GDPR/RODO – Wymagania stawiane przed Inspektorem Ochrony Danych

Kto i kiedy jest zobowiązany do powoływania Inspektora Ochrony Danych?

Analizując dogłębnie GDPR należy zauważyć, iż funkcji Inspektora Ochrony Danych nie poświęcono zbyt wiele artykułów. Wydaje się, że konieczność dodefiniowania zakresu bezpośrednich odpowiedzialności tego podmiotu będzie przeniesiona na konkretne regulacje krajowe. Podejście takie wydaje się być rozwiązaniem dość sensownym zważywszy na fakt, iż właściwie każdy z krajów członkowskich Unii Europejskiej posiada już istniejące i funkcjonujące regulacje w zakresie ochrony danych osobowych, które w sensowny (najbardziej odpowiedni dla prawa konkretnego kraju) sposób muszą zostać teraz zmodyfikowane.

Art.37.Par.1 GDPR mówi:

Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:

a)   przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,

b)  główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę, lub

c)   główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10.

W kontekście powyższego artykułu warto zwrócić uwagę na klika ważnych aspektów. Pierwsza i zdaję się, że dość istotna w Polskich realiach kwestia to punkt (a), z którego wynika, iż wszystkie podmioty publiczne, za wyłączeniem sądów, muszą dokonać formalnego powołania Inspektora Ochrony Danych. Nakładając to na dość rozbudowane kompetencje, jakie musi posiadać taka osoba, może okazać się zadaniem dość skomplikowanym.

Pamiętajmy, że jednocześnie GDPR pozostawia dość sporą swobodę w implementacji konkretnych zabezpieczeń i mówi, że ich dobór ma być podyktowany wynikami analizy ryzyka. Tu zaczynają się schody, gdyż (oczywiście to poddajemy także Waszej ocenie) przygotowywania i wykonywania procesu analizy ryzyka nie da nauczyć się z podręcznika (wiedza teoretyczna jest oczywiście niezbędna, lecz to tylko początek), potrzebna jest tu przede wszystkim dobra znajomość środowiska przetwarzania oraz doświadczenie w pracy operacyjnej z zarządzaniem bezpieczeństwem informacji.

Myślę, że każdy z nas boryka się na co dzień z ciągłą koniecznością poszukiwania wykwalifikowanego i doświadczonego personelu potrafiącego kompleksowo adresować zagadnienia bezpieczeństwa. Z pomocą (o czym także wspominano na spotkaniu konsultacyjnym w  Ministerstwie Cyfryzacji) mogą przyjść regulacje pozwalające angażować w roli Inspektora Ochrony Danych podmioty trzecie np. „konsultantów”.

Mówi o tym dość jasno Art.37.Par.6. podkreślając, że Inspektor Ochrony Danych może pełnić swoją funkcje na podstawie umowy o świadczenie usług. Oczywiście wiem część z Was skomentuje to tym, że jest to przestrzeń do robienia interesów i tym podobne. Pozwólcie, że postaram się odłożyć te „sporne” kwestie na bok i skupić nad, tym co jest do wykonania w zakresie powołania funkcji inspektora, bo czy chcemy to robić, czy też nie, w wielu sytuacjach nie mamy po prostu innego wyjścia. Im szybciej przygotujemy/zmienimy naszą wewnątrzorganizacyjną kulturę postrzegania tematyki bezpieczeństwa informacji z określania jej złem koniecznym na integralny element prowadzenia działalności, tym lepiej dla nas.

Ciekawostką jest to, że twórcy rozporządzenia GDPR zauważyli i odnieśli się do konieczności posiadania przez Inspektora Ochrony Danych odpowiedniego poziomu wiedzy. Art.37.Par.5. GDPR mówi:

Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39.

Całkowitą „rewolucją” wydają się zapiski Art.38.Par.2.:

Administrator oraz podmiot przetwarzający wspierają inspektora ochrony danych w wypełnianiu przez niego zadań, o których mowa w art. 39, zapewniając mu zasoby niezbędne do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.

Z powyższego zapisu wynika wprost, iż w końcu pojawia się formalna okoliczność obligująca administratorów o zadbanie, aby Inspektorzy Ochrony Danych byli wyposażeni w odpowiedni i co najważniejsze aktualizowany poziom wiedzy merytorycznej. Myślę, że nikomu nie trzeba mówić jak ważne jest ciągłe doszkalanie się i praktykowanie zdobywanej wiedzy.

