GDPR (EU)

GDPR (EU) to pełne, opisowe określenie tego samego unijnego rozporządzenia regulującego ochronę danych osobowych.

GDPR (EU) jako oznaczenie unijnego rozporządzenia

GDPR (EU) jest anglojęzycznym określeniem rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, dotyczącego ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych. Skrót pochodzi od nazwy General Data Protection Regulation. W polskich materiałach prawnych ten sam akt prawny jest najczęściej oznaczany jako RODO. Oba określenia odnoszą się do tego samego rozporządzenia, a nie do dwóch różnych standardów, programów ani protokołów informatycznych.

Rozporządzenie ma zastosowanie do przetwarzania danych osobowych prowadzonego w sposób całkowicie lub częściowo zautomatyzowany, a także do przetwarzania w uporządkowanych zbiorach danych prowadzonych poza systemami informatycznymi. Dane osobowe to informacje odnoszące się do zidentyfikowanej albo możliwej do zidentyfikowania osoby fizycznej. W środowisku komputerowym mogą nimi być między innymi identyfikatory kont, adresy poczty elektronicznej, numery identyfikacyjne, dane lokalizacyjne, identyfikatory internetowe oraz informacje zapisane w dokumentach i bazach danych.

Zakres danych i operacji wykonywanych przez systemy

GDPR (EU) obejmuje szeroko rozumiane przetwarzanie danych. Przetwarzaniem jest między innymi zbieranie, utrwalanie, organizowanie, przechowywanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, udostępnianie, ograniczanie, usuwanie oraz niszczenie danych. Z tego powodu rozporządzenie może dotyczyć nie tylko aplikacji internetowej, lecz także lokalnego programu kadrowego, klienta poczty, systemu kopii zapasowych, współdzielonego katalogu, urządzenia mobilnego i nośników, na których zapisano pliki użytkowników.

W praktyce technicznej istotne jest rozróżnienie administratora i podmiotu przetwarzającego. Administrator ustala cele i sposoby przetwarzania, natomiast podmiot przetwarzający działa na udokumentowane polecenie administratora. Taki podział wpływa na projektowanie uprawnień, rejestrowanie dostępu, wybór dostawców usług oraz sposób przechowywania danych. Sam fakt, że plik znajduje się na komputerze albo serwerze, nie przesądza jeszcze o roli osoby lub organizacji korzystającej z tego urządzenia.

Bezpieczeństwo informacji w środowisku komputerowym

Rozporządzenie wymaga zastosowania odpowiednich środków technicznych i organizacyjnych, których poziom powinien uwzględniać między innymi ryzyko naruszenia praw lub wolności osób. GDPR (EU) nie narzuca jednej konkretnej marki programu, systemu operacyjnego, algorytmu ani modelu urządzenia. Wymaga natomiast, aby zabezpieczenia były adekwatne do charakteru, zakresu, kontekstu i celów przetwarzania oraz do prawdopodobieństwa i powagi zagrożeń.

W systemach informatycznych analiza bezpieczeństwa może obejmować kontrolę dostępu, uwierzytelnianie użytkowników, zasadę najmniejszych uprawnień, szyfrowanie danych, ochronę kluczy, aktualizacje oprogramowania, segmentację sieci, kopie zapasowe i możliwość odtworzenia danych po awarii. Znaczenie ma również rozliczalność, czyli możliwość wykazania, że zastosowane środki działają zgodnie z przyjętymi zasadami. Samo zainstalowanie programu antywirusowego lub wykonanie kopii plików nie stanowi automatycznie potwierdzenia zgodności z rozporządzeniem.

Naruszenie ochrony danych osobowych może obejmować zniszczenie, utratę, zmianę, nieuprawnione ujawnienie albo nieuprawniony dostęp do danych. Przykładami technicznymi są kradzież niezaszyfrowanego laptopa, błędna konfiguracja udziału sieciowego, wysłanie dokumentu do niewłaściwego odbiorcy, infekcja złośliwym oprogramowaniem lub utrata dostępu do jedynej kopii danych. Ocena takiego zdarzenia wymaga ustalenia rodzaju danych, skali incydentu, zakresu dostępu oraz możliwych konsekwencji.

GDPR (EU) a codzienna praca z laptopem i komputerem PC

Na pojedynczym komputerze użytkownika rozporządzenie nie działa jako funkcja systemu operacyjnego ani jako komunikat diagnostyczny. Jego wymagania mogą jednak wpływać na sposób konfiguracji urządzenia i aplikacji, jeżeli komputer służy do pracy z danymi osobowymi. Wtedy znaczenie mają między innymi osobne konta użytkowników, silne uwierzytelnianie, blokada ekranu, szyfrowanie nośnika, bezpieczne usuwanie plików, kontrola urządzeń USB oraz ograniczenie dostępu do katalogów zawierających dane.

Przy przekazywaniu komputera do diagnostyki lub naprawy należy wcześniej ustalić, czy na urządzeniu znajdują się dokumenty, profile przeglądarek, skrzynki pocztowe, dane klientów albo inne informacje pozwalające zidentyfikować osoby. Odpowiednie postępowanie może obejmować wykonanie kopii zapasowej, usunięcie zbędnych plików, wylogowanie z usług, odłączenie nośnika zawierającego wrażliwe dane albo przekazanie urządzenia z ograniczonym kontem użytkownika. Sposób postępowania powinien wynikać z konkretnego zakresu prac i zasad przyjętych przez administratora danych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów. W przypadku urządzeń używanych do przetwarzania danych osobowych zakres prac technicznych powinien być wcześniej jasno określony, a dostęp do plików ograniczony do informacji niezbędnych do wykonania diagnostyki lub naprawy.