HB 2017: Forum GDPR

Obrady zapoczątkował Andrzej Wolski, wiceprezes zarządu Centrum Prawa Bankowego i Informacji. Zwrócił uwagę na fakt, iż uchwalone w ubiegłym roku rozporządzenie unijne oznaczać będzie szereg nowych obowiązków dla instytucji finansowych. W najbliższym czasie wiedzieć będziemy, jak zmieni się polski system prawny. Ministerstwo Cyfryzacji opublikowało już projekt nowej ustawy o ochronie danych, niebawem dowiemy się również, jak będą wyglądać zmiany w poszczególnych ustawach sektorowych, w tym również prawie bankowym. – Już dziś można zauważyć pola, na których toczyć się będzie konkurencja między firmami z sektora bankowego i podmiotami spoza niego – podkreślił Andrzej Wolski. Następnie głos zabrał Jerzy Cichowicz, prezes spółki Kalokagathia. Przypomniał, iż dobór tematów omawianych podczas kolejnych sesji nie był przypadkowy; autorzy programu bazowali na faktycznych pytaniach i wątpliwościach, pojawiających się podczas wdrażania nowych zasad ochrony prywatności w kolejnych instytucjach finansowych.

Jedną z istotniejszych zmian, jakie niesie rozporządzenie GDPR, jest odejście od sztywnych uregulowań prawnych na rzecz przepisów rangi ogólnej, wypełnianych następnie poprzez regulacje nadzorcze czy branżowe kodeksy postępowania, tworzone przez organizacje branżowe i zatwierdzane przez regulatora. Właśnie ten ostatni instrument był tematem pierwszej sesji, moderowanej przez Mariusza Sudoła, przewodniczącego Grupy Cyfryzacji Procesów Bankowych ZBP. Ekspertem był dr Marcin Huczkowski, radca prawny reprezentujący kancelarię T. Studnicki, K. Płeszka, Z. Ćwiąkalski, J. Górski Sp. k. Przypomniał on, że Związek Banków Polskich już od pewnego czasu prowadzi prace nad stworzeniem takiego regulaminu dla polskiego sektora bankowego i zaapelował do bankowców, by aktywnie uczestniczyli w tych działaniach, zgłaszając własne doświadczenia i propozycje. Jakie korzyści płyną z wprowadzenia w danym segmencie rynku kodeksów postępowania? Najczęściej wskazywanym benefitem jest możliwość uniknięcia sankcji nakładanej przez organ kontroli lub jej znaczącego obniżenia. Wytworzenie jednolitego zbioru właściwych zachowań, ujednoliconego dla całego sektora pozwala również na wypracowanie optymalnych standardów dla całego segmentu rynku, uwzględniającego zróżnicowaną sytuację równych podmiotów i określającego powinności wspólne dla wszystkich graczy. Kodeksy postępowania mogą odnosić się do najróżniejszych obszarów, a zatem również tych budzących największe kontrowersje, w rodzaju prawa do przenoszenia danych czy prawa do bycia zapomnianym.

Związek pomiędzy ochroną danych osobowych a właściwym doborem rozwiązań technologicznych służących do zarządzania informacją i przetwarzania danych stanowi jeden z obszarów szczegółowo uregulowanych na gruncie RODO. Przepisy obligują administratorów danych osobowych, by uwzględniali kwestie związane z ochroną prywatności już na etapie projektowania nowych produktów czy też wdrażania nowych systemów teleinformatycznych. Wyzwaniom pojawiającym się podczas wdrażania nowych regulacji w praktyce bankowej poświęcona była prezentacja Rafała Owczarka, Business Development Managera w firmie Advatech.

Zwrócił on uwagę, iż nałożone przez RODO powinności mogą być wypełnione jedynie wówczas, gdy informacje będą przetwarzane w sposób rzetelny. Z kolei owej rzetelności nie da się uzyskać, nie mając świadomości, jakie luki występują w samym procesie przetwarzania informacji. Nieocenionym wsparciem w tym obszarze może być zastosowanie odpowiednich narzędzi, które – obok wykonywania standardowych zadań – będą w stanie wskazać obszary zabezpieczone gorzej od pozostałych, jednak o sukcesie przesądza stworzenie odpowiedniej „mapy drogowej” już na starcie procesu wprowadzania zmian technologicznych podyktowanych RODO. Rafał Owczarek podkreślił również, że sam zakup nawet najbardziej zaawansowanych technologii nie wpłynie na zwiększenie bezpieczeństwa, jeżeli nie zostanie wcześniej przeprowadzona analiza procesów przetwarzania danych osobowych i nowe rozwiązania IT nie zostaną dostosowane do uwidocznionych w ramach takiej analizy wyzwań.

