Z satysfakcją informujemy, że partner Kancelarii TEBI, radca prawny Izabela Stępkowska, ukończyła z wynikiem bardzo dobrym dwusemestralne studia podyplomowe na Uniwersytecie Jagiellońskim na kierunku „Bezpieczeństwo informacji i danych osobowych w administracji i biznesie”.
Ponadto zdała egzamin i uzyskała certyfikat potwierdzający kompetencje Audytora wewnętrznego systemu zarządzania bezpieczeństwem informacji według PN-EN ISO/IEC 27001:2023, wydany przez TÜV NORD Polska.
Uzyskane kwalifikacje stanowią rozwinięcie dotychczasowej specjalizacji radcy prawnego Izabeli Stępkowskiej w zakresie prawa ochrony danych osobowych, w tym RODO. Tym samym Kancelaria zwiększa poziom kompetencji w obsłudze prawnej procesów związanych z zarządzaniem bezpieczeństwem informacji, ochroną danych osobowych, oceną ryzyka oraz przygotowywaniem organizacji do audytów i kontroli.
Bezpieczeństwo informacji to nie tylko problem działu IT
Informacje należą obecnie do najważniejszych zasobów przedsiębiorstwa. Dotyczy to nie tylko danych osobowych klientów i pracowników, lecz również dokumentacji finansowej, umów, informacji handlowych, baz kontrahentów, danych dostępowych, know-how, tajemnicy przedsiębiorstwa oraz informacji powierzonych przez partnerów biznesowych.
Ich bezpieczeństwo zależy nie tylko od używanego oprogramowania, zabezpieczeń serwerów czy jakości infrastruktury informatycznej. Równie istotne są procedury obowiązujące w przedsiębiorstwie, podział odpowiedzialności, sposób nadawania uprawnień, treść zawieranych umów, szkolenie pracowników oraz zdolność organizacji do szybkiego reagowania na incydenty.
Norma ISO/IEC 27001 opiera zarządzanie bezpieczeństwem informacji właśnie na całościowym podejściu, obejmującym ludzi, procedury i technologie. Celem takiego systemu jest zarządzanie ryzykiem oraz zapewnienie poufności, integralności i dostępności informacji.
RODO nie kończy się na polityce prywatności
Wielu przedsiębiorców kojarzy RODO przede wszystkim z klauzulami informacyjnymi, zgodami marketingowymi lub polityką prywatności zamieszczoną na stronie internetowej. Tymczasem rzeczywisty zakres obowiązków jest znacznie szerszy.
Przedsiębiorca powinien wiedzieć między innymi:
- jakie dane osobowe przetwarza i w jakim celu,
- kto ma dostęp do poszczególnych informacji,
- jak długo dane są przechowywane,
- którym usługodawcom i kontrahentom są powierzane,
- czy zawarte umowy właściwie regulują zasady przetwarzania danych,
- jak reagować na żądania klientów, pracowników i innych osób,
- jakie zabezpieczenia są odpowiednie do skali i rodzaju prowadzonej działalności,
- jak postępować w razie utraty, ujawnienia lub zablokowania danych.
Obowiązki te dotyczą nie tylko administratorów danych, ale także przedsiębiorców przetwarzających dane na zlecenie innych podmiotów. Szczególnego znaczenia nabierają wówczas umowy powierzenia, korzystanie z dalszych podwykonawców, odpowiedzialność za dostawców usług oraz możliwość przeprowadzania audytów.
Jakie zdarzenia mogą dotknąć przedsiębiorcę?
Naruszenie bezpieczeństwa informacji nie zawsze jest wynikiem skomplikowanego ataku informatycznego. Problemem może być również wysłanie wiadomości lub załącznika do niewłaściwego odbiorcy, utrata laptopa albo telefonu, pozostawienie aktywnego konta byłego pracownika, niewłaściwe udostępnienie dokumentów, brak aktualnych kopii zapasowych czy niekontrolowany dostęp usługodawcy do firmowych zasobów.
