GDPR a ekosystém bezpečnosti

Nařízení o ochraně osobních údajů stanoví, že správce a zpracovatel osobních údajů jsou povinni provést vhodná technická a organizační opatření tak, aby zajistili úroveň zabezpečení odpovídající rizikům. A to s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelu zpracování. V praxi to znamená, že bez ohledu na velikost subjektu je třeba nejdříve rizika nalézt a vyhodnotit a až poté je možné začít realizovat technická a organizační opatření. Činnosti, které je třeba uskutečnit, se obvykle rozpadají do tří základních oblastí. První je "procesně organizační" oblast, jejíž úlohou je zajistit správné procesy zpracování. Druhou pak "smluvněprávní", která se týká smluvní dokumentace, postupů získávání souhlasů a mnoha dalších právních úkonů, a třetí "bezpečnostní" oblast, jejímž cílem je zajistit odpovídající ochranu zpracovávaných údajů. Po fázi analýz a návrhů opatření nastává nepřetržitý proces implementace změn v IT systémech, v nastavení procesů, v aktualizaci řídící dokumentace, v práci bezpečnostního dohledu, ve vzdělávání zaměstnanců i ve způsobu vnímání ochrany osobních údajů.

První fáze ve znamení analýz

A jak konkrétně vypadají první kroky v individualizovaných projektech u velkých firem a organizací? Po úvodním seznámení s GDPR následuje předběžný audit stavu zpracování osobních údajů. Jeho výstupem je diferenční analýza, která nejenom odhaluje rizika, ale také stanovuje jejich závažnost a rozsah a specifikuje ta, jimž je třeba věnovat pozornost. Následující podrobnější analýza může zahrnovat i použití automatizovaných analytických nástrojů, které umožní prověřit také různorodá nestrukturovaná data, jako jsou naskenované dokumenty či návrhy smluv, často uložená a zpracovávaná nestandardně. Výstupem je detailní projektový plán popisující činnosti a aktivity, které je třeba uskutečnit.