Strona główna Blog

Drony, videopatrole i ochrona danych osobowych w fazie projektowania

Przez
Grzegorz Krzeminski
-

Czyli data protection by design w praktyce

Zanim przejdziemy do omówienia zagadnienia tytułowego, warto przypomnieć pewne zasady, które są fundamentami ochrony danych. A tak naprawdę ochrony osoby fizycznej, w związku z przetwarzaniem jej danych.  Pierwszą zasadą jest to że wszelkie procesy, operacje, czynności, w których występują dane osobowe muszą być zaplanowane. Nic nie może być dziełem przypadku. Dopiero na podstawie pełnej świadomości oraz planowania przetwarzania danych osobowych w procesach biznesowych można uzyskać zgodność z RODO, a więc przede wszystkim zasadami fundamentalnymi wyrażonymi w art 5. 

Zasady te są uszczegóławiane w dalszych rozdziałach i przepisach RODO, tak aby wskazać administratorowi oraz podmiotowi przetwarzającemu konkretne działania. Nie każde są sprecyzowane co do pojedynczych czynności, te już administrator lub procesor muszą zaplanować i realizować samodzielnie tak, aby uzyskać wymagany efekt. Poniżej cytat z art 25 ust. 1 RODO, bo na nim się dziś skupimy. 

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania, administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania –wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

Tu należy się wyjaśnienie. W dzisiejszym artykule zajmę się tylko “data protection by design” czyli ochroną danych w fazie projektowania. Nie będę dziś wyjaśniał też, że to nie jest privacy by design, co w pewnych momentach zakrawa czasem na nieznajomość RODO przez tzw. praktyków (wystarczy przeczytać przepis). 

Ochrona osób i mienia – wprowadzenie

Ochrona osób i mienia jest realizowana w konkretnych, określonych przepisami formach. Są one zawarte w art. 3. 

Art.  3.  [Formy realizowania ochrony osób i mienia]

Ochrona osób i mienia realizowana jest w formie:

  1. bezpośredniej ochrony fizycznej:
    1. stałej lub doraźnej,
    2. polegającej na stałym dozorze sygnałów przesyłanych, gromadzonych i przetwarzanych w elektronicznych urządzeniach i systemach alarmowych,
    3. polegającej na konwojowaniu wartości pieniężnych oraz innych przedmiotów wartościowych lub niebezpiecznych;

Tu również należy się kilka słów wprowadzenia. Forma stała bezpośredniej ochrony to nasz ochroniarz pełniący służbę czy dyżur na obiekcie. Doraźna to grupa patrolowa czy interwencyjna (tylko interwencyjna jest doprecyzowana w przepisach). Zarówno stała jak i doraźna mogą być realizowane przez posterunki stałe lub doraźne oraz patrole stałe lub doraźne. 

Druga z form (konwoje i transport dziś pominiemy) bywa trudna do zrozumienia na pierwszy rzut oka przez osoby niezwiązane z branżą. Monitorowanie bardzo często kojarzy się z zabezpieczeniem technicznym (ust. 2 a art. 3 Ustawy o ochronie osób i mienia). Jednak monitorowanie jest czymś zupełnie innym. Na podstawie sygnałów pracownik ochrony podejmuje konkretne czynności, mające na celu ochronę zdrowia i życia oraz mienia. Informuje właściciel czy zarządców, dysponuje na miejsce grupę interwencyjną czy patrolową, informuje służby państwowe np. Straż Pożarną.

Wideo patrole, zdalne patrole, w tym wykonywane dronami

Działania te z reguły są formą ochrony polegającą na monitorowaniu sygnałów alarmowych z systemów i urządzeń (np kamery drona). W momencie, gdy zmieniamy formę ochrony ze stałej, bezpośredniej (doraźna często zostaje) na rzecz monitorowania z punktu widzenia może dojść do zmian, które wymagać będą realizacji zadań z art. 25 RODO.

WAŻNE: jeśli ze zmianą łączy się uzupełnienie systemu monitorowania czy jego zamontowanie, czy wdrożenie drona do patroli to zmiana wystąpi ZAWSZE. 

Co się zmienia? 

Zmienia się cały proces, poza celem, który jest ten sam. Zmienia się zakres przetwarzanych danych (wizerunek, zachowania), sposób przetwarzania (pojawiają się serwery dokumentujące wykonanie patroli wideo, czasem zapisy w postaci raportów w systemach monitorowania, sieć po które jest transmisja, często bezprzewodowa), zmieniają się podmioty przetwarzające i … podmioty, którym procesor powierza przetwarzanie (podprocesorzy) np. chmura, w której zapisy będą przechowywane. 

To wszystko wpływa z kolei na obowiązki. Wiele osób powie – informacyjne, ale ten akurat jest na samym końcu. Wróćmy do art. 25 RODO. Nowy sposób przetwarzania musi być zaplanowany. Wszystkie aspekty należy rozważyć, mając dane wejściowe. Np. informacje o tym, gdzie są przechowywane nagrania z drona. Na chwile zatrzymam się. W USA kilka lat temu doszło do sytuacji, w której uziemione zostały drony użytkowane przez Straże Ochrony Parków Narodowych. Ogromny wyłom w systemie bezpieczeństwa, bo były to tysiące urządzeń. Uziemienie wynikało z analizy danych i miejsca ich przechowywania. Okazało się, że chiński producent gromadzi dane wysyłane z drona na swojej chmurze. Uznano to za incydent bezpieczeństwa państwa. 

W przypadku, gdy drony użytkowane do ochrony osób i mienia (lub kamery czy systemy monitorowania) będą miały podobne konfiguracje, a dane będą trafiać na serwery poza tzw. EOG (nawet do USA), oznaczać to będzie transfer danych do państwa trzeciego. A to już wymaga szeregu dodatkowych działań po stronie administratora (klienta). 

Co więc należy zrobić? 

Projektując nowy proces ochrony osób i mienia, należy z punktu widzenia RODO zrealizować zadania opisane w art. 25. Krótki wykaz poniżej dla najbardziej typowych zadań, jednak należy pamiętać, że każdy obiekt jest inny, każda firma jest inna, więc może to wyglądać różnie. 

  • Krok pierwszy – ocena prawnie uzasadnionego interesu administratora (tzw. LIA – legitimate interest assessment). Wynika to z faktu, że ochrona osób i mienia oparta jest o podstawę, którą jest właśnie prawnie uzasadniony interes administratora (ochronę swojego majątku). 
  • Krok drugi – szacowanie i ocena ryzyka związana z przetwarzaniem danych w projektowanym procesie. Dokładnie w tej kolejności. Jeśli proces nie przejdzie oceny z LIA, to nie ma co oceniać i szacować. 
  • Krok trzeci – opcjonalny. Jeśli dochodzić będzie do podpowierzenia przetwarzania (np. agencja ochrony będzie korzystać z zewnętrznych serwerów video, czy obsługi dronów) to należy przejrzeć i zmodyfikować umowy powierzenia. 
  • Krok czwarty – aktualizacja informacji dla osób, których dane dotyczą. Klientów, rodziny, interesariuszy podmiotu chronionego. 

Ryzyko z zabezpieczeń

Od samego początku szkoleń z analizy zagrożeń oraz szacowania i oceny ryzyka (od 2007 roku) wskazuję na coś, co nazywam ryzykiem z zabezpieczenia. Oznacza to, że wdrożenie zabezpieczenia może powodować zagrożenia i ryzyko w innych obszarach. Np. zabezpieczenie drzwi ewakuacyjnych, jako ochrona przed włamaniem może usunąć zabezpieczenie w zakresie ochrony ppoż polegające na drożności dróg ewakuacyjnych. 

Tym razem w przypadku zaniechania czynności z art. 25 (na razie tylko w fazie projektowania) może dojść do sytuacji, w której błędnie (z punktu widzenia RODO) wdrożone rozwiązania mogą doprowadzić do konkretnych skutków. Nie zawsze jest nim ten, który wszyscy mają na myśli – a więc finansowy. 

Tak, ten będzie akurat z tzw. “górnej półki”, ponieważ brak projektowania, nieuprawnione podpowierzenie, a nawet transfer danych (tu analiza TIA – transfer impact assessment) godzą bezpośrednio w zasady fundamentalne z art. 5 RODO. 

Jednak jest poza tym uprawnienie władcze organu. W sytuacji stwierdzenia braku stosowania RODO może wydać on decyzję o całkowitym bądź tymczasowym zakazie przetwarzania danych. Oznacza to, że system ochrony osób i mienia będzie wyłączony do czasu, gdy nieprawidłowości zostaną usunięte. Nieprawidłowości nie tylko rozumiane jako błędy w zabezpieczeniach, ale np. brak szacowania i oceny ryzyka, czy brak podstawy do podpowierzenia danych do kolejnego procesora w łańcuchu. 