Do poważnych konsekwencji może doprowadzić także phishing, zainfekowanie systemów, przejęcie skrzynki pocztowej, zaszyfrowanie danych przez ransomware albo awaria powodująca utratę dostępu do dokumentacji. Europejska Rada Ochrony Danych wskazuje, że naruszeniem może być zarówno nieuprawnione ujawnienie danych, jak i ich przypadkowe usunięcie, zmiana lub czasowa niedostępność.
Dla przedsiębiorcy oznacza to ryzyko:
- przerwania działalności lub opóźnienia realizacji kontraktów,
- utraty zaufania klientów i partnerów biznesowych,
- odpowiedzialności wobec osób, których dane dotyczą,
- sporów z kontrahentami i dostawcami systemów,
- konieczności przeprowadzenia kosztownych działań naprawczych,
- postępowania przed Prezesem Urzędu Ochrony Danych Osobowych,
- nałożenia administracyjnej kary pieniężnej.
Każde naruszenie ochrony danych osobowych powinno zostać udokumentowane i ocenione. Jeżeli może powodować ryzyko dla praw lub wolności osób fizycznych, administrator jest co do zasady zobowiązany zgłosić je organowi nadzorczemu w ciągu 72 godzin. W przypadkach wysokiego ryzyka konieczne może być również zawiadomienie osób dotkniętych zdarzeniem.
Dlatego reakcja na incydent nie powinna zaczynać się dopiero w chwili otrzymania informacji o wycieku danych. Przedsiębiorstwo powinno wcześniej ustalić, kto podejmuje decyzje, w jaki sposób zabezpiecza się dowody, jak ocenia się ryzyko oraz kto odpowiada za kontakt z organem nadzorczym, kontrahentami i osobami, których dane dotyczą.
W jakich obszarach może pomóc Kancelaria?
Rozszerzone kompetencje Kancelarii umożliwiają jeszcze bardziej kompleksowe wspieranie przedsiębiorców między innymi w zakresie:
- przeprowadzania audytów zgodności z RODO i przeglądów bezpieczeństwa informacji,
- identyfikowania ryzyk prawnych oraz organizacyjnych,
- opracowywania i aktualizowania polityk, procedur i instrukcji,
- przygotowywania rejestrów czynności przetwarzania i analiz ryzyka,
- oceny skutków dla ochrony danych,
- regulowania dostępu pracowników i współpracowników do informacji,
- przygotowywania umów powierzenia przetwarzania danych,
- weryfikowania umów z dostawcami usług informatycznych, chmurowych, księgowych i kadrowych,
- opracowywania procedur reagowania na incydenty i naruszenia,
- obsługi zgłoszeń do Prezesa UODO,
- przygotowywania organizacji do kontroli i audytów,
- wsparcia przy tworzeniu, wdrażaniu i doskonaleniu systemu zarządzania bezpieczeństwem informacji,
- prowadzenia szkoleń dla pracowników i kadry zarządzającej.
Pomoc prawna może być potrzebna również przy wdrażaniu nowego systemu informatycznego, zmianie dostawcy usług, uruchamianiu monitoringu, prowadzeniu rekrutacji, organizowaniu pracy zdalnej, korzystaniu z narzędzi opartych na sztucznej inteligencji, prowadzeniu kampanii marketingowej lub przekazywaniu danych poza Europejski Obszar Gospodarczy.
Bezpieczeństwo informacji jako stały proces
Zgodność z RODO oraz właściwe zarządzanie bezpieczeństwem informacji nie polegają na jednorazowym przygotowaniu dokumentacji. Są to procesy, które powinny być regularnie weryfikowane i dostosowywane do zmian w działalności przedsiębiorstwa, stosowanych technologiach, strukturze zatrudnienia oraz relacjach z kontrahentami.
Zapraszamy do kontaktu przedsiębiorców, którzy chcą zweryfikować poziom zgodności swojej organizacji z RODO, uporządkować zasady ochrony informacji, przygotować się do audytu albo odpowiednio zareagować na incydent bezpieczeństwa.