Bezpieczeństwo Przekazujesz dane osobowe do chmury?

W obliczu rozporządzenia RODO i gigantycznych kar grożących za jego naruszenie przedsiębiorcy, którzy korzystają z systemów informatycznych dostarczanych przez zewnętrzne firmy, powinni dokonać głębokiej analizy aktualnych i przyszłych dostawców. Dlaczego? Dlatego, że kary za naruszenie przepisów grożą administratorowi danych (czyli przedsiębiorcy) i to administrator musi zadbać o to, by dane przekazywane do przetwarzania zewnętrznym dostawcom były przez nich przetwarzane zgodnie z wymogami rozporządzenia.

RODO to Rozporządzenie Ogólne o Ochronie Danych Osobowych, które zostało przyjęte przez Parlament Europejski i Radę UE 14.04 2016 r. Rozporządzenie jest stosowane wprost, czyli obowiązuje wszystkich przedsiębiorców (i zastąpi przepisy polskiej ustawy o ochronie danych osobowych). Przepisy weszły w życie 25 maja 2018 roku.

Rozporządzenie to nakłada na firmy dodatkowe obowiązki w zakresie ochrony danych osobowych. Naruszenie przepisów będzie wiązać się z ryzykiem nałożenia na przedsiębiorstwa kary finansowej do 20 mln euro lub 4% wartości rocznego obrotu przedsiębiorstwa (w zależności do tego, która kara jest dotkliwsza). Ponadto, przedsiębiorstwo będzie musiało poinformować o fakcie nieprzestrzegania przepisów krajowy organ nadzorczy tj. UODO, a poszkodowany będzie mógł żądać odszkodowania od firmy przetwarzającej jego dane (aktualnie nie ma takiej możliwości). Nie ma znaczenia czy dane przetwarzane są wewnątrz organizacji, czy są powierzane do przetwarzania (jak ma to miejsce w przypadku korzystania z zewnętrznych systemów informatycznych), odpowiedzialność za naruszenie wymogów jest po stronie administratora danych, czyli przedsiębiorcy.

Dlatego, jeśli korzystasz z zewnętrznych systemów informatycznych, w których przetwarzane są dane osobowe, których jesteś administratorem, tak ważny jest wybór właściwego systemu i właściwej firmy do współpracy. Im wyższa świadomość naszego partnera w zakresie bezpieczeństwa informacji i im więcej zabezpieczeń ma system, tym mniejsze ryzyko dla nas.

Jest kilka pytań, które warto zadać, zanim wybierzemy konkretną firmę do współpracy. Taką analizę zalecamy wykonać także w stosunku do aktualnych partnerów biznesowych, którzy dostarczają rozwiązania technologiczne Twojej firmie. Oczywiście poniższa lista nie pokrywa wszystkich zagrożeń związanych z przekazaniem danych osobowych do zewnętrznych systemów. Każdy świadomy przedsiębiorca powinien indywidualnie określić swoje własne kryteria akceptacji ryzyka.

Jeśli takich dokumentów brak lub są zdawkowe, od razu powinna zapalić się nam czerwona lampka.

Zgodnie z RODO podpisanie takiej Umowy z procesorem (w tym wypadku dostawcą systemu informatycznego) jest obowiązkowe. Twoja firma musi zapewnić, że taka Umowa zostanie podpisana, a jako administrator danych powinieneś posiadać odpowiedni wzór umowy w swojej organizacji. Mile widziane będzie jednak, jeśli taki wzorem dysponuje dostawca. Pokazuje to jaki poziom świadomości przepisów posiada dana firma. Umowa ta, zgodnie z art. 28 RODO, powinna określać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, obowiązki i prawa administratora, a także obowiązki procesora. Oprócz wymogu szczegółowego opisu procesu powierzenia przetwarzania danych, RODO wskazuje również obowiązki procesora, których wyliczenie powinno znaleźć się w zawieranej umowie (art. 28 ust. 3 pkt a)-h) RODO). Zaliczamy do nich m.in.:

• przetwarzanie danych osobowych wyłącznie na udokumentowane polecenie administratora,
• zapewnienie, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy,
• podejmowanie wymaganych środków zabezpieczających przetwarzane dane osobowe,
• pomoc administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą,
• po zakończeniu świadczenia usług związanych z przetwarzaniem, usunięcie lub zwrot wszelkich danych osobowych oraz usunięcie istniejących kopii (zależnie od decyzji administratora).

