Środki techniczne i organizacyjne – spojrzenie na stanowisko Prezesa UODO

Dobór odpowiednich środków bezpieczeństwa dokonywany przez administratora danych osobowych nie należy do najłatwiejszych i często stanowi główne źródło problemów w firmie, gdyż metody zabezpieczenia danych każdorazowo powinny być dobierane do indywidualnych potrzeb przedsiębiorcy.

Kluczowe znaczenie analizy ryzyka

Dobór właściwych środków winien uwzględniać ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. Kluczowe jest zatem przeprowadzenie analizy ryzyka, która pomoże przedsiębiorcy w podjęciu decyzji co do zastosowania danych środków. Oczywistym jest bowiem, że inne środki podejmie bank, szpital, sklep e-commerce, a inne samozatrudniony stale współpracujący z software housem.

Sądy administracyjne niejednokrotnie wskazywały, że administratorom nie wskazuje się konkretnych środków i procedur w zakresie bezpieczeństwa. Administrator samodzielnie ma przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. Powyższe tylko potwierdza kluczową rolę prawidłowo przeprowadzonej analizy ryzyka.

Warto aktualizować oprogramowanie

W decyzji administracyjnej z dnia 23 czerwca 2022 r., sygn. DKN.5131.11.2022, wskazano, że:„Administrator nie przewidział jednak zastępowania systemów operacyjnych ani innych systemów wykorzystywanych do przetwarzania danych osobowych, które utraciły już wsparcia ich producenta, systemami, które takie wsparcie posiadają z dokonanych ustaleń wynika, że to właśnie poprzez nieposiadający wsparcia producenta system operacyjny urządzenia służącego do wydawania kluczy (e-dozorca), tj.[…], nastąpiło przełamanie zabezpieczeń przez złośliwe oprogramowanie”.

Z kolei w decyzji administracyjnej z dnia 11 stycznia 2021 r., sygn. DKN.5130.2815.2020, wskazano, że: „(…) stwierdzono, że do pracy wykorzystywano system operacyjny E, dla którego zgodnie z informacją podaną na stronie producenta termin wsparcia technicznego zakończył się […] stycznia 2020 r. (https:// […]) oraz system baz danych B, dla którego wsparcie techniczne zakończono […] lipca 2019 r. (https:// […]). Oznacza to, że od tego momentu zgodnie z informacjami podanymi przez producenta oprogramowania dla ww. systemów nie były wydawane aktualizacje oprogramowania oraz aktualizacje zabezpieczeń i poprawek. Wobec braku zastosowania przez administratora danych innych środków technicznych i organizacyjnych mających na celu zminimalizowanie ryzyka naruszenia bezpieczeństwa danych w związku z zakończeniem wsparcia przez producenta oprogramowania używanego przez Spółkę do przetwarzania danych osobowych, stwierdzić należy, że Spółka nie zapewniła odpowiedniego zabezpieczenia danych przetwarzanych przy ich użyciu”.

Pamiętaj!

Podstawą bezpieczeństwa zawsze będzie używanie aktualnego oprogramowania dla wszystkich elementów infrastruktury teleinformatycznej.

Standard przy dostępie do baz danych – czyli wieloskładnikowe uwierzytelnianie

Była to bowiem pierwsze decyzja, w której PUODO wprost wskazał, jaki punkt odniesienia należy przyjąć w kontekście doboru adekwatnych środków bezpieczeństwa, ale również jak należy ograniczyć dostęp do baz danych, w których przetwarzane są dane osobowe. Przedstawiając środki bezpieczeństwa oczami PUODO, nie można pominąć tej decyzji, która jawi się jako kanon.

Z decyzji tej wynika m.in., że „kontrola dostępu i uwierzytelnianie to podstawowe środki bezpieczeństwa mające na celu ochronę przed nieautoryzowanym dostępem do systemu informatycznego wykorzystywanego do przetwarzania danych osobowych. Zapewnienie dostępu uprawnionym użytkownikom i zapobieganie nieuprawnionemu dostępowi do systemów i usług to jeden z wzorcowych elementów bezpieczeństwa, na którą wskazuje m.in. norma PN-EN ISO/IEC 27001:2017-06.”

Natomiast Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA) w swoich wytycznych dotyczących bezpieczeństwa przetwarzania danych osobowych wydanych w 2016 r.[1] z uwzględnieniem ww. normy (w wersji z 2013 r.) oraz przepisów rozporządzenia 2016/679, w ramach kontroli dostępu i uwierzytelniania rekomenduje stosowanie mechanizmu uwierzytelnia dwuetapowego dla systemów obejmujących dostęp do danych osobowych.

Zatem nie ulega wątpliwości, że administratorzy danych osobowych powinni stosować lub co najmniej rozważyć stosowanie dwuskładnikowego uwierzytelniania również w przypadkach takich jak: logowanie do poczty służbowej, logowanie do wewnętrznych komunikatorów, umożliwienie swoim użytkownikom dwuskładnikowego uwierzytelnienia do kont w podmiotach e-commerce.

Hasło – zmieniać czy nie zmieniać?

