Nie takie RODO straszne – czyli bądźmy ostrożni, ale nie panikujmy

0

Znaczna część komentatorów roztacza niemal apokaliptyczne wizje związane z wchodzącym w życie 25 maja br. RODO, czyli ogólnym rozporządzeniem o ochronie danych osobowych. Kary przewidziane przez RODO robią duże wrażenie, ale pamiętajmy, że dla przedsiębiorcy mogą zaistnieć okoliczności łagodzące, które wpływają na ich zmniejszenie lub nawet zniesienie.

Ostrożność – tak, panika – nie

Jak powszechnie wiadomo, RODO wprowadza możliwość nakładania znacznych kar na organizacje, które nie będą w dostateczny sposób chronić dane osobowe. Wysokość kwot, o których mowa w RODO (4% globalnych przychodów firmy lub 20 mln euro) pobudza wyobraźnię i jest często przywoływana w dyskusjach na temat rozporządzenia. Czy jednak trzeba się nastawiać, że takie kary rzeczywiście będą wymierzane?

Naszym zdaniem nie ma powodów do paniki. Trzeba racjonalnie podejść do przechowywania danych osobowych, dbając o ich bezpieczeństwo i nie lekceważyć wymagań wynikających z RODO. W wielu organizacjach jest to dobry moment na weryfikację, czy posiadane dane osobowe są niezbędne do prowadzenia działalności. W przypadku naruszeń bezpieczeństwa przedsiębiorstwo będzie musiało wykazać, że podejmowało dobre decyzje dotyczące przetwarzania danych osobowych – komentuje Jolanta Malak, regionalna dyrektor Fortinet w Polsce.

Włamania są nieuniknione

Według badania przeprowadzonego przez Fortinet aż 95% przedsiębiorstw w Polsce padło ofiarami naruszenia bezpieczeństwa w latach 2015–2017. – W miarę jak firmy udoskonalają swoje rozwiązania ochronne, przestępcy próbują być o krok przed nimi – mówi dyrektor Jolanta Malak. – Współczesne ataki są na tyle zaawansowane, że można zmniejszyć ryzyko ich wystąpienia, ale trudno je całkowicie wyeliminować. Przepisy zawarte w RODO pozwalają przypuszczać, że sankcje dotyczące naruszenia danych osobowych będą inaczej nakładane w zależności od tego, czy zagrożenie będzie wynikiem ataku cybernetycznego, czy też nieodpowiedniego przechowywania danych przez przedsiębiorstwa. W związku z tym, warto przygotować odpowiednie mechanizmy zabezpieczania danych, które dobrze wdrożone, pozwolą na świadome korzystanie z baz danych o klientach i pracownikach oraz ograniczą ryzyko utraty kontroli nad nimi.

Warto w tym miejscu przywołać dane z raportu Trustwave z 2017 roku o bezpieczeństwie globalnym. Cyberprzestępca ma przeciętnie 65 dni zanim jego atak zostanie wykryty. Im dłużej takie „okno” pozostaje otwarte, tym więcej czasu przestępca może poświęcić na wyszukanie, znalezienie i kradzież danych.

Czytaj również:  Instytut Staszica: Połączenie Orlenu i Lotosu poprawi bezpieczeństwo energetyczne Polski. Zyskają też kierowcy, bo ceny paliw mogą spaść

Jeśli przedsiębiorstwo wykryje naruszenie ochrony danych osobowych objęte przepisami RODO, ma 72 godziny na zgłoszenie tego faktu właściwemu organowi nadzorczemu, chyba że, o czym mówi art. 33 RODO, „jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych”. Oznacza to, że w ciągu trzech dni przedsiębiorstwo powinno określić, czyich danych osobowych dotyczyło naruszenie, jakie dane osobowe zostały narażone na zagrożenie oraz jaki jest stopień potencjalnego wpływu tego naruszenia na określone osoby fizyczne.