Przetwarzanie danych osobowych w projektach IT

Czym jest przetwarzanie danych?

Zgodnie z RODO są to następujące procesy:

• zbieranie,
• utrwalanie,
• organizowanie,
• porządkowanie,
• przechowywanie,
• adaptowanie lub modyfikowanie,
• pobieranie,
• przeglądanie,
• wykorzystywanie,
• ujawnianie poprzez przesłanie,
• rozpowszechnianie lub innego rodzaju udostępnianie,
• dopasowywanie lub łączenie,
• ograniczanie,
• usuwanie i niszczenie.

  

Czy przechowywanie danych osobowych w archiwum biurowym lub przeglądanie danych na monitorze komputera będziemy nazywać przetwarzaniem danych osobowych?

Tak - w ramach tych czynności dochodzi do przetwarzania danych osobowych i należy odpowiednio zaprojektować i wdrożyć środki bezpieczeństwa np. w archiwum odpowiednia kontrola dostępu, lista osób odwiedzających, odpowiednie systemy monitorujące warunki środowiskowe, a w przypadku monitorów komputera np. filtry prywatyzujące ograniczające wgląd osób nieuprawnionych.

Przetwarzanie danych w projektach IT

Ta szeroka gamą operacji wykonywanych na danych osobowych powoduje, że w przypadku realizacji projektów IT dochodzi w zasadzie to każdej z tych czynności.

Zawsze wtedy, gdy przetwarzamy dane osobowe konieczne jest objęcie ich odpowiednim poziomem ochrony prywatności osoby której dane dotyczą. W projektach IT wykorzystujemy zasadę Privacy by design, która stała się wymaganiem prawnym w momencie rozpoczęcia stosowania rodo.

Uwaga: Privacy by design to nie tylko dobra praktyka, ale od maja 2018 roku, to przede wszystkim prawnie ciążący obowiązek zdefiniowany w RODO i ustawie o ochronie danych osobowych, który dotyczy podmiotów zarówno ze sfery publicznej, jak i prywatnej.

Projektowanie nowych procesów przetwarzania danych osobowych zgodnie z zasadą Privacy by design

Privacy by design, czyli ochrona danych osobowych w fazie projektowania to zasada, w myśl której na etapie planowania, zmiany, budowania, rozwoju min.:

▪procesów,

▪usług,

▪serwisu,

▪współpracy z nowymi partnerami,

▪stron internetowych (np. wprowadzenie nowych funkcjonalności na stronie),  

należy mieć na względzie konieczność zapewnienia odpowiedniej ochrony danych osobowych i prywatności osób fizycznych.

Privacy by design – to część składowa każdego projektu zakładającego przetwarzanie danych osobowych, w tym również projektu IT.

Zgodnie z art. 25 administrator danych osobowych, powinien tak zaplanować projekt, aby ochrona danych osobowych stanowiła jego istotny aspekt. W RODO odnajdujemy zapisy o obowiązkach Administratora danych osobowych:

Administrator powinien uwzględnić „stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia”.

Artykuł 25 ust. 1 RODO wskazuje przykładowe środki techniczne i organizacyjne, jakie może zastosować administrator danych osobowych i są to w szczególności pseudonimująca i minimalizacja danych. Do środków technicznych można zaliczyć również wszystkie działania dotyczące zabezpieczeń, w tym np. alarmy przeciwwłamaniowe, natomiast przykładem zastosowania środka organizacyjnego będzie np. opracowanie i wdrożenie określonej procedury.

Przetwarzanie danych osobowych w projektach IT w praktyce

W praktyce – należy tak podchodzić do zmian i tak projektować rozwiązania aby:

▪zakres danych był adekwatny do celu przetwarzania - czy projekt IT nie zakłada gromadzenia zbyt szerokiego zakresu danych osobowych (zasada minimalizacji)?

▪podejmowane działania były zgodne z przepisami prawa - czy projekt IT zakłada oparcie przetwarzania danych osobowych na podstawie czynności przed zawarciem umowy, czy może w oparciu o zgodę, którą wyraziła osoba której dane dotyczą?

▪wykorzystywane narzędzia ułatwiały realizację zobowiązań Spółki jako administratora danych - czy projekt IT posiadana udokumentowane dowody pozwalające na wykazanie rozliczalności przed organem nadzorczym np. notatki ze spotkań zespołu projektowego, specyfikacje funkcjonalną produktu IT?

Etapy przetwarzania danych w projektach IT zgodnie z zasadą Privacy by design

Ocena ryzyka – określenie jakim ryzykiem obarczone będzie przetwarzanie danych w procesie przy wykorzystaniu określonych narzędzi i technologii

Zaplanowanie zabezpieczeń – wybór środków bezpieczeństwa adekwatnych do ryzyka oraz zakresu i celu przetwarzania danych

Monitorowanie rozwiązań – weryfikacja czy stosowane rozwiązania odpowiadają zmianom zachodzącym w otoczeniu przedsiębiorstwa

Ważne: Ochrona danych osobowych w projektach IT nie kończy się na etapie zaprojektowania rozwiązania. Konieczne jest monitorowanie wdrożonych rozwiązań w całym cyklu życia projektu IT.

Kary Urzędu Ochrony Danych Osobowych

3 mln zł za nieodpowiednie zabezpieczenie baz danych klientów, stosowanie nieadekwatnych środków uwierzytelniania użytkowników oraz brak podstaw przetwarzania (zgód)

55,75 tys. zł za upublicznienie zbyt szerokiego zakresu danych

1 mln zł za brak informacji kierowanych bezpośrednio do osób o sposobach i celach przetwarzania ich danych osobowych