POPIA (RPA)

POPIA to ustawa o ochronie danych osobowych obowiązująca w Republice Południowej Afryki.

POPIA (RPA) – czym jest i kogo dotyczy

POPIA (RPA) to skrót od Protection of Personal Information Act, czyli południowoafrykańskiej ustawy regulującej ochronę informacji osobowych. Jej zadaniem jest określenie warunków, na jakich dane mogą być zbierane, wykorzystywane, przechowywane, udostępniane i usuwane przez podmioty publiczne oraz prywatne. Przepisy odnoszą się zarówno do organizacji działających w Republice Południowej Afryki, jak i do określonych sytuacji, w których przetwarzanie informacji pozostaje związane z tym państwem.

POPIA nie ogranicza się do danych zapisanych w jednej konkretnej aplikacji. Informacją osobową może być każda informacja odnosząca się do możliwej do zidentyfikowania osoby fizycznej, a w określonym zakresie także do istniejącej osoby prawnej. Znaczenie mogą mieć między innymi imię i nazwisko, numer telefonu, adres poczty elektronicznej, dane finansowe, informacje o zatrudnieniu, historia kontaktu z organizacją, identyfikatory internetowe oraz dane dotyczące zdrowia. Ustawa obejmuje też informacje przechowywane na papierze, w systemach informatycznych, w kopiach zapasowych i na urządzeniach użytkowników.

W praktyce POPIA wymaga, aby organizacja potrafiła wyjaśnić, po co potrzebuje określonych danych, na jakiej podstawie je przetwarza, jak długo będzie je przechowywać i w jaki sposób zabezpiecza je przed nieuprawnionym dostępem. Sama obecność danych w firmowym środowisku nie oznacza jeszcze prawa do dowolnego korzystania z nich. Istotne są cel, zakres, proporcjonalność, przejrzystość i możliwość wykazania zgodności z ustawą.

POPIA (RPA) w kontekście technicznym i na tle innych regulacji

Techniczny wymiar POPIA (RPA) zaczyna się od inwentaryzacji informacji. Należy ustalić, gdzie dane trafiają po ich zebraniu, które osoby mają do nich dostęp, jakie programy biorą udział w przetwarzaniu oraz czy dane są kopiowane do innych środowisk. Pomocne jest przygotowanie mapy przepływu informacji, obejmującej formularze kontaktowe, pocztę elektroniczną, systemy obsługi zgłoszeń, urządzenia pracowników, nośniki wymienne i kopie zapasowe.

Ważne jest rozróżnienie pomiędzy podmiotem, który ustala cel i sposób przetwarzania, a dostawcą wykonującym czynności na jego polecenie. W dokumentacji POPIA takie role powinny być opisane jasno, ponieważ odpowiedzialność nie znika tylko dlatego, że część czynności technicznych powierzono zewnętrznej firmie. Umowa z dostawcą powinna określać zakres dostępu, zasady poufności, wymagane zabezpieczenia, sposób zgłaszania incydentów i procedurę zwrotu albo usunięcia danych po zakończeniu współpracy.

POPIA jest często porównywana do europejskiego RODO, ponieważ obie regulacje akcentują legalność, przejrzystość, ograniczenie celu, minimalizację i bezpieczeństwo. Nie są jednak tym samym aktem prawnym. Zakres obowiązków, nazewnictwo, procedury nadzorcze i szczegółowe wymagania mogą się różnić. Dlatego samo wdrożenie dokumentów przygotowanych dla RODO nie daje automatycznej pewności zgodności z POPIA. Wspólne zasady mogą być dobrym punktem wyjścia, lecz potrzebne jest sprawdzenie lokalnych wymagań.

Na poziomie infrastruktury znaczenie mają między innymi kontrola uprawnień, uwierzytelnianie wieloskładnikowe, szyfrowanie, aktualizacje, rejestrowanie zdarzeń, bezpieczne usuwanie nośników i testowanie odtwarzania kopii zapasowych. Środki powinny odpowiadać ryzyku. Innego poziomu ochrony wymaga zwykła lista kontaktowa, a innego zbiór danych finansowych, medycznych lub informacji o osobach małoletnich.

POPIA (RPA) a typowe problemy z danymi osobowymi

Jednym z częstych problemów jest zbieranie większej ilości danych, niż rzeczywiście potrzebuje organizacja. Formularz może wymagać dodatkowych informacji tylko dlatego, że takie pole istnieje w gotowym szablonie. Z perspektywy POPIA warto regularnie sprawdzać, czy każde pole ma uzasadniony cel, czy jego podanie jest niezbędne i czy osoba przekazująca dane otrzymuje zrozumiałą informację o dalszym wykorzystaniu.