NSA vs UODO w sprawie Morele

Przez
Grzegorz Krzeminski
-

W artykule:

  • Znajomość procesu szacowania i oceny ryzyka nie oznacza posiadania wiedzy fachowej z zakresu zagrożeń i stosowanych zabezpieczeń.
  • Zagrożenia, podatności oraz zabezpieczenia i ich ocena to rola osób specjalizujących się w tej dziedzinie, często posiadających uprawnienia państwowe.
  • Ocena systemu polega na sprawdzeniu poprawności implementacji procesu zarządzania ryzykiem, a nie na ocenie obszarów, w których inspektor, audytor czy kontroler nie mogą wykazać się wiedzą fachową. 

Wprowadzenie

Głośny wyrok NSA w sprawie Morele, w którym wskazano, że urzędnicy Urzędu Ochrony Danych Osobowych mogą nie mieć stosownej wiedzy rozszedł się echem nawet większym niż dyskusja o tym, czy numery rejestracyjne są danymi osobowymi. W dzisiejszym artykule postaram się przybliżyć na czym polega szacowanie i ocena ryzyka oraz o co może chodzić NSA (raczej wiem, ale to w podsumowaniu).

Dokonam tego opisu na podstawie „Poradnika – jak stosować podejście oparte na ryzyku – cz. 2” wydanego przez Urząd Ochrony Danych Osobowych w 2018 roku.

Strona 21 przedstawia grafikę nazwaną w Poradniku „Czynniki wpływające na ryzyko i związki między nimi. Wg PN-I-13335:1999”. W oryginale ta grafika w normie ma tytuł: „związki w zarzadzaniu ryzykiem”.

W publikacji tej Urząd pominął kolejne grafiki, które są kluczowe dla zrozumienia procesu szacowania i oceny ryzyka (nie analizy).

Są to:

Widok od strony zagrożenia:

Obrazuje on w jaki sposób oddziałują zagrożenia. Oddziałują bezpośrednio na zasoby i stanowią wymagania w zakresie ochrony. Proszę zwrócić uwagę, że w tej grafice zacienione (nie ma nazwy w polu) jest ryzyko. Wynika to z tego, że już same zagrożenia wskazują na wymagania w zakresie stosowanej ochrony, co nieco wyprzedzając jest istotą sporu między NSA i UODO.

Widok od strony podatności:

Podatności to drugi aspekt, który podobnie jak zagrożenia wskazuje na wymagania w zakresie ochrony, również pomijając na chwilę obecną ryzyko.

A co na to RODO?

Tu należy się zatrzymać na chwilę. Wiele osób zajmujących się RODO i komentujących wymagania wskazuje, że w RODO należy stosować podejście oparte o ryzyko. W tym ujęciu podejścia od zagrożeń i podatności oraz wartości (za chwilę o tym) wymaga pełnego procesu szacowania i oceny ryzyka. A więc również zagrożeń i podatności.

Jest jeszcze drugi aspekt. RODO w swoim podejściu nie zezwala na zdarzenia (incydenty i naruszenia) ochrony danych osobowych, które w pierwszym skutku powodują utratę atrybutów (poufność, dostępność czy integralność).

A więc tym bardziej zagrożenia oraz podatności powinny być rozważane, tym bardziej że są to działania, które później należy wykazywać przy zgłoszeniu naruszeń (działania podjęte, aby do naruszenia nie doszło).

Widok od strony wpływu:

Wracając do wpływu i ryzyka. Prosty przykład – utrata 5 złotych vs utrata 500.000 złotych. Zasób warty 500.00 generuje większe ryzyko. Ujęcie finansowe pokazuję, ponieważ UODO w swoim poradniku (str. 8) wskazał składowe dla administratora (sic!) zamiast dla osoby, której dane dotyczą.

Poprawne wartościowanie (bo o tym mowa) polega na ocenie na podstawie kontekstu przetwarzania oraz zakresu danych osobowych (co najmniej) istotności tych danych z punktu widzenia osoby, której dane dotyczą. RODO zawiera już wstępne wartościowanie dzieląc dane na dane zwykłych kategorii (niewyrażone formalnie), dane szczególnych kategorii (opisane w art. 9) oraz dane, które potocznie nazywam – „super-szczególnych kategorii”, a więc dane o skazaniach i naruszeniach prawa. Oprócz tego wartościowania należy również pochylić się nad zestawami danych przetwarzanych do różnych celów (wcześniej w różnych zbiorach), ponieważ jako zestaw mogą być dla osoby bardziej lub mniej wartościowe.

Wartościowe – oznacza, że ich ujawnienie dla przykładu, może powodować skutek, który już będzie w kategorii naruszenia praw i wolności.

To były fundamenty procesu szacowania i oceny ryzyka, czas przejść do wyjaśnienia kolejnych etapów i odpowiedzieć sobie, kto i za co odpowiada. A w kontekście ostatnich niesnasek wyjaśnić może nie tyle, kto ma rację, ale gdzie jest największy problem w szacowaniu i ocenie ryzyka w RODO.

Proces szacowania i oceny ryzyka

W Poradniku znajdziemy niemalże pełny proces szacowania i oceny ryzyka. Jest to struktura rozdziału 3 (grafika)

W tym procesie brakuje rozbicia w ryzyku poziomu prawdopodobieństwa i skutku. Cytat z RODO (art. 24 i 32):

ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia

Dziś w ryzyko dla osoby wchodzić nie będziemy za bardzo, ponieważ nie tego dotyczy pewna niezgodność między organem a sądem. Samo logowanie osoby i możliwość przejęcia konta, w tym logowanie z wykorzystaniem prosty metod logowania (bez 2FA czy MFA) jest zagrożeniem.

W RODO jest opisane jako „nieuprawniony dostęp”. Z nieuprawnionego dostępu (jako zagrożenia) wystąpić mogą skutki, zależne od:

  • Podatności zasobów na działanie osoby nieuprawnionej (utrata poufności, dostępności i integralności – ponieważ nikt z włamujących się nie wypełnia oświadczenia, że chce się tylko zapoznać).
  • Wartości zasobów z punktu widzenia ryzyka – tu szacowane dla osób których dane dotyczą (nie jak błędnie wskazał Poradnik, o czym napisałem wyżej).

Rozpatrując więc zagrożenie, należy wrócić do grafiki wskazującej związki ryzyka z zagrożeniem, a następnie podatnościami i rozważyć. Zakres tego działania UODO również opisał w Poradniku:

Posiadając listy aktywów informacyjnych, wykaz zidentyfikowanych zagrożeń oraz zastosowanych zabezpieczeń, można przeprowadzić identyfikację podatności na urzeczywistnienie się określonych zagrożeń. Istotne jest to, że istnienie podatności nie powoduje jeszcze żadnej szkody. Może ona powstać dopiero po zmaterializowaniu się zagrożenia, które wykorzysta daną podatność.

Istota sporu

Zagrożenia w Polsce stanowią podstawę wielu systemów, które z RODO są powiązane. Powódź, pożar, włamanie (celowe działanie człowieka), zwarcie instalacji technicznych to nie domena RODO, a stosownych przepisów. Specjaliści, dalej zwani branżystami odpowiadają za swoje działania w organizacjach, budując swoje systemy zarządzania ochroną. Są to między innymi:

  • Ochrona przeciwpożarowa, która z definicji zawiera ochronę przed pożarem oraz innym zagrożeniem miejscowym (w tym powodzie nie będące klęskami żywiołowymi, zalania, osuwiska, intensywne opady, ekstremalne temperatury i zjawiska pogodowe np. wiatr).
  • Ochrona osób i mienia, które zadaniem jest ochrona przed przestępstwami, wykroczeniami przeciwko mieniu i osobom oraz przed nieuprawnionym wejściem. Dane osobowe są na nośnikach danych, same nie występują, co oznacza, że ocena zagrożenia zniszczenia danych wiąże się z oceną zniszczenia, utraty (w wyniku kradzieży) nośnika (komputera, akt).
  • Ochrona przed przepięciami i zwarciami (pojawiło się w poradniku) to zadania służb utrzymania ruchu lub zarządzających budynkami (facility management). W tym kwestia odpowiednich pomiarów w okresach wskazanych prawem.
  • Stan budynku, jako pełny (instalacje, struktura) to z kolei Prawo budowlane i warunki dopuszczenia budynku do użytkowania.
  • Bezpieczeństwo IT – wyłączę na koniec, do szczegółowego omówienia.

Wszystkie wyżej wskazane obszary realizują osoby, które posiadają uprawnienia w zakresie realizacji zadań organizacji ochrony w danych obszarach. Państwowe uprawnienia. A w ramach zadań wykonują:

  • Analizę zagrożeń w swoich zakresach
  • Dobór środków ochrony, aby do zdarzenia nie doszło
  • Ryzyko szczątkowe – ocena (dla ryzyka branżowego) czyli co jeszcze może się zadziać po wdrożeniu zabezpieczeń

Środki ochrony obejmują:

  • Działania człowieka (czyli procedury, instrukcje czy polityki, zmierzające do wykrycia, ujawnienia, reakcji na zagrożenie).
  • Zabezpieczenia technicznego – mechanicznego w postaci urządzeń i narzędzi minimalizujących zagrożenie (czy to możliwość, czy to jego siłę, czy opór).
  • Zabezpieczenia elektronicznego (systemów monitorowania, wykrywania, stawiania oporu)
  • Zabezpieczeń budowlanych (najczęściej w ochronie ppoż, jako oddzielenie ppoż serwerowni, archiwum etc.).

