Dane osobowe to cenne informacje, które w rękach niepowołanych osób mogą wyrządzić wiele szkód. Przyjęte w 2018 roku rozporządzenie RODO zobowiązuje wszystkie firmy i podmioty gospodarcze funkcjonujące na terenie Unii Europejskiej do wprowadzenia odpowiednich zabezpieczeń i zwiększenia zasad bezpieczeństwa w kwestii przechowywania i przetwarzania danych osobowych. W jaki sposób firmy mogą dostosować się do tych wymogów? Jakie narzędzia wdrożyć, aby skutecznie dbać o ochronę danych osobowych w firmie? Odpowiedzi znajdziesz w poniższym wpisie.

Rozporządzenie RODO — co oznacza dla przedsiębiorców?

Niemal każda firma przetwarza różnego rodzaju dane osobowe, często w naprawdę ogromnych ilościach. Czym właściwie są owe dane osobowe? Według RODO chodzi o „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”, w szczególności „na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających […] tożsamość osoby fizycznej”. Warto zwrócić uwagę także na zapis o identyfikatorach internetowych — mogą to być na przykład adresy IP, identyfikatory plików cookie czy inne identyfikatory, które mogłyby zostać wykorzystane do tworzenia profili i identyfikowania osób fizycznych. Co te wszystkie zapisy oznaczają dla właścicieli firm?

Przedsiębiorstwa zatrudniające pracowników zmuszone są do przetwarzania ich danych osobowych, takich jak imię, nazwisko czy PESEL. Wiele firm każdego dnia przetwarza także dane osobowe swoich klientów — zarówno w sklepach stacjonarnych, jak i internetowych. Rozporządzenie RODO nakłada jednak na przedsiębiorców obowiązek wprowadzenia odpowiednich zabezpieczeń, które pozwolą na skuteczną ochronę tych danych osobowych. Choć ciężko wskazać gotowe rozwiązania i konkretne kroki, jakie powinien podjąć każdy właściciel firmy, często konieczne jest wprowadzenie nowych rozwiązań technologicznych oraz odpowiednie przeszkolenie pracowników, aby ochrona danych osobowych była wystarczająco szczelna na każdym etapie ich przetwarzania oraz przechowywania.

Przetwarzanie i przechowywanie danych osobowych

Prawidłowa ochrona danych zaczyna się już na etapie ich przetwarzania. Co oznacza to pojęcie? Może dotyczyć bardzo szerokiego zakresu czynności, między innymi zbierania, utrwalania, porządkowania, pobierania, przesyłania, a nawet usuwania i niszczenia danych osobowych. Choć przetwarzanie danych osobowych jest konieczne na przykład do zawierania umów, wystawiania faktur czy dokonywania przelewów internetowych, potrzebna jest do tego odpowiednia podstawa prawna. Najczęściej jest to zgoda, którą klient lub kontrahent wyraża przy podawaniu swoich danych. Jeśli jednak przetwarzanie danych jest konieczne do realizacji usługi (np. wysyłki zamówienia), możliwe jest także zrobienie tego bez uzyskania zgody.

Jak przechowywać dane osobowe? Nie ma jednej narzuconej formy, w której firma lub przedsiębiorstwo musi je przechowywać, ale to pracodawca powinien zapewnić pracownikom wszelkie niezbędne sposoby i narzędzia pomocne w zabezpieczeniu takich danych. Możliwe jest więc przechowywanie danych osobowych w różnych formatach, zarówno w formie fizycznej (dokumenty papierowe w teczkach czy segregatorach), jak i cyfrowej (płyty CD lub DVD, pendrive’y, dyski zewnętrzne, chmura). W zależności od wybranego sposobu przechowywania danych należy wprowadzić skuteczne środki zabezpieczające dostęp do nich przed osobami niepowołanymi. Jeśli chodzi o dokumenty papierowe, powinny one być przechowywane w zamykanych na klucz szafach lub sejfach, a w przypadku naprawdę istotnych danych wrażliwych — nawet w osobnym zamykanym pomieszczeniu. A jak wygląda kwestia ochrony danych osobowych przechowywanych w formie cyfrowej?

