Jak powszechnie wiadomo, RODO wprowadza możliwość nakładania znacznych kar na organizacje, które nie będą w dostateczny sposób chronić danych osobowych. Wysokość kwot, o których mowa w RODO (4% globalnych przychodów firmy lub 20 mln euro) pobudza wyobraźnię i jest często przywoływana w dyskusjach. Czy jednak trzeba się nastawiać, że takie kary rzeczywiście będą wymierzane?

Trzeba racjonalnie podejść do przechowywania danych osobowych, dbając o ich bezpieczeństwo i nie lekceważyć wymagań wynikających z RODO. W wielu organizacjach jest to dobry moment na weryfikację, czy posiadane dane osobowe są niezbędne do prowadzenia działalności. W przypadku naruszeń bezpieczeństwa przedsiębiorstwo będzie musiało wykazać, że podejmowało dobre decyzje dotyczące przetwarzania danych osobowych, jak komentuje wprowadzenie przepisów Jolanta Malak, regionalna dyrektor Fortinet w Polsce.

Czytaj także: RODO puka do drzwi. Akredytowany kurs inspektora ochrony danych (IOD). Recenzja oraz sprawdź zapisy na najbliższe akredytowane kursy IOD >>

Włamania są nieuniknione

Według badania przeprowadzonego przez Fortinet aż 95% przedsiębiorstw w Polsce padło ofiarami naruszenia bezpieczeństwa w latach 2015–2017. Warto w tym miejscu przywołać jeszcze dane z raportu Trustwave z 2017 roku o bezpieczeństwie globalnym. Cyberprzestępca ma przeciętnie 65 dni zanim jego atak zostanie wykryty. Im dłużej takie „okno” pozostaje otwarte, tym więcej czasu przestępca może poświęcić na wyszukanie, znalezienie i kradzież danych.

Jeśli przedsiębiorstwo wykryje naruszenie ochrony danych osobowych objęte przepisami RODO, ma 72 godziny na zgłoszenie tego faktu właściwemu organowi nadzorczemu, chyba że, o czym mówi art. 33 RODO, „jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych”. Oznacza to, że w ciągu trzech dni przedsiębiorstwo powinno określić, kogo danych osobowych dotyczyło naruszenie, jakie dane osobowe zostały narażone na zagrożenie oraz jaki jest stopień potencjalnego wpływu tego naruszenia na określone osoby fizyczne.

Jeśli natomiast przedsiębiorstwo nie zgłasza przypadku naruszenia ochrony danych podmiotom zewnętrznym, musi uzyskać całkowitą pewność, że przepisy RODO na to zezwalają.

Nowoczesne zabezpieczenia to podstawa

Przepisy RODO zachęcają przedsiębiorstwa także do wdrażania nowoczesnych technologii zabezpieczających. Mówi o tym art. 25 rozporządzenia: „uwzględniając stan wiedzy technicznej, […] administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania – wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych […]”.

Chociaż RODO nie definiuje w żadnym miejscu pojęcia „uwzględniające stan wiedzy technicznej”, to jednak wyraźnie wskazuje, że jest nim objęta pseudonimizacja. Polega ona na zastępowaniu identyfikatorów osobowych, takich jak imiona i nazwiska, ciągami odwracalnych, spójnych znaków służących za pseudonim. Kluczem jest oddzielny plik, który zestawia poszczególne identyfikatory osobowe z przypisanymi im pseudonimami. Natomiast określenie, które technologie można uznać za nowoczesne, po prostu ewoluuje w miarę jak zmienia się rynek rozwiązań IT.

Nie czas na panikę

Do momentu wejścia w życie przepisów RODO nikt tak właściwie nie wie, jak poszczególne kraje będą te przepisy egzekwować. Ciekawa w tym kontekście jest wypowiedź Elizabeth Denham, brytyjskiej komisarz ds. informacji, która na swoim blogu napisała: Sianiem paniki jest sugerowanie, że od początku będziemy przykładnie karać przedsiębiorstwa za drobne naruszenia albo że kary maksymalne staną się normą.

Niemniej trzeba być gotowym na to, że RODO skieruje uwagę na wszystkie aspekty dotyczące podejścia przedsiębiorstwa do kwestii bezpieczeństwa. Każda organizacja na świecie, która przetwarza dane osobowe rezydentów UE, musi teraz rzetelnie ocenić swoją infrastrukturę zabezpieczeń informatycznych i wyciągnąć z tej oceny odpowiednie wnioski. Należy to oczywiście zrobić skrupulatnie i ostrożnie, z pewnością jednak nie ma potrzeby popadać w panikę.

Źródło: Fortinet