Gdzie leżą granice roli IOD?
Inspektor ochrony danych nie jest właścicielem procesu obsługi incydentów. Oczywiście na gruncie RODO dopuszczalne jest powierzenie IOD innych zadań niż te wynikające bezpośrednio z art. 39 RODO. Nie można jednak dopuścić do sytuacji, w której dodatkowe obowiązki doprowadzą do konfliktu interesów lub naruszą jego niezależność.
IOD ma prawo doradzać, wydawać rekomendacje oraz monitorować zgodność procesów z przepisami o ochronie danych osobowych. Nie może jednak wykonywać zadań, które leżą po stronie administratora. W kontekście komunikacji zewnętrznej oznacza to, że IOD powinien skupić się wyłącznie na obszarze ochrony danych, np. na kontakcie z organem nadzorczym (Prezesem UODO) oraz osobami, których dane dotyczą.
Rolą IOD nie jest natomiast uczestniczenie w ogólnej komunikacji kryzysowej, np. poprzez wystąpienia w mediach czy publikowanie oficjalnych oświadczeń na stronie internetowej organizacji. Ten obszar w całości mieści się w kompetencjach administratora lub wyznaczonej przez niego osoby, np. rzecznika prasowego. Zadania IOD muszą koncentrować się wokół aspektów ochrony danych. Z tego powodu nie jest zasadne, aby IOD pełnił funkcję głównego koordynatora zgłoszenia incydentu cyberbezpieczeństwa.
Jeśli nie rola koordynatora, to co?
IOD powinien wspierać ocenę incydentu w zakresie, w jakim wiąże się on z ochroną danych osobowych. W tym obszarze jego zadaniem jest analiza naruszenia z perspektywy RODO oraz ryzyka dla praw i wolności osób fizycznych, a także doradzanie administratorowi w kwestii dalszych kroków.
IOD nie powinien jednak samodzielnie wypełniać i wysyłać zgłoszeń wymaganych przez ustawę o krajowym systemie cyberbezpieczeństwa.
W organizacji doszło do incydentu cyberbezpieczeństwa, który może obejmować również naruszenie ochrony danych osobowych. Zespół IT/Security zwraca się do IOD z prośbą o przygotowanie i wprowadzenie do systemu zgłoszenia tzw. „wczesnego ostrzeżenia”, jeszcze przed zakończeniem pełnej analizy. IOD dysponuje jedynie cząstkowymi informacjami technicznymi. Na tym etapie nie wiadomo, jakich danych i ilu osób dotyczy incydent. Kierownictwo oczekuje, że IOD samodzielnie dokona operacyjnego zgłoszenia w systemie.
Rekomendacja: IOD nie powinien wypełniać zgłoszeń incydentów cyberbezpieczeństwa w systemach teleinformatycznych ani koordynować działań w tym obszarze. Takie działanie oznacza przejęcie odpowiedzialności operacyjnej, która spoczywa na administratorze.
Kiedy udział IOD jest niezbędny?
Jeżeli incydent cyberbezpieczeństwa niesie za sobą naruszenie ochrony danych osobowych, IOD realizuje swoje ustawowe obowiązki wynikające z art. 39 RODO. Do zadań tych należą:
- przeprowadzenie kwalifikacji zdarzenia jako naruszenia ochrony danych osobowych;
- doradzanie w zakresie obowiązku zgłoszenia naruszenia do Prezesa UODO oraz zawiadomienia osób, których dane dotyczą;
- pomoc przy redagowaniu treści zgłoszenia do UODO oraz komunikatów kierowanych do poszkodowanych osób;
- konsultowanie komunikatów zewnętrznych pod kątem ich zgodności z zasadami RODO;
- dokumentowanie działań i monitorowanie ich przebiegu;
- pełnienie funkcji punktu kontaktowego dla organu nadzorczego oraz osób fizycznych.
W przypadku incydentów o „podwójnym” charakterze (cyberbezpieczeństwo + dane osobowe) aktywność IOD nie może wykraczać poza granice ochrony danych.
Rekomendacja: IOD powinien być niezwłocznie włączany we wstępną ocenę każdego incydentu cyberbezpieczeństwa, aby sprawnie wychwycić ewentualne ryzyka dla danych osobowych i zarekomendować odpowiednie działania.
Ryzyko konfliktu interesów
Jeśli administrator planuje włączyć IOD w procedury zarządzania incydentami cyberbezpieczeństwa, musi rzetelnie przeanalizować ryzyko wystąpienia konfliktu interesów. Zgodnie z art. 38 ust. 6 RODO dodatkowe zadania IOD są dopuszczalne tylko wtedy, gdy nie wpływają negatywnie na jego niezależność.
W następstwie poważnego ataku hakerskiego IOD zostaje włączony do komitetu kryzysowego. Kierownictwo nakazuje mu nie tylko analizę RODO, ale też składanie w imieniu firmy oświadczeń do podmiotów zewnętrznych, wysyłanie zgłoszeń CyberbezpU oraz samodzielne decydowanie o tym, jakie informacje zostaną przekazane opinii publicznej.
W takim modelu IOD przestaje być doradcą i kontrolerem. Staje się organem decyzyjnym wykonującym zadania administratora. Powstaje tu rażący konflikt interesów – w przyszłości IOD musiałby oceniać prawidłowość decyzji i działań, które sam podjął i za które ponosił bezpośrednią odpowiedzialność.
Jak zapewnić rozliczalność?
Zgodnie z zasadą rozliczalności administrator musi być w stanie wykazać, że podział ról w organizacji nie rodzi konfliktu interesów. Najlepszym narzędziem do tego jest wdrożenie jasnych zapisów w wewnętrznych procedurach zarządzania incydentami. Powinny one precyzyjnie oddzielać doradczą rolę IOD od decyzyjnej i operacyjnej roli administratora.
Modelowe zapisy do wprowadzenia w procedurze obsługi incydentów:
- W przypadku wystąpienia lub podejrzenia incydentu, który może dotyczyć danych osobowych, IOD jest niezwłocznie informowany o zdarzeniu i włączany do procesu jego obsługi w zakresie ochrony danych.
- IOD, w ramach funkcji doradczej, dokonuje oceny, czy zdarzenie stanowi naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO. W przypadku potwierdzenia naruszenia wspiera Administratora w szacowaniu ryzyka dla praw i wolności osób, których dane dotyczą.
- IOD uczestniczy w przygotowaniu dokumentacji dotyczącej naruszenia, w tym konsultuje treść zgłoszenia do organu nadzorczego (Prezesa UODO) oraz komunikatów kierowanych do osób, których dane dotyczą.
- IOD nie przejmuje odpowiedzialności za operacyjne zarządzanie incydentem, podejmowanie decyzji zastrzeżonych dla Administratora ani wdrażanie technicznych lub organizacyjnych środków naprawczych. Za zarządzanie incydentem oraz ostateczne decyzje odpowiada Administrator oraz osoby wskazane w strukturze obsługi incydentów.