Ryzyko powstaje także wtedy, gdy wiele osób korzysta ze wspólnego konta, hasła są przekazywane ustnie albo uprawnienia pozostają aktywne po zmianie stanowiska. Niebezpieczne bywają również pliki wysyłane bez ochrony, niezaszyfrowane dyski, automatyczne synchronizacje oraz kopie pozostawione na starym sprzęcie. Zgodność z POPIA obejmuje nie tylko główny system, ale cały cykl życia informacji.

Osobnym zagadnieniem są incydenty. Zgubiony laptop, omyłkowo wysłana wiadomość, przejęte konto, złośliwe oprogramowanie lub nieuprawnione skopiowanie dokumentów mogą wymagać szybkiej oceny. Procedura powinna wskazywać, kto przyjmuje zgłoszenie, jak zabezpieczyć dowody, jak określić zakres zdarzenia, kogo powiadomić i jak ograniczyć dalsze skutki. Opóźnianie analizy przez założenie, że incydent jest mały, może utrudnić prawidłową reakcję.

Problematyczne jest także przechowywanie danych bez określonego terminu usunięcia. Warto stworzyć harmonogram retencji, przypisać właścicieli zbiorów i regularnie usuwać informacje, które nie są już potrzebne. Dotyczy to również skrzynek pocztowych, folderów współdzielonych, eksportów z aplikacji, plików tymczasowych i kopii zapasowych. Usunięcie powinno być przeprowadzone w sposób ograniczający możliwość prostego odzyskania danych.

POPIA (RPA) – praktyczne wskazówki dla organizacji

Przy porządkowaniu zgodności z POPIA (RPA) warto rozpocząć od krótkiego rejestru czynności przetwarzania. Dla każdego procesu można zapisać kategorię danych, cel, podstawę działania, źródło informacji, osoby mające dostęp, miejsce przechowywania, okres retencji oraz zastosowane zabezpieczenia. Taki rejestr pomaga wykryć nieużywane konta, zbędne kopie i niejasne przepływy informacji.

• Tworzyć komunikaty prywatności napisane prostym językiem, wskazujące cel i zakres zbierania danych.
• Ograniczać dostęp według zasady najmniejszych uprawnień i przeglądać go po zmianach kadrowych.
• Stosować silne, unikalne hasła, dodatkowe uwierzytelnianie i szyfrowanie tam, gdzie ryzyko tego wymaga.
• Ustalić procedurę obsługi żądań osoby, której dane dotyczą, w tym dostępu, korekty, sprzeciwu lub usunięcia, gdy przepisy na to pozwalają.
• Opisać zasady korzystania z poczty, urządzeń przenośnych, nośników USB, pracy zdalnej i udostępniania dokumentów.
• Szkoleniami objąć osoby, które mają kontakt z danymi, a nie tylko dział techniczny.
• Okresowo testować kopie zapasowe, przywracanie dostępu i reakcję na incydent.

Przed przekazaniem urządzenia do naprawy należy wykonać kopię potrzebnych plików, wylogować konta, usunąć zapisane sesje i przekazać wyłącznie informacje konieczne do opisania usterki. Jeżeli na dysku znajdują się dane klientów, pracowników albo dokumenty finansowe, warto wcześniej ustalić, kto może mieć dostęp do urządzenia i jak zostanie ograniczone przeglądanie jego zawartości. Gdy to możliwe, do diagnostyki powinno się udostępniać środowisko testowe albo kopię pozbawioną zbędnych danych.

POPIA (RPA) – kiedy zgłosić się do serwisu komputerowego

Do serwisu warto zgłosić się wtedy, gdy urządzenie z danymi osobowymi działa niestabilnie, nie uruchamia się, ma uszkodzony nośnik, zostało zalane, utraciło dostęp do plików albo wykazuje objawy infekcji. Pomoc techniczna może obejmować ocenę stanu sprzętu, zabezpieczenie danych przed dalszym uszkodzeniem, przygotowanie kopii oraz uporządkowanie podstawowych ustawień dostępu. Nie zastępuje to analizy prawnej, lecz pozwala ograniczyć techniczne przyczyny naruszeń.

Znaczenie ma także sposób przekazania sprzętu. Należy opisać objawy bez wpisywania nadmiarowych danych osobowych, ustalić osobę upoważnioną do odbioru i zachować potwierdzenie przekazania urządzenia. W przypadku podejrzenia naruszenia warto zanotować czas zauważenia problemu, wykonane czynności i osoby, które miały kontakt z urządzeniem. Takie informacje ułatwiają późniejszą ocenę zdarzenia.

Warszawskie Pogotowie Komputerowe 24/7 wykonuje naprawy z reguły do 3 dni roboczych, dlatego przed przekazaniem sprzętu można przygotować listę procesów, kont i plików wymagających szczególnej ochrony. Przy bardziej złożonym przypadku warto dodatkowo skonsultować zakres przetwarzania z osobą odpowiedzialną za ochronę danych. POPIA (RPA) wymaga bowiem połączenia właściwych procedur, świadomych użytkowników i odpowiednio zabezpieczonego sprzętu.