Ochrona danych osobowych przechowywanych cyfrowo

Zdecydowana większość firm i przedsiębiorstw skłania się już w kierunku przechowywania danych osobowych w formie cyfrowej. Oznacza to nie tylko mniejszą liczbę dokumentów magazynowanych stacjonarnie, ale również o wiele szybszy i łatwiejszy dostęp do nich dla różnych pracowników firmy. Niestety, dane znajdujące się na komputerze są też często łatwiejszą zdobyczą dla cyberprzestępców. Dlatego szczególnie w tej kwestii zarówno właściciele firm, jak i poszczególni pracownicy, muszą pamiętać o kilku podstawowych zasadach.

• Hasło dostępu do urządzeń firmowych. Wszystkie sprzęty, takie jak komputery, smartfony czy tablety firmowe, powinny być zabezpieczone hasłem niezbędnym do zalogowania. To jeden z najprostszych sposobów, który już znacząco zwiększa skuteczność dbania o ochronę danych osobowych w firmie. Ważne jest także, by pamiętać o blokowaniu dostępu do komputera przy każdej przerwie od pracy — nawet zwykłym wyjściu do toalety.
• Profesjonalny program antywirusowy. Skutecznie pomaga chronić przed atakami hakerów, pozwalając nawet na namierzenie i zdalne usunięcie wszystkich danych w przypadku kradzieży laptopa lub tableta firmowego. Na antywirusie nie warto oszczędzać — lepiej wybrać zaawansowane propozycje od sprawdzonych producentów.
• Szyfrowanie danych osobowych zgromadzonych na dysku. Niektóre programy antywirusowe także oferują taką funkcję. Jeśli nie, możesz skorzystać z dedykowanego oprogramowania do szyfrowania plików czy folderów zawierających dane osobowe.
• Prywatna sieć VPN. To wirtualna sieć prywatna, która może być wykorzystywana w Twojej firmie. Pozwala ona ukryć adres IP, jednocześnie szyfrując zarówno odbierane, jak i wysyłane dane. Taka sieć umożliwia pracownikom bezpieczny dostęp do internetu także podczas pracy poza biurem, na przykład home office. Nawet w przypadku przechwycenia danych przez hakera, odczytanie ich bez dostępu do tej zamkniętej sieci będzie niemożliwe.

Oprócz tych podstawowych zasad należy także pamiętać o tworzeniu kopii zapasowych danych, które okażą się nieocenione w przypadku uszkodzenia dysku lub utraty danych z innego powodu.

Zapoznanie pracowników z przepisami o ochronie danych

Oprócz wprowadzenia wszystkich niezbędnych narzędzi i sposobów ochrony danych warto także zorganizować dla pracowników szkolenie z zakresu ochrony danych osobowych, podczas którego dowiedzą się, jakie są obowiązki i ryzyka z tym związane. Zapoznanie pracowników z nowelizacją przepisów w tej kwestii jest wręcz ustawowym obowiązkiem pracodawcy, ale z pewnością przysłuży się też firmie. Pracownicy na poszczególnych szczeblach będą znali możliwości zapobiegania skutkom naruszeń przy przetwarzaniu danych osobowych, a to zmniejszy ryzyko nałożenia na firmę sankcji finansowych czy utraty reputacji. Takie szkolenie przyda się szczególnie pracownikom działów IT, doradcom klienta i pracownikom departamentów prawnych, audytu, kredytów i ryzyka kredytowego, windykacji czy marketingu. W każdej firmie należy zadbać także o nadzór wyszkolonego administratora bezpieczeństwa informacji (inspektora ochrony danych). Kary finansowe przewidziane za niedotrzymanie zasad skutecznej ochrony danych osobowych potrafią być naprawdę wysokie, dlatego nie warto ryzykować. W tej kwestii należy postawić na pełną świadomość, kształcenie i dbanie o dostęp do narzędzi efektywnej ochrony danych.