RODO (UE)

RODO to unijne rozporządzenie regulujące zasady ochrony danych osobowych w krajach członkowskich.

RODO (UE) – czym jest i czego dotyczy

RODO (UE) to zbiór jednolitych zasad dotyczących przetwarzania danych osobowych na terenie Unii Europejskiej. Jego zadaniem jest uporządkowanie sposobu, w jaki dane osób fizycznych są zbierane, wykorzystywane, przechowywane oraz usuwane. Regulacja obejmuje zarówno duże organizacje, jak i małe firmy, jednoosobowe działalności, placówki edukacyjne, sklepy internetowe, gabinety usługowe oraz podmioty realizujące naprawy sprzętu komputerowego.

Danymi osobowymi mogą być informacje pozwalające bezpośrednio lub pośrednio rozpoznać konkretną osobę. Należą do nich między innymi imię i nazwisko, adres poczty elektronicznej, numer telefonu, adres zamieszkania, identyfikator klienta, numer konta, dane zapisane w formularzu kontaktowym oraz informacje powiązane z urządzeniem, jeżeli można na ich podstawie ustalić użytkownika. W praktyce znaczenie może mieć także zawartość laptopa lub komputera, gdy na dysku znajdują się dokumenty, zdjęcia, korespondencja, dane logowania albo pliki dotyczące pracy zawodowej.

RODO nie oznacza zakazu przetwarzania danych. Wymaga natomiast, aby przetwarzanie miało określony cel, podstawę prawną i odpowiedni zakres. Dane powinny być wykorzystywane tylko w takim stopniu, jaki jest potrzebny do wykonania konkretnego zadania. Nie powinno się gromadzić informacji na zapas ani przechowywać ich bezterminowo bez uzasadnienia. Ważne są również przejrzystość, bezpieczeństwo oraz możliwość wykazania, że przyjęte zasady są stosowane w praktyce.

RODO (UE) a dane na laptopie i komputerze

W kontekście sprzętu komputerowego RODO łączy się przede wszystkim z ryzykiem dostępu do danych zapisanych na nośnikach. Laptop lub komputer stacjonarny może zawierać dane klientów, pracowników, kontrahentów, pacjentów, uczniów, członków organizacji albo domowników. Nawet zwykła naprawa systemu, wymiana dysku, odzyskiwanie plików czy usuwanie skutków awarii może oznaczać kontakt z informacjami, których nie powinny oglądać osoby nieupoważnione.

Istotne jest rozróżnienie między urządzeniem a informacją znajdującą się na urządzeniu. Sam numer seryjny sprzętu nie zawsze będzie daną osobową, jednak w połączeniu z kartą przyjęcia, nazwiskiem właściciela i historią zlecenia może tworzyć zestaw informacji pozwalający zidentyfikować konkretną osobę. Podobnie adres poczty elektronicznej zapisany w programie pocztowym, lista kontaktów, dokument tekstowy z danymi klientów lub arkusz z rozliczeniami mogą podlegać ochronie, jeżeli odnoszą się do rozpoznawalnych osób.

Przy ocenie ryzyka bierze się pod uwagę nie tylko możliwość kradzieży urządzenia. Zagrożeniem może być także przypadkowe skopiowanie plików, pozostawienie danych na wymienionym nośniku, użycie niezabezpieczonego konta administratora, wysłanie dokumentu do niewłaściwego odbiorcy, brak aktualizacji, złośliwe oprogramowanie lub przekazanie hasła osobie, która nie powinna go znać. Ochrona danych obejmuje więc rozwiązania techniczne, organizacyjne i codzienne nawyki użytkowników.

RODO nie narzuca jednego modelu zabezpieczenia dla każdego podmiotu. Środki powinny odpowiadać charakterowi danych, skali przetwarzania oraz możliwym skutkom naruszenia. Innych zabezpieczeń może wymagać domowy laptop, a innych urządzenie używane do obsługi dokumentacji klientów. W obu przypadkach warto jednak stosować podstawowe reguły: silne hasła, blokadę ekranu, aktualne oprogramowanie, kopie zapasowe, szyfrowanie tam, gdzie jest uzasadnione, oraz ograniczenie dostępu do plików.

RODO (UE) i typowe problemy z ochroną danych

Jednym z częstych problemów jest brak świadomości, że dane mogą pozostać na dysku po usunięciu pliku. Przeniesienie dokumentu do kosza nie zawsze oznacza jego trwałe usunięcie. W zależności od zastosowanych mechanizmów możliwe może być odtworzenie fragmentów informacji. Przy przekazywaniu sprzętu innej osobie albo przy wycofaniu nośnika z użycia należy zatem ustalić, czy dane mają zostać zachowane, przeniesione, zaszyfrowane czy bezpiecznie usunięte.

Problemem bywa również współdzielenie jednego konta przez kilka osób. Utrudnia to ustalenie, kto miał dostęp do konkretnego pliku i kto wykonał daną operację. Lepszym rozwiązaniem jest nadawanie indywidualnych kont oraz uprawnień odpowiadających obowiązkom. Dostęp administracyjny powinien być używany tylko wtedy, gdy jest potrzebny, a hasła nie powinny być zapisywane w widocznych miejscach ani przekazywane w wiadomościach pozbawionych odpowiedniego zabezpieczenia.

Do naruszenia ochrony danych może dojść także przez utratę laptopa, kradzież komputera, zainfekowanie systemu, omyłkowe udostępnienie folderu lub wysłanie załącznika do błędnego adresata. Nie każde zdarzenie musi prowadzić do obowiązku zgłoszenia organowi nadzorczemu, jednak każde powinno zostać ocenione. Znaczenie ma rodzaj danych, liczba osób, możliwość identyfikacji, prawdopodobieństwo wykorzystania informacji oraz skala potencjalnej szkody.

