W określonych przypadkach obowiązkiem administratora danych osobowych jest przeprowadzenie oceny skutków przetwarzania dla ochrony danych. Na obowiązek ten szczególną uwagę powinny zwrócić podmioty prowadzące sklepy internetowe – ze względu na potencjalnie dużą liczbę podmiotów, których dane osobowe są przetwarzane w związku z funkcjonowaniem sklepu. Sprawdź, kiedy i jak przeprowadzić ocenę skutków w sklepie internetowym.
Z tematu tygodnia dowiesz się:
Ocena skutków to proces realizowany w celu opisania przetwarzania danych oraz oceny jego konieczności i proporcjonalności. Ocena ta ma także wspomóc zarządzanie ryzykiem naruszenia praw i wolności praw i wolności osób fizycznych wynikającym z przetwarzania danych osobowych i dać możliwość określenia środków pozwalających zaradzić czynnikom ryzyka.
Ocena skutków dla ochrony danych jest podstawowym narzędziem służącym do wykonania obowiązków wynikających z reguły rozliczalności (art. 5 RODO). Dzięki przeprowadzonej ocenie administrator będzie mógł wykazać, że spełnia wymogi określone w RODO, w szczególności, że podejmuje odpowiednie środki w celu zapewnienia przestrzegania przepisów rozporządzenia.
Ocena skutków jest dokonywana przed rozpoczęciem operacji przetwarzania w danym zakresie, jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 35 ust. 1 RODO). Dlatego w pierwszej kolejności administrator prowadzący sklep internetowy powinien dokonać analizy, przedmiotem której będzie ustalenie, czy dotychczas stosowane środki ochrony danych wystarczają do zapewnienia bezpieczeństwa ich przetwarzania.
Wymóg przeprowadzenia oceny skutków co do ochrony danych dotyczy również istniejących operacji przetwarzania, które mogą powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych oraz w przypadku których nastąpiła zmiana rodzaju ryzyka, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania danych.
Punkt ten oczywiście pomijamy, jeżeli rozważamy inicjację nowych procesów przetwarzania.
Zobacz także: Dowiedz się, na jakiej podstawie przetwarzać dane osobowe, prowadząc sklep internetowy
Następnie powinniśmy rozważyć czy ocena skutków dla ochrony danych jest konieczna w świetle specyfiki procesów przetwarzania. Kluczowa jest tu regulacja art. 35 ust. 3 RODO, zgodnie z którą dokonanie oceny skutków dla ochrony danych jest konieczne w szczególności:
Przykład 1
Dokonanie oceny skutków uzasadniają wdrożone w sklepie internetowym procedury automatycznego profilowania klientów w celu oceny ich wiarygodności.
Przykład 2
Sklep internetowy, w związku z oferowanym asortymentem medycznym (szkła kontaktowe), przetwarza szczególne kategorie danych osobowych (informacje o wadzie wzroku). Jeśli informacje te są przetwarzane na dużą skale, wówczas nie obejdzie się bez oceny skutków dla ochrony danych.
Zobacz także:
Oczywiście przepis art. 35 ust. 3 RODO został sformułowany dość ogólnie, przez co może stwarzać wątpliwości interpretacyjne. W związku z tym warto sięgnąć do wykazu rodzajów przetwarzania, dla których wymagane jest przeprowadzenie oceny skutków co do ochrony danych (publikowanego corocznie w Komunikacie Prezesa Urzędu Ochrony Danych Osobowych).
W wykazie opublikowanym w 2019 r. Prezes UODO wskazuje, że dokonanie oceny skutków dla ochrony danych jest konieczne w przypadku:
Jeżeli administrator upewni się co do konieczności przeprowadzenia oceny skutków, wówczas powinien podjąć następujące działania:
Przykład 3
weryfikacja, czy profilowanie klientów sklepu pod danym kątem jest niezbędne do realizacji założonych celów przetwarzania (m.in. wykonanie umowy sprzedaży, dostawa towaru, marketing bezpośredni)
Przykład 4
ustalenie konsekwencji wycieku danych dotyczących kart kredytowych klientów sklepu internetowego
To jednak nie wszystko. Na tym etapie ocenę należy dokonać uzupełnienia oceny o:
Przykład 5
Administrator danych, gdy zidentyfikuje zatem konkretne ryzyko wycieku danych osobowych, musi wdrożyć środki ograniczające to ryzyko takie jak procedury postępowania z danymi osobowymi przez pracowników sklepu internetowego, zabezpieczenie serwerów sklepu odpowiednim oprogramowaniem, szyfrowanie danych osobowych, pseudonimizacja danych itp.).
W procesie oceny skutków dla ochrony danych, administrator powinien skonsultować się z inspektorem ochrony danych, jeżeli taki został wyznaczony dla organizacji.
W razie potrzeby, przynajmniej gdy zmienia się ryzyko wynikające z operacji przetwarzania, administrator dokonuje przeglądu, by stwierdzić, czy przetwarzanie odbywa się zgodnie z oceną skutków w stosunku do ochrony danych (art. 35 ust. 11 RODO). Jednorazowa ocena skutków może zatem okazać się niewystarczająca. Wszak każda zmiana w zakresie przetwarzania danych osobowych obliguje administratora do przeanalizowania, czy zmiany w zakresie przetwarzanych danych osobowych wiążą się z dużym prawdopodobieństwem wystąpienia wysokiego ryzyka naruszenia praw lub wolności osób fizycznych. Jeśli zaś administrator stwierdzi takie prawdopodobieństwo, wówczas należy dokonać przeglądu dokonanej uprzednio oceny skutków. Innymi słowy należy zweryfikować, czy przetwarzanie dodatkowych kategorii danych osobowych w nowych procesach spełni wymagania oceny skutków co do ochrony danych (zobacz przykład 6).
Przykład 6
Administrator danych osobowych chce rozszerzyć funkcjonalność sklepu internetowego o dodatkowe możliwości polegające na wprowadzeniu opcji zakładania profili klienta i kart lojalnościowych ,które związane są z gromadzeniem dalszych danych osobowych klientów sklepu lub osób odwiedzających sklep. W takim przypadku administrator powinien zbadać związane z tym ryzyko dla podmiotów danych oraz prawdopodobieństwo ich wystąpienia. Gdy ryzyko będzie wysokie, zaś prawdopodobieństwo duże, wówczas konieczne stanie się przeprowadzenie oceny skutków co do ochrony danych.
Aktualizacja oceny może okazać się konieczna także wówczas, gdy administrator stwierdzi wystąpienie naruszenia ochrony danych. W następstwie każdego takiego naruszenia administrator powinien bowiem zweryfikować domyślny system ochrony danych oraz przedsięwziąć dodatkowe środki mające na celu minimalizację ryzyka wystąpienia tego typu naruszeń w przyszłości.
… aby zadbać o bezpieczeństwo przetwarzania danych w sklepie internetowym, wykonaj następujące kroki:
Wprowadzenie ustalonych środków ochrony danych osobowych jest możliwe nie wcześniej, niż po:
Przechowywanie danych w chmurze polega na zapisywaniu i zarządzaniu danymi na zdalnych serwerach, które są dostępne przez internet. Zamiast przechowywać pliki na lokalnych dyskach twardych lub serwerach, użytkownicy mogą korzystać z infrastruktury dostarczanej przez dostawców usług chmurowych. Jest to wygodne i efektywne rozwiązanie, które zapewnia dostęp do danych z dowolnego miejsca, elastyczność, skalowalność oraz wysoki poziom bezpieczeństwa i niezawodności.
© Portal Poradyodo.pl