W gestii tych specjalistów jest również ocena skuteczności stosowania zabezpieczeń.

A gdzie jest tutaj ochrona danych osobowych?

Jest odbiorcą tych informacji. Zadaniem jest przyporządkowanie miejsc, skali zagrożenia, możliwości wystąpienia do miejsc, w których przetwarzane są dane (w tym przechowywane). Do tego celu konieczne jest rozpatrzenie środowiska fizycznego jako elementu kontekstu przetwarzania i środowiska IT. Środowisko fizyczne i IT jest już obowiązkowe w cyberbezpieczeństwie, a w nowej dyrektywie NIS 2 jeszcze bardziej podkreślone.

A jak to jest w bezpieczeństwie IT?

Można powiedzieć sloganem – każdy zna się na IT. Dziś:

każdy zna się na cyberbezpieczeństwie.

Może jednak nie każdy? Czym jest działanie „bezpieczników” od IT?

Podobnie jak w przypadku powyższych osób, przy czym tutaj bardziej występuje rola, nie konkretne wymaganie. W wielu organizacjach zarządzanie IT i jego bezpieczeństwem jest outsourcowane. Zasady są dokładnie takie same.

Postawiona jest sieć, systemy, urządzenia. Ktoś je zbudował (jak budynek w przypadku bezpieczeństwa fizycznego). Określając wstępne wymagania bezpieczeństwa oraz tym administruje.

Czy jest to ta sama osoba, która analizuje zagrożenia dla systemów, sieci, urządzeń, aplikacji?

Zdecydowanie nie, bo tych aplikacji, systemów, rozwiązań jest wiele. To jakby wiele budynków w jednym. Poniżej przykładowa lista systemów (nawet nie sieci), które tworzą środowisko IT. Nie jest pełna, jest przykładowa:

  • Strona internetowa
  • Usługi pocztowe
  • Repozytoria plików
  • System kadrowo-płacowy
  • Systemy wymiany informacji

Stron internetowa – krótkie kompendium

W krótkim artykule nie jestem w stanie napisać wszystkich obszarów związanych z bezpieczeństwem strony internetowej, systemów, na których jest oparta. Nie o tym jest to też artykuł, raczej ma być wprowadzeniem. Poniżej kilka kategorii związanych z zagrożeniami i tym, gdzie oceniać podatność i co jeszcze oceniać. Dodam też role czy też funkcje (wymagania) niezbędne do oszacowania i oceny ryzyka dla danych osobowych, nadal w obszarze analizy zagrożeń.

Środowisko IT:

  • Serwer – maszyna. Zagrożenia fizyczne (z kategorii wyżej wymienionych czyli fizyczne, zasilanie, pożar, włamanie, dostęp do systemu za pomocą laptopa nawet – tak, też powinno być rozważone).

Wymagania: specjalista ds. bezpieczeństwa urządzenia, postawienia go w szafie w serwerowni czy wynajęcia usługi chmurowej. We współpracy z „bezpiecznikami” od fizycznej, ppoż, utrzymania budynku, zasilania.

  • Serwer – aplikacja. Apache2, Nginx coś od Microsoft. To są struktury plików, uruchamiane procesy, otwarte porty. Ale również dostępność serwera z miejsca, w którym ma być dostępny.

Wymagania: administrator serwera (jako „aplikacji”), administrator sieci (konfiguracja routerów, switchy, portów). Specjalista ds. bezpieczeństwa serwerów i sieci (skanowanie, monitorowanie usług, etc.)

  • Strona WWW – system plików, który odpowiada za to co widzimy w ujęciu wizualnym oraz baza danych, która odpowiada za treść „ubraną” w wygląd (to naprawdę w skrócie).

Wymagania: administrator strony, odpowiadający za poprawną konfigurację strony oraz administrator baz danych (choćby proste kodowanie bazy, które może spowodować krzaki), specjalista ds. bezpieczeństwa aplikacji, w języku w jakim strona stoi (najczęściej PHP), spec ds. bezpieczeństwa baz danych (tu również przeważa SQL).

Na tym zakończę, choć jeszcze jest SSL i jego poprawna implementacja, jest jeszcze kwestia wtyczek i analizy kodu i całej masy innych rzeczy, które powodują, że zagrożenia mogą się zmaterializować. Każda wtyczka, aktualizacja, łata może coś innego otworzyć.

Audytor, kontroler, inspektor

Gdybyśmy przyjęli założenie, że osoba kontrolująca, audytująca czy wykonująca inspekcję może dyskutować o wynikach analizy zagrożeń i wdrożonych środkach ochrony i oceniać, że są właściwe czy nie, to musielibyśmy przyjąć, że ma wiedzę i doświadczenie w zakresach oceny zagrożeń, doboru i oceny zabezpieczeń w obszarach:

Środowiska fizycznego i jego bezpieczeństwie i ochronie (fizyczne bezpieczeństwo strony)

  • Ochrona przed pożarem – zagrożenia, podatności, wdrożone zabezpieczenia, ryzyko resztkowe
  • Ochrona przed innym zagrożeniem miejscowym – j.w. – nie będę powtarzał.
  • Ochrona przed kradzieżą, włamaniem, zniszczeniem – niezależnie od tego, kto tego dokonuje
  • Ochroną przez zagrożeniami pochodzącymi z techniki (instalacje i urządzenia), z uwzględnieniem specyficznych wymagań (zasilanie, HVAC, Internet

PS nie wrzucałem tu środowiska fizycznego i zagrożeń związanych z miejscem, z którego pracują admini.

Środowiska IT i bezpieczeństwie w sieci (nie do końca jest to cyberbezpieczeństwo, a formalnie cyberochrony)

  • Ochrona serwera WWW – zagrożenia, podatności, wdrożone zabezpieczenia, ryzyko rezydualne (tu się inaczej nazywa, ale to jest to samo)
  • Ochrona serwera bazodanowego (o tym nie pisałem, ale wrzucam. Podobnie jak serwer WWW)
  • Ochrona bazy danych (tej konkretnej)
  • Ochrona aplikacji, na której stoi strona

Idea biegłego

Cała treść powyżej ma na celu wskazanie tego, co NSA wyraził w swoim wyroku. Gdy oceniający (audytor, inspektor, kontroler) w zakresie swojej ogólnej wiedzy widzi, że coś mu nie gra powołuje:

  • W audycie – eksperta technicznego,
  • W Kontroli, inspekcji, postępowaniu sądowym – biegłego.

Jak więc kontrolować, audytować czy wykonywać inspekcje?

Zacznijmy od tego, że audytor, inspektor, kontroler nie musi posiadać uprawnień do wykonywania czynności jak powyżej. Nie realizuje tych zadań, a jedynie sprawdza ich poprawność.

Sprawdza poprawność – to jest najważniejsza fraza. Istotą oceny nie jest to, czy zgadzamy się z jej wynikami czy nie. Czas pracy w organizacji kontrolerów, inspektorów czy audytorów jest zbyt krótki, aby poznać organizację, zrozumieć jej procesy na tyle dobrze, aby oceniać. Standardowy czas szacowania i oceny ryzyka, wynikający z doświadczenia w bezpieczeństwie fizycznym, ochronie informacji, RODO, pożarówce czy ATEX to około 2-3 miesiące. To czas na zgromadzenie informacji, czasem pozyskanie ich z zewnątrz.

Na koniec

Znajomość procesu szacowania i oceny ryzyka nie oznacza wiedzy fachowej i merytorycznej w zakresie zagrożeń, wymagań dla zabezpieczeń, skuteczności zabezpieczeń ich podatności na zagrożenia (zabezpieczenia też się ocenia z pkt. widzenia podatności).

Znajomość procesu oznacza tylko o AŻ tyle, że wiem co sprawdzić. Na co poszukać dowodów. A tam, gdzie brakuje mi wiedzy fachowej – poszukać eksperta.

I o to moim zdaniem chodziło Naczelnemu Sądowi Administracyjnemu.

 

 

 

 

Gdy (czwarta) władza traci władzę

Przez
Grzegorz Krzeminski
-

Czyli o tym, że rzekomo prasa będzie musiała usuwać dane, w trybie prawa do bycia zapomnianym co nie do końca jest prawdą.  

Dziś wielkie larum podniosło się w mediach, w środowiskach prawniczych. Wśród specjalistów RODO również, co jest dla mnie mocno zaskakujące. Chodzi o orzeczenie NSA w sprawie prawa do bycia zapomnianym, które jak przypomniał sąd dotyczy również publikacji, w których się pojawiliśmy. Zanim przejdę do wyjaśnienia, że jest do burza w szklance wody cytat z przepisu, na podstawie którego orzekał sąd. 

Art.  2.  [Ograniczenie stosowania przepisów do działalności związanej z materiałami prasowymi, działalności literackiej, artystycznej oraz wypowiedzi akademickich]

  1. Do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe (Dz. U. z 2018 r. poz. 1914), a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679.

