Jak przygotować się do RODO? Pięć pytań, które warto zadać swojemu dostawcy technologii informatycznych

To między innymi ta złożoność stanowi dla przedsiębiorstw wyzwanie. Choć 25 maja 2018 zbliża się wielkimi krokami, zarówno małe firmy, jak i duże przedsiębiorstwa wciąż mają wiele wątpliwości i problemów dotyczących dostosowania się do nowych regulacji.

Oto pięć pytań, które firma powinna zadać swoim obecnym i potencjalnym dostawcom technologii informatycznych, by przygotować się do wejścia w życie rozporządzenia.

1. W jaki sposób przygotowali się Państwo, jako dostawca technologii informatycznych, do wdrożenia RODO?

Jeśli dostawca technologii informatycznych odpowie, że ma w ofercie rozwiązanie, które pomoże firmie w dostosowaniu się do wymagań RODO, należy zapytać go o szczegóły. Odpowiedź pozwoli ocenić dostawcę nie tylko pod względem fachowej wiedzy, lecz również znajomości prawnych i technologicznych aspektów RODO. Firma powinna pamiętać, że powierza dostawcy zarządzanie swoimi danymi o znaczeniu newralgicznymi oraz ich ochronę. Jeśli dostawca nie udzieli zadowalającej odpowiedzi, czyli takiej która wykazuje znajomość rozporządzenia, jego wagi itp., być może lepiej zrezygnować z jego oferty.

2. Jak widzą Państwo możliwości dostosowania rozwiązań chmurowych do wymagań RODO?

Dostawcy technologii informatycznych często nie przywiązują należytej wagi do zgodności rozwiązań chmurowych z wymaganiami RODO lub przeciwnie, wyolbrzymiają związane z tym problemy. Tak czy inaczej, powszechnie już stosowane rozwiązania działające w chmurze powinny być jednym z głównych przedmiotów dyskusji, debat i rozwiązań dotyczących RODO. Pojawienie się technologii przetwarzania w chmurze spowodowało największą rewolucję w sektorze ochrony danych w ciągu minionych 10 lat. Kiedyś dane znajdowały się wyłącznie w systemach lokalnych. Dziś firmy coraz częściej wybierają opcję przechowywania części danych lokalnie, a części w chmurze, lub wszystkich w chmurze. Zarówno przedsiębiorstwa, jak i dostawcy usług informatycznych muszą wziąć pod uwagę sposób funkcjonowania globalnego środowiska chmurowego w kontekście suwerenności, przenośności i ochrony danych osobowych. Dziś rozproszone, dynamiczne i zróżnicowane dane są umieszczone w wielu heterogenicznych środowiskach, czasem na różnych kontynentach. Aby dane osobowe konsumentów miały zapewnioną należytą ochronę, ustawodawstwo musi dostosować się do wymogów tej nowej rzeczywistości. To samo dotyczy wewnętrznych reguł operacyjnych przedsiębiorstw, które powinny uwzględniać zarówno możliwości związane z nowoczesnym zarządzaniem danymi, jak i wymagania nowych regulacji w zakresie przetwarzania danych

3.  Czy ochrona danych osobowych jest tym samym co bezpieczeństwo danych?

W dyskusjach na temat cyberbezpieczeństwa i rozporządzenia RODO te dwa pojęcia są często utożsamiane ze sobą. Choć są bardzo ważne, nie oznaczają tego samego. Dostawca usług informatycznych powinien wiedzieć, na czym polega ta różnica. Tylko w takim przypadku może pomóc firmie w dostosowaniu się do wymagań RODO. Ochrona danych i sieci wymaga przede wszystkim odpowiednich systemów bezpieczeństwa. W kontekście RODO systemy te są jednak tylko jednym z elementów potrzebnych do zapewnienia ochrony danych osobowych. Równie ważne są niezawodne procesy biznesowe i administracyjne oraz odpowiednie podejście pracowników i partnerów. Sam system bezpieczeństwa danych nie gwarantuje firmie odpowiedniej i efektywnej kontroli danych osobowych, nie zapewnia też zgodności z wymaganiami RODO.

4. Czy technologia wystarczy do zapewnienia zgodności z RODO?

Jeśli dostawca technologii informatycznych odpowie twierdząco, to znaczy, że nie wie, czym jest RODO. Technologia stanowi tylko jeden z elementów całościowego rozwiązania. Technologia jest bez wątpienia bardzo ważna, ale nie chroni przed błędami popełnianymi przez człowieka, zwłaszcza w przypadku działań wykonywanych w dobrej wierze, bez świadomości naruszenia prawa lub reguł operacyjnych. Firma musi więc dostosować do RODO również swoją kulturę organizacyjną. Powinna przyjrzeć się swoim procesom związanym z przetwarzaniem danych, a w szczególności przeanalizować różne klasy danych, znaleźć i oznaczyć dane osobowe oraz zastanowić się, w jakich obszarach może obejść się bez informacji umożliwiających identyfikację osób. Jest to niezbędne do opracowania nowoczesnej strategii zarządzania danymi i podejmowania na jej podstawie decyzji dotyczących technologii informatycznych. Firma potrzebuje kompleksowej strategii opartej na współpracy różnych działów i jednostek organizacyjnych, co wymaga zaangażowania nie tylko dyrektora ds. ochrony danych osobowych, lecz również dyrektora finansowego, dyrektora generalnego, dyrektora ds. technicznych i dyrektora ds. marketingu wraz z podlegającymi im zespołami.

5. W jaki sposób proponują Państwo wdrożyć RODO u swoich klientów?

Projektowanie i wdrażanie programu zapewnienia zgodności z RODO dobrze jest zacząć od modelu opartego na ryzyku. Poszczególne działy przedsiębiorstwa powinny najpierw ocenić swoje ryzyko indywidualnie, a następnie połączyć swoje siły, wiedzę i doświadczenie, aby wspólnie opracować taki model. Również w tym przypadku program powinien obejmować trzy wspomniane wcześniej elementy, tj. ludzi, procesy i technologie. Obecny lub potencjalny dostawca technologii informatycznych powinien poinformować firmę, które elementy tego trzyczęściowego programu może efektywnie wesprzeć.