Szacowanie ryzyka nowy wymóg RODO

Autor: Maciej Kopeć. Autor jest ekspertem ds. wdrożeń ochrony danych osobowych w hotelach

Od 25 maja przyszłego roku zaczną obowiązywać nowe zasady ochrony danych osobowych osób fizycznych, które zostały określone w rozporządzeniu Parlamentu Europejskiego i Rady UE 2016/679. Jedną z podstawowych zmian wprowadzanych przez RODO (rozporządzenie o ochronie danych osobowych) jest inne od dotychczasowego podejście do zabezpieczeń oraz do prowadzenia dokumentacji w zakresie ochrony danych osobowych. Wynika to m.in. z ogromnego postępu technologicznego, w obliczu którego nie daje się przewidzieć dynamicznie postępujących zmian w cyfryzacji. Dlatego też wiele przepisów jest bardzo ogólnych, aby nie straciły aktualności za kilka lat. Rozporządzenie nie określa minimalnych standardów zabezpieczeń fizycznych bądź organizacyjnych (tak jak do tej pory było to opisane w rozporządzeniu MSWiA z 2004 r.), zwiększa za to samodzielność administratorów (którymi są też hotele) oraz ich odpowiedzialność za prawidłowe wdrożenie. HOTEL MUSI PRZEPROWADZIĆ OCENĘ RYZYKA PRZETWARZANIA DANYCH W art. 32 RODO opisane zostały wymagania co do zapewnienia bezpieczeństwa przetwarzania danych osobowych stawiane administratorom. Wskazują one dokonanie oceny stopnia bezpieczeństwa, a w szczególności ryzyka wiążącego się z przetwarzaniem danych, lub stosowanie się do zatwierdzonego branżowego kodeksu postępowania bądź też przeprowadzenie zatwierdzonego mechanizmu certyfikacji Biorąc jednak pod uwagę, że obecnie brak jest kodeksu postępowania dla branży hotelarskiej opisanego w art. 40 RODO (prace nad takim kodeksem są obecnie prowadzone, ale nie jest jeszcze znany planowany termin jego udostępnienia) oraz brak wytycznych do przeprowadzenia certyfikacji opisanej w art. 42 RODO, administrator danych (czyli hotel) powinien przeprowadzić OCENĘ RYZYKA przetwarzania danych. GIODO zachęca w swoich publikacjach, aby podczas analizy ryzyka korzystać z dotychczas prowadzonej dokumentacji polityki ochrony danych osobowych oraz instrukcji zarządzania systemem informatycznym, rozszerzając je o analizę, która opisana została w krajowych i międzynarodowych normach, w tym normach ISO. Dobrym przykładem jest polska norma PN-ISO/IEC 27005:2014, odnosząca się do zarządzania ryzykiem w bezpieczeństwie informacji. Mimo że dotyczy bezpieczeństwa wszystk [...]