Wątpliwości pojawiają się też przy korzystaniu z usług zewnętrznych. Przechowywanie plików w chmurze, zdalne wsparcie, naprawa urządzenia, hosting poczty czy obsługa programu mogą wiązać się z dostępem do danych przez inny podmiot. W takim przypadku należy ustalić, kto decyduje o celu i sposobie przetwarzania, kto działa na czyje polecenie, jakie dane są dostępne oraz jakie zasady poufności i bezpieczeństwa obowiązują. Sama nazwa usługi nie przesądza jeszcze o roli danego podmiotu.

RODO (UE) – praktyczne wskazówki dla użytkownika

Przed oddaniem laptopa lub komputera do naprawy warto wykonać kopię zapasową najważniejszych plików, jeżeli stan urządzenia na to pozwala. Kopię powinno się przechowywać w miejscu zabezpieczonym przed dostępem osób postronnych. Przydatne jest również wylogowanie się z poczty, komunikatorów i serwisów internetowych, o ile nie utrudni to przeprowadzenia naprawy. Jeżeli konieczne jest pozostawienie konta użytkownika, można utworzyć tymczasowy profil o ograniczonych uprawnieniach.

Nie powinno się przekazywać hasła bez potrzeby. Jeżeli dostęp do konkretnego konta jest niezbędny do sprawdzenia usterki, po zakończeniu prac hasło można zmienić. Dobrą praktyką jest też przekazanie tylko tych informacji, które są konieczne do opisania problemu. W wielu przypadkach do diagnozy wystarczy opis objawów, komunikatu błędu i okoliczności wystąpienia awarii, bez ujawniania całej zawartości urządzenia.

Przy wymianie dysku lub oddawaniu uszkodzonego nośnika należy wcześniej ustalić sposób postępowania z pozostawionymi danymi. Można poprosić o zwrot nośnika, przeniesienie plików na nowy dysk albo potwierdzenie wykonania uzgodnionej czynności. Warto także zachować dokumentację przekazania sprzętu, opis zakresu prac i informację, czy urządzenie zawiera dane, których nie należy otwierać bez wyraźnej potrzeby.

W firmie przydatne jest prowadzenie prostych zasad wewnętrznych. Powinny one określać, kto może korzystać z określonych urządzeń, jak tworzy się kopie zapasowe, co robi się po zgubieniu sprzętu, jak zgłasza się podejrzane wiadomości oraz kiedy usuwa się niepotrzebne dane. Instrukcja nie musi być rozbudowana, ale powinna być zrozumiała i dopasowana do rzeczywistego sposobu pracy. Najlepsze efekty daje regularne przypominanie tych zasad i sprawdzanie, czy są wykonalne.

Warto pamiętać, że ochrona danych nie kończy się na zakupie programu antywirusowego. Narzędzie może ograniczać część zagrożeń, lecz nie zastąpi aktualizacji, kopii zapasowych, kontroli uprawnień i ostrożności przy otwieraniu załączników. Bezpieczeństwo powinno obejmować cały cykl życia informacji: pozyskanie, wykorzystanie, przechowywanie, udostępnianie, archiwizowanie oraz usunięcie.

RODO (UE) – kiedy zgłosić się do serwisu komputerowego

Do serwisu warto zgłosić się wtedy, gdy awaria utrudnia dostęp do danych, urządzenie działa niestabilnie, pojawiają się podejrzane komunikaty, system został zainfekowany albo potrzebne jest przygotowanie sprzętu do bezpiecznego przekazania innej osobie. Szczególnej ostrożności wymaga sytuacja, w której laptop służbowy zawiera dokumenty klientów lub inne informacje podlegające ochronie. Przed rozpoczęciem prac powinno się jasno określić, jaki jest zakres zgody na dostęp do danych i jakie czynności mają zostać wykonane.

W Warszawie takie konsultacje oraz prace przy sprzęcie może przyjmować Warszawskie Pogotowie Komputerowe 24/7. Przy zgłoszeniu można opisać objawy, wskazać, czy na urządzeniu znajdują się poufne pliki, oraz zaznaczyć, że priorytetem jest ograniczenie dostępu do danych. Pozwala to lepiej dobrać sposób postępowania do rodzaju usterki i oczekiwań użytkownika.

Jeżeli doszło do utraty sprzętu, podejrzenia wycieku, przypadkowego ujawnienia dokumentów albo zablokowania plików przez złośliwe oprogramowanie, nie należy pochopnie kasować śladów zdarzenia. W pierwszej kolejności można odłączyć urządzenie od sieci, zabezpieczyć dostęp do kont i zanotować, co się wydarzyło. Następnie potrzebna może być ocena techniczna oraz analiza obowiązków wynikających z RODO. Sama naprawa urządzenia nie zastępuje oceny prawnej, ale może pomóc ustalić zakres problemu i ograniczyć dalsze skutki.

W przypadku przedsiębiorstw pomocne jest także wcześniejsze ustalenie procedury kontaktu z serwisem. Powinna ona wskazywać osobę uprawnioną do przekazania sprzętu, sposób opisu danych znajdujących się na urządzeniu, zasady odbioru oraz działania po zakończeniu naprawy. Dzięki temu decyzje podejmuje się sprawniej, a odpowiedzialność za dostęp do informacji pozostaje czytelna. RODO wymaga podejścia opartego na realnym ryzyku, dlatego regularne porządkowanie sprzętu i procedur może być równie ważne jak reakcja na już występującą awarię.