Przepis nadający osobie prawo do bycia zapomnianym to w RODO:

Artykuł 17 Prawo do usunięcia danych („prawo do bycia zapomnianym”)

Lubię mocne słowa, ale dziś będę wyjątkowo spokojnym. Co najmniej irytują mnie słowa prawników, którzy rzucili się do szerokiego komentowania orzeczenia i wniosków, że to sąd tak zdecydował. Nie, nie sąd. Przypomnę, bo może niektórzy dość dawno kończyli uczelnie i aplikacje. W Polsce mamy trójpodział władzy na:

  • Władzę ustawodawczą – czyli tą która tworzy prawo. W tym przypadku to ona wpisała lub nie wpisała przepisu art. 17 RODO jako wyłączonego tzw. klauzulą dziennikarską
  • Władzę wykonawczą – czyli organy, instytucje, służby, wykonujące przepisy prawa, w tym też często interpretujące. 
  • Władzę sądowniczą – oceniającą zgodność z przepisami prawa. 

Każda z tych władz jest niezależna od innych. Co ważne – sądowa orzeka w zakresie prawa, a nie domysłów i oczekiwań. Co owo wielkie larum czyni wyjątkowo zaskakującym. 

Czy prasa będzie MUSIAŁA usuwać dane archiwalne?

Taka teza się przetoczyła. Jest nieprawdą, ponieważ art. 17 RODO mówi o okolicznościach, w których dane muszą być usunięte niezwłocznie (6 przypadków). Wskazane są również podstawy odmowy – tu jest 5 przypadków, w tym rzeczone prawo do wypowiedzi. 

Co zatem oznacza dzisiejsze orzeczenie? 

To, że za każdym razem redakcja będzie musiała rozstrzygnąć, jak każdy normalny administrator, czy zachodzą okoliczności

  • Uzasadniające niezwłoczne usunięcie danych,
  • Uzasadniające odmowę usunięcia. 
  • Wolność słowa, prawo do informacji, dobro publiczne

Slogany niemalże żywcem zdjęte z transparentów. Dziś ich w tym temacie przeczytałem wiele. Chciałby zapytać w takim razie specjalistów, osoby tak walczące o dobro publiczne, gdzie w tym wszystkim jest człowiek? Który powinien być chroniony zgodnie z RODO?

Tym bardziej, że słowa te wypłynęły spod uznanych autorytetów w sprawie ochrony danych osobowych. 

Jaki mechanizm działa w Prawie prasowym, który gwarantuje, że nasza czwarta władza (media) nie manipulują publikacjami? Że w archiwach będą te tylko, które są wygodne i zgodne z interesami redakcji? 

Ja nie znam. Chętnie poznam. A jeśli nie ma, to właśnie to orzeczenie wprowadza równość. Każda sprawa ma być przez redakcję rozpatrzona tak samo. Domyślam się, utrata władzy i narzędzia sterowania boli… 

Wątek prawny na koniec

W każdym systemie osoba, która nabroiła, popełniła błąd, dokonała czynu zabronionego, ma prawo powrotu do społeczeństwa. W tym czasie poprawia swoje działanie, uczy się czasem współżycia na nowo, czasem jest karana. Ma jednak prawo do powrotu do społeczeństwa po okresie próby, czasem kary. 

Po to jest przedawnienie, warunkowe umorzenie postępowania karnego, warunkowe zawieszenie ukarania. A najbardziej charakterystyczne ze wszystkich – zatarcie skazania. 

Głęboko mnie smuci awantura, bo okazuje się że tak chętnie oddajemy prawo do “zatarcia” (winy, skazania) bez jakiegokolwiek mechanizmu nadzoru. Tylko dlatego, że chcemy coś wiedzieć o kimś z przeszłości. 

Hakoza? Nowa jednostka chorobowa? Przeniesiona z polityki do życia codziennego?

Smutne… 

Alkomaty – czy Kodeks Pracy to właściwe „miejsce”? (artykuł z 27 lipca 2021)

Przez
Grzegorz Krzeminski
-

Przedruk ze strony ESSA.pro, za zgodą autora

W poprzednim artykule zdefiniowałem cel wdrożenia przepisów zezwalających na kontrolę stanu psychofizycznego pracownika z użyciem urządzeń lub innych form testów. Celowo nie używam słowa „alkomatów”, bo nie o to chodzi. Zaznaczyłem też, że celem wcale nie jest przygotowanie czy opracowanie podstawy prawnej, dającej możliwość przetwarzania danych osobowych. Dzisiejszy felieton będzie poświęcony miejscu, gdzie owo badanie ma być uregulowane.

Projektowi towarzyszy wiele dyskusji związanych z samą kontrolą. Spotkałem się na LinkedIn z argumentacją, że będzie można badać urzędnika (SIC!). Zagrożonego, jak dobrze pamiętam ORZ (ocena ryzyka zawodowego), przecięciem palca kartką papieru czy poparzeniem się wodą lub parą wodną z czajnika. Owszem, w wielu przypadkach urzędnik wydający błędną decyzję może doprowadzić do poważnej szkody. Czy jednak badanie alkomatem jest narzędziem do tego? Czy wydanie decyzji to jest chwila, to jest moment nieuwagi, w którym skutek jest nieodwracalny? Jak upadek autobusu z wiaduktu?

Teraz czas na odrobinę sarkazmu. Od ponad 20 lat zajmując się ochroną danych osobowych, ale też i bezpieczeństwem przemysłowym, BHP, ATEX (atmosfery wybuchowe) i wieloma innymi aspektami bezpieczeństwa, zastanawiam się, czy osoby tworzące akty prawne były choć w jednej fabryce, centrum logistycznym, czy były choć na zapleczu sklepów nazywanych wielkopowierzchniowymi czy zapleczach galerii handlowych. Co do wielu specjalistów RODO wiem, że nie. Polityki, instrukcje nie obejmują danych osobowych przetwarzanych przy okazji prac niebezpiecznych pożarowo, prac szczególnie niebezpiecznych, znajdujących się w paszportach maszyn, dokumentacji serwisowych, listach czy manifestach przewozowych i wielu, wielu innych. Tak, jakby RODO dotyczyło tylko administracji. Podobne wrażenie odnoszę, czytając obecną aktualizację Kodeksu Pracy.

Co reguluje Kodeks Pracy?

Art.  1. [Zakres regulacji]

Kodeks pracy określa prawa i obowiązki pracowników i pracodawców.

Art.  2. [Definicja pracownika]

Pracownikiem jest osoba zatrudniona na podstawie umowy o pracę, powołania, wyboru, mianowania lub spółdzielczej umowy o pracę.

Art.  3. [Definicja pracodawcy]

Pracodawcą jest jednostka organizacyjna, choćby nie posiadała osobowości prawnej, a także osoba fizyczna, jeżeli zatrudniają one pracowników.

A jak jest w praktyce?

W wielu zakładach przemysłowych, logistycznych, w sektorze handlowym, budowlanym, praktycznie we wszystkich sektorach, gdzie jest praca fizyczna (często ta prosta), firmy polskie wspierają się tzw. kontraktorami. To umowna nazwa dla osób wykonujących zadania na innych podstawach niż umowa o pracę, czyli w takich konfiguracjach, w których Kodeks Pracy nie ma zastosowania. Są to osoby z agencji pracy tymczasowej, są to też osoby będące współwłaścicielami spółek. To jeden ze sposobów na legalizację pracy obcokrajowców, z którymi problemy miewa Straż Graniczna. Osoba taka nie wykonuje pracy na podstawie żadnej umowy, jest po prostu wspólnikiem i wykonuje zadania spółki. Są też osoby zatrudnione w relacji Business 2 Business (B2B), czyli kontraktorzy na własnych działalnościach gospodarczych. Są wreszcie klasyczni zleceniodawcy jako osoby fizyczne.

Proporcje pracowników i kontraktorów

Proporcje te są różne, w zależności od przyjętej polityki personalnej organizacji. W koncernach niemieckich kontraktorami były wszystkie osoby przyjęte na okres próbny – 3 miesiące. Około 100-200 osób na fabrykę przy zatrudnieniu około 500 osób. W koncernach zza oceanu współczynnik nieco inny, około 50%. Przy zatrudnieniu 1.000 do 3.000 osób. A więc od 500 do 1.500 osób to osoby nie będące pracownikami w rozumieniu Kodeksu Pracy.

Jest też pewna zasada, którą można zauważyć w niemalże każdej fabryce, logistyce czy w handlu. Stanowiska biurowe i średnie oraz wyższe kierownicze to osoby zatrudnione na umowie o pracę. Czy naprawdę w regulacji chodzi o to, aby badać ich? Czy może te osoby, które są operatorami urządzeń transportu bliskiego (popularne wózki), suwnic, transportu ciężkiego (wozidła po 40 ton masy)? Albo kierowcy, którzy na ostatniej prostej wypili sobie co nieco, bo przecież na fabryce „kręcić będą pauzę”. Rozładunek w okienku awizacyjnym trwa czasem dłużej niż godzina czy dwie, a kierowcy korzystają z ochrony i „kręcą” tzw. długą pauzę (odpoczynek dobowy – ten długi). Więc relaks się należy.

