Ochrona danych osobowych w informatyce 1
RAPORTY Podstawowe zadania informatyka w procesie ochrony danych osobowych 4 Nie każda informacja musi być daną osobową. Interpretacja zależy od kontekstu 7 Za nieprawidłowości zawsze odpowiada ADO 10 Przepisy wymagają od administratorów baz danych stosowania tzw. wysokiego stopnia bezpieczeństwa 12 Realizacja projektu IT z dostępem do informacji osobowych wymaga dodatkowych klauzul 16 Przekazanie zbioru danych tylko na piśmie 17 Przetwarzanie w chmurze musi poprzedzone szczegółową analizą zagrożeń 19 Standardowe klauzule ułatwią bezpieczną współpracę z dostawcą usług w chmurze obliczeniowej 20 Przeniesienie danych do chmury nie zwalnia z odpowiedzialności za ich bezpieczeństwo 22 Przedsiębiorca pozostaje administratorem danych, nawet jeśli przechowuje je w chmurze obliczeniowej 24 Pracodawca może legalnie zlecić monitoring pracowników, ale tylko spełniając określone warunki 26 Tajemnica telekomunikacyjna narzuca na operatorów sieciowych obowiązek ochrony przesyłanych danych 29 Utrudnianie inspekcji jest zagrożone nawet karą więzienia 31 EKSPERT ODPOWIADA GIODO ma prawo wejść do firmy 32 Ochronie nie podlegają dane osób prawnych 33 Personalia trzeba usuwać również z kopii zapasowych 34 Połączenie sieci firmowej z Internetem powoduje konieczność stosowania wysokiego poziomu zabezpieczeń 35 Prawo nie określa metody uwierzytelniania 36 Są wyjątki od obowiązku rejestracji zbioru 36 Wykonawca ma te same obowiązki w zakresie ochrony danych osobowych jak jego klient 37 Polityka bezpieczeństwa w firmie jest dokumentem wymaganym przez ustawę 38 Szkoła ma prawo nadać dostęp do e-dziennika rodzicom pełnoletnich uczniów 39 Dane osobowe można przekazywać do innych państw Unii Europejskiej bez ograniczeń 40 Nie każdy zbiór danych osobowych podlega rejestracji 41 Bezpodstawne oskarżenia to nieuczciwa konkurencja 42 Zaniedbania w zakresie wdrożenia zabezpieczeń danych są zagrożone postępowaniem karnym 43 Wykorzystanie na firmowej stronie prywatnego zdjęcia pracownika wymaga dodatkowej zgody 44 Umowa powierzenia nie uprawnia firmy do przetwarzania danych w celach marketingowych 44 Przetwarzanie publicznie dostępnych danych również wymaga zgody osób, których one dotyczą 45 Zbiory informacji wrażliwych można prowadzić tylko w sytuacjach przewidzianych ustawą 46 2
AUTORZY Piotr Glen Administrator Bezpieczeństwa Informacji, Audytor Systemu Zarządzania Bezpieczeństwem Informacji wg. PN-ISO/IEC 27001 Jakub Gosz radca prawny, Kancelaria Majchrzak Brandt i Wspólnicy Sp.k. Katarzyna Kaczanowska niezależny konsultant IT Szymon Karpierz radca prawny Marcin Sarna radca prawny Marcin Szeliga Microsoft Most Valuable Professional 3
Podstawowe zadania informatyka w procesie ochrony danych osobowych Ustawa o ochronie danych osobowych rozdziela obowiązki związane z ochroną danych w firmie czy instytucjach pomiędzy trzy różne osoby, z których każda pełni inną funkcję. Jedną z nich jest administrator systemu informatycznego, który odpowiada za wdrożenie zabezpieczeń infrastruktury IT. Administratorem danych osobowych (ADO) jest kierownik instytucji lub firmy, która przechowuje dane osobowe, np. pracowników, klientów, kontrahentów. Taką funkcję pełni więc dyrektor szpitala, prezes zarządu firmy, właściciel jednoosobowej działalności gospodarczej czy kierownik ośrodka pomocy społecznej. Administratorami danych są zarówno podmioty