Zgodność z RODO

Zgodność z RODO to przetwarzanie danych osobowych zgodnie z wymogami unijnego rozporządzenia.

Zgodność z RODO – czym jest w praktyce

Zgodność z RODO oznacza taki sposób posługiwania się danymi osobowymi, aby każda czynność związana z ich pozyskaniem, zapisaniem, wykorzystaniem, przekazaniem, zabezpieczeniem albo usunięciem miała uzasadnienie i odbywała się według jasno określonych zasad. Dotyczy to nie tylko dużych organizacji, lecz także małych firm, jednoosobowych działalności, gabinetów, sklepów internetowych, wspólnot mieszkaniowych, szkół, fundacji oraz osób prowadzących własne strony internetowe. Dane osobowe to informacje pozwalające bezpośrednio lub pośrednio rozpoznać konkretną osobę. Może to być imię i nazwisko, numer telefonu, adres poczty elektronicznej, adres zamieszkania, numer identyfikacyjny, dane dotyczące zamówienia, identyfikator internetowy albo informacje zapisane w urządzeniu używanym przez daną osobę.

Nie wystarczy samo umieszczenie ogólnej klauzuli informacyjnej na stronie. Należy ustalić, jakie dane są faktycznie potrzebne, w jakim celu się je zbiera, jak długo będą przechowywane oraz kto może mieć do nich dostęp. Znaczenie ma także sposób poinformowania osoby, której dane dotyczą. Informacja powinna być zrozumiała, dostępna i dopasowana do konkretnej sytuacji. W praktyce oznacza to konieczność uporządkowania formularzy kontaktowych, dokumentów papierowych, skrzynek pocztowych, systemów informatycznych, kopii zapasowych oraz urządzeń, na których mogą znajdować się pliki zawierające dane.

Zgodność z RODO a kontekst techniczny i porównania

W obszarze technicznym zgodność z RODO łączy się z ochroną poufności, integralności i dostępności informacji. Poufność oznacza ograniczenie dostępu do danych do osób, które rzeczywiście go potrzebują. Integralność wiąże się z ochroną przed przypadkową lub nieuprawnioną zmianą plików. Dostępność oznacza możliwość korzystania z danych wtedy, gdy jest to potrzebne do realizacji prawidłowo określonego celu. Każdy z tych elementów wymaga innych zabezpieczeń i procedur, dlatego samo ustawienie hasła nie wyczerpuje tematu.

Można porównać dwa pozornie podobne przypadki. W pierwszym komputer jest używany wyłącznie do pracy z publicznymi dokumentami i nie przechowuje danych klientów. W drugim na tym samym typie urządzenia znajdują się formularze, umowy, skany dokumentów, korespondencja oraz dane kontaktowe. Fizycznie mogą to być podobne komputery, lecz ryzyko i wymagania organizacyjne są odmienne. W drugim przypadku większe znaczenie mają uprawnienia użytkowników, szyfrowanie, blokada ekranu, aktualizacje, kopie zapasowe, ochrona przed złośliwym oprogramowaniem oraz zasady postępowania przy przekazywaniu sprzętu do naprawy.

Warto odróżnić zgodność z RODO od samego bezpieczeństwa informatycznego. Bezpieczne ustawienia techniczne pomagają ograniczać ryzyko, lecz nie wskazują jeszcze, czy przetwarzanie ma podstawę prawną, czy osoba została właściwie poinformowana i czy dane nie są przechowywane dłużej, niż jest to potrzebne. Z kolei poprawna dokumentacja nie zabezpieczy informacji, jeśli dostęp do komputera pozostaje otwarty dla przypadkowych osób. Zgodność powstaje dopiero wtedy, gdy zasady prawne, organizacyjne i techniczne wzajemnie się uzupełniają.

Zgodność z RODO przy typowych problemach ze sprzętem

Jednym z częstszych problemów jest przekazanie laptopa albo komputera do naprawy bez wcześniejszego ustalenia, jakie dane znajdują się na dysku. Mogą tam być dokumenty klientów, historia korespondencji, zdjęcia, zapisane hasła, pliki księgowe, dane logowania lub informacje dotyczące pracowników. Sam fakt, że urządzenie jest własnością firmy, nie oznacza, że każda osoba wykonująca czynności serwisowe może swobodnie przeglądać całą zawartość. Należy ograniczać zakres dostępu do informacji niezbędnych do wykonania określonego zadania.

Problem może pojawić się również po awarii dysku, wymianie nośnika albo przywróceniu systemu. Jeżeli stary nośnik jest przechowywany bez jasnej procedury, może dojść do niekontrolowanego ujawnienia danych. Podobne ryzyko dotyczy pozostawionych wydruków, niezaszyfrowanych kopii zapasowych, plików tymczasowych oraz kont użytkowników, których nie usunięto po zakończeniu współpracy. W razie podejrzenia naruszenia nie powinno się ograniczać do ponownego uruchomienia komputera. Potrzebne jest ustalenie, jakie dane mogły zostać ujawnione, kiedy doszło do zdarzenia, kto miał dostęp i jakie działania ograniczające można podjąć.

