Najwyższa Izba Kontroli opublikowała wyniki kontroli ochrony i przetwarzania danych w formie elektronicznej w wybranych jednostkach administracji publicznej. Skala nieprawidłowości okazała się na tyle duża, że NIK zapowiedziała rozszerzenie kontroli na wszystkie jednostki samorządowe w kraju.
Co wykazała kontrola?
Jednym z najpoważniejszych problemów jest używanie komercyjnych, prywatnych skrzynek pocztowych do korespondencji służbowej. Korzysta z nich prawie połowa placówek oświatowych, około jedna trzecia placówek opieki zdrowotnej i ośrodków pomocy społecznej oraz wiele innych jednostek. Według NIK problem może dotyczyć kilkunastu tysięcy instytucji i kilkudziesięciu tysięcy adresów e-mail.
Tymczasem rozwiązanie jest proste: jednostka, która ma własną domenę, może korzystać z poczty w tej domenie. Prywatna skrzynka oznacza utratę kontroli nad danymi i obniża zaufanie do instytucji publicznej.
Co będzie sprawdzane?
Kontrole mają weryfikować praktyki ochrony danych osobowych wynikające z RODO, w szczególności:
- art. 24 – czy administrator wdrożył odpowiednie środki techniczne i organizacyjne, potrafi to wykazać i aktualizuje je,
- art. 32 – czy poziom bezpieczeństwa uwzględnia ryzyko zniszczenia, utraty, modyfikacji, ujawnienia lub nieuprawnionego dostępu do danych.
Jak się przygotować?
Zasady ochrony danych powinny być regularnie przeglądane, a ryzyko – okresowo analizowane (np. co 2 lata, a przy zmianach – częściej). Rzetelna analiza ryzyka wskaże obszary wymagające uwagi, a zalecenia z audytu pozwolą je poprawić, zanim zrobi to kontroler.
Co oferujemy
Analizę ryzyka dla przetwarzanych danych osobowych zgodną z zaleceniami RODO, w trzech etapach:
- rozpoznanie kontekstu wewnętrznego, struktury organizacyjnej, identyfikacja aktywów i ocena ich ważności,
- identyfikacja i analiza ryzyka, wnioski,
- plan postępowania z ryzykiem i raport z szacowania ryzyka utraty poufności, integralności i dostępności danych.
Prowadzimy też audyty bezpieczeństwa danych osobowych, najlepiej łącznie z audytem KRI.