Najczęściej spotykamy się z trzema formami składowania danych osobowych:
- W systemach informatycznych.
Rejestrujemy dane w aplikacjach, są one fizycznie przechowywane w bazach danych. Taka forma przechowywania danych osobowych jest dla organizacji bardzo korzystna, ponieważ stosunkowo łatwo pozwala na wyszukanie miejsc, w których dane osobowe. Problem zaczyna się pojawiać wraz z dużą ilością systemów oraz ich złożonością. Dodatkowo systemy informatyczne są wrażliwe na usuwanie danych z baz danych. W naszej historii spotkaliśmy się z organizacjami, które posiadają… ponad 300 aplikacji oraz bazami danych liczącymi ponad 8000 tabel!
- W plikach, które składowane są w zasobach współdzielonych (ftp, Google drive, One drive), komputerach osobistych, poczcie e-mail.
W tym przypadku sytuacja jest dużo trudniejsza, ponieważ w firmach generujemy bardzo duże ilości plików, wiadomości e-mail, które przechowywane są w różnych miejscach, przesyłane między różnymi osobami, Przeglądanie i wyszukiwanie danych osobowych w plikach jest złożonym i pracochłonnym procesem również pod względem technicznym.
- W dokumentach papierowych.
W organizacjach nadal funkcjonują dokumenty w formie papierowej, które muszą być odpowiednio sklasyfikowane i przechowywane. Podlegają one również procedurom retencji.
W tym artykule skupimy się tylko na dwóch pierwszych opisanych formach przechowywania.
Procedury retencji – ale jakie?
Jak wygląda proces dojścia do automatyzacji usuwania danych osobowych podlegających retencji?
Głównym celem organizacji powinno być przygotowanie procedur retencji, które w jasny i precyzyjny sposób odpowiedzą na następujące pytania:
- Na jakiej podstawie (jaki jest cel przetwarzania) i w których procesach biznesowych przetwarzane są dane osobowe?
- Gdzie szukać danych osobowych, w których aplikacjach lub plikach?
- Kiedy należy usunąć konkretne dane osobowe i na podstawie jakich reguł to sprawdzić?
- Jak w bezpieczny sposób usunąć dane z aplikacji i plików, które podlegają retencji? W tym miejscu warto zwrócić uwagę, że usunięcie niekoniecznie musi oznaczać fizycznego usunięcie danych. Jest to szczególnie istotne z punktu widzenia systemów informatycznych, które są bardzo czułe na usuwanie.
Pisząc o usunięciu danych osobowych, rozumiemy przez to:
- fizyczne usunięcie danych osobowych z aplikacji (baz danych) i plików;
- anonimizację danych, czyli taką ich zamianę, która nie pozwala na zidentyfikowanie danych źródłowych;
- oznaczenie danych w specyficzny sposób.
5 kluczowych kroków
Poniżej opiszemy proces składający się z 5 kroków, który prowadzi do automatyzacji usuwania danych osobowych podlegających retencji i składowanych w aplikacjach (bazach danych), plikach, poczcie e-mail.
- Analiza rejestru czynności podstaw przetwarzania oraz procesów biznesowych, które przetwarzają dane osobowe. W zdecydowanej większości organizacje posiadają rejestry czynności podstaw przetwarzania. Na ich podstawie jesteśmy w stanie zrozumieć, jakie dane są przetwarzane, jakim regułom retencji one podlegają. Niestety nie ma w nich zazwyczaj dokładnych i kompletnych i informacji, w jakich systemach informatycznych oraz w jakich plikach dane te są przechowywane.
- Identyfikacja źródeł występowania danych osobowych. Na ten krok musimy spojrzeć z dwóch perspektyw:
- Perspektywa systemów informatycznych (baz danych): bazy danych możemy przeszukać „ręcznie”, o ile posiadamy kilka systemów, a zmiany w systemach są wprowadzane bardzo rzadko Jeżeli jednak posiadamy wiele systemów informatycznych, które cały czas dostosowują się do wymagań biznesowych, konieczne wydaje się wykorzystanie rozwiązania wspierającego proces identyfikacji danych osobowych w bazach danych. Ponadto takie rozwiązanie powinno pozwalać na ciągłą weryfikację, czy pojawiło się nowe miejsce, w którym przechowujemy dane osobowe. W tej perspektywie przydatne okazują się narzędzia takie jak Detecto, pozwalające na automatyzację procesów wyszukiwania danych osobowych w bazach danych (więcej o produkcie na www.wizards.io/detecto).
- Perspektywa plików: tutaj sytuacja jest dużo bardziej skomplikowana. Liczba tworzonych plików, przesyłanie ich e-mailem, przechowywanie ich na komputerach osobistych lub współdzielonych zasobach oraz trudności w zarządzaniu udostępnianiem tych plików powodują, że ręczne zidentyfikowanie miejsc ich przetwarzania oraz właściwe skatalogowanie są praktycznie niemożliwe. Odpowiedzią na te trudności są narzędzia takie jak Revelio (więcej informacji na stronie www.wizards.io/revelio), które pozwala skatalogować wszystkie pliki, które organizacja posiada na zasobach współdzielonych, komputerach osobistych, poczcie elektronicznej oraz zeskanować ich zawartość pod kątem zawartości danych osobowych.
Należy zaznaczyć, że Detecto może automatyzować cały proces identyfikacji danych w aplikacjach, a Revelio może zadbać o właściwe etykietowanie wykorzystywanych plików, jednak niezależnie od wykorzystanych narzędzi bezpieczeństwo informacji oraz zgodność z RODO mogą w największym stopniu zapewnić świadomi i dobrze wyedukowani w tym zakresie pracownicy.