publiczne, jak i niepubliczne. Na administratorze danych ciąży wiele obowiązków, z których najważniejsze wynikają z ustawy o ochronie danych osobowych (uodo) i aktów wykonawczych do niej. Podstawowym zadaniem ADO jest zastosowanie odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Do realizacji tych zadań muszą zostać powołani administrator bezpieczeństwa informacji (ABI) oraz administrator systemu informatycznego (ASI) główny informatyk. ABI to osoba nadzorująca przestrzeganie zasad ochrony przetwarzanych danych osobowych wynikających z przepisów i wewnętrznych ustaleń administratora danych. Z kolei ASI, zwany informatykiem, odpowiada za prawidłowe funkcjonowanie sprzętu i oprogramowania oraz techniczno-organizacyjną obsługę. Instrukcja zarządzania Naturalnym kandydatem na ASI jest kierownik działu IT. Przy czym funkcję ASI, a także ABI mogą pełnić osoby z firm zewnętrznych, które w ramach outsourcingu świadczą takie usługi na podstawie stosownej umowy. Niestety obie te funkcje często pełni jedna osoba. Nie jest to wprawdzie łamaniem przepisów, ale rozdzielenie tych obowiązków ma ważne uzasadnienie. ABI to bardziej organizator nadzorujący kwestie formalne i merytoryczne, opisane w Polityce bezpieczeństwa danych osobowych firmy. ASI to technik wdrażający zabezpieczenia informatyczne, opisane w Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Wymóg opracowania wspomnianych dokumentów w formie pisemnej wynika z przepisów prawa, m.in. art. 36 ust. 2 uodo. Wprawdzie ustawa mówi jedynie o obowiązku wyznaczenia ABI, ale już np. różne przepisy medyczne (m.in. ustawa o systemie informacji w ochronie zdrowia) wymagają powołania ASI. Coraz częściej też przepisy prawne powołują się na polskie i międzynarodowe normy z zakresu bezpieczeństwa informacji oraz je rekomendują, a tam informatyk (ASI) odgrywa pierwszoplanową rolę. Środki bezpieczeństwa Jednak normy, np. ISO, można mieć lub się na nich opierać, lecz formalnego przymusu do ich stosowania nie ma. Chcąc zapewnić w miarę skuteczną ochronę posiadanych informacji, należy śledzić na bieżąco rozwój technologii oraz towarzyszące temu coraz bardziej wyrafinowane zagrożenia. Poza tym bazując na ogólnie stosowanych i uznawanych normach, należy stosować silne środki bezpieczeństwa. Dlatego tak ważne jest posiadanie w organizacji dobrego informatyka. Obowiązki ASI muszą być formalnie określone umową o pracę, umową z firmą zewnętrzną czy chociażby załącznikiem w Polityce bezpieczeństwa informacji. Jeśli administrator danych 4
nie wyznaczy ABI i ASI, to automatycznie samodzielnie wykonuje te czynności. Najczęściej jednak GIODO (generalny inspektor ochrony danych osobowych) decyzją administracyjną nakazuje wyznaczyć takie funkcje. Nie ma to jednak zastosowania do osób fizycznych prowadzących jednoosobową działalność gospodarczą. ASI organizuje i wdraża odpowiednie zabezpieczenia, a później w miarę potrzeb sprawdza ich stosowanie przez użytkowników. Do podstawowych środków zabezpieczenia, które spełniają formalne wymagania, należą m.in.: fizyczne zabezpieczenie pomieszczeń, w których znajdują się komputery, serwer i centra energetyczne, oraz zabezpieczenie systemu informatycznego mechanizmami kontroli dostępu do danych, który powinien być możliwy wyłącznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia. Kolejne kwestie, na które bezwzględnie powinien zwrócić uwagę ASI, to zabezpieczenie