Bezpečnosť spracúvania podľa GDPR: technické a organizačné opatrenia

Firma kúpi firewall a antivírus a má pocit, že „bezpečnosť pre GDPR má vyriešenú“. Iná firma naopak čaká, že v GDPR nájde presný zoznam, čo má kúpiť a nainštalovať, a keď ho tam nenájde, je bezradná. Obe vychádzajú z rovnakého nepochopenia toho, čo GDPR o bezpečnosti vlastne žiada.

GDPR totiž zámerne nedáva nákupný zoznam. Nehovorí „kúpte si tento softvér“, hovorí „prijmite opatrenia primerané riziku“. Bezpečnosť osobných údajov nie je vec technológie, ktorú raz kúpite a zabudnete. Je to riadenie rizika aplikované na osobné údaje, a to je dobrá aj zlá správa zároveň. Dobrá, lebo si viete vybrať technológie primerané rizikám. Zlá, lebo si vyžaduje premýšľať, nielen nákup bez rozmyslu.

Čo GDPR o bezpečnosti údajov vlastne hovorí?

Celá požiadavka je v článku 32 a je stručná. Máte prijať primerané technické a organizačné opatrenia, aby ste zaistili úroveň bezpečnosti zodpovedajúcu riziku. GDPR pridáva niekoľko príkladov, čo do úvahy prichádza: pseudonymizácia a šifrovanie údajov, zabezpečenie trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov, schopnosť včas obnoviť dostupnosť údajov po fyzickom alebo technickom incidente a proces pravidelného testovania a hodnotenia účinnosti opatrení.

Článok 32 nie je izolovaný. Rozvádza zásadu integrity a dôvernosti podľa čl. 5 ods. 1 písm. f), podľa ktorej majú byť osobné údaje chránené pred neoprávneným prístupom, stratou aj zničením.

Sú to príklady, nie povinný zoznam, a všetky sa opakovane odvolávajú na riziko. GDPR vám nepovie, že musíte mať konkrétny nástroj. Povie, že úroveň ochrany má zodpovedať tomu, čo by hrozilo ľuďom, keby sa s údajmi niečo stalo.

Čo znamená „primerané“ opatrenia?

Primeranosť znamená, že úroveň bezpečnosti sa posudzuje podľa niekoľkých faktorov naraz: podľa dostupných technológií a nákladov na opatrenia, podľa povahy, rozsahu a účelu spracúvania a hlavne podľa rizika pre práva a slobody dotknutých osôb.

V praxi to znamená, že malá firma s jedným zoznamom klientov objektívne nepotrebuje to, čo nemocnica spracúvajúca údaje o zdraví tisícov pacientov. Čím citlivejšie údaje a čím väčší dosah prípadného úniku, tým vyššie požiadavky. Je to tá istá logika ako v riadení rizík: najprv posúďte, čo môže nastať a aké by to malo následky, a podľa toho zvoľte opatrenia. Bezpečnosť postavená bez tejto úvahy je buď prehnaná a drahá tam, kde netreba, alebo deravá tam, kde na tom najviac záleží.

Technické verzus organizačné opatrenia

GDPR úmyselne spomína oboje a firmy zvyčajne myslia len na prvé. Technické opatrenia sú tie, na ktoré si spomenie každý: šifrovanie, autentifikácia a prístupové práva, zálohovanie, aktualizácie softvéru, ochrana siete. Sú dôležité, ale sú len polovica.

Organizačné opatrenia sú tá druhá, podceňovaná polovica: interné smernice, pravidlá schvaľovania a odoberania prístupov, školenia zamestnancov, mlčanlivosť, jasný postup pri incidente, kontrola dodávateľov. Riadenie prístupov má pritom obe zložky, technickú v podobe práv a autentifikácie a organizačnú v podobe pravidiel, kto prístup schvaľuje a kedy sa odoberá pri zmene roly alebo odchode zamestnanca.

Jedno organizačné opatrenie uvádza nariadenie výslovne. Podľa čl. 32 ods. 4 musia prevádzkovateľ aj sprostredkovateľ zabezpečiť, aby osoby konajúce na základe ich poverenia spracúvali osobné údaje len na základe pokynov. Prakticky to znamená poverenia, mlčanlivosť a jasné pravidlá, kto s čím smie narábať.

Organizačné opatrenia bývajú lacnejšie než technológie a pritom účinné. V projektoch sa opakovane stretávam s tým, že incident nevznikne prelomením šifry, ale poslaným e-mailom nesprávnemu adresátovi alebo prístupom, ktorý mal byť už dávno zrušený. Firma, ktorá investuje len do techniky a zanedbá ľudí a procesy, si kupuje falošný pocit bezpečia.

