GDPR – nowa regulacja o ochronie danych osobowych – o co chodzi?

Regulacja ta ma obowiązywać formalnie wszelkie podmioty przetwarzające, przechowujące oraz przesyłające informacje uznane za spełniające kryteria danych osobowych od dnia 25 maja 2018r. W związku z powyższym, podmioty objęte zakresem obowiązywania nowego prawa europejskiego mają obecnie nieco ponad rok na dostosowanie się do jego wymagań.

Warto także nadmienić, iż GDPR ma charakter regulacji, co w praktyce oznacza, odmiennie od dyrektyw unijnych, że kraje członkowskie EU nie muszą tworzyć własnego prawa w tym obszarze; aczkolwiek członkowie „Europejskiego Obszaru Gospodarczego” EEU (and. The European Economic Area) będą zobligowani do jednolitego dostosowania swoich lokalnych regulacji celem wypełniania postanowień  i wymagań prezentowanych przez GDPR.

Regulacja ta pozostawia przestrzeń do wdrożenie spójnych przepisów lokalnych, które muszą zachowywać pełną spójność z GDPR. Bazując na informacjach, jakie można znaleźć na stronach Ministerstwa Cyfryzacji, prowadzone są obecnie prace i konsultacje nad wdrożeniem do „krajowej przestrzeni prawnej” wymagań prezentowanych przez regulacje GDPR. Niesyty nie ma na chwilę obecną dostępnych konkretnych informacji jakie przepisy ulegną zmianie i kiedy zostaną zaprezentowane.

Postawą do powstania ujednoliconej regulacji unijnej jest zaobserwowana w ostatnich latach coraz częstsza konieczność wymiany informacji o charakterze danych personalnych pomiędzy krajami Unii Europejskiej, a także poza nią. Dodatkowo niebagatelnego znaczenia nabiera fakt, iż dane personalne są coraz częściej gromadzone zarówno przez podmioty publiczne jak i prywatne. Cele gromadzenia tego rodzaju informacji są skrajnie różne, od konieczności wypełnienia wymagań prawnych, do szeroko zakrojonego profilowania preferencji konsumenckich. Wszystko to sprawia zauważalną konieczność wdrożenia stosownych regulacji prawnych nadążających za postępem technologicznym w dziedzinie teleinformatyki.

Definicja danych osobowych – „key to the kingdom”

Jako dane osobowe rozumiemy wszystkie informacje które mogą posłużyć do bezpośredniego lub pośredniego zidentyfikowania danej osoby. W świetle zmian wniesionych przez GDPR, także informacje dotyczące: identyfikatora sieciowego, adresu IP, czy też zmiennych przechowywanych w formie ciasteczek (ang. „cookies”), zostały uznane również jako dane osobowe.

Definicję rozszerzają także: informacje powiązane z wizerunkiem (tj. zdjęcia), numery telefonów, metadane profilujące zachowania i preferencje użytkowników, a także dane lokalizacyjne – pozwalające określić miejsce przebywania danej osoby lub śledzić jej przemieszczanie.

Należy także pamiętać o konieczności ochrony szczegółowych informacji powiązanych z daną osobą, zwłaszcza wówczas, gdy zawierają one informacje uznane w przez GDPR za  tzw. „dane wrażliwe” tj: informacje dotyczące stanu zdrowia, przekonań politycznych, religijnych i światopoglądowych, orientacji seksualnej, ujawniające pochodzenie rasowe lub etniczne, przynależność do związków zawodowych, dane genetyczne, dane biometryczne wykorzystywane do jednoznacznego zidentyfikowania osoby fizycznej.

W świetle GDPR aspekty powiązane z definicjami „danych osobowych” i „wrażliwych danych osobowych” ulegają pewnemu doprecyzowaniu (Art.9). Zrozumienie, czasami bardzo „subtelnych” różnic, pomiędzy tymi dwoma kategoriami danych może mieć kluczowe znaczenie i wpłynąć na dobór stosowanych środków zabezpieczających.

Bazując na doświadczeniach pracy ze zbiorami danych osobowych można powiedzieć wprost, zdefiniowanie kryteriów klasyfikacji informacji oraz doprecyzowanie konkretnego ich charakteru nie jest rzeczą prostą. Stąd konieczność przeprowadzenia prac przeglądowych w systemach przetwarzania i danych osobowych w świetle wymagań nowej regulacji. Dane osobowe, niejednokrotnie rozproszone i nieskonsolidowane, w myśl nowej regulacji muszą nabrać charakteru zbiorów uporządkowanych. Administratorzy takich zbiorów muszą posiadać możliwość ich jednoznacznej lokalizacji, wglądu, dokonywania modyfikacji, wykonywania transferów oraz, co ważne, możliwość bezpowrotnego usuwania wskazanych danych osobowych – co w szczegółach definiuje tzw. prawo do „bycia zapomnianym” (o czym w dalszej części cyklu). Wszystko to w heterogenicznym środowisku współczesnych technologii teleinformatycznych (tj. rozwiązania chmurowe orz „BigData”) może stać się ogromnym wyzwaniem dla osób odpowiedzialnych za zbiory danych osobowych. Wprowadzenie stosownych zmian proceduralnych i technologicznych, pozwalających nadążyć za wymaganiami GDPR, może także pociągać za sobą konieczność znaczących inwestycji oraz zaangażowania znaczących zasobów ludzkich.

