Firma posiada certyfikat ISO 27001, regularnie wykonuje kopie zapasowe i kontroluje dostęp do systemów. Czy to oznacza, że prawidłowo chroni dane osobowe? To ważna część odpowiedzi, ale pozostają jeszcze pytania o podstawę ich przetwarzania, okres przechowywania i realizację praw osób, których dotyczą. ISO 27001 i RODO spotykają się przy bezpieczeństwie informacji, jednak każde z nich obejmuje również obszary wykraczające poza ten wspólny zakres. Dla przedsiębiorstwa B2B wyzwaniem jest połączenie ich w codziennym zarządzaniu: od zakupu oprogramowania, przez obsługę kontrahentów, po reakcję na incydent.
ISO 27001 i RODO – różne cele, wspólna odpowiedzialność
ISO/IEC 27001 określa wymagania dla systemu zarządzania bezpieczeństwem informacji, nazywanego SZBI. Obejmuje podejście oparte na ryzyku, organizację odpowiedzialności oraz utrzymywanie i doskonalenie zabezpieczeń. Chroni poufność, integralność i dostępność informacji, niezależnie od tego, czy są to dane osobowe, dokumentacja projektowa, tajemnice handlowe czy plany rozwoju przedsiębiorstwa. Nie ogranicza się przy tym do infrastruktury informatycznej. Dotyczy także ludzi i procesów.
RODO koncentruje się na ochronie osób fizycznych w związku z przetwarzaniem ich danych. Bezpieczeństwo stanowi jeden z jego elementów. Znaczenie mają również legalność i przejrzystość przetwarzania, ograniczenie celu, minimalizacja danych, ich prawidłowość oraz odpowiednio ustalony czas przechowywania. Przedsiębiorstwo powinno umieć wykazać przestrzeganie tych zasad.
Różnicę dobrze pokazują dwa przykłady. Ujawnienie dokumentacji technicznej bez danych osobowych może być poważnym problemem bezpieczeństwa informacji, choć samo w sobie nie musi uruchamiać obowiązków wynikających z RODO. Z kolei przechowywanie zbędnych danych kandydatów do pracy może naruszać zasady ochrony danych, nawet jeśli system rekrutacyjny jest skutecznie zabezpieczony przed atakiem.
Bezpieczne przechowywanie informacji nie rozstrzyga jeszcze, czy przedsiębiorstwo powinno je posiadać i do czego może ich używać.
W relacjach B2B ta różnica łatwo umyka. Współpraca odbywa się między organizacjami, ale w dokumentach, korespondencji i systemach pojawiają się konkretni ludzie: reprezentanci kontrahentów, uczestnicy szkoleń, konsultanci i pracownicy. Imienny adres służbowy lub numer telefonu przypisany do określonej osoby również może stanowić dane osobowe. Sam biznesowy charakter relacji nie wyłącza ochrony tych informacji.
Dlaczego certyfikat ISO 27001 nie zastępuje zgodności z RODO
Certyfikacja systemu zarządzania bezpieczeństwem informacji potwierdza zgodność z wymaganiami normy w określonym zakresie. Dlatego przy ocenie certyfikatu trzeba sprawdzić, jakie usługi, jednostki organizacyjne i lokalizacje obejmuje. Certyfikat dotyczący wybranego obszaru działalności nie powinien być automatycznie traktowany jako potwierdzenie objęcia nim wszystkich procesów przedsiębiorstwa.
Wartość takiego potwierdzenia jest realna. W procesie zakupowym może ono pomóc ocenić, czy dostawca zarządza bezpieczeństwem w uporządkowany sposób. Nie daje jednak podstaw do pominięcia pytań dotyczących konkretnej usługi i przetwarzanych w niej danych.
Wyobraźmy sobie firmę oferującą platformę szkoleniową. Jej system zarządzania obejmuje utrzymanie aplikacji, a zabezpieczenia chronią konta użytkowników i wyniki egzaminów. Nadal trzeba jednak ustalić, kto decyduje o wykorzystaniu danych uczestników, jak długo przechowywane są nagrania zajęć oraz czy informacje o aktywności użytkowników trafiają do innych podmiotów.
To odrębne kwestie, których nie rozstrzyga samo przedstawienie certyfikatu.