Čo s dodávateľmi

Článok 32 zaväzuje prevádzkovateľa aj sprostredkovateľa, takže bezpečnostné povinnosti nekončia na hranici vašej firmy. Ak časť spracúvania robí dodávateľ podľa vašich pokynov, konkrétne opatrenia sa dojednávajú v zmluve podľa čl. 28, nie ústnym prísľubom ani vyplneným dotazníkom. Kontrola dodávateľov bez zmluvného ukotvenia je odporúčanie bez opory. Ako určiť rolu dodávateľa a čo má zmluva obsahovať, rozoberáme v článku o prevádzkovateľovi a sprostredkovateľovi.

Ako súvisí bezpečnosť podľa GDPR s normou ISO/IEC 27001 a so ZoKB?

Bezpečnostné opatrenia podľa čl. 32 GDPR sa metodicky prekrývajú s informačnou bezpečnosťou podľa normy STN ISO/IEC 27001:2023 aj s kybernetickou bezpečnosťou podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov (ďalej len ZoKB).

Nejde ale o tú istú disciplínu. Líšia sa tým, čo chránia: systém manažérstva informačnej bezpečnosti chráni informácie organizácie podľa jej vlastnej ochoty riskovať, GDPR chráni práva a slobody ľudí a ZoKB bezpečnosť a kontinuitu poskytovaných služieb. To isté opatrenie preto môže byť pre organizáciu prijateľné a pre dotknutú osobu nie, lebo sa hodnotí iný predmet rizika. Analýzu aktív a rizík viete použiť naprieč, závery nie.

Praktický dôsledok je podstatný. Zavedený systém podľa normy pokryje veľkú časť požiadaviek čl. 32 za dvoch podmienok: ak jeho vymedzený rozsah a vyhlásenie o aplikovateľnosti zahŕňajú aj spracúvanie osobných údajov, a ak posúdenie rizika hodnotilo nielen dopad na organizáciu, ale aj na dotknuté osoby. Nepokrytá časť spracúvania nie je čl. 32 ošetrená nijako.

Opačne to neplatí. Kto splní čl. 32, nemá väčšinu normy. Norma je systém manažérstva a žiada aj kontext organizácie, vodcovstvo a záväzok vedenia, ciele, kompetentnosť, riadenú dokumentáciu, interný audit a preskúmanie manažmentom. Nič z toho z čl. 32 nevyplýva, lebo čl. 32 je jedna požiadavka na primerané opatrenia, nie systém riadenia.

Kto rieši viac ako jednu z týchto oblastí, môže stavať na spoločnom metodickom základe namiesto troch oddelených systémov, hoci závery si musí vyhodnotiť pre každý režim zvlášť. Ako to prakticky prepojiť, rozoberáme v článku o riadení rizík informačnej bezpečnosti podľa ISO 27001 a NIS2.

Kedy treba ísť hlbšie?

Pri bežnom spracúvaní vystačíte s primeranými opatreniami a zdravým úsudkom. Keď ale plánujete niečo, čo môže predstavovať vysoké riziko pre práva ľudí, napríklad rozsiahle monitorovanie alebo spracúvanie citlivých údajov vo veľkom, GDPR žiada urobiť ešte krok navyše, takzvané posúdenie vplyvu na ochranu údajov. To je dôkladnejšia analýza rizika pre konkrétne spracúvanie a venujeme sa mu v článku o posúdení vplyvu. Opatrenia podľa čl. 32 prijímate vždy, posúdenie vplyvu ich pri rizikovejších spracúvaniach spresní a doplní.

Ako zabezpečiť primeranú bezpečnosť

Nezačínajte otázkou „čo si máme kúpiť“, ale otázkou „čo by hrozilo ľuďom, keby sa s našimi údajmi niečo stalo“. Prejdite si najcitlivejšie spracúvania a pri každom zvážte, čo by znamenal ich únik, strata alebo zneužitie. Z toho vyplynie, kam sústrediť opatrenia a kde stačí menej. Konkrétne prijaté opatrenia potom stručne zapíšte, patria aj do vášho záznamu o spracovateľských činnostiach, kde sa uvádza všeobecný opis bezpečnosti.

Jedno opatrenie má priamy právny dosah. Ak sú údaje účinne zašifrované a šifrovací kľúč ostal nedostupný, porušenie ochrany osobných údajov nemusí predstavovať pre dotknuté osoby vysoké riziko, a odpadá tak povinnosť informovať ich o ňom. Šifrovanie teda nie je len technická hygiena, ale opatrenie, ktoré v deň incidentu rozhoduje o rozsahu vašich povinností.

Zvyčajne zaznieva námietka: „veď máme antivírus a firewall, čo viac treba“. Lenže technika bez organizačných opatrení je ako dobrý zámok na dverách, ktoré necháte otvorené, keď odchádzate. Najlacnejšie a často najúčinnejšie zlepšenie nie je nový softvér, ale poriadok v prístupoch, zaškolení ľudia a jednoduchý postup pre prípad, že sa niečo pokazí.

Ak si chcete nastaviť bezpečnosť, ktorá zodpovedá vášmu reálnemu riziku, a prípadne ju prepojiť s normou ISO/IEC 27001 alebo s povinnosťami podľa ZoKB, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.