rozšířilo se zpracování na nové kategorie subjektů údajů nebo osobní data? Fungují zavedená opatření a kontroly, nebo správci osobních údajů něco uniká, nefunguje? Pokud organizace najde nesrovnalost nebo slepé místo, je nutné celý systém aktualizovat a doplnit. Posílit stávající bezpečnostní opatření nebo zavést další, změnit zaměření či frekvenci monitoringu, zavést nové školení, zjednodušit procesy atd.
• Jednej - To, co bylo zrevidováno, je nutné opět zavést do praxe. Potvrdit či upřesnit role, povinnosti a odpovědnosti a začít. A tak pořád dokola.

Zní to jako zbytečná zátěž? Možná, ale jen do prvního skutečného problému, výpadku či úniku dat. Nebo první kontroly úřadu pro ochranu osobních údajů.

Článek je publikovaný také na GDPR.cz.