Wizards Revelio może wspierać proces budowania świadomości i edukowania każdego pracownika organizacji poprzez poproszenie każdego właściciela pliku o opisane (etykietowanie) każdego pliku np. przez podanie daty do kiedy plik jest potrzebny, potwierdzenie, że wszystkie wskazane osoby powinny mieć dostęp do pliku, wskazanie czy plik jest publiczny, poufny itd.
Sposób etykietowania plików jest konfigurowalny i zależny od kontekstu każdej organizacji. Przy okazji zbierania danych i budowania świadomości użytkowników, Revelio pozwala przekazać do konkretnej osoby elementy edukującego go w kontekście zapewnienie bezpieczeństwa informacji oraz RODO.
Dzięki tak kompleksowemu podejściu wynikiem kroku drugiego będzie raport szczegółowo specyfikujący miejsca występowania danych osobowych w systemach informatycznych (bazach danych) oraz plikach, co z kolei umożliwi realizację kroku III opisywanego procesu.
- Zmapowanie danych z podstaw przetwarzania na źródła występowania danych osobowych.
Zmapowanie danych i podstaw ich przetwarzania wymaga porównania wyników analizy z kroku I i II. Na tym etapie często spotykamy się z sytuacją, w której identyfikujemy dużo więcej fizycznych miejsc występowania danych osobowych, niż wskazuje na to rejestr podstaw przetwarzania. Należy wówczas zaktualizować podstawy przetwarzania w taki sposób, żeby miały one pokrycie we wszystkich odnalezionych źródłach występowania danych osobowych.
Krok III jest też dobrym momentem na to, aby zidentyfikować procesy biznesowe, których wynikiem jest systematyczne i powtarzalne generowanie dokumentów i plików zawierających dane osobowe. Dzięki temu takie procesy mogą zostać rekomendowane do digitalizacji.
Wynikiem tego kroku jest raport pokazujący mapowanie danych z rejestru czynności przetwarzania na źródła występowania danych osobowych w aplikacjach (bazach danych) i plikach.
- Stworzenie procedur usuwania danych podlegających retencji, prawa do zapomnienia oraz informacji o podstawie i miejscu przetwarzania.
Mając wyniki z poprzednich kroków, możemy w ramach warsztatów analitycznych wypracować procedury, które pozwolą nam obsłużyć proces usuwania danych podlegających retencji oraz prawo do zapomnienia. Wynikiem analizy będzie zestaw procedur, które mogą być wykonywane przez wskazane osoby lub zautomatyzowane poprzez wykorzystanie dedykowanych rozwiązań informatycznych.
Dzięki wykonaniu pierwszych czterech kroków procesu jesteśmy w stanie ocenić, czy wartościowym i uzasadnionym ekonomicznie dla danej organizacji będzie wsparcie procedur usuwania danych podlegających retencji przez rozwiązania informatyczne.
Wynikiem jest zestaw procedur oraz analiza z rekomendacją lub jej brakiem na wdrożenie rozwiązań informatycznych wspierających procesy usuwania danych podlegających retencji.
- Realizacja i implementacja procedur usuwania danych podlegających retencji, prawa do zapomnienia oraz informacji o podstawie i miejscu przetwarzania.
Do tego kroku przechodzimy, jeżeli w wyniku analizy w kroku IV pojawi się wskazanie na wdrożenie oprogramowania do automatyzacji procesów usuwania danych.
Narzędziem, które wspiera ten krok jest Wizards Oblivio (więcej informacji na stronie www.wizards.io/oblivio). Przy jego wykorzystaniu systemy dziedzinowe, które przechowują dane osobowe, będą otrzymywały informację o konieczności usunięcia konkretnych danych na podstawie odpowiadnich reguł retencji lub żądania prawa do zapomnienia. Dzięki integracji systemu Oblivio z systemem Revelio możemy również wskazywać pliki, które znajdują się w zasobach współdzielonych, wiadomościach e-mail, komputerach osobistych pracowników, które zawierają dane osobowe podlegające usunięciu.
Wynikiem jest wdrożenie narzędzi informatycznych wspierających kompleksowo procesy usuwania danych podlegających retencji. W naszym przypadku będzie to Wizards Oblivio i Wizards Revelio.
Korzyści z automatyzacji
- Oszczędność czasu i pieniędzy.
- Zgodność z RODO.
- Budowanie świadomości wśród pracowników.
- Edukacja pracowników.
- Możliwość automatycznej obsługi procesów usuwania danych, prawa do zapomnienia, informacji o podstawie i miejscu przetwarzania.
- Zwiększenie poziomu bezpieczeństwa informacji.
Autor: Piotr Medyński
Architekt oprogramowania, przedsiębiorca, działacz społeczny. Absolwent Wydziału Cybernetyki Wojskowej Akademii Technicznej na kierunku Informatyka specjalność Systemy Informatyczne. Posiada ponad 20 lat doświadczenia w realizacji złożonych projektów informatycznych dla klientów z branży bankowej, ubezpieczeniowej, telekomunikacyjnej, energetycznej i finansowej. Współtworzył kilka firm technologicznych: Softwarehouse ISOLUTION, NewOps, eSignaller, Wizards, Teamtoolbox. Zbudował społeczność meetupu Management 3.0, która zorganizowała ponad 90 wydarzeń i skupiła wokół siebie ponad 5000 osób.
