Analiza ryzyka – nowy wymóg RODO

Autor: Maciej Kopeć, ekspert ds. wdrożeń ochrony danych osobowych w hotelach, www.odowhotelu.pl

Mimo wielu przeprowadzonych wdrożeń zasad ochrony danych osobowych w hotelach, prawie za każdym razem zaskakują mnie nowe, nieprzewidziane sytuacje. Coś, czego wcześniej nie brałem pod uwagę, bo wydawało mi się zbyt oczywiste, aby się nad tym zastanawiać. Nie będę straszył karami ani namawiał do natychmiastowych wdrożeń. Podzielę się spostrzeżeniami ze swojego doświadczenia, a refleksje zostawiam hotelarzom. Przepisy o ochronie danych osobowych (ODO) były do tej pory jednymi z najmniej respektowanych. Niewielka liczba kontroli oraz brak nieuchronności kary powodowały, że hotelarze bardzo rzadko decydowali się na wprowadzenie zasad ochrony danych, zwykle tylko duże sieciowe hotele, głównie dlatego, że tam świadomość przestrzegania procedur jest większa, a przetwarzane dane często były udostępniane podmiotom znajdującym się poza Polską i Unią Europejską. Kolejną grupą były hotele, w których zaistniał jakiś incydent związany z ochroną danych, oraz obiekty, w których kadra zarządzająca zetknęła się wcześniej z tym tematem. Ostatnia, najmniej liczna grupa, to hotele, których właściciele, dbając o wyższy poziom usług i wzorując się na dużych obiektach, postanowili wprowadzić zasady ODO zgodne w wymaganiami prawnymi w tym zakresie. Zwykle staramy się spełnić wymogi prawa, nie myśląc o głębszym sensie tych działań. W wypadku ochrony danych chodzi nie tylko o stworzenie dokumentacji i procedur, ale przede wszystkim o przeanalizowanie ryzyka oraz negatywnych skutków, jakie mogą powstać w wyniku zaistnienia incydentu bezpieczeństwa. Czym jest ryzyko? Najkrótsza definicja mówi, że jest to strata, którą możemy zaakceptować i ponieść w wyniku różnego splotu zdarzeń. Myśląc życzeniowo („przecież mnie na pewno to nie może się przydarzyć”), często nie zdajemy sobie sprawy z jego skali, dopóki nie wydarzy się coś, czego nikt się wcześniej nie spodziewał. Dlatego postanowiłem opisać przykłady z życia wzięte, które mogą się przydarzyć w każdym hotelu. Każdy niech sobie odpowie na pytanie: w jakim stopniu mój hotel jest na to przygotowany? Problem z firmą outsourcingową Sytuacja wydarzyła się w jednym ze średnich obiektów hotelowych obsługiwanych przez zewnętrznego informatyka. Ten informatyk prowadził jednoosobową działalność gospodarczą. Tworzył i zarządzał siecią komputerową od początku istnienia obiektu, wprowadził również wiele usprawniających pracę rozwiązań autorskich. Zawsze był do dyspozycji, a w razie wyjazdu lub choroby zastępował go kolega o dużo mniejszej wiedzy, jednak wystarczająco kompetentny, aby przy zdalnej pomocy informatyka coś naprawić. Niestety mężczyzna podczas wakacji tragicznie [...]