Warto także przytoczyć rekomendacje CERT Polska dotyczące zasad uwierzytelniania użytkownika. Zawierają one m.in. rekomendacje stosowania bezpiecznego algorytmu hashującego do przechowywania haseł (np. Argon2, Bcrypt), brak wymuszania okresowej zmiany haseł użytkowników (chyba że zachodzi podejrzenie, że aktualne hasło zostało przejęte lub upublicznione), minimalną długość hasła na co najmniej 12 znaków, zalecenie wsparcia dla uwierzytelnienia dwuskładnikowego oraz wyświetlenie użytkownikowi wskaźnika szacującego siłę nowo tworzonego hasła.

Logi i ich monitorowanie

W tym kontekście pewną wskazówką może być decyzja z dnia 9 grudnia 2021 r., sygn. DKN.5130.2559.2020, gdzie istota problemu leżała w fakcie, że przedsiębiorca nie tylko nie monitorował logów, ale także przechowywał je przez zbyt krótki czas. Wyprowadzanie uniwersalnych, daleko idących wniosków, na kanwie opisanej sprawy byłoby zbyt dalekim uproszczeniem, niemniej jednak odnotować należy, że z decyzji wynika konieczność przeprowadzenia wnikliwej analizy zasadności przechowywania logów przez okres dłuższy niż 4 tygodnie.

Nie znajdziemy w przepisach RODO kanonu środków bezpieczeństwa. Nie wynika z nich ani wprost, ani bezpośrednio obowiązek szkolenia własnych pracowników. Taki obowiązek jednak istnieje, a wyprowadzić go można z ogólnych obowiązków administratorów, co potwierdza praktyka orzecznicza.

Szkolenie, a może jeszcze testowanie?

Organ nadzorczy nie tylko potwierdził, że szkolenie jest istotnym środkiem zwiększającym bezpieczeństwo przetwarzanych danych, ale także podkreślił konieczność podejmowania w tym zakresie cyklicznych działań.

Potwierdzenie powyższego znaleźć można w decyzji PUODO z 1 czerwca 2022 r., sygn. DKN.5131.2.2022, gdzie wskazano, iż „Przeprowadzanie szkoleń z zakresu ochrony danych osobowych, aby mogło zostać uznane za adekwatny środek bezpieczeństwa, musi bowiem być realizowane
w sposób cykliczny, co zapewni stałe przypominanie, a w konsekwencji utrwalenie, zasad przetwarzania danych osobowych objętych szkoleniem”. Organ nadzorczy nie tylko potwierdził, że szkolenie jest istotnym środkiem zwiększającym bezpieczeństwo przetwarzanych danych, ale także podkreślił konieczność podejmowania w tym zakresie cyklicznych działań.

Interesujący wniosek płynie również z decyzji PUODO z dnia 9 grudnia 2021 r., sygn. DKN.5130.2559.2020, w której stwierdzono, że: „Nie można bowiem uzasadniać wskazywanych zabezpieczeń jako adekwatnych do ryzyka, wskazując na scenariusz działania sprawcy wykraczający poza schemat przyjęty w ocenie ryzyka, nie przedstawiając ku temu żadnych dowodów (analiza ryzyka). Trudno mówić o przyjmowaniu pewnych założeń dotyczących zagrożeń, nie przeprowadzając pełnego formalnego audytu systemu, w tym testów penetracyjnych, nie mając tym samym świadomości, jakie możliwości ma osoba uzyskująca nieuprawniony dostęp do systemu informatycznego.” Organ zasugerował bowiem, że w pewnych przypadkach przeprowadzenie testów penetracyjnych nie powinno być traktowane w kategoriach zbędnego kosztu, a wręcz powinno mieć charakter obowiązkowy.

Wnioski

Dotychczasowa praktyka orzecznicza Prezesa Urzędu Ochrony Danych Osobowych stanowi bogate źródło wiedzy o środkach bezpieczeństwa, które w dużej mierze mają lub mogą mieć charakter uniwersalny. Oznacza to, że ich wdrożenie powinno być dla organizacji, w danym kontekście przetwarzania danych, w zasadzie obowiązkowe. Wspomniane w niniejszym artykule środki bezpieczeństwa należy traktować za swoisty standard.

Pozostałe źródła:

* Wyrok NSA z dnia 9 lutego 2023 r., sygn. akt III OSK 3945/21 w sprawie Morele czy wyrok WSA w Warszawie w sprawie Virgin Mobile (II SA/Wa 272/21 – Wyrok WSA w Warszawie, po odwołaniu P4 jest kolejny wyrok (z 21 czerwca 2023 r. – sygn. akt. II SA/Wa 150/23));

* Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 września 2020 r., sygn.  II SA/Wa 2559/19; po odwołaniu skarżącego jest wyrok NSA III OSK 3945/21)

* Poradnik dotyczący bezpieczeństwa przetwarzania danych osobowych, ENISA, styczeń 2018

* Użyte zdjęcia i grafiki: zgodnie z warunkami licencji portalu freepik.com lub freerangestock.com

Maciej Bednarek