Wracając do Art.30., podpunkt (b) mówi, że jeżeli przetwarzamy dane na „dużą skalę” – cokolwiek by to nie znaczyło, także jesteśmy zobowiązani do powołania Inspektora Ochrony Danych. W mojej skromnej opinii na pewno wszyscy operatorzy telekomunikacyjni i sieciowi, wszelkie instytucje prowadzące działalność komercyjną, zwłaszcza detaliczną, w których gromadzi się duże ilości danych osobowych, wszelkie instytucje medyczne (które to dodatkowo przetwarzają dane wrażliwe) będą objęte tym wymogiem.

Nie zapominajmy, iż prowadzenie małej działalności, w której nie zatrudniamy setek pracowników nie zawsze jest okolicznością zwalniającą nas z konieczności wyznaczenia funkcji inspektora… Może zdarzyć się tak, że mała firma zatrudniająca kilka osób przetwarza dane osobowe na znacznie większą skalę niż duża korporacja. Warto w tym momencie nieco bliżej przyjrzeć się nieco „enigmatycznemu” paragrafowi 5 Art.30 GDPR, który mówi:

„Obowiązki, o których mowa w ust. 1 i 2, nie mają zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o czym mowa w art. 10.”

Uściślając ust. 1 i 2, o których mowa w powyższym paragrafie stanowią kolejno:

1.   Każdy administrator oraz – gdy ma to zastosowanie – przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych, za które odpowiadają. W rejestrze tym zamieszcza się wszystkie następujące informacje:

a)      imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych,

b)     cele przetwarzania,

c)      opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;

d)     kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;

e)      gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń;

f)      jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;

g)     jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.

2.   Każdy podmiot przetwarzający oraz – gdy ma to zastosowanie – przedstawiciel podmiotu przetwarzającego prowadzą rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora, zawierający następujące informacje:

a)      imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela, administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych

b)     kategorie przetwarzań dokonywanych w imieniu każdego z administratorów,

c)      gdy ma to zastosowanie –przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń,

d)     jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.

Nie jest to powiedziane wprost, natomiast w moim mniemaniu należy założyć, że jeśli musimy wykonywać tak detaliczne zadania związane z prowadzeniem „rejestru czynności przetwarzania danych osobowych”, przekłada się to automatycznie na posiadanie w gronie pracowników osoby „inspektora” odpowiedzialnej za dopełnienie niezbędnych czynności formalno-praktycznych.

Idąc dalej Art.30.Par.5. z jednej strony zwalnia organizacje zatrudniające mniej niż 250 osób z konieczności prowadzenia rejestrów przetwarzania danych osobowych, co może jednocześnie implikować zwolnienie z  konieczności posiadania wyspecjalizowanej kadry w postaci Inspektora Ochrony Danych, natomiast z drugiej strony widzimy tu bardzo ciekawy zapisek/wyjątek:

chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o czym mowa w art. 10.

W tym konkretnym przypadku wydaje się, że właściwie zawsze może dojść do sytuacji, w której przetwarzaniem danych nawet dwóch czy pięciu osób może doprowadzić do tzw: „ryzyka naruszenia praw lub wolności osób, których dane dotyczą”…

Nie mówiąc już o tym, jak mamy określić przetwarzanie jako „sporadyczne”… Czy sporadycznym przetwarzaniem będzie wyświetlanie rekordu raz na tydzień, raz na miesiąc czy raz na rok – czyż już sam fakt posiadania danego rekordu w bazie nie jest już przypadkiem przetwarzaniem? W tym zakresie musimy pewnie poczekać na regulacje resortowe i ewentualne „kodeksy postępowania”, może te regulacje o charakterze przepisów wykonawczych rzucą więcej światła na zawiłości wspomnianego artykułu regulacji GDPR.

Związki wyznaniowe i kościoły

Podobnie pytaniem otwartym pozostaje co mają zrobić związki wyznaniowe, kościoły czy też fundacje. Przykładowo w uzupełnieniu do Art.30, Art.91 mówi:

1. Jeżeli w państwie członkowskim w momencie wejścia niniejszego rozporządzenia w życie kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem że zostaną dostosowane do niniejszego rozporządzenia.