Kluczowa zmiana, którą wprowadza RODO polega na tym, że przepisy obowiązują każdego przedsiębiorcę wprost, ale nie określają JAK firmy mają realizować nowe obowiązki. Oznacza to, że nie ma już katalogu zabezpieczeń, które system informatyczny musi mieć, aby spełniać wymogi ustawy. Każdy przedsiębiorca ma dokonać samodzielnej analizy i zdecydować czy zabezpieczenia oferowane przez dany system są wystarczające i czy akceptuje ryzyka w przypadku ich braku. Z naszego doświadczenia absolutny „must have” w przypadku systemów informatycznych to:

• szyfrowane połączenie np. Certyfikat EV SSL 256 bit
• autoryzacja dostępu do systemu poprzez co najmniej login i hasło
• regulamin systemu zabraniający współdzielenie danych do logowania
• konieczność okresowej zmiany hasła.

Nie jest to wymóg RODO, ale współpraca z firmą z Unii Europejskiej jest niewątpliwie dużo bezpieczniejsza. Choćby z racji tego, że wymogi RODO obowiązują każdego przedsiębiorcę z UE. Nie da się także ukryć, że podejście firm europejskich do tematu ochrony danych osobowych jest dużo bardziej restrykcyjne niż np. prezentowane prze firmy z USA. Europa to prywatność i ochrona danych, Stany Zjednoczone to swoboda gospodarcza oraz wolność i wyrozumiałość, także w kontekście przepisów.

Co prawda, 12 lipca 2016 r. Komisja Europejska dała zielone światło dla nowych zasad przekazywania danych osobowych z UE do USA (nowy pakiet nazywa się Privacy Shield – Tarcza Prywatności) i jest to zgodne z prawem. Ale czy korzystanie z systemów dostarczanych przez firmy z USA jest faktycznie bezpieczne? Nie można zapomnieć, że poprzednie tego typu porozumienie tzw. Safe Harbour wyrokiem Trybunał Sprawiedliwości UE z 5 października 2015 r. zostało unieważnione. TSUE stwierdził, że Safe Harbour nie gwarantował wystarczającej ochrony praw podstawowych, w szczególności prawa do prywatności w związku z przetwarzaniem danych osobowych, a deklaracje firm amerykańskich o tym, że chronią one dane osobowe tak samo, jak podmioty europejskie, są po prostu iluzoryczne.

W każdym razie, jeśli rozważasz podpisanie Umowy z firmą amerykańską, należałoby sprawdzić czy firma spełniła choćby wymóg formalny, czyli czy przystąpiła do Privacy Shield.

Nie można zapomnieć, że poprzednie tego typu porozumienie tzw. Safe Harbour wyrokiem Trybunał Sprawiedliwości UE z 5 października 2015 r. zostało unieważnione. TSUE stwierdził, że Safe Harbour nie gwarantował wystarczającej ochrony praw podstawowych, w szczególności prawa do prywatności w związku z przetwarzaniem danych osobowych, a deklaracje firm amerykańskich o tym, że chronią one dane osobowe tak samo, jak podmioty europejskie, są po prostu iluzoryczne.

W każdym razie, jeśli rozważasz podpisanie Umowy z firmą amerykańską, należałoby sprawdzić czy firma spełniła choćby wymóg formalny, czyli czy przystąpiła do Privacy Shield.

Zgodnie z artykułem 4 pkt. 1 RODO „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Tym samym KAŻDA firma ma do czynienia z danymi osobowymi – to nie tylko imię i nazwisko, ale również informacje o klientach, pozwalające m.in na kategoryzowanie ich względem ich cech lub przyzwyczajeń, adres e-mail, miejsce pracy, a nawet, w wybranych przypadkach, numer IP wykorzystywany do identyfikacji korzystających z Internetu! Idąc tym tropem, każda firma zarejestrowana na terenie UE musi spełnić powyższe wymogi. Jeśli dostawca je spełnia daje Ci to potwierdzenie, że jest firmą o dużym poziomie świadomości w zakresie bezpieczeństwa informacji, a tym samym minimalizuje ryzyko poniesienia odpowiedzialności za jego naruszenia, która spoczywa na Tobie.