Certyfikacja ISO 27001 nie jest automatycznie certyfikacją ochrony danych przewidzianą w art. 42 RODO. Rozporządzenie ustanawia własne mechanizmy certyfikacji, a nawet uzyskanie certyfikacji w tym trybie nie ogranicza odpowiedzialności administratora lub podmiotu przetwarzającego za przestrzeganie przepisów.
W komunikacji handlowej warto więc precyzyjnie opisywać posiadane potwierdzenia. Informacja o certyfikowanym SZBI powinna wskazywać właściwy zakres. Sformułowanie sugerujące, że certyfikat ISO 27001 gwarantuje pełną zgodność wszystkich działań firmy z RODO, wykracza poza to, co taki dokument potwierdza.
Ocena ryzyka musi uwzględniać także perspektywę człowieka
W rozmowach o bezpieczeństwie dominują często skutki dla przedsiębiorstwa: przestój, utrata przychodów, koszt odtworzenia infrastruktury czy ujawnienie tajemnicy handlowej. To uzasadnione tematy zarządcze. Przy ochronie danych trzeba dodatkowo ocenić, co dane zdarzenie może oznaczać dla osoby, której informacje dotyczą.
Ten sam incydent może mieć niewielki wpływ na ciągłość działalności, a jednocześnie poważnie zaszkodzić pracownikowi lub klientowi. Przypadkowe udostępnienie dokumentu zawierającego informacje o zdrowiu nie musi zatrzymać żadnego systemu. Może jednak prowadzić do naruszenia prywatności, stygmatyzacji lub dyskryminacji. EROD wskazuje, że ocena bezpieczeństwa danych powinna uwzględniać potencjalny wpływ na prawa i wolności osób.
Praktycznym rozwiązaniem jest wspólne opisywanie scenariuszy ryzyka, z oddzielnym wskazaniem konsekwencji dla organizacji i dla ludzi. Zespół nie musi dwukrotnie zbierać informacji o tej samej aplikacji, ale powinien unikać sprowadzania wszystkich skutków do jednej kwoty potencjalnej straty.
Przykładowo przy wdrażaniu narzędzia analizującego aktywność pracowników warto rozważyć:
- jakie informacje narzędzie zbiera i jakie wnioski może z nich wyprowadzać;
- kto otrzyma dostęp do ocen oraz raportów;
- czy błędna interpretacja wyników może wpłynąć na sytuację zawodową pracownika;
- czy cel można osiągnąć przy mniejszym zakresie danych.
Jeżeli planowane przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób, konieczna jest ocena skutków dla ochrony danych, czyli DPIA. Przeprowadza się ją przed rozpoczęciem przetwarzania. Analiza bezpieczeństwa może dostarczyć do niej informacji, lecz sama ocena podatności systemu nie obejmuje wszystkich zagadnień związanych z wpływem przetwarzania na ludzi.
Wspólne procesy zamiast dwóch obiegów dokumentów
Najbardziej użyteczne połączenie ISO 27001 i RODO powstaje na poziomie codziennych czynności. Dotyczy tego, kto nadaje dostęp do danych, jak firma zatwierdza nowe narzędzia i co dzieje się z informacjami po zakończeniu współpracy.
Dobrym przykładem jest zmiana stanowiska pracownika. Samo utworzenie nowych uprawnień nie wystarczy, jeśli pozostaną mu dostępy do dokumentacji poprzedniego działu. Regularne przeglądy uprawnień i odbieranie zbędnych dostępów należą do praktycznych środków ochrony danych wskazywanych przez EROD.
Wspólny proces może zaczynać się od zgłoszenia zmiany przez HR, obejmować zatwierdzenie dostępów przez przełożonego i kończyć potwierdzeniem wykonania przez IT. Taki przebieg daje jednocześnie kontrolę operacyjną oraz dowód, że ustalone zasady działają.
Podobnego połączenia wymaga obsługa żądań osób. Prawo dostępu, sprostowania czy usunięcia danych ma określone warunki stosowania, a prawo do usunięcia nie jest bezwzględne. Organizacja musi umieć ocenić żądanie i odpowiednio na nie zareagować.
W praktyce sama instrukcja dla działu prawnego niewiele pomoże, jeśli nikt nie wie, gdzie znajdują się dane. Potrzebna jest współpraca z osobami obsługującymi CRM, pocztę, archiwum dokumentów i platformy zewnętrzne. Warto wcześniej ustalić sposób wyszukiwania informacji, bezpiecznego przygotowania odpowiedzi i dokumentowania wykonanych czynności.