Co ważniejsze:

2. Kościoły i związki wyznaniowe, które stosują szczegółowe zasady zgodnie z ust. 1 niniejszego artykułu, podlegają nadzorowi niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem że spełnia warunki określone w rozdziale VI niniejszego rozporządzenia.

Bardzo duże słowa uznania należą się w tym zakresie Ministerstwu Cyfryzacji, ponieważ przeprowadziło ono odrębne konsultacje z kościołami i związkami wyznaniowym, także pozostaje mieć nadzieje, że stosowne akty wykonawcze dokonają racjonalnej regulacji także i tego obszaru. Co może niepokoić, to sformułowanie: „zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem że zostaną dostosowane do niniejszego rozporządzenia”

W moim rozumieniu wynika z niego, że tak czy inaczej, instytucje takie muszą dopasować zasady bezpieczeństwa obecnie stosowane do nowego rozporządzenia.

Konsolidowanie funkcji Inspektora Ochrony Danych osobowych

Artykuł 37.Par.2 mówi o tym, iż grupa przedsiębiorstw może wyznaczyć jednego Inspektora Ochrony Danych, o ile będzie istniała możliwość łatwego skontaktowania się z nim. Ma to szalenie istotne znaczenie, zwłaszcza w sytuacji organizacji o dużym rozproszeniu geograficznym, gdzie zatrudnianie odrębnego inspektora w każdym z oddziałów mijałoby się z celem. Oczywiście zważywszy na fakt konieczności posiadania dość sporej wiedzy technicznej i organizacyjnej po stronie Inspektora Ochrony Danych, musimy pamiętać, aby nie przeciążać pojedynczych osób nadmiernym zakresem odpowiedzialności, ponieważ może to się odbić negatywnie na skuteczności ochrony danych osobowych.

Pamiętajmy także, że zgodnie z paragrafem 7 Art.37 Administrator bądź Przetwarzający są zobowiązani do opublikowania danych kontaktowych Inspektora Ochrony Danych oraz poinformowanie o jego tożsamości organ nadzorujący. Co do formy wykonania tego zadania musimy poczekać na stosowne przepisy wykonawcze.

Status i uprawnienia Inspektora Ochrony Danych – niezależność i gwarantowana w pakiecie !? :-)

GDPR dość precyzyjnie określa uprawnienia Inspektora Ochrony Danych. Co bardzo cieszy, osoba taka nie może być już nigdy więcej traktowana zdawkowo i odizolowana od informacji dotyczących przetwarzania i ochrony danych osobowych. Art.38. GDPR mówi między innymi, że administrator i podmiot przetwarzający mają obowiązek właściwego i niezwłocznego włączenia inspektora we wszystkie sprawy dotyczące ochrony danych osobowych. Administrator i podmiot przetwarzający są ponadto zobowiązani do zapewnienia wszelkich niezbędnych zasobów pozwalających należycie pełnić wskazane zadania Inspektorowi Ochrony Danych. Istotne jest to, że należy zagwarantować także dostęp do zasobów pozwalających inspektorowi zachować odpowiedni poziom „wiedzy fachowej”.

Bardzo ciekawym i zarazem intrygującym jest paragraf 3 Art.38, który mówi:

Administrator oraz podmiot przetwarzający zapewniają, by inspektor ochrony danych nie otrzymywał instrukcji dotyczących wykonywania tych zadań. Nie jest on odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Inspektor ochrony danych bezpośrednio podlega najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.

Rozumiemy, że celem powyższego paragrafu jest zapewnienie niezawisłości działań podejmowanych przez inspektora. Jednakże tak dość szeroko zakrojone ograniczenie uprawnień administratora i przetwarzającego względem inspektora może rodzić wiele pytań.

Co w sytuacji, kiedy dostrzega się wyraźne zaniedbania w pracy inspektora w zakresie ochrony danych i jego odwołanie może okazać się niezbędne w celu utrzymania odpowiedniego poziomu ochrony danych osobowych? Czy przepisy wykonawcze do rozporządzenia określą pewną formę „katalogu” działań pozwalających racjonalnie i oczywiście niezależnie ocenić wyniki pracy inspektorów? Czy za każdym razem w sytuacji, kiedy będziemy chcieli odwołać Inspektora Ochrony Danych musimy konsultować to z organem nadzorczym?