Ale ich nie zbadamy, bo nie są pracownikami.

A gdyby tak…

Rozmawiając z zaprzyjaźnionym prawnikiem o tym, jak fatalnym wyborem do regulacji jest Kodeks Pracy, chwilę pomyśleliśmy o tym, gdyby tak poszerzyć zakres uprawnień pracodawcy.. niestety to nie wyszło. Stosunki cywilnoprawne reguluje Kodeks Cywilny (wszelkie zlecenia, niezależnie czy osoba fizyczna działająca jako osoba fizyczna, czy jako działalność gospodarcza). Zakres Kodeksu Pracy jest zawężony do grup, jakie zostały opisane wyżej. W żaden sposób nie można nadać uprawnień o takim charakterze. Jest to sprzeczne bezpośrednio z zasadami techniki prawodawczej.

Co było nie tak w Ustawie o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi, naprawdę trudno jest odgadnąć. Tym bardziej, że tryb badania jest już określony i wystarczyłoby tylko dodać zapis, że pracodawca nie może prowadzić badania na zawartość alkoholu, co automatycznie wyklucza alkomaty wskazujące zawartość, jak i badanie krwi. Oczywiście warto dodać zapis związany z czynnikami biologicznymi, bo rynek nie znosi próżni i prędzej czy później pojawić by się mogły alkomaty o mechanizmach zbliżonych do glukometrów (kropla krwi).

Problemy na gruncie RODO

Rozszerzmy wprowadzenie o tematykę kontraktorów. Nadzorujący ich pracę mają w umowach określone uprawnienia między innymi z zakresu ochrony przeciwpożarowej, wynikające z Instrukcji Bezpieczeństwa Pożarowego. Są to zapisy o charakterze ogólnym, nie są kierowane do konkretnej grupy typu pracownik, zleceniodawca. Wynika to z podejścia przepisów o ochronie ppoż., których celem jest ustanowienie i utrzymanie tzw. ochrony ppoż. w zakładzie pracy. W tym przypadku dochodzi często do przetwarzania danych osobowych osób nie będących pracownikami, ale będących zarówno osobami zobowiązanymi do działania z mocy przepisów ustawy, jak i osobami podlegającymi ochronie. Kto jest kim (administrator – procesor) na gruncie RODO jest naprawdę proste do określenia.

W przypadku przyjęcia regulacji związanej z badaniem alkomatem w Kodeksie Pracy, zachodzi pewna obawa. Będzie musiała się pojawić jakaś relacja między kierownikiem zakładu pracy, a… I tutaj kończy się moja kreatywność, ponieważ inaczej to będzie w pracy tymczasowej, inaczej w przypadku samozatrudnionych. Która z przesłanek będzie tutaj właściwa do przetwarzania danych o stanie zdrowia:

  • Osoby samozatrudnionej,
  • Osoby skierowanej do pracy (Kto administratorem, a kto procesorem? Pytanie retoryczne).

Po pierwszym zapoznaniu się z projektem, który zmierza chyba tylko do tego, aby spełnić wymagania RODO, moim zdaniem pojawią się jeszcze większe komplikacje. Regulacja z Kodeksu Pracy dotyczyć będzie tylko pracowników w rozumieniu Kodeksu Pracy, a więc wszelkie kwestie związane z zakresem przetwarzania danych, retencją (okresem przechowywania), a nawet same poddanie się badaniu przez kontraktorów będzie musiało znów być uregulowane.

Imię i nazwisko jako dane osobowe

Przez
Grzegorz Krzeminski
-

Imię i nazwisko jako dane osobowe i.. nie tylko…

Temat jest w sumie głębszy, bo dotyczy wszelkich identyfikatorów, czy danych nadanych osobom. A więc numerom PESEL, imieniu i nazwisku, pseudonimowi, numerom kadrowym i innym.

Gdzie leży błąd?

Błędem w interpretacji co jest daną osobową, a co może być daną jest tutaj kwestia identyfikacji, którą wielu specjalistów uznaje za być albo nie być danych osobowych. A tymczasem to nie tak, bo mamy art. 11 RODO, który brzmi:

Artykuł 11

Przetwarzanie niewymagające identyfikacji

  1. Jeżeli cele, w których administrator przetwarza dane osobowe, nie wymagają lub już nie wymagają zidentyfikowania przez niego osoby, której dane dotyczą, administrator nie ma obowiązku zachowania, uzyskania ani przetworzenia dodatkowych informacji w celu zidentyfikowania osoby, której dane dotyczą, wyłącznie po to, by zastosować się do niniejszego rozporządzenia.
  2. Jeżeli w przypadkach, o których mowa w ust. 1 niniejszego artykułu, administrator może wykazać, że nie jest w stanie zidentyfikować osoby, której dane dotyczą, w miarę możliwości informuje o tym osobę, której dane dotyczą. W takich przypadkach zastosowania nie mają art. 15–20, chyba że osoba, której dane dotyczą, w celu wykonania praw przysługujących jej na mocy tych artykułów dostarczy dodatkowych informacji pozwalających ją zidentyfikować.

Przepis ten oznacza, że w praktyce mogą występować dane osobowe, które nie identyfikują osoby. Dodatkowo administrator nie ma obowiązku pozyskać dodatkowych informacji (danych) tylko po to, aby spełnić wymagania RODO. Tak jest między innymi z numerem PESEL, który bezsprzecznie jest daną osobową, jak i imieniem i nazwiskiem.

Artykuł ten dotyczy fundamentów ochrony danych osobowych, który łączy się z wcześniej napisanym artykułem o identyfikatorach rzeczy, w tym o tablicach rejestracyjnych. Po tamtym artykule było wiele dyskusji w social mediach o rozumieniu danych osobowych. Dlatego podsumowując ten mikro-cykl dwa zdania wyjaśnienia czy tez klasyfikacji.

Dane osobowe występują w różnych formach i w związku z tym wymagają konkretnych działań. Mogą to być dane:

  • Dotyczące zidentyfikowanej osoby, ale administrator nie zawsze ma obowiązek ją identyfikować w swoich procesach (PESEL, imię i nazwisko),
  • Umożliwiające identyfikację osoby, w tym np. identyfikatory osoby (PESEL, imię i nazwisko) oraz identyfikatory rzeczy (np. numer rejestracyjny) występujące łącznie jako dane identyfikujące.
  • Dane dotyczące zidentyfikowanej osoby, nie będące bezpośrednio danymi osobowymi samoistnymi (identyfikatorami osoby) takie jak auto służbowe, miejsce wykonywania pracy, zakres zadań.

Podsumowanie

Zrozumienie tych fundamentów jest niezbędne do poprawnego zabezpieczenia danych osobowych. Pojawia się tutaj np. odpowiedź na „peselozę” Urzędu Ochrony Danych Osobowych, który wprost nakazuje ochronę numeru PESEL, niezależnie od różnych okoliczności. Wynika to z faktu, że numer PESEL jest numerem nazwijmy to o charakterze publicznym. Zastosowanie anonimizacji jako zabezpieczenia nie odniesie takiego skutku, jak w przypadku np. danych kadrowych i nadanego numeru SAP-143456_pl. Odczytanie numeru kadrowego wymaga dostępu do sieci przedsiębiorstwa i systemu, który wiąże te numery, podczas gdy numer PESEL występuje w wielu różnych miejscach i nie zawsze jest to tylko baza PESEL. Z tego powodu wyłączeniu z art. 11 podlegają tylko prawa osoby (informowanie, sprzeciw, ograniczenie, zapomnienie), pozostałe przepisy RODO należy stosować, aby nie doszło do sytuacji, w której wyciek danych numeru PESEL z określoną transakcją da się powiązać z osobą za pomocą wpisu do KRS.

Wdrożenie RODO – cykl szkoleń

Przez
Grzegorz Krzeminski
-

Cykl powstał w celu zbudowania szkolenia obejmującego kompletne wdrożenie systemu ochrony danych osobowych w praktyce. Złożony jest z mikro-szkoleń dostępnych na naszej platformie oraz webinarów on-line. Po zakończeniu całego cyklu uczestnik będzie dysponował pełną wiedzą praktyczną w jaki sposób wdrożyć skuteczny system ochrony danych osobowych. Takie wdrożenie pozwala na realizowanie celów biznesowych lub organizacji, bez obaw o kontrole organów nadzorczych. 

W naszym przedsięwzięciu skupiamy się na tym, aby system był w pełni zaprojektowany i zrealizowany zgodnie z wymaganiami, a nie tylko w celu przygotowania się na kontrole i zaspokojenia potrzeb organu nadzorczego czy na dostosowany do orzeczeń sądów. Organ jest jednym z wielu interesariuszy w systemie ochrony danych osobowych, a przepis prawa jest prawem ochrony danych, a nie pełną ochroną. O prawie również będzie, tam gdzie być musi 

Częstotliwość spotkań

Spotkania w ramach webinarów odbywają się co dwa tygodnie, zgodnie z harmonogramem niżej. Celem około godzinnych webinarów jest omówienie treści, którą następnie uczestnik przerabia w ramach mikro-szkolenia. Po zakończeniu każdego z nich przeprowadzany jest test, który sprawdza wiedzę. 