Osobnym punktem jest projektowanie nowych usług. Artykuł 25 RODO wymaga uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych.
Dla zespołu wdrożeniowego oznacza to konkretne decyzje: które pola formularza będą obowiązkowe, kto zobaczy profil użytkownika i czy aplikacja pozwoli ustawić odpowiedni okres przechowywania danych. Najlepiej podjąć je przed konfiguracją systemu. Zmiana gotowego rozwiązania może wymagać dodatkowego budżetu, migracji danych albo renegocjowania umowy.
Incydent bezpieczeństwa i naruszenie danych – wspólna reakcja, różne decyzje
Awaria, atak lub pomyłka pracownika wymagają szybkiego ustalenia faktów. Z perspektywy ochrony danych istotne jest, czy doszło do naruszenia ich poufności, integralności lub dostępności. Naruszenie danych nie musi zatem oznaczać wycieku. Może obejmować również ich utratę, nieuprawnioną zmianę lub niedostępność. Jednocześnie nie każdy incydent bezpieczeństwa dotyczy danych osobowych.
Administrator zgłasza naruszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, aby skutkowało ryzykiem naruszenia praw lub wolności osób. Naruszenia trzeba dokumentować również wtedy, gdy nie podlegają zgłoszeniu. Wysokie ryzyko co do zasady wymaga ponadto zawiadomienia osób bez zbędnej zwłoki, z uwzględnieniem wyjątków przewidzianych prawem. Podmiot przetwarzający informuje administratora bez zbędnej zwłoki; nie powinien traktować 72 godzin jako własnego standardowego terminu.
Dlatego organizacja potrzebuje procedury, która łączy pracę techniczną z oceną skutków. Zespół IT ustala przebieg zdarzenia i ogranicza jego zasięg. Osoby odpowiedzialne za proces biznesowy pomagają rozpoznać zawartość dokumentów lub baz. Specjaliści ochrony danych wspierają ocenę konsekwencji i obowiązków.
Wyobraźmy sobie wysłanie raportu z ocenami uczestników szkolenia do niewłaściwego kontrahenta. Serwery działają poprawnie, nie wykryto złośliwego oprogramowania, a dostęp do platformy jest zabezpieczony. Mimo to potrzebna jest reakcja: ustalenie odbiorcy, zakresu ujawnionych informacji, możliwości ograniczenia skutków i sytuacji osób wymienionych w raporcie.
Warto ćwiczyć takie scenariusze razem z awariami technicznymi. Podczas symulacji można sprawdzić, czy pracownik wie, komu zgłosić pomyłkę, czy dostępna jest osoba uprawniona do podjęcia decyzji i czy zespół potrafi szybko odtworzyć listę danych objętych zdarzeniem.
Dostawca z certyfikatem nadal wymaga weryfikacji
Współpraca B2B coraz częściej opiera się na usługach chmurowych, zewnętrznej obsłudze IT, platformach komunikacyjnych i aplikacjach abonamentowych. Wraz z usługą przedsiębiorstwo otrzymuje określony model przetwarzania danych. Trzeba go poznać przed podpisaniem umowy.
Jeżeli dostawca przetwarza dane w imieniu administratora, konieczne jest odpowiednie uregulowanie tej relacji. Znaczenie mają m.in. instrukcje przetwarzania, poufność, zabezpieczenia, korzystanie z dalszych podmiotów oraz pomoc w wykonywaniu obowiązków administratora. Powierzenie obsługi zewnętrznej firmie nie usuwa obowiązków po stronie organizacji zlecającej.
Praktyczna ocena dostawcy powinna łączyć dokumenty z pytaniami o rzeczywiste działanie usługi:
- Czy zakres certyfikacji obejmuje rozwiązanie, które zamierzamy kupić?
- Kto będzie miał dostęp administracyjny do naszych danych?
- Jak otrzymamy informację o incydencie?
- Czy możemy wyeksportować dane i zakończyć współpracę bez utraty kontroli nad nimi?
- Jak dostawca realizuje usuwanie danych po rozwiązaniu umowy?
Warto przeanalizować również lokalizacje przetwarzania i dostęp z innych państw. Jeżeli dochodzi do przekazywania danych poza Europejski Obszar Gospodarczy, trzeba ocenić właściwe warunki transferu. Sam certyfikat ISO 27001 nie zastępuje mechanizmu wymaganego do legalnego przekazania danych.