W moim odczuciu jest to na pewno obszar wymagający bardzo precyzyjnego dodefiniowania, gdyż dotyka on materii strategicznej powiązanej z najważniejszą instancją ochrony danych osobowych w organizacji.

Bazując na moim doświadczeniu uważam, że bardzo słusznym jest zalecenie, aby Inspektor Ochrony Danych osobowych raportował bezpośrednio do najwyższego kierownictwa organizacji. Wydaje się, że jedynie takie rozwiązanie buduje (choć na pewno nie gwarantuje) uzyskanie odpowiedniego poziomu świadomości i zaangażowania kierownictwa w ochronę danych osobowych. Z doświadczenia mogę jednoznacznie powiedzieć, że aktywne włączenie kierownictwa w proces ochrony informacji jest kluczowym i nadrzędnym czynnikiem sukcesu.

Sto pytań do…

Innym wymogiem, który wydaje się być dość trudnym do praktycznej realizacji, jest wymóg prezentowany w paragrafie 4 Art.38. tj:

Osoby, których dane dotyczą, mogą kontaktować się z inspektorem ochrony danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy niniejszego rozporządzenia.

Najbardziej niejasnym wydaje się stwierdzenie „we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących”; wynika z niego, iż każda osoba, której dane są przetwarzane w zakresie jurysdykcji i uprawnień danego inspektora, może się z nim bezpośrednio skontaktować.

Oczywiście rozwiązanie takie wydaje się sprawiedliwym z punktu widzenia osób, których dane przetwarzamy, lecz czy potencjalne obciążenie inspektorów, jakie może zostać wygenerowane przez tego rodzaju komunikację nie będzie negatywnie spływać na możliwość wykonywania przez nich istotnych funkcji o znaczeniu strategicznym dla ochrony danych osobowych? Myślę, że zrealizowanie tego wymagania będzie wymagało po stronie organizacji nie tylko powołania inspektora, ale także zdefiniowanie dla niego odpowiednich zespołów i narzędzi wsparcia (tj. powołanie jego sekretarza, stworzenie informatycznego systemu rejestrowania zgłoszeń), co może oczywiście bezpośrednio przełożyć się na znaczące podniesienie kosztów związanych z przetwarzaniem danych osobowych.

Rozporządzenie mówi także, iż funkcja Inspektora Ochrony Danych może być łączona z innymi funkcjami, lecz mając na uwadze jednoczesną konieczność zachowania wysokiego poziomu niezawisłości, wydaje się, że liczba funkcji, jaką może pełnić inspektor jest znacząco ograniczona. Rozporządzenie także jasno mówi o tym, że to administrator i przetwarzający są odpowiedzialni za takie określenie zadań inspektora, aby jego obowiązki nie powodowały konfliktu interesów.

Co tak właściwie ma robić Inspektor Ochrony Danych – „inspektorować” ? :-)

Artykuł 39 wyznacza pięć zasadniczych obszarów odpowiedzialności Inspektora Ochrony Danych, obejmują one:

a)   informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie,

b)  monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty,

c)   udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35,

d)  współpraca z organem nadzorczym,

e)   pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach.

Jak widać, rozporządzenie w sekcji określania odpowiedzialności Inspektora Ochrony Danych nie definiuje jednak specyficznych zadań, są one podyktowane pozostałymi artykułami rozporządzenia oraz będą specyfikowane w stosownych rozporządzeniach i aktach wykonawczych.

W moim odczuciu, jedno na co warto zwrócić uwagę, to punkt (c), na mocy którego inspektor zobowiązany jest do: „udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych”.

Punkt ten dotyka innej dość istotnej materii odpowiedzialności administratorów i przetwarzających, otóż chodzi tu o zapewnienie pełnej rozliczalności w zakresie działań związanych z ochroną danych osobowych, przekłada się to w praktyce na konieczność posiadania systemu zarządzania bezpieczeństwem, który „można rozliczyć” – czyli sprawdzić skuteczność i efektywność jego działania w każdym momencie czasu.

