Czy Urząd Ochrony Danych Osobowych ma podstawy, aby wymagać konkretnego podejścia do analizy ryzyka na gruncie RODO?
ODPOWIEDŹ
Przepisy RODO nie narzucają jednej, ściśle określonej metodyki przeprowadzania analizy ryzyka, pozostawiając administratorom danych znaczną elastyczność. Zgodnie z oficjalnymi stanowiskami i poradnikami, Urząd Ochrony Danych Osobowych często podkreśla, że istnieje wiele metod zarządzania ryzykiem, z których organizacje mogą czerpać inspirację, dostosowując je do własnej wielkości, struktury oraz celów i kontekstu przetwarzania danych. RODO jest bowiem w tym zakresie neutralne technologicznie i nie wymaga stosowania określonych narzędzi czy norm.
Biorąc to pod uwagę, UODO nie ma prawnych podstaw na gruncie RODO, aby bezwzględnie wymagać od administratorów stosowania tylko jednej, konkretnej metodyki (np. zmuszać do zakupu i rygorystycznego wdrażania płatnych norm ISO).
Niemniej jednak, szczegółowa analiza decyzji administracyjnych wydawanych przez UODO wyraźnie dowodzi, że organ ten premiuje ustrukturyzowany model postępowania, który jest w pełni spójny z logiką międzynarodowej normy ISO/IEC 27005.
Z uzasadnień decyzji UODO wyłania się powtarzalny schemat wymagań. Organ nadzorczy oczekuje, że prawidłowo przeprowadzona i udokumentowana analiza ryzyka będzie uwzględniała konkretne etapy, które stanowią wręcz kalkę kroków analitycznych z normy ISO 27005. Wymagane przez UODO elementy to w szczególności:
- Ustanowienie kontekstu – dokładne określenie stanu faktycznego, charakteru i celów przetwarzania danych.
- Identyfikacja aktywów – inwentaryzacja systemów, nośników i kategorii danych wykorzystywanych w procesach.
- Identyfikacja zagrożeń dla konkretnych aktywów oraz identyfikacja podatności (luk i słabości systemu).
- Identyfikacja istniejących zabezpieczeń oraz rzetelne przetestowanie ich skuteczności.
- Szacowanie skutków oraz prawdopodobieństwa – przy czym UODO stale przypomina, że skutki ocenia się z perspektywy praw i wolności osób fizycznych (a nie interesu organizacji), a prawdopodobieństwo musi uwzględniać skuteczność wdrożonych zabezpieczeń.
- Określenie poziomu ryzyka (np. jako iloczynu prawdopodobieństwa i skutków).
- Postępowanie z ryzykiem – czyli dobór takich środków organizacyjnych i technicznych, które sprowadzą ryzyko do poziomu akceptowalnego.
