Chyba nie ma już dziś osoby, która nie słyszałaby o unijnym rozporządzeniu o ochronie danych osobowych (RODO). Przepisy wchodzą w życie 25 maja, co oznacza, że grzywny za niezachowanie zgodności z nowym prawem czają się tuż za rogiem. Zapraszamy do zapoznania się z pięcioma poradami, które pozwolą uniknąć nieprzyjemnych incydentów.
Warto pamiętać, że droga do sfinalizowania unijnej dyrektywy była długa i wyboista – wszystko zaczęło się w 2012 roku, kiedy Komisja Europejska zaproponowała kompleksową reformę przepisów o ochronie danych z 1995 r. Propozycje zmieniły się w plany, a te stają się wreszcie rzeczywistością. Po wszystkich rozmowach, komentarzach, radach i debatach, okres dostosowawczy dobiega końca. W tym czasie bynajmniej nie brakowało informacji o tym, czego można oczekiwać po nowych regulacjach. Ogromna ilość literatury związanej z RODO (ang. GDPR, General Data Protection Regulation) jest jednak uzasadniona, zważywszy na skutki rozporządzenia.
RODO wywrze głęboki wpływ na wszystkie organizacje, które są odpowiedzialne za przetwarzanie i przechowywanie danych osobowych obywateli Unii Europejskiej. W praktyce oznacza to, że odczują go również firmy spoza Europy. W istocie każda organizacja, która prowadzi interesy z partnerem w Europie, będzie podlegać nowym regułom. W dzisiejszym cyfrowym świecie bez granic globalne przedsiębiorstwa będą zobligowane przestrzegać tych samych przepisów dotyczących przetwarzania informacji osobowych.
Przypomnijmy, że grzywny mogą być bardzo wysokie: do 4 proc. rocznego obrotu organizacji albo 20 milionów euro – w zależności od tego, która kwota jest większa. W obliczu nadchodzącego terminu wejścia w życie nowego prawa, warto dokładnie i kilkukrotnie sprawdzić to, czy firma jest odpowiednio przygotowana. Ryzyko niezgodności z przepisami i grożące kary finansowe są zbyt duże, żeby zdać się na łut szczęścia.
Andrzej Niziołek z Veeam Software w prosty sposób opisuje kilka istotnych aspektów, na które warto zwrócić uwagę podczas końcowego odliczania.
- Upewnij się, że każdy wie o nowych przepisach
Niektóre firmy i organizacje przygotowujące się na RODO mianują albo już mianowały inspektora ochrony danych osobowych. W istocie w niedawnym artykule w IT Pro można było przeczytać o firmach nerwowo poszukujących kandydatów na to stanowisko. Nawet jeśli niektóre zwlekały z zatrudnieniem takiego specjalisty zbyt długo, rekrutacja takiej osoby to rozsądna decyzja, ponieważ inspektor nie tylko jest przydatnym ekspertem, ale może być również orędownikiem RODO – kimś, kto zaznajomi całą firmę z najlepszymi praktykami RODO. Co więcej, będzie umiał zarekomendować narzędzia, które pomogą w tworzeniu zapasowych kopii danych na wypadek ataku.
Ale nawet przedsiębiorstwa, które nie planują zatrudnić inspektora danych osobowych, powinny pamiętać, że RODO jest sprawą całej organizacji. Oznacza to, że wszyscy kluczowi interesariusze powinni dobrze zrozumieć implikacje i wymagania nowych przepisów oraz ich wpływ na procesy w firmie.
- Przeprowadź audyt danych
W tym momencie każda firma powinna już wiedzieć, jakie dane osobowe posiada w swoich zasobach informatycznych, gdzie i jak są one przechowywane oraz skąd pochodzą. Organizacje powinny też wiedzieć, dlaczego są w posiadaniu tych informacji oraz w jaki sposób je uzyskały. Lokalne agencje ds. zgodności z RODO mogą im zadać każde z tych pytań.
Jeśli Twoja firma nie dysponuje takim poziomem wiedzy, czas się pospieszyć i znaleźć odpowiedzi na pytania. Od końca maja 2018 r. trzeba będzie umieć określić podstawę prawną do przetwarzania danych. Władze nie będą pobłażać firmom, które padają ofiarą ataków, a nie mają kopii zapasowych, które zapewniałyby bezpieczeństwo danych. Grzywny są realne, o czym niebawem przekonamy się na czyimś przykładzie.
- Zapoznaj się z prawami konsumentów dotyczącymi prywatności
Jedną z dużych zmian, jakie przynosi RODO, są większe prawa obywateli związane z zarządzaniem danymi. Warto przywołać w tym miejscu konkretny przykład dowodzący siły tego narzędzia – w ciągu trzech minionych lat do Google wpłynęło 2,4 mln wniosków o usunięcie wyników wyszukiwania. Liczba ta szybko wzrośnie, kiedy ludzie lepiej zrozumieją swoje prawo do bycia zapomnianym.
Oprócz tego właściciele danych osobowych będą mogli domagać się dostępu do informacji personalnych albo do otrzymania ich kopii (w czytelnym dla nich formacie). Jeśli nie chcesz, żeby prawo to stało się dużym obciążeniem dla Twojej organizacji, upewnij się, że możesz oznaczyć lokalizację każdego zbioru danych, aby w razie potrzeby móc uzyskać do niego dostęp. To mała zmiana, które może przynieść duże korzyści.
- Stwórz plan na wypadek naruszenia ochrony danych
Według przepisów RODO organizacje muszą zgłosić naruszenie ochrony danych w ciągu 72 godzin od jego wykrycia. Nie zostawia to wiele czasu, zwłaszcza że pierwsze godziny po włamaniu będą bardzo nerwowe ze względu na konieczność zabezpieczenia śladów i zapanowania nad sytuacją. W rezultacie trzeba zadbać o przygotowanie właściwego planu, który umożliwi wykrycie, zgłoszenie i opanowanie incydentu, jeśli do niego dojdzie.
Tu może pomóc dodatkowe oprogramowanie do raportowania. Narzędzia, które pozwalają firmom dokładnie wskazać lokalizację repozytoriów kopii zapasowych, mogą oszczędzić dużo czasu podczas zgłaszania incydentu A jeśli dane staną się niedostępne z powodu złośliwego oprogramowania, technologie do przywracania umożliwią ich łatwe odzyskanie.
- Nie przestawaj udoskonalać wewnętrznych procedur
Oczywiście dobrze jest mieć plan, ale jeszcze lepiej jest pozostawić miejsce na ciągłe ulepszenia. Zwłaszcza wówczas, kiedy w grę wchodzi dostępność, jakość i bezpieczeństwo danych – kiedy dane stają się jednym z najcenniejszych zasobów naszych czasów.
Zważywszy na tempo, w jakim zmienia się współczesny świat, jest bardzo prawdopodobne, że w najbliższych latach będzie zmieniał się również krajobraz cyfrowy – nawet jeszcze szybciej niż w ciągu minionej dekady. Dlatego trzeba iść z duchem czasu, testując nowe technologie i ewoluując wraz z nimi. RODO nie kończy się 25 maja, ale właśnie wtedy się dopiero zaczyna.
Autor: Andrzej Niziołek