Jak to się ma do działań praktycznych; otóż musimy sobie zdać sprawę, że zarządzanie bezpieczeństwem danych osobowych nie będzie mogło nigdy więcej być działaniem doraźnym, wykonywanym raz na jakiś czas. Rozporządzenie wymaga od nas tego, aby prowadzić ciągłe monitorowanie i korygowanie działań podejmowanych w zakresie ochrony danych osobowych. Właśnie ten aspekt może się w sposób najbardziej znaczący przekładać na konieczność zmian w zakresie czynności wykonywanych przez Inspektorów Ochrony Danych. Po wejściu w życie rozporządzenia będą oni musieli wykonywać ściśle określone i zaplanowane zadanie w reżimie stałym (żeby nie powiedzieć codziennym).

Nakładając na powyższe także wymóg prezentowany w artykule 38 punkt 2, który mówi, że Inspektor Ochrony Danych ma: „wypełniać swoje obowiązki z uwzględnieniem ryzyka związanymi z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania”. Rysuje się nam obraz sytuacji, który wymaga bardzo kompleksowego podejścia do bezpieczeństwa, osadzonego w nowych realiach jakościowych. Zakładam, że nigdy więcej nie będzie już oceniana „dobra wola i dobre intencje”, tylko efektywność podejmowanych działań.

Posumujmy – rozpocznijmy pisać „JD” dla nowego stanowiska…

Podsumowując kwestie związane z wymaganiami, jakie w świetle GDPR zostają nałożone na  funkcję Inspektora Ochrony Danych, należy zauważyć przede wszystkim, że jest to całkowicie przedefiniowana rola, tylko częściowo powiązana z obecnymi odpowiedzialnościami ABI (Administrator Bezpieczeństwa Informacji).

Główna zmiana polega na znaczącym rozszerzeniu jego uprawnień, ale i odpowiedzialności. Myślę, że z punktu widzenia świadomości wszystkich osób odpowiedzialnych za bezpieczeństwo, zrozumienie nowych funkcji i przebudowanie naszego światopoglądu, a także wpisanie się w nowy zakres obowiązków, jaki będzie spoczywać na osobach odpowiedzialnych za bezpieczeństwo nie powinno być zadaniem bardzo trudnym; wszakże na codzień musimy toczyć ciągłe batalie ze zmieniającymi się regulacjami, galopującym rozwojem technik teleinformatycznych – powiązanymi z nimi podatnościami, słabościami czynnika ludzkiego i finalnie wciąż wyprzedzającymi nas o krok napastnikami.

Myślę, że tak naprawdę najtrudniejsze zadanie spoczywać będzie na osobach odpowiedzialnych za zarządzanie organizacjami. Wynika to z faktu, że muszą one całkowicie przebudować i zmienić swoje postrzeganie domeny bezpieczeństwa danych osobowych. Do tej pory pokutuje raczej wyobrażenie konieczności ochrony danych osobowych jako zła koniecznego. Można oczywiście z tym bardzo długo polemizować, natomiast moje zdanie jest następujące – dane osobowe i inne cenne zasoby informacyjne organizacji należy odpowiednio chronić, czy obszar ten jest regulowany przez GDPR czy też nie.

Powinniśmy wykorzystać wprowadzenie nowych regulacji bazujących na GDPR, jako szansę na zrewidowanie organizacyjnego podejścia do zarządzania bezpieczeństwem informacji w szczególności ochrony danych osobowych. Jeśli uda się przeorientować podejście z modelu, w którym „ryzyko zarządzają nami” na model, w którym „my zarządzamy ryzkiem”, na pewno finalnie będziemy zadowoleni z rezultatów. Oczywiście nie jest to zadanie łatwe i dobrze się o nim pisze, ale moje doświadczenia wskazują, że da się taki model z sukcesem wdrożyć przy wspólnym wysiłku wszystkich departamentów i pracowników organizacji. Tutaj gorący apel do czytelników będących reprezentantami kadr zarządzających, proszę popatrzcie na Waszych administratorów bezpieczeństwa nie z perspektywy kosztu, lecz z perspektywy szansy na lepszą ochronę informacji, a przez to szansy dla Waszej organizacji na posiadanie lepszej pozycji rynkowej.

–Maciej Pokorniecki