Co grozi firmie, która niewłaściwie chroni dane osobowe?

Dane osobowe przetwarza, w większym bądź mniejszym stopniu, każde przedsiębiorstwo. Niezależnie od jego wielkości, administratorzy danych – właściciele firm, członkowie zarządów – są zobowiązani do zapewnienia danym odpowiedniego bezpieczeństwa. Jeśli nie dopełnią tego obowiązku i w rezultacie dojdzie do incydentu, może się to wiązać z bardzo poważnymi konsekwencjami.

1.    Konsekwencje prawne.

Konsekwencji prawnych przedsiębiorcy obawiają się chyba najbardziej. To oni bowiem, jako administratorzy danych osobowych (ADO) ponoszą bezpośrednią odpowiedzialność za wszelkie niezgodności z wymogami ustawy, niezależnie od tego, czy powołali w swojej firmie administratora bezpieczeństwa informacji (ABI), czy też zlecili przetwarzanie danych na zewnątrz.

Wszystkie czyny niedozwolone związane z przetwarzaniem danych, opisane są w art. 49-54a ustawy o ochronie danych osobowych i stanowią przestępstwa ścigane z urzędu. Oznacza to, że zarówno policja jak i prokuratura, po uzyskaniu informacji o podejrzeniu popełnienia przestępstwa, zobowiązane są do podjęcia odpowiednich działań. Co więcej, proces karny może zostać wszczęty niezależnie od tego, czy ktoś został w danej sytuacji pokrzywdzony, a nawet wbrew woli ewentualnego pokrzywdzonego.

W podmiotach takich jak spółka akcyjna czy spółka z o.o. do odpowiedzialności pociągani są członkowie zarządu. W przypadku uznania ich winy i skazania prawomocnym wyrokiem są oni wpisywani do Krajowego Rejestru Karnego.

2.    Utrata zaufania klientów.

Generalny Inspektor Ochrony Danych Osobowych podczas jednego z posiedzeń sejmowych powiedział, że ochrona danych osobowych to nie tylko przymus, ale też wiarygodność wobec swoich klientów. Trudno się z tymi słowami nie zgodzić. Klienci, którzy przekazują różnym firmom swoje dane, obdarzają je zaufaniem. Wierzą, że dane będą właściwie chronione i nie zostaną udostępnione osobom niepowołanym. Kiedy jednak okazuje się, że przedsiębiorstwo nie było w stanie odpowiednio ich zabezpieczyć, wówczas klienci mają prawo być co najmniej rozczarowani. Takie rozczarowanie wiąże się najczęściej z długotrwałą utratą zaufania do danej firmy i w konsekwencji z rezygnacją z jej usług. Co więcej, jeśli w efekcie klienci doznają jakiejś szkody, bardzo często dzielą się taką informacją na forach internetowych czy portalach społecznościowych, zniechęcając do danego przedsiębiorstwa całe rzesze użytkowników sieci.

3.    Straty finansowe.

Wraz z utratą wiarygodności firma, co oczywiste, traci zyski. Ale to nie wszystkie straty finansowe, na jakie jest narażona w efekcie incydentu spowodowanego niewłaściwą ochroną danych. Generalny Inspektor Danych Osobowych ma prawo nałożyć na nią karę finansową. Obecnie dzieje się tak dość rzadko, ale już niedługo, po wejściu w życie unijnego rozporządzenia dotyczącego ochrony danych, niewłaściwe zabezpieczenie danych może kosztować firmę nawet 20 mln EUR! Do tego dochodzą jeszcze ewentualne roszczenia poszkodowanych. Nie są to obecnie jeszcze zbyt częste przypadki, ale biorąc pod uwagę stale rosnącą w tym zakresie świadomość społeczną, można przypuszczać, że w przyszłości będzie ich znacznie więcej.

Komentarze ekspertów:

W dobie wszechobecnego internetu każde potknięcie firmy może zostać opisane i upublicznione. A, niestety, co raz znajdzie się w internecie, zostanie tam zawsze. Niekorzystne opinie mogą bardzo długo zniechęcać potencjalnych klientów do skorzystania z oferty firmy, a to z pewnością odbije się na jej wynikach finansowych. Co więcej, wkrótce wejdą w życie nowe przepisy o ochronie danych osobowych, a wraz z nimi bardzo wysokie kary, nieporównywalnie wyższe od obecnych. Warto zdać sobie sprawę, że to właśnie umiejętność przetwarzania i właściwego zabezpieczania danych osobowych, stanowi współcześnie o sukcesie lub porażce firmy.

Leszek Kępa, ekspert ds. ochrony danych osobowych

Jak pokazuje wiele incydentów związanych z ochroną danych osobowych, znaczący wpływ na bezpieczeństwo przetwarzanych danych mają sami pracownicy. Kluczowym zabezpieczeniem dla każdej organizacji będzie więc ich odpowiednie przeszkolenie. Dzięki takiemu podejściu minimalizujemy zarówno ryzyko wystąpienia incydentu, jak też  związane z nim konsekwencje – łatwiej jest unikać potencjalnie niebezpiecznych sytuacji, a jeśli już coś się wydarzy, reakcja pracownika jest natychmiastowa. Warto też zwrócić uwagę na świadomość współpracowników oraz firmy współpracujące. Aby właściwie chronić swoje dane, powinni oni znać i stosować wdrożone w firmie procedury.

Maciej Kaczmarski, prezes zarządu ODO 24