Analiza ryzyka nazywana też oceną ryzyka często mylona jest z oceną skutków dla ochrony danych z art. 35 RODO (DPIA). Tymczasem ocena ryzyka w RODO podstawowy obowiązek ciążący na każdym administratorze danych osobowych, zaś obowiązek przeprowadzenia DPIA aktualizuje się dopiero w określonych sytuacjach. Obowiązek przeprowadzenia analizy ryzyka wynika z zasady risk based approach, czyli podejściu opartym na ryzyku. To, jakie techniczne i organizacyjne środki bezpieczeństwa powinien wdrożyć administrator, zależy bowiem od charakteru, zakresu, kontekstu i celów przetwarzania danych oraz od ryzyka naruszenia praw lub wolności osób fizycznych, których dane dotyczą. Nie bez znaczenia jest także ryzyko naruszenia interesów administratora.
RODO nie precyzuje zasad przeprowadzania analizy ryzyka
Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (art. 32 ogólnego rozporządzenia o ochronie danych). RODO wskazuje więc na konieczność analizy ryzyka, ale nie precyzuje żadnej konkretnej metodyki ryzyka, pozostawiając wybór lub jej opracowanie w gestii administratora danych. Oznacza to, że administrator danych ma swobodę wyboru metodyki przeprowadzenia analizy ryzyka dostosowanej do potrzeb i procesów przetwarzania danych realizowanych w jego organizacji. Nie znaczy to jednak, że proces analizy ryzyka nie powinien być zorganizowany.
Pierwszym zadaniem administratora w ramach analizy ryzyka jest wyszczególnienie czynników mających wpływ na funkcjonowanie organizacji i przetwarzanie danych osobowych.
|
Czynniki wewnętrzne |
Czynniki zewnętrzne |
|
struktura i wielkość organizacji |
środowisko prawne |
|
strategia i stosowana polityka, |
środowisko społeczne |
|
system obiegu informacji, |
środowisko polityczne |
|
środowisko informatyczne |
korzystanie z usług zewnętrznych (np. outsourcing obsługi IT lub kadr) |
|
normy i standardy obowiązujące w w jednostce |
czynniki lokalne/geograficzne – podmiot z UE lub spoza UE w zakresie sposobu wymiany informacji |
Analiza ryzyka dotyczy poszczególnych procesów przetwarzania danych osobowych. Nie może więc ona obyć się bez identyfikacji tych procesów.
Identyfikacja ta musi być na tyle szczegółowa, by dawała możliwość ustalenia:
W identyfikacji należy sugerować się treścią rejestru czynności przetwarzania bądź rejestru kategorii czynności przetwarzania, jeżeli taki jest prowadzony.
W kolejnym kroku administrator musi też:
Osoby odpowiedzialne za przetwarzanie danych to np.:
Analiza ryzyka ma dać odpowiedź na pytanie, jakie środki bezpieczeństwa przetwarzania danych wdrożyć w kontekście poziomu ryzyka. Konieczne jest więc określenie zagrożeń w zakresie ochrony danych osobowych w organizacji. W tym celu warto przyjąć następującą systematykę.
|
Kryteria podziału zagrożeń |
Źródła zagrożeń |
|
Lokalizacja źródła |
wywodzące się z otoczenia przedsiębiorstwa (zewnętrzne) |
|
powstające w ramach organizacji (wewnętrzne) |
|
|
Przyczyna zagrożenia |
działanie przypadkowe |
|
działanie umyślne |
|
|
działanie losowe |
Identyfikując zagrożenia w odniesieniu do praw i wolności podmiotu danych, należy wziąć pod uwagę zarówno działania celowe użytkownika, jak i te wynikające z jego niewiedzy, które mogą prowadzić do naruszenia przepisów prawa. Konieczne jest uwzględnienie zagrożeń wynikających przetwarzania dla ochrony danych osobowych tak w formie papierowej, jak w systemach informatycznych, np. brak odpowiedniego programu szyfrującego itp.
Przykładowe zagrożenia:
Od zagrożeń należy odróżnić podatności. Są to bowiem cechy sprzyjające urzeczywistnieniu się potencjalnego zagrożenia. Aby te podatności zidentyfikować, należy dokonać analizy zdarzeń, które dotychczas wystąpiły w organizacji.
Przykładowe podatności:
Kluczowy krok w analizie ryzyka to szacowanie ryzyka. Ma ono na celu określenie potencjalnych strat, które mogą powstać w wyniku wystąpienia określonych zagrożeń. Najpierw jednak należy ustalić organizację całego procesu. W większych organizacjach uzasadnione jest powołanie zespołu odpowiedzialnego za proces zarządzania ryzykiem.
Gdy proces zarządzania ryzykiem realizuje jedna osoba, wówczas raporty oraz pojawiające się nieprawidłowości powinna ona zgłaszać bezpośrednio do administratora danych osobowych lub osoby przez niego wskazanej i koordynującej ten proces.
Aby oszacować ryzyko, najlepiej jednak zaangażować w to personel administratora, który zwykle ma największą wiedzę na temat ryzyka występującego w ich obszarach działania. Oczywiście zalecane jest także korzystanie ze wsparcia inspektora ochrony danych, jeżeli taki został wyznaczony w organizacji.
Bardzo istotny jest wybór metodyki szacowania ryzyka. Wiemy już, że przepisy RODO nie wprowadzają tutaj żadnych ograniczeń, co oznacza, że administrator może swobodnie wybrać metodykę, najlepiej dostosowaną do jego potrzeb.
Wybrana przez administratora metodyka szacowania ryzyka powinna uwzględniać:
Ocena poziomu ryzyka może być wykazana metodą:
Często stosowane rozwiązanie to wzór obliczeniowy: (R) = (P) × (NS)
gdzie:
Po oszacowaniu ryzyka administrator powinien ustalić plan postępowania z tym ryzykiem, czyli proces zarządzania ryzykiem. Najczęściej stosowane rozwiązania to:
W ramach tego działania administrator powinien zadecydować o wdrożeniu odpowiednich zabezpieczeń w celu ochrony danych osobowych, takich, aby zapewnić stopień bezpieczeństwa adekwatny do stwierdzonego ryzyka (art. 32 RODO).
Przykładowe zabezpieczenia
Zgodnie z zasadą rozliczalności proces przeprowadzenia analizy ryzyka należy udokumentować. Administrator musi zapewnić sobie możliwość wykazania, że taką analizę przeprowadzić. W przeciwnym razie brak potwierdzenia (nawet jeśli nie została ona przeprowadzona). Sprawdź, jak udokumentować przeprowadzenie analizy ryzyka.
Przeczytaj także:
Pobierz arkusz szacowania ryzyka.
Z wideoszkolenia dowiesz się m.in.:
Szkolenie prowadzi Agnieszka Wachowska, radczyni prawna, Co-Managing Partners, Szefowa zespołu IT-Tech w TKP
© Portal Poradyodo.pl
