Incydenty bezpieczeństwa dotyczące ochrony danych w kontekście RODO – jak sobie z nimi poradzić

Autor: Maciej Kopeć

Większość hotelarzy w obliczu olbrzymich kar wynikających z przepisów o ochronie danych osobowych dostosowała się do nich, wdrażając RODO w 2018 r. Wielu wdrożenie otworzyło oczy na potrzebę stworzenia odpowiednich procedur, przeprowadzenia szkoleń czy zwiększenia wydatków na obsługę IT w celu zabezpieczenia danych oraz tworzenia kopii bezpieczeństwa. Jednak spora grupa potraktowała wdrożenie tylko jako kolejny obowiązek do odhaczenia na długiej liście wymogów prawnych stawianych hotelom. Stworzono dokumentację, która powędrowała na półkę, a wiedza nabyta podczas szkoleń powoli odeszła w zapomnienie. Wszystko jest dobrze, dopóki nic się nie wydarzy i nie dojdzie do incydentu bezpieczeństwa, z którym trzeba się zmierzyć i znaleźć szybko rozwiązanie w sytuacji kryzysowej. A do incydentów dochodzi coraz częściej. W ciągu ostatniego roku w hotelach, z którymi stale współpracuję, odnotowałem ponad 20 incydentów różnej wagi. W Polsce w ciągu 12 miesięcy od wprowadzenia RODO, do prezesa Urzędu Ochrony Danych Osobowych wpłynęło ponad 4,5 tys. zgłoszeń incydentów bezpieczeństwa oraz ponad 8 tys. skarg. Pierwsze pytanie, które należy sobie zadać, brzmi: czym tak naprawdę jest incydent bezpieczeństwa? Incydentem bezpieczeństwa ochrony danych nazywamy przypadkowe lub celowe działanie doprowadzające do naruszenia danych osobowych. Można wyróżnić trzy podstawowe typy naruszeń danych: – Naruszenie poufności (udostępnienie informacji osobie nieupoważnionej), – naruszenie dostępności (brak dostępu do danych), – naruszenie integralności (zamiana danych). Naruszenie poufności Do naruszenia poufności dochodzi wówczas, gdy zostaną udostępnione informacje osobie nieupoważnionej. Przykład 1. Udostępnienie informacji o planowanej rezerwacji lub pobycie gościa (również o osobach towarzyszących) czy też wykorzystanych usługach w hotelu osobie trzeciej. Do takich incydentów najczęściej dochodzi, gdy recepcjoniści (często odpowiednio zmanipulowani przez osobę trzecią) udzielają telefonicznie lub osobiście informacji o gościach hotelowych. Przykład 2. Pracownik działu marketingu wysyła mailem do gości hotelowych menu oraz plan zabawy sylwestrowej. Niestety zamiast UDW (ukryte do wiadomości), wysyła DW, czyli widoczny dla wszystkich odbiorców mailingu. Wśród adresów mailowych znajdują się adresy mailowe identyfikujące inne osoby. Przykład 3. Pracownik recepc [...]