systemu informatycznego przed awarią zasilania, czyli chociażby stosowanie UPS-ów, a także tworzenie kopii bezpieczeństwa. Tryb i częstotliwość wykonywania kopii zapasowych należy zorganizować według własnych potrzeb i możliwości, ale takie kopie trzeba przechowywać w innym pomieszczeniu niż to, w którym są robione. Polityka zmiany haseł ADO szczególną uwagę powinien zwrócić na stosowanie mechanizmów wymuszających konfigurację i częstotliwość zmiany haseł. Przepisy mówią, że hasło musi składać się z co najmniej ośmiu znaków i zawierać w sobie małe i duże litery oraz cyfry lub znak specjalny. Powinno być zmieniane nie rzadziej niż 30 dni. Obowiązek bezpiecznego skonfigurowania i użytkowania hasła można jednak przenieść na osoby, które są upoważnione do przetwarzania danych. W praktyce oznacza to wymuszenie na użytkownikach komputerów zmiany haseł, np. przez odpowiednią konfigurację Active Directory. Normą muszą być aktualny antywirus i włączona zapora sieciowa. Szczególną uwagę należy zwrócić na urządzenia przenośne przetwarzające dane osobowe oraz na pracę mobilną i na odległość, przy której ma się dostęp do danych. W takich sytuacjach należy wykorzystywać środki kryptograficznej ochrony danych. Szyfrowane protokoły muszą też być stosowane w procesie uwierzytelniania, np. logowania się na stronach WWW. Nie można też zapomnieć o takich drobiazgach, jak stosowanie wygaszaczy ekranów zabezpieczonych hasłem i ustawianie monitorów w taki sposób, aby nie miały do nich wglądu osoby nieupoważnione. Nie jest trudno sprostać formalnym wymaganiom wynikającym z ustawy o ochronie danych osobowych w zakresie technicznego zabezpieczenia systemu IT wykorzystywanego do przetwarzania danych. Dane wrażliwe Warto wspomnieć, że oprócz danych tzw. zwykłych, do których zaliczamy m.in. adres zamieszkania, imię, nazwisko, datę urodzenia, nr PESEL, a czasami nawet adres e-mail i IP komputera, rozróżniamy jeszcze dane wrażliwe. To informacje ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym. Zaliczają się do nich również dane dotyczące skazań, orzeczeń o ukaraniu i mandatach karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Takie dane są szczególnie chronione, a ich przetwarzanie jest obarczone szczególnym reżimem prawnym. Trzeba więc stosować przy nich środki bezpieczeństwa na naprawdę wysokim poziomie, zapominając o archaicznym już podziale wynikającym z rozporządzenia MSWiA w sprawie warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych jeszcze z 2004 roku. Mówi ono o poziomie podstawowym, podwyższonym i wysokim. Według ustawowej definicji poziom podstawowy stosuje się, gdy nie 5
są przetwarzane dane wrażliwe i nie ma dostępu do Internetu. Poziomu podwyższonego należy używać, gdy przetwarzane są dane wrażliwe, ale nadal nie ma dostępu do Internetu. Poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z Internetem. Tym samym w obecnej rzeczywistości zawsze mamy do czynienia z poziomem wysokim, gdyż trudno sobie wyobrazić pracę bez dostępu do Internetu. ŚRODKI BEZPIECZEŃSTWA Przy ochronie danych osobowych w praktyce często są stosowane mocniejsze środki niż te minimalne, wymagane przepisami. Biorąc pod uwagę kategorie danych, ich wartość, podatność na zagrożenia, trzeba stosować adekwatne środki bezpieczeństwa, wykorzystując najnowsze rozwiązania w tej dziedzinie. Normy Przy zapewnieniu ochrony danych osobowych na wysokim poziomie pomocne