Harmonogram webinarów i mikro-szkoleń w sezonie 1 (styczeń – marzec 2023). 

Poniżej przedstawione są spotkania oraz mikro-szkolenia zaplanowane na najbliższy kwartał. Mikroszkolenia dostępne będą od dnia spotkania on-line.

  • 17 stycznia, godz. 17:30 – cel przetwarzania danych osobowych. 
  • 31 stycznia, godz. 17:30 – inwentaryzacja, identyfikacja i wartościowanie danych osobowych.
  • 14 lutego, godz. 17:30 – dobór podstaw prawnych przetwarzania (zagadnienia podstawowe). 
  • 28 lutego, godz. 17:30 – Ryzyko w RODO – źródła ryzyka, analiza zagrożeń.
  • 14 marca, godz. 17:30 – Ryzyko w RODO – identyfikacja skutków dla osoby, której dane dotyczą. 
  • 28 marca, godz. 17:30 – Ryzyko w RODO – zarządzanie zabezpieczeniami.

Dalsze szkolenia będą podane pod koniec lutego. Nie chcemy, aby ktoś skopiował naszą wiedzę i podejście. Łącznie szkoleń w całym cyklu będzie około 15. Pierwsze 6 szkoleń prowadzonych jest krok po kroku, pojawiają się tzw. szkolenia wstępne. Oznacza to, że aby przejść do kolejnego szkolenia należy poza zakupem ukończyć szkolenie wstępne z wynikiem co najmniej 70%.  

Zapisy

Zapisy są możliwe poprzez zapis na webinar o danej tematyce, najłatwiej przez stronę Kalendarz. W cenie produktu czyli 79 złotych jest wówczas udział w wydarzeniu oraz dostęp do szkolenia. Drugim wariantem jest zakupienie samego szkolenia w cenie 60 złotych za jedno (mikro)szkolenie. Dostęp przez stronę szkolenia

Zapraszamy!

 

Prace techniczne – 24-27 grudnia

Przez
Grzegorz Krzeminski
-

⚙️ Zmiany, zmiany, zmiany

Szanowni nasi #RODOmaniacy. Zakładamy, że musicie czasem odpocząć, naładować baterie i po prostu pobyć z Rodzinami, Bliskimi, osobami dla was Ważnymi. W tym czasie wyłączymy nasz serwis…

🤔 A jak wrócicie to już nic nie będzie tak samo…

Wyłączeniu ulega:

🛠️ Strona informacyjna – serwis pod adresem https://rodomaniacy.pl

▶️ Sklep internetowy – niemożliwe będą zakupy w sklepie w tym czasie.

Do zobaczenia wstępnie 27.12, ale może przedłużymy do 2 stycznia. Pracy mamy naprawdę dużo.

🎄 Dla tych, którzy obchodzą te święta jako osoby wyznające wiarę – Zdrowych, wesołych Świąt Bożego Narodzenia.

🎉 Dla tych, którzy nie obchodzą, dużo wypoczynku, spotkań i luzu.

Fundamenty w RODO

Przez
Grzegorz Krzeminski
-

Dzisiejszy temat wynika z ciekawych dyskusji o RODO w różnych miejscach w sieci. Na tyle zaskakujących, że chyba wrócimy na łamach RODOmaniaków do podstaw. Dziś pierwsze z nich. Naprawdę fundamentalne i trochę historyczne. Mam nadzieję, że wstęp osadzony w fundamentach ekonomii pozwoli zrozumieć istotę zarządzania bezpieczeństwem informacji. Z których tylko część jest chroniona w oparciu o RODO, część w oparciu o inne wymagania prawne, a inne z przyczyn czysto ekonomicznych firm, organizacji czy państw. 

Czynniki produkcji – fundamenty ekonomii, czyli po co są nam informacje?

W klasycznej teorii ekonomii wyróżnione są trzy główne czynniki produkcji. Kapitał, praca i ziemia (zasoby ziemi). Dopiero w latach 70-tych ubiegłego wieku zaczęto dostrzegać informację jako coś, co również powinno zostać włączone w czynniki produkcji. Na początku była to wiedza – jak przekształcić kapitał, pracę i ziemię w produkt. Od tego czasu rozwój nauki o zarządzaniu informacjami przyspieszył. W latach 80-tych (niedługo później) dostrzeżono, że informacja może stanowić o przewadze konkurencyjnej. Po prostu jedne przedsiębiorstwa z podobnych czynników potrafiły zrobić coś super, a inne nie radziły sobie. 

Pierwsze standardy bezpieczeństwa informacji

Raport techniczny wydany jako Polska Norma

Wraz z rozwojem systemów zarządzania informacjami, systemów klasyfikowanych jako MIS – management information systems, które w tamtych czasach zaczęły wymuszać rozwój IT dostrzeżono wiele poważnych problemów i zagrożeń z tym związanych. ISO (Międzynarodowa Organizacja Standaryzacyjna) wraz z IEC (Międzynarodowa Komisja Elektrotechniczna) już w 1996 roku wydały raporty techniczne serii ISO/IEC 13335 – łącznie 5 zeszytów. Mówiły one o bezpieczeństwie informacji w systemach IT. Warto pamiętać to oznaczenie, ponieważ były to raporty poprzedzające normy serii ISO 27000. Nie jest to jedyny prekursor normy. Wielka Brytania w 1995 roku wydała standard brytyjski – BS 7799 (dwa zeszyty). To ten numer, który przez lata był nadany polskiej normie ISO 17799 i powodował co najmniej ból głowy. 

Polska nie była gorsza

Materiał poglądowy z TISM wersja 1.4.

Nieco później pojawiła się polska metodologia nazwana TISM – Total Information Security Management. Obok niej był również ciekawa publikacja TSM – Total Security Management, opracowanie celujące w bezpieczeństwo operacyjne (tak nazwane w tamtych czasach), a związane bardziej z ciągłością działania. TISM próbowałem użyć wdrażając system ochrony danych osobowych oraz bezpieczeństwa informacji w jednej z instytucji administracji rządowej w 2001 roku, jednak poziom skomplikowania na tamte czasy był zbyt duży. 

A co z danymi osobowymi?

Strona tytułowa poradnika GIODO z 2007 roku.

Tak, tutaj też nie byliśmy z tyłu. Generalny Inspektor Ochrony Danych Osobowych wydał kilka poradników z cyklu “ABC”. Było o podstawach danych, o ochronie, był również o transferze danych do państw trzecich. Co ważne, te informacje były mocno oparte o rozwiązania w zakresie bezpieczeństwa informacji, czerpały wiedzę ze środowisk zajmujących się ochroną informacji.

Nie tylko GIODO działało prężnie (choć może tego nie było widać). Również branża była aktywna. W podobnym czasie powstał UODO Survival Kit – narzędzie opracowanie przez zespół ODOSI, które było nazwane wytyczną.

Strona tytułowa UODO survival kit – v. 2.1

Tak naprawdę było to bardzo ciekawe narzędzie do audytowania systemów.

Zarządzanie informacjami

Po tym rysie historycznym o rozwoju nauki o bezpieczeństwie informacji oraz o ochronie danych osobowych czas na dwa zdania dotyczące informacji. W publikacjach występuje wiele opisów cyklu życia informacji. Ten, który mi odpowiada spełnia zasadę:

Coś jest kompletne wtedy, gdy nie da się z tego już nic odjąć, a nie dodać. 

Cykl życia informacji

Cykl o podobnym przebiegu nałożony jest na procesy biznesowe w jednym z poradników nowego już Urzędu Ochrony Danych Osobowych. Zawiera cztery podstawowe etapy:

  • Wytworzenie, pozyskanie informacji
  • Wdrożenie informacji do użytkowania
  • Użytkowanie informacji
  • Wycofanie informacji, zniszczenie.

Ten cykl jest kluczowy do zrozumienia tzw. atrybutów bezpieczeństwa informacji. 

Bezpieczeństwo informacji – atrybuty bezpieczeństwa informacji

W literaturze oraz w RODO jest mowa tylko o trzech atrybutach. Są to:

  • Poufność
  • Integralność
  • Dostępność

Specjaliści bezpieczeństwa informacji wykorzystują więcej aspektów, które nie są bezpośrednio związane z informacjami, ale z ich bezpieczeństwem. Są to w zależności od potrzeb. 

  • Autentyczność
  • Niezaprzeczalność
  • Niezawodność

Atrybuty służą nam do opisu informacji, która jest bytem niefizycznym. Jest wyrażona na nośniku lub w innej formie (np. wypowiedziana). Bez nośnika nie istnieje, ale to nie znaczy, że zagrożona jest tylko w taki sposób, jak zagrożony jest nośnik. Integralność informacji nie jest zależna tylko od nośnika, tak jak np. dostępność, a raczej utrata w wyniku zniszczenia. 