Jaka jest moja rola w ochronie danych osobowych? – Who Am I ?  –  „Administrator” vs. „Przetwarzający”

Regulacja GDPR definiuje dwie podstawowe role w zakresie przetwarzania i ochrony informacji o charakterze danych osobowych, są nimi: Administrator danych (ang. Data controler) oraz Podmiot przetwarzający (ang. Data processor).

Administrator danych definiowany jest jako podmiot odpowiedzialny (rozliczany) w świetle prawa za przetwarzanie, przechowywanie, przesyłanie powierzonych mu danych osobowych. Podmiot przetwarzający natomiast może zostać powołany przez administratora danych do wykonywania funkcji w zakresie operacji na danych osobowych będących w gestii administratora. Istotne jest to, iż GDPR w jasny sposób wskazuje potrzebę formalnego określenia odpowiedzialności po stronie przetwarzającego przez administratora danych osobowych, który takie przetwarzanie zleca. Dodatkowo w myśl artykułu 81 GDPR, „administrator danych” jest zobligowany do stosownego („dostarczającego wystraczające gwarancje bezpieczeństwa”) doboru „przetwarzających dane”.

Post.Ogólne.81: Aby zapewnić przestrzeganie wymogów niniejszego rozporządzenia w przypadku przetwarzania, którego w imieniu administratora ma dokonać podmiot przetwarzający, administrator powinien, powierzając podmiotowi przetwarzającemu czynności przetwarzania, korzystać z usług wyłącznie podmiotów przetwarzających, które zapewniają wystarczające gwarancje – w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom niniejszego rozporządzenia, w tym wymogom bezpieczeństwa przetwarzania….

Dodatkowo zlecenie przetwarzania powinno być regulowane stosowną umową.

Post.Ogólne.81: „Przetwarzanie przez podmiot przetwarzający powinno być regulowane umową lub innym instrumentem prawnym, które podlegają prawu Unii lub prawu państwa członkowskiego, wiążą podmiot przetwarzający z administratorem, określają przedmiot i czas trwania przetwarzania, charakter i cele przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, oraz które powinny uwzględniać konkretne zadania i obowiązki podmiotu przetwarzającego w kontekście planowanego przetwarzania oraz ryzyko naruszenia praw lub wolności osoby, której dane dotyczą….

Bazując na powyższym, w niezaprzeczalnym interesie administratora danych, będzie zadbanie o posiadanie odpowiednich regulacji formalnych (zweryfikowanych od strony techniczno-proceduralnej jak i prawnej) w zakresie granic systemów przetwarzania danych osobowych. W przypadku stwierdzenia nieprawidłowości lub wykrycia potencjalnego naruszenia, tylko na bazie prawidłowo skonstruowanej umowy administrator będzie mógł dochodzić swoich praw, jak również udowodnić, że dopełnił „należytej staranności” w zakresie swych obowiązków. Pamiętajmy, jak istotne jest to w kontekście wysokich kar.

Z praktycznego punktu widzenia ważne będzie zobligowanie przetwarzających informacje do posiadania odpowiednio usystematyzowanego podejścia do ochrony informacji, w sposób kompleksowy adresującego wszystkie możliwe obszary występowania ryzyka. Jednym z najbardziej popularnych, a jednoczenie skutecznych rozwiązań, jest wdrożenie „Systemu Zarządzania Bezpieczeństwem Informacji” opartego na standardzie ISO27001.

Pamiętać należy, że system taki powinien zostać poddany odpowiedniemu monitorowaniu, celem zachowania jego wysokiej skuteczności. Monitorowanie to może opierać się na „audytach drugiej strony”, podczas których to administrator danych audytuje przetwarzającego (oczywiście na mocy ustaleń stosownej umowy), lub na zewnętrznym poświadczeniu np. przez niezależne centrum certyfikacji. Praktyka operacyjna wskazuje, iż powinniśmy skłaniać się raczej ku pierwszemu ze wskazanych rozwiązań lub rozwiązań łączonych, gdzie bazujemy na zewnętrznym potwierdzeniu lecz wciąż rezerwujemy sobie bezpośrednie prawo do cyklicznej kontroli zgodności. Działanie takie ma na celu uniknięcie tzw. „papierowej zgodności” gdzie teoretycznie system zachowuje kompatybilność z wyznaczonym standardem, lecz w praktyce obserwuje się luki, które mogą skutkować zaistnieniem naruszenia.

–Maciej Pokorniecki.