polityka zgodności z RODO

Polityka zgodności z RODO to zestaw procedur zapewniających legalne i rozliczalne przetwarzanie danych osobowych.

Zakres polityki zgodności z RODO w środowisku IT

Polityka zgodności z RODO opisuje sposób, w jaki organizacja identyfikuje dane osobowe, ustala cele ich przetwarzania oraz kontroluje dostęp do tych danych. W środowisku komputerowym może obejmować dane przechowywane na dyskach laptopów, komputerów stacjonarnych, serwerach plików, urządzeniach mobilnych, kopiach zapasowych i w systemach pocztowych. Sam fakt zapisania imienia, adresu e-mail, numeru telefonu, adresu IP lub identyfikatora użytkownika w systemie informatycznym może powodować, że taki zbiór podlega analizie pod kątem RODO.

Dokument powinien rozdzielać właściciela procesu, administratora danych, osoby upoważnione do pracy z informacjami oraz podmioty przetwarzające dane na zlecenie. W praktyce potrzebne są także reguły nadawania uprawnień, okresów przechowywania, wykonywania kopii zapasowych, rejestrowania operacji administracyjnych i reagowania na incydenty. Polityka nie jest pojedynczym ustawieniem systemowym. Stanowi zestaw powiązanych procedur, konfiguracji i dowodów potwierdzających, że przyjęte zasady są stosowane.

Inwentaryzacja danych i kontrola przepływu informacji

Punktem wyjścia jest inwentaryzacja miejsc, w których dane osobowe są tworzone, odczytywane, modyfikowane, przesyłane i usuwane. Należy uwzględnić między innymi foldery użytkowników, współdzielone katalogi sieciowe, bazy aplikacji, załączniki poczty elektronicznej, pliki tymczasowe, dzienniki zdarzeń oraz nośniki używane do kopii zapasowych. Przydatny jest rejestr zawierający nazwę systemu, rodzaj danych, cel przetwarzania, grupę użytkowników, źródło danych, odbiorców oraz ustalony czas przechowywania.

Kontrola przepływu obejmuje również transmisję sieciową. Połączenia administracyjne i dostęp do paneli zawierających dane powinny być chronione mechanizmami uwierzytelniania oraz szyfrowaniem transportowym, na przykład przez HTTPS z poprawnie skonfigurowanym TLS. Hasła nie powinny być przechowywane w postaci jawnego tekstu. W systemach użytkowników stosuje się funkcje skrótu przeznaczone do ochrony haseł, takie jak Argon2id, scrypt lub bcrypt, wraz z indywidualnymi wartościami salt. Szyfrowanie transmisji nie zastępuje kontroli uprawnień, ponieważ poprawnie uwierzytelniony użytkownik nadal może otrzymać zbyt szeroki dostęp.

Uprawnienia, kopie zapasowe i rejestrowanie zdarzeń

Model uprawnień powinien stosować zasadę najmniejszych uprawnień. Konto użytkownika otrzymuje wyłącznie dostęp niezbędny do wykonywania określonych zadań, a uprawnienia administracyjne są oddzielane od zwykłej pracy. Warto stosować osobne konta administracyjne, uwierzytelnianie wieloskładnikowe oraz okresowe przeglądy członkostwa w grupach. Konto osoby, która przestała pracować z danym systemem, powinno być niezwłocznie blokowane zgodnie z wewnętrzną procedurą.

Kopie zapasowe muszą być objęte tym samym nadzorem co dane produkcyjne. Ochrona obejmuje szyfrowanie nośników, ograniczenie dostępu, kontrolę integralności oraz regularne testy odtwarzania. Sama obecność pliku kopii nie potwierdza możliwości odzyskania danych po awarii. Dzienniki zdarzeń powinny rejestrować co najmniej udane i nieudane logowania, zmiany uprawnień, operacje administracyjne oraz istotne odczyty lub modyfikacje danych, jeśli dany system na to pozwala. Logi nie mogą bez potrzeby zawierać pełnych danych osobowych ani haseł.

Obsługa incydentów i przygotowanie stanowiska komputerowego

Procedura incydentowa powinna określać sposób zgłoszenia podejrzanego zdarzenia, zabezpieczenia dowodów, ograniczenia dalszego dostępu oraz oceny zakresu naruszenia. Przykładami incydentów są utrata niezaszyfrowanego laptopa, omyłkowe wysłanie dokumentu do niewłaściwego odbiorcy, przejęcie konta, ujawnienie hasła lub złośliwe zaszyfrowanie plików. Analiza powinna obejmować czas zdarzenia, urządzenia, konta, zakres danych i wykonane działania naprawcze. W przypadku naruszenia ochrony danych administrator może mieć obowiązek zgłoszenia go organowi nadzorczemu w terminie 72 godzin od stwierdzenia naruszenia, jeżeli wymagają tego przepisy.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów stacjonarnych PC i ich podzespołów. Przy przygotowaniu urządzenia do dalszej pracy technicznej znaczenie mają między innymi sprawność nośnika, stan systemu plików, poprawność uruchamiania, aktualność oprogramowania oraz możliwość wykonania bezpiecznej kopii zapasowej. Polityka zgodności z RODO pozostaje natomiast organizacyjnym i technicznym zestawem zasad właściciela danych, który powinien sam określić uprawnienia, retencję informacji oraz sposób postępowania z incydentami.