Trudność stanowi także rozróżnienie między naprawą usterki a dodatkowym przeglądaniem zawartości urządzenia. Sprawdzenie działania systemu może wymagać uruchomienia wybranych funkcji, lecz nie powinno prowadzić do otwierania dokumentów niezwiązanych z diagnozą. Wskazane jest wcześniejsze przygotowanie konta technicznego, odłączenie nośników zawierających wrażliwe informacje, wykonanie kopii zapasowej oraz przekazanie jasnych instrukcji dotyczących zakresu prac. Jeżeli pełne wyłączenie dostępu do danych nie jest możliwe, warto udokumentować przyczynę i zastosowane zabezpieczenia.

Zgodność z RODO – praktyczne wskazówki dla użytkownika

Przed przekazaniem urządzenia należy przeprowadzić prosty przegląd danych. Można sprawdzić foldery użytkownika, pulpit, katalog pobierania, programy pocztowe, komunikatory, przeglądarki, zewnętrzne nośniki oraz katalogi synchronizowane z usługami internetowymi. Nie należy zakładać, że usunięcie pliku z pulpitu oznacza jego całkowite usunięcie. Dane mogą pozostawać w koszu, historii kopii zapasowych, plikach tymczasowych albo na innym koncie użytkownika.

• Należy wykonać kopię zapasową ważnych dokumentów i sprawdzić, czy można ją prawidłowo odczytać.
• Warto wylogować się z poczty, komunikatorów, paneli administracyjnych i innych usług, o ile nie utrudni to diagnozy.
• Hasło powinno zostać przekazane wyłącznie w uzgodniony, bezpieczny sposób, a po zakończeniu prac powinno się je zmienić.
• Przed oddaniem sprzętu należy określić, czy nośnik ma pozostać w urządzeniu, zostać zwrócony, czy zostać trwale wymazany zgodnie z przyjętą procedurą.
• Warto zachować informację o zakresie zleconych czynności, osobie przekazującej sprzęt i sposobie odbioru.

W firmie przydatne jest także stworzenie krótkiej procedury obsługi sprzętu zawierającego dane osobowe. Powinna ona określać, kto może zlecić naprawę, kto zatwierdza przekazanie urządzenia, jak ogranicza się dostęp do plików, gdzie przechowuje się nośniki oraz w jaki sposób dokumentuje się odbiór sprzętu. Nie musi to być obszerny dokument. Najważniejsza jest spójność z rzeczywistym sposobem pracy i możliwość wykazania, że ryzyko zostało rozpoznane oraz ograniczone.

Nie powinno się też przechowywać danych bezterminowo tylko dlatego, że miejsce na dysku jest dostępne. Okres przechowywania powinien wynikać z celu przetwarzania, obowiązków prawnych i potrzeb organizacyjnych. Gdy cel ustaje, należy zastosować ustaloną procedurę usunięcia, anonimizacji albo bezpiecznego zniszczenia danych. Takie podejście ułatwia również późniejsze reagowanie na żądania osób, których dane dotyczą.

Kiedy zgodność z RODO wymaga zgłoszenia do serwisu

Do serwisu warto zgłosić się wtedy, gdy urządzenie zawierające dane osobowe przestaje działać, nie uruchamia systemu, wykazuje objawy uszkodzenia dysku, traci pliki, przegrzewa się albo działa w sposób wskazujący na infekcję. Dotyczy to również sytuacji, w której potrzebne jest bezpieczne przygotowanie sprzętu do przekazania innej osobie, wymiana nośnika, odzyskanie dostępu do danych lub uporządkowanie ustawień zwiększających ochronę informacji. Im wcześniej zostanie ograniczone korzystanie z uszkodzonego urządzenia, tym mniejsze może być ryzyko nadpisania plików albo dalszego pogorszenia stanu nośnika.

Przed rozpoczęciem prac powinno się przekazać tylko informacje konieczne do opisania usterki. Nie należy przesyłać całych baz danych ani kopii dokumentów, jeżeli do oceny problemu wystarczy opis objawów. W przypadku urządzenia firmowego przydatne jest wskazanie, czy znajdują się na nim dane klientów, pracowników, kontrahentów lub użytkowników strony internetowej. Pozwala to dobrać sposób postępowania do rzeczywistego poziomu ryzyka.

Warszawskie Pogotowie Komputerowe 24/7 wykonuje naprawy z reguły do 3 dni roboczych, dlatego przy pilnej awarii można od razu ustalić zakres czynności i sposób zabezpieczenia danych przed rozpoczęciem prac. Zgodność z RODO nie polega na unikaniu każdego kontaktu z serwisem, lecz na świadomym ograniczaniu dostępu, przekazywaniu tylko niezbędnych informacji i zachowaniu kontroli nad danymi na każdym etapie obsługi urządzenia.