Ważnym jest, aby zapamiętać z tej części artykułu, że informacja bezpieczna to taka, która posiada wszystkie trzy podstawowe atrybuty bezpieczeństwa informacji:

  • Jest poufna, a więc dostarczana i eksploatowana tylko przez te podmioty i procesy, którym została udostępniona. 
  • Jest integralna, a więc poprawna i jej użycie nie będzie powodowało negatywnych skutków dla procesu (w RODO dla osoby, której dane dotyczą). 
  • Jest dostępna, a więc w czasie w którym oczekujemy jej dostarczenia otrzymujemy ją. Jeśli otrzymamy po tym zadanym czasie znów dojdzie lub może dojść do negatywnych skutków. 

Podkreślam jeszcze raz – aby uznać informację za bezpieczną konieczne jest spełnienie jej wszystkich trzech atrybutów. Dlaczego nie tylko poufność?  

Tajemnica, ochrona

Aby zrozumieć RODO i to czym tak naprawdę jest w środowisku informacyjnym należy omówić pojęcie ochrony oraz tajemnicy. Jest to o tyle ważne, że w środowisku myli się te dwa pojęcia, co ma potem negatywne skutki dla ochrony danych. 

  • Tajemnica – w dużym uproszczeniu jest to zbiór informacji oraz danych, których ujawnienie nieuprawnionym jest zakazane na mocy prawa.
  • Ochrona danych – jest to tak naprawdę ochrona osoby fizycznej w związku z przetwarzaniem jej danych osobowych. Obejmuje zarówno tajemnicę z “definicji” wyżej, jak i pozostałe dwa główne atrybuty – integralność (poprawność) oraz dostępność.

Pomyłka, z jaką często mamy do czynienia skutkuje tym, że w ochronie danych osobowych nadmierną wagę przykłada się do poufności (zachowania tajemnicy) z pominięciem pozostałych dwóch atrybutów. Oznacza to, że ochronę danych zastępuje się tajemnicą danych osobowych.

Dane – informacje – wiedza

Zanim przejdę do podsumowania, ostatni kawałek teorii związanej z zarządzaniem informacjami, a bardziej wiedzą.

  • Dane – to najmniejsze kawałeczki. Wzrost, płeć, wiek.
  • Informacje – to tak naprawdę to, co jest objęte RODO (zresztą w definicji jest to ujęte), a więc dane identyfikujące osobę (zbiór danych tworzący informację dającą możliwość zidentyfikowania osoby) lub te, które dotyczą zidentyfikowanej osoby. W drugim przypadku są to nie informacje, a dane. Każdy najmniejszy kawałeczek, który dotyczy zidentyfikowanej osoby jest daną osobową.
  • Wiedza – obszar “zapomniany” definicyjne w RODO, choć w nim występuje. W art. 9 jest mowa o “danych dotyczących zdrowia”. Nie są to tylko informacje o osobie (dane osobowe) ponieważ do wytworzenia tej wiedzy konieczne są dane i informacje nie dotyczące osoby. A więc te, które pochodzą z medycyny (informacje czym charakteryzuje się choroba bądź schorzenie). Informacje o osobie (dane osobowe) wraz z informacją o “obrazie” choroby (lub zdrowia) budują wiedzę, czy osoba jest zdrowa czy nie. Czyli dostarcza wiedzy o stanie zdrowia.

Subiektywizm wiedzy

O ile dane osobowe, informacje o osobie są dość obiektywne, o tyle wiedza o osobie może być mocno subiektywna. Może być pewnym wyobrażeniem, ale tak to prawodawca określił (szczególnie w art. 9), że teraz musimy się z tym mierzyć.

Podsumowanie

W punktach, aby było przejrzyście:

  • W organizacji wykorzystuje się wiele informacji i danych.
  • Informacje te są chronione z różnych powodów i w różnych formach (tajemnica przedsiębiorstwa, ochrona informacji przedsiębiorstwa, informacje powierzone przez kontrahenta i inne). 
  • Jednym z obszarów ochrony (nie tajemnicy) jest ochrona danych w celu ochrony osoby fizycznej, w związku z przetwarzaniem jej danych. 
  • Dla osób zajmujących się profesjonalnie bezpieczeństwem informacji RODO oznacza wprowadzenie dodatkowej klasyfikacji dla ochrony informacji, z wyznaczeniem celu oraz parametrów tej ochrony. 

Czy numer rejestracyjny jest daną osobową

Przez
Grzegorz Krzeminski
-

W mediach przetoczyły się w ostatnim czasie dyskusje dotyczące głośnego orzeczenia NSA, w którym padło stwierdzenie:

Numer rejestracyjny pojazdu nie jest daną osobową. 

Oczywiście, że nie jest. Numer rejestracyjny jest nadany pojazdowi. Analogicznie numer PESEL jest nadany osobie i jest daną osobową (o tym co z PESEL innym razem). 

Czy numer rejestracyjny MOŻE być daną osobową? 

Oczywiście, że tak. Zarówno tą, która identyfikuje osobę, jak i tą, która dotyczy zidentyfikowanej osoby. Co ważne, auto wcale nie musi być własnością osoby, aby ją identyfikować. Brzmi skomplikowanie, jednak nie jest skomplikowane. Po prostu wymaga zrozumienia RODO i zasad ochrony danych osobowych. Szczególnie tego, że nie jest to matematyka i aksjomaty, a zrozumienie po co i w jakim celu przetwarzamy dane (kawałki i składowe informacji). Które mogą być danymi osobowymi.

Różne konteksty

Zanim przejdę do kilku przykładów, które mają za zadanie nie tylko udowodnić, że numer rejestracyjny może być danymi osobowymi (nie że jest) a jeśli nawet jest, to RODO nie wymaga wobec nich niczego, warto zrozumieć jedną istotną kwestię. Dane osobowe poza tym, że dotyczą osoby zidentyfikowanej (jeden z typów) lub umożliwiają identyfikację osoby (drugi z typów) mogą jeszcze mówić coś o osobie fizycznej. Nie tylko identyfikować, nie tylko dotyczyć, ale wprost informować. Model dane-informacje-wiedza-mądrość omówię w przyszłości. Dziś warto pamiętać, że dane osobowe, to nie tylko te, które identyfikują, te które dotyczą zidentyfikowanej osoby (czyli jak mówi definicja), ale też i te, które mówią coś więcej. A więc tworzą nie tylko informacje o osobie, ale też wiedzę, która z tych informacji jest wytworzona. 

Ta wiedza nie jest tak bardzo wyraźnie opisana w RODO, które kończy na informacjach o osobie (dość niefortunnie, a nawet błędnie nazywanych łącznie danymi osobowymi). Przykłady wiedzy o osobie znajdziemy zarówno w motywie 75, który stanowi czy stanowić powinien podstawę do szacowania skutków jak i np, w art. 9. Mowa o zapisach, które odnoszą się do sytuacji ekonomicznej osoby czy stanu zdrowia, czy wyniku profilowania – preferencje zakupowe. Nie są to suche informacje, a bardziej wiedza o osobie fizycznej zbudowana na podstawie informacji, które zostały wytworzone na bazie danych jednostkowych. Ale… nie tylko tych, które stanowią dane osobowe. 

Teorię rozwinę innym razem, czas na praktykę. Kilka przykładowych okoliczności. 

Urzędnik wydziału ruchu drogowego

Rejestracja pojazdu na osobę fizyczną. Na podstawie danych: marki, modelu tworzy wiedzę (może tworzyć) na temat sytuacji ekonomicznej osoby rejestrującej pojazd. To jaka to jest sytuacja wynika z dodatkowych informacji np. o wpisie współwłaściciela pojazdu, którym może być instytucja finansująca. Wnioski urzędnika nie są informacją, są wnioskami czyli czymś, co nazywane jest wiedzą. Wiedza nie musi być precyzyjnym wyrażeniem okoliczności, jest raczej opisem stanu na który składają się interpretacje danych – samodzielny właściciel, stać go na auto w danej klasie. Wiedza nie jest precyzyjnym wyrażeniem stanu, a raczej wnioskiem na podstawie informacji. 

Dla porównania informacje o stanie zdrowia, a tak naprawdę w rozumieniu RODO wiedza o stanie zdrowia. Dane to jednostkowe wyniki badań, które łącznie składają się na informacje np. dotyczące chorób układu krążenia. Informacja o chorobach układu krążenia wraz z informacją o wieku osoby może wskazywać na to, jaki jest ogólny dobrostan osoby, ale aby uznać, czy osoba jest w dobrym stanie konieczne jest nam jeszcze nieco więcej, a więc wiedza branżowa (informacje branżowe), czyli to jak interpretować takie wyniki. Dopiero wtedy możemy powiedzieć jaki jest stan zdrowia osoby, czyli wytworzyć wiedzę o osobie. 

Wracając do przykładu i tym razem NIE dane osobowe. Co powie urzędnikowi rejestracja pojazdu na firmę (leasing)? Znów może wytworzyć wiedzę (po zasileniu dodatkowymi informacjami np. komu udzielany jest leasing i czy tak łatwo) o sytuacji ekonomicznej osoby rejestrującej pojazd. Ale TYLKO gdy jest to jednoosobowa działalność gospodarcza. Przy innych podmiotach naprawdę trudno cokolwiek powiedzieć. 

