Co to jest?
Analiza ryzyka nie jest co prawda pojęciem bezpośrednio zdefiniowanym w RODO, jednak jest obowiązkowa dla każdego kto przetwarza dane osobowe. Jej celem jest szacowanie prawdopodobieństwa wystąpienia oraz skutków naruszenia. To sprawdzenie, co złego może stać się
z danymi osobowymi i jak wpłynęłoby to na ludzi, których te dane dotyczą. Nie chodzi więc o ochronę firmy, ale o ochronę osób.
Kto za to odpowiada?
Zarówno administrator, jak i podmiot przetwarzający – wymagają tego przepisy RODO, m.in. art. 32 RODO dotyczący doboru odpowiednich środków bezpieczeństwa.
Po co to robić?
- żeby wiedzieć, jakie zagrożenia istnieją – obowiązek rozliczalności,
- żeby dobrać zabezpieczenia adekwatne do skali zagrożenia (np. hasła, szyfrowanie),
- żeby uniknąć błędów i naruszeń – brak analizy to spore ryzyko finansowe.
Jak to robić?
Metoda przeprowadzenia analizy ryzyka nie jest narzucona przez RODO. Pamiętać jednak należy, że wymaga ona udokumentowania. Na początku analizy ryzyka przydatny jest rejestr czynności przetwarzania. Należy:
- określić kontekst identyfikując zasoby i zagrożenia – jakie dane, po co i jak są przetwarzane, co może się z nimi stać,
- ocenić prawdopodobieństwa – jakie jest ryzyko, że zagrożenie wystąpi (małe, średnie, duże),
- ocenić skutki – co się stanie, jeśli zagrożenie się zrealizuje, jak bardzo ucierpi podmiot danych,
- ocenić ryzyko łącząc prawdopodobieństwo ze skutkami – największe ryzyko to wysokie prawdopodobieństwo i poważne skutki,
- zaplanować działania – co zrobić, żeby ryzyko było jak najmniejsze.
Jeśli po wprowadzeniu zabezpieczeń ryzyko nadal jest wysokie, RODO wymaga przeprowadzenia dodatkowo Oceny Skutków dla Ochrony Danych (DPIA).
Kiedy to robić?
W RODO nie jest wskazane wprost kiedy i z jaką częstotliwością należy przeprowadzać analizę ryzyka. Na pewno powinno się ją robić przed rozpoczęciem przetwarzania danych, przy planowaniu nowego procesu oraz przy zmianach w przetwarzaniu i istniejących procesach (np. nowy system, nowe cele). Najlepiej jednak robić ją regularnie, aby sprawdzać aktualność zabezpieczeń, bo ryzyko się zmienia
i mogą pojawić się nowe zagrożenia dla praw osób, które np. wcześniej nie zostały uwzględnione.
W dynamicznie zmieniającej się firmie wcześniej akceptowalny poziom ryzyka może stać się nieakceptowalnym lub wręcz alarmującym.
Najczęstsze błędy
- skupienie się na ryzyku firmy, a nie na ryzyku osób których dane dotyczą,
- analiza robiona jeden raz, a nie cyklicznie w sposób ciągły,
- ocena ryzyka bez powiązania z konkretnym procesem – wtedy nic do siebie nie pasuje i wnioski są niemiarodajne,
- brak dokumentowania.
Dlaczego to ma sens?
Dobra analiza ryzyka to aktywne działanie a nie tylko posiadanie dokumentu. Pozwala ona:
- wychwycić potencjalne i istniejące zagrożenia dla podmiotu danych,
- wybrać skuteczne zabezpieczenia, ograniczające poziom ryzyka,
- ocenić, czy dane w procesie mogą być przetwarzane i można go bezpiecznie uruchomić,
- a czasem nawet wcześnie zrezygnować z procesu, który byłby zbyt ryzykowny.
Postępowanie z ryzykiem to proces ciągły. Każda organizacja powinna dążyć do wyeliminowania lub maksymalnego ograniczenia ryzyka związanego z ochroną danych osobowych.
Autor
J.J. Menadżer • Audytor wewnętrzny • Compliance Officer