Dobrym sprawdzianem jakości oferty jest rozmowa o zakończeniu współpracy. Na etapie sprzedaży uwaga skupia się zwykle na funkcjach i wdrożeniu. Tymczasem sposób zwrotu danych, ich usunięcia oraz potwierdzenia tych czynności pokazuje, czy usługa została przemyślana w całym cyklu życia.
Zarząd, IT i IOD potrzebują jasnego podziału zadań
W wielu organizacjach bezpieczeństwo informacji przypisuje się działowi IT, a RODO osobie prowadzącej dokumentację. Taki podział pozostawia lukę w procesach biznesowych. To przecież sprzedaż wybiera narzędzia do kontaktu z klientami, HR ustala zakres informacji o kandydatach, a kierownicy decydują o dostępach swoich zespołów.
W praktycznym modelu zarząd zapewnia zasoby i rozstrzyga priorytety, właściciele procesów odpowiadają za organizację działań w swoich obszarach, a IT wdraża i utrzymuje rozwiązania techniczne. Osoba koordynująca SZBI pomaga zachować spójność systemu zarządzania.
Inspektor ochrony danych, jeżeli został wyznaczony, pełni funkcję doradczą i monitorującą. Powinien być odpowiednio wcześnie włączany w sprawy dotyczące ochrony danych, mieć zapewnioną niezależność i wykonywać zadania bez konfliktu interesów. Nie każda firma musi posiadać IOD; obowiązek zależy od przesłanek określonych w przepisach.
To ważne także przy łączeniu stanowisk. Powierzenie jednej osobie wielu funkcji może wyglądać oszczędnie, lecz wymaga oceny, czy nie będzie ona monitorować decyzji, które sama podejmuje w sprawie celów i sposobów przetwarzania.
Współpracę warto oprzeć na konkretnych momentach decyzyjnych: zakupie aplikacji, uruchomieniu nowej usługi, zmianie dostawcy i wystąpieniu incydentu. Wtedy wiadomo, kiedy potrzebna jest ocena bezpieczeństwa, kiedy konsultacja ochrony danych, a kiedy decyzja biznesowa.
Przykładowo zakup CRM powinien obejmować nie tylko akceptację ceny. Sprzedaż określa potrzebne funkcje, IT ocenia integracje i zabezpieczenia, a osoby zajmujące się ochroną danych analizują sposób wykorzystania informacji. Dzięki temu problemy mogą zostać rozpoznane przed przeniesieniem bazy klientów.
Jak sprawdzić, czy oba podejścia rzeczywiście współpracują
Najlepszym testem integracji jest prześledzenie konkretnego procesu. Można wybrać obsługę klienta biznesowego: od pierwszego zapytania, przez podpisanie umowy i realizację usługi, po zakończenie współpracy. Następnie sprawdzić, jakie dane pojawiają się na każdym etapie, gdzie trafiają i kto za nie odpowiada.
Taki przegląd często ujawnia problemy niewidoczne podczas czytania polityk. Dane mogą być poprawnie opisane w dokumentacji, ale jednocześnie kopiowane do prywatnych arkuszy. Umowa z dostawcą może przewidywać usuwanie informacji, podczas gdy nikt nie sprawdza wykonania tej czynności. Procedura incydentowa może być kompletna, lecz pracownicy nie znają kanału zgłoszeń.
Warto więc oceniać skuteczność za pomocą dowodów działania: wyników przeglądów dostępów, prób odtworzenia danych, przebiegu obsługi żądań i wykonania działań po incydentach. Sama liczba dokumentów nie pokazuje, czy przedsiębiorstwo ma kontrolę nad informacjami.
Na początek użyteczny będzie wspólny przegląd kilku najważniejszych procesów i lista konkretnych rozbieżności. Każda powinna otrzymać osobę odpowiedzialną, termin i sposób potwierdzenia wykonania. Pozwala to przejść od ogólnego przekonania, że „bezpieczeństwo i RODO są wdrożone”, do sprawdzalnej wiedzy o tym, jak funkcjonują.
Dla przedsiębiorstwa B2B wartość połączenia ISO 27001 i RODO ujawnia się wtedy, gdy pracownicy wiedzą, jak postępować z danymi, dostawcy podlegają świadomej ocenie, a kierownictwo potrafi podejmować decyzje na podstawie faktów. W takim modelu bezpieczeństwo informacji i ochrona danych wspierają ten sam proces biznesowy, zachowując własne cele i wymagania.
