Czy Urząd Ochrony Danych Osobowych ma podstawy, aby wymagać konkretnego podejścia do analizy ryzyka na gruncie RODO?
ODPOWIEDŹ
Przepisy RODO nie narzucają jednej, ściśle określonej metodyki przeprowadzania analizy ryzyka,
pozostawiając administratorom danych znaczną elastyczność. Zgodnie z oficjalnymi stanowiskami
i poradnikami, Urząd Ochrony Danych Osobowych często podkreśla, że istnieje wiele metod
zarządzania ryzykiem, z których organizacje mogą czerpać inspirację, dostosowując je do własnej
wielkości, struktury oraz celów i kontekstu przetwarzania danych. RODO jest bowiem w tym
zakresie neutralne technologicznie i nie wymaga stosowania określonych narzędzi czy norm.
Biorąc to pod uwagę, UODO nie ma prawnych podstaw na gruncie RODO, aby bezwzględnie
wymagać od administratorów stosowania tylko jednej, konkretnej metodyki (np. zmuszać do
zakupu i rygorystycznego wdrażania płatnych norm ISO).
Niemniej jednak, szczegółowa analiza decyzji administracyjnych wydawanych przez UODO
wyraźnie dowodzi, że organ ten premiuje ustrukturyzowany model postępowania, który jest
w pełni spójny z logiką międzynarodowej normy ISO/IEC 27005.
Z uzasadnień decyzji UODO wyłania się powtarzalny schemat wymagań. Organ nadzorczy
oczekuje, że prawidłowo przeprowadzona i udokumentowana analiza ryzyka będzie uwzględniała
konkretne etapy, które stanowią wręcz kalkę kroków analitycznych z normy ISO 27005. Wymagane
przez UODO elementy to w szczególności:
- Ustanowienie kontekstu – dokładne określenie stanu faktycznego, charakteru i celów
przetwarzania danych. - Identyfikacja aktywów – inwentaryzacja systemów, nośników i kategorii danych
wykorzystywanych w procesach. - Identyfikacja zagrożeń dla konkretnych aktywów oraz identyfikacja podatności
(luk i słabości systemu). - Identyfikacja istniejących zabezpieczeń oraz rzetelne przetestowanie ich skuteczności.
- Szacowanie skutków oraz prawdopodobieństwa – przy czym UODO stale przypomina,
że skutki ocenia się z perspektywy praw i wolności osób fizycznych (a nie interesu
organizacji), a prawdopodobieństwo musi uwzględniać skuteczność wdrożonych
zabezpieczeń. - Określenie poziomu ryzyka (np. jako iloczynu prawdopodobieństwa i skutków).
- Postępowanie z ryzykiem – czyli dobór takich środków organizacyjnych i technicznych,
które sprowadzą ryzyko do poziomu akceptowalnego.