będą polskie i międzynarodowe normy z zakresu bezpieczeństwa informacji, Norma PN-ISO/IEC 27001. Niektóre przepisy z zakresu ochrony danych rekomendują już stosowanie zaleceń ogólnie wykorzystywanych norm. Przykładem mogą być ustawa o informatyzacji działalności podmiotów realizujących zadania publiczne, ustawa o systemie informacji w ochronie zdrowia, rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. W rozporządzeniu czytamy, że wymagania w zakresie opracowania systemu zarządzania bezpieczeństwem informacji uznaje się za spełnione, jeżeli system ten został opracowany na podstawie Polskiej Normy PN-ISO/ IEC 27001. Ponadto rozporządzenie mówi, że ustanawianie zabezpieczeń, zarządzanie ryzykiem oraz audytowanie odbywa się na podstawie Polskich Norm związanych z tą normą, w tym: PN-ISO/IEC 17799 w odniesieniu do ustanawiania zabezpieczeń, PN-ISO/IEC 27005 w nawiązaniu do zarządzania ryzykiem, PN-ISO/IEC 24762 w odniesieniu do odtwarzania techniki informatycznej po katastrofie w ramach zarządzania ciągłością działania. Przepisy samej ustawy o ochronie danych osobowych też będą pod tym kątem nowelizowane, aby nadążać za rozwojem osiągnięć cywilizacyjnych i technologicznych. Podsumowanie Podstawowym obowiązkiem wynikającym z przepisów dotyczących ochrony danych jest zapewnienie przetwarzanym danym poufności, czyli tego, że informacja nie jest udostępniana lub wyjawiana nieupoważnionym osobom, oraz integralności, tzn. że dane i system nie zostały zmodyfikowane w sposób nieuprawniony. Jak to osiągnąć i na co zwrócić szczególną uwagę, przybliżymy w następnych artykułach. Piotr Glen www.excelwpraktyce.pl Szybciej policzysz i przeanalizujesz! 6
Wydawca: Monika Kijok Redaktor: Rafał Janus Koordynator produkcji: Mariusz Jezierski Korekta: Zespół ISBN: 978-83-269-2920-5 Wydawnictwo Wiedza i Praktyka sp. z.o.o. 03-918 Warszawa, ul. Łotewska 9a Tel. 22 518 29 29, faks 22 617 60 10, e-mail: e-mail redakcji NIP: 526-19-92-256 Numer KRS: 0000098264 Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy. Wysokość kapitału zakładowego: 200.000 zł Copyright by Wydawnictwo Wiedza i Praktyka sp. z o.o. Warszawa 2014 wraz z przysługującym Czytelnikom innymi elementami dostępnymi w subskrypcji (e-letter, strona www i inne) chronione są prawem autorskim. Przedruk materiałów opublikowanych w oraz w innych dostępnych elementach subskrypcji bez zgody wydawcy jest zabroniony. Zakaz nie dotyczy cytowania publikacji z powołaniem się na źródło. Publikacja została przygotowana z zachowaniem najwyższej staranności i wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Zaproponowane w publikacji oraz w innych dostępnych elementach subskrypcji wskazówki, porady i interpretacje nie mają charakteru porady prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłębionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stanowisko organów i urzędów państwowych. W związku z powyższym redakcja nie może ponosić odpowiedzialności prawnej za zastosowanie zawartych w publikacji lub w innych dostępnych elementach subskrypcji wskazówek, przykładów, informacji itp. do konkretnych przykładów. Wydawca nie odpowiada za treść zamieszczonej reklamy; ma prawo odmówić zamieszczenia reklamy, jeżeli jej treść lub forma są sprzeczne z linią programową bądź charakterem publikacji oraz interesem Wydawnictwa Wiedza i Praktyka. Centrum Obsługi Klienta: Tel: 22 518 29 29 e-mail: cok@wip.pl 48