Pracownik ochrony i numer rejestracyjny

Zacznijmy od danych w postaci numeru rejestracyjnego. Nadal jest to identyfikator pojazdu czy zestawu pojazdów (numery). Nie osoby fizycznej. Zależnie jednak od tego, gdzie ów pracownik ochrony pracuje dane te będą dostarczać informacji, a czasem wiedzy o:

Tym, że ktoś ma prawo parkować na danym parkingu. Ma prawo korzystania z lokalu, ale nie o tym, że jest właścicielem, więc o sytuacji ekonomicznej niewiele. Gdy ów pracownik będzie dysponował kontaktem do przedstawiciela firmy wynajmującej lokal dowie się, gdzie użytkownik lokalu korzystający z miejsca parkingowego pracuje (lub być może pracuje, bo może to być kolega prezesa lub brat i korzystać tak po prostu). Są to dalej dane osobowe, ale nadal tylko dotyczące osoby, a nie dostarczające wiedzy o osobie.

Kierowca ma uprawnienia do prowadzenia zestawu pojazdów (uprawnienia przy konkretnym typie pojazdu). Tym autem jeździ Zenek (kryptonim operacyjny). Tu mamy raczej do czynienia z danymi osobowymi i informacjami o osobie. Jest też wiedza o osobie, kierowca prowadzący zestaw ciągnik + naczepa jest zawodowym kierowcą ponieważ do prowadzenia takiego zestawu niezbędne są uprawnienia w postaci prawa jazdy kategorii C+E oraz świadectwo kwalifikacji. Te informacje o wymaganiach będące podstawą wytworzenia wiedzy są zestawem nie związanym z osobą, a wynikające z przepisów prawa i łącznie z zapisem w CMR (dokumenty przewozowe) będzie nam dostarczać wiedzy – to zawodowy kierowca. Nadal jednak jest to wnioskowanie, a nie informacja bezpośrednia (są to dane przetworzone). 

Krótkie podsumowanie

Dla wielu osób opis powyżej może być dość skomplikowany, co mnie nie dziwi specjalnie. RODO i jego otoczenie konsultingowe charakteryzuje się próbą uproszczenia rozumienia danych, co tak naprawdę nie jest dopuszczalne. O tym, że nie jest dopuszczalne mówi konieczność rozważania kontekstu przetwarzania, którego przykładowy zakres znajdziemy w art 88 RODO. Tam mamy czynniki, które składają się przetwarzanie danych osobowych w kontekście zatrudnienia. Przykład z kierowcą – to przetwarzanie danych w kontekście świadczenia usługi transportowej. A więc nie jest tak prosto. 

Natomiast uznawanie, że identyfikator przedmiotu jest daną osobową prowadzi naprawdę na manowce. 

MOŻE BYĆ, a nie JEST. 

Podobnie jest z numerem IP urządzeń, czy numerem biletu. To są identyfikatory konkretnych przedmiotów (materialnych lub nie), a nie osób. Inaczej dojdziemy do wniosku, że numer seryjny lodówki jest daną osobową samoistną. Bo zakupił ją konkretny człowiek. Pralka, suszarka, odkurzacz też, telefon, czy wszystko inne co ma nadane unikalne numery. Nie, to nie są dane osobowe same w sobie. One MOGĄ nimi być. 

Dla osoby identyfikatory, które są wprost daną osobową to nadany jej numer. Nie tylko PESEL, bo tak samo unikalne numery nadawane są w systemach kadrowych, płacowych, sklepach internetowych. To są identyfikatory osoby – wprost dane osobowe, bo są nadane osobie. Ale na to będzie inny artykuł, bo to też nie jest tak, że do nich wszystkich musimy stosować RODO. Mamy przepisy o przetwarzaniu danych nie wymagających identyfikacji. O czym wielu specjalistów chyba zapomniało. 

Wiążące reguły korporacyjne

Przez
Grzegorz Krzeminski
-

Na stronie Urzędu Ochrony Danych Osobowych można przeczytać o przyjęciu nowych wytycznych w sprawie wiążących reguł korporacyjnych. W wytycznych pojawia się nowy wzór wniosku do organu. Tryb postępowania jest opisany w przepisach prawa, więc nie będę ich przepisywał w całości. Warto pamiętać, że nie jest to szybka procedura, ponieważ poza zatwierdzeniem reguł przez właściwy organ nadzorczy niezbędne jest zatwierdzenie przez Europejską Radę Ochrony Danych (EROD), na mocy art 65.1.f. 

Nowe wytyczne

Nowe wytyczne związane z WRK (wiążącymi regułami korporacyjnymi) zostały przyjęte przez Europejską Radę Ochrony Danych Osobowych pod koniec listopada. Nie oznacza to, że zaktualizowane listy kontrolne i wzory obowiązują już dziś. Obecnie trwają konsultacje, w których można wziąć udział. Informacje zamieszczone są na stronie https://uodo.gov.pl/pl/138/2498

Reguły korporacyjne, a standardowe klauzule umowne

W wielu miejscach w sieci można natknąć się na informacje z których wynika, że administrator może sobie dowolnie wybierać między regułami a klauzulami umownymi. Nie jest to do końca poprawne stwierdzenie, ponieważ narzędzia te, na podstawie których dochodzi do przekazywania danych do państwa trzeciego są dedykowane do konkretnych rodzajów współpracy i związane są z organizacją ochrony danych. Wiążące reguły korporacyjne to nic innego jak grupowa polityka bezpieczeństwa – zbiór informacji i zasad związanych z ochroną danych osobowych, obowiązujące w grupie przedsiębiorstw lub przedsiębiorców. 

Cel wspólna działalność – jako wyznacznik

Ważnym elementem, który pojawił się w RODO jest wskazanie, że WRK mogą być stosowane w grupie nie tylko przedsiębiorstw, ale też przedsiębiorców. Oznacza to, że mogą to być różni przedsiębiorcy, ale łączy ich wspólna działalność gospodarcza. W tym przypadku WKR są nieocenione, ponieważ zasady są jednolite. Aspekt ten nie zawsze jest dostrzegany, więc przykład z bliższego, lepiej nam znanego obszaru – powierzenie przetwarzania danych. W przypadku powierzenia przetwarzania podmiot przetwarzający, procesor funkcjonuje w oparciu o własne regulacje i zasady. Są one poddawane audytom, a podpisanie umowy powierzenia powinno być poprzedzone oceną procesora.

W przypadku WRK jest to przygotowanie zasad zgodnie z wytycznymi z art. 47 oraz wytyczne Grupy Roboczej 29. Oczywiście rozważyć trzeba zakres, tryb współpracy, kontekst przetwarzania, zakres danych o podstawy ich transferu. 

Niemniej łatwiej jest utrzymać poziom bezpieczeństwa, gdy wszystkie podmioty działają według tych samych zasad. Proszę wyobrazić sobie audyt w grupie przedsiębiorstw złożonych z 10 organizacji. Jest to 10 audytów na tych samych listach kontrolnych, dowodach z audytu. Mało tego, można od razu budować interaktywne grupy IOD-ów lub managerów bezpieczeństwa, którzy wspólnie będą rozwijać ten sam system ochrony danych osobowych. Bardzo wygodnie z punktu widzenia organizatora ochrony danych i osób nadzorujących.

Łyżka dziegciu – trzy modele współpracy

Mechanizmem identycznym jest powołanie grupy przedsiębiorstw (w obszarze EOG). Tu również obowiązuje jednolity system ochrony danych osobowych.

Drugi z modeli to znany i powszechnie stosowane powierzenie przetwarzania danych osobowych. Czasem przerost formy nad treścią szczególnie w zakresie umów, które potrafią liczyć 17 stron i składają się z bezrefleksyjnego cytowania RODO (w technice prawodawczej jest to błąd).

Trzeci z modeli, zostawiłem na koniec bo jest jedną z dwóch łyżek dziegciu w beczce miodu. Jest nim współadministracja. Niezwykle rzadko stosowana, choć również upraszczająca wiele zagadnień. Uproszczenie organizacji powoduje większą sprawność systemu (teoria systemów).

Niestety WRK jak i współadministracja są to modele, które spotykają się (choć nieoficjalnie) z niechęcią organów nadzorczych. Jest to o tyle ciekawe, że sprawność zarządzania ochroną w jednym i drugim przypadku jest wyższa. A więc bezpieczeństwo, tryb wykonywania praw przez osobę, której dane dotyczą, skuteczność audytów i nadzoru, wspólne szkolenia są dużo łatwiejsze i efektywniejsze. 

Początek roku 2023 poświęcimy na bliższe przyjrzenie się modelom ochrony danych osobowych, w przypadku przepływów między organizacjami. Może zainspirujemy do porzucenia dość sztywnych i nie zawsze skutecznych umów powierzenia na rzecz współadministracji bądź grupy przedsiębiorstw. 

123...11Strona 1 z 11

RODOmaniacy - strona marki zarządzanej przez Instytut Bezpieczeństwa i Informacji sp. z o.o. Więcej inforamcji znajdzesz w zakładce kontakt.

Ważne strony

Na skróty

Najnowsze na stronie

© RODOmaniacy. Od 2018 roku.