Podejście oparte na ryzyku (risk-based approach) stanowi trzon ogólnego rozporządzenia o ochronie danych osobowych. Na jego podstawie prawodawca unijny nałożył na administratora i podmiot przetwarzający liczne obowiązki, których sposób realizacji zależeć będzie od charakteru, zakresu, kontekstu i celów przetwarzania danych oraz ryzyka naruszenia praw i wolności podmiotów danych. Przyjęcie takiego modelu ma na celu zapewnienie administratorom większej swobody w doborze metod przetwarzania i środków bezpieczeństwa danych. Główną ideą nowego rozporządzenia było bowiem odejście od sztywnych ram ochrony na rzecz elastycznego podejścia.
Przedmiotem analizy ryzyka jest ocena możliwości powstania negatywnych skutków dla praw i wolności osób fizycznych, których dane są przetwarzane. Do naruszenia tych wartości najczęściej dochodzi na skutek niewłaściwego wdrożenia procedur przetwarzania danych, a w konsekwencji nieprawidłowo dostosowanych środków ochrony przetwarzania do skali ryzyka.
Proces szacowania ryzyka
W pierwszej kolejności administrator musi samodzielnie przeprowadzić szczegółową analizę procesów przetwarzania danych, na podstawie której następnie oceni ryzyko tego przetwarzania dla praw i wolności osób, których dane są przetwarzane. Gdy będzie już świadomy jaki stopień ryzyka generują dane procesy przetwarzania danych, powinien wdrożyć odpowiednie środki zapobiegające wystąpieniu negatywnych skutków dla podmiotów danych. Administrator wybierając metodę analizy ryzyka powinien uwzględnić związek głównego przedmiotu swojej działalności z przetwarzaniem danych, możliwości finansowe i organizacyjne, jak też osobiste preferencje.
Wyróżnia się dwie główne metody szacowania ryzyka - jakościowe i ilościowe. Pierwsza z nich cechuje się prostotą i dużym stopniem ogólności. Metody ilościowe zaś są dużo bardziej precyzyjne, zamiast bowiem wartości ocennych, atrybutom przypisywane są konkretne wartości liczbowe. Wybór najdogodniejszej i najbardziej adekwatnej metody, jak też narzędzi do przeprowadzenia analizy ryzyka, prawodawca unijny pozostawił administratorowi.
Podczas szacowania ryzyka, istotne znaczenie ma także odpowiednie udokumentowanie każdego etapu procesu, tak aby możliwe było dokonanie oceny pod kątem rzetelności i rozliczalności przez podmiot trzeci, w szczególności przez organ nadzorczy. Ponadto, administrator musi mieć na uwadze, że analiza ryzyka nie jest jednorazową procedurą, bowiem musi być powtarzana za każdym razem kiedy będą wdrażane nowe inicjatywy bądź zmienią się warunki przetwarzania danych.
Szybka i rzetelna analiza ryzyka z Risk Trackerem
Analiza ryzyka z uwagi na swoją złożoność i wieloaspektowość, może wydawać się zawiła i przysparzać administratorom wielu trudności. Aby ułatwić im to zadanie, zespół prawników i informatyków Kancelarii Radców Prawnych – Lubasz i Wspólnicy, opracował aplikację GDPR Risk Tracker, dzięki której administratorzy danych bez specjalistycznej wiedzy mogą samodzielnie przeprowadzić analizę ryzyka zgodną z przepisami RODO. Nowatorska aplikacja pozwala na zautomatyzowane przeprowadzenie i udokumentowanie procesu szacowania ryzyka w sposób obiektywny i jednolity. Aplikacja prowadzi użytkownika przez cały proces analityczny przy wykorzystaniu licznych podpowiedzi i wyjaśnień, czemu towarzyszy przyjazny interfejs i czytelne komunikaty. Aplikacja umożliwia również m.in. prowadzenie rejestru powierzeń, weryfikację transferów danych do państw trzecich oraz ustalenie polityki retencyjnej danych.
Na końcowym etapie analizy generowany jest raport, w którym znajdzie się podsumowanie procesu oraz rekomendacje nakierowane na zmniejszenie ryzyka. Ponadto raport stanowi dokument wykazujący przeprowadzenie przez administratora profesjonalnej i pogłębionej analizy ryzyka oraz oceny skutków przetwarzania dla ochrony danych.
Więcej na temat GDPR Risk Tracker oraz sposobu działania aplikacji można dowiedzieć się z darmowego e-booka dostępnego na stronie https://www.gdprrisktracker.pl/ . Szczegółowa prezentacja aplikacji będzie miała miejsce podczas Konwentu Ochrony Danych i Informacji, który odbędzie się w Łodzi 19 listopada 2019 r. Udział w wydarzeniu jest bezpłatny, a rejestracja możliwa jest na stronie https://www.konwentodo.pl
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Julia Wawrzyńczak
Aplikant
julia.wawrzynczak@lubasziwspolnicy.pl