Następnie głos zabrali przedstawiciele Hewlett-Packard Enterprise – Cezary Prokopowicz, Regional Sales Manager Eastern Europe, HPE Software, oraz Dariusz Śliwa, Inf. Mgmt & Governance, HPE Software. W swym wystąpieniu zwrócili uwagę na korzyści, płynące z wdrażania nowych unijnych przepisów. – RODO zmusza nas do zrobienia porządku – podkreślił Dariusz Śliwa. Dlatego wdrażanie ochrony danych musi być poprzedzone ich wyszukiwaniem – wiele firm nie ma nawet pełnej kontroli nad posiadanymi zasobami. Największym wyzwaniem będzie bez wątpienia inwentaryzacja danych niestrukturyzowanych, które stanowią coraz większy odsetek informacji gromadzonych przez przedsiębiorstwa. Według szacunków ekspertów, w roku 2020 aż 90% danych gromadzonych w firmach będzie miało charakter niestrukturyzowany. Szczególną uwagę należy poświęcić temu, czy gromadzone informacje przechowywane są jedynie przez okres przewidziany przez prawo. – Musimy skończyć z praktyką przechowywania danych osobowych na wyrost – podkreślił Dariusz Śliwa.

Problemom związanym z implementacją RODO w toku wdrażania nowych systemów IT poświęcili swe wystąpienia również kolejni uczestnicy forum: Tomasz Jangas, Solution Architect w firmie Hitachi oraz Konrad Mokrzański, Architekt Zarządzania Danymi w spółce Integral Solutions. Sesję tę poprowadził dr Stefan Szyszko, członek Rady Nadzorczej ComCERT S.A.

Jak powinien przebiegać proces przygotowania instytucji na przyjęcie RODO? Kwestia ta była tematem kolejnej sesji forum General Data Protection Regulation. Etapy wdrażania rozwiązań zgodnych z nowym unijnym prawem przedstawił Konrad Hoszowski, Technical Account Manager w spółce Ab Initio Software. Moderatorem panelu był Jerzy Cichowicz.

– RODO to nie projekt, który się wdroży raz i zostanie na półce – przypomniał na wstępie Konrad Hoszowski. Ocenie zgodności z wymogami w zakresie ochrony prywatności będzie podlegać każdy bez wyjątku proces na każdym etapie jego realizacji, jeżeli tylko w jego ramach gromadzone są lub przetwarzane dane osobowe. Dlatego już na wstępie należy uświadomić sobie, jaki zakres informacji znajdujących się w zasobach firmy uważamy za dane osobowe i w jakich działaniach te informacje są wykorzystywane. Niezmiernie odpowiedzialnym zadaniem jest również przełożenie procesów biznesowych na techniczne, dzięki czemu możliwe jest określenie, w jakich obszarach i na jakich etapach systemy IT przedsiębiorstwa mają styczność z danymi osobowymi. Po tej wstępnej fazie nadchodzi etap określony przez prelegenta mianem korekcji; jego celem jest wyeliminowanie danych zbytecznych i przechowywanych wbrew nowym regulacjom, redukcja danych dublujących się (co notabene wpłynie pozytywnie również na efektywność funkcjonowania firmy) czy wreszcie modyfikacja systemów pod kątem zgodności z nowymi politykami i strategiami. Dopiero po przejściu tych etapów można mówić o implementacji nowych rozwiązań regulacyjnych sensu stricto – czyli zdefiniowaniu polityki bezpieczeństwa, przyjęciu planów kontrolnych i naprawczych oraz wprowadzenia narzędzi do monitorowania zgodności procesów z wymogami RODO.

Do uczestników konferencji zwrócił się również z przesłaniem dr Wojciech Wiewiórowski, zastępca europejskiego inspektora ochrony danych. Jego zarejestrowana wypowiedź została odtworzona jako wstęp do debaty eksperckiej, podsumowującej cały dzień obrad. Przedstawiciel nadzoru przypomniał zgromadzonym, iż reforma ochrony danych osobowych na szczeblu unijnym nie zakończyła się wraz z przyjęciem RODO oraz dyrektywy określającej zasady przetwarzania danych na potrzeby postępowania karnego. Obecnie trwają prace nad nowym rozporządzeniem Parlamentu Europejskiego i Rady w sprawie prywatności w sferze łączności elektronicznej, które zastąpi obecne, mocno już zdezaktualizowane regulacje w tym obszarze. Według dr. Wiewiórowskiego ten akt prawny ma być ogłoszony w maju 2018 r., dzięki czemu cały pakiet zmian prawnych dotyczących danych osobowych zacznie obowiązywać mniej więcej w tym samym czasie. Niezmiernie istotnym zadaniem jest również wdrażanie nowych rozwiązań w poszczególnych krajach UE, jak również podjęcie decyzji odnośnie stosowania GDPR w krajach Europejskiego Obszaru Gospodarczego nienależących do Wspólnoty, czy wreszcie niektórych krajów spoza EOG (jak Szwajcaria czy USA). Poważnym wyzwaniem będzie również wdrażanie kodeksów postępowań i sektorowych dobrych praktyk, które stanowić będą sui generis dopełnienie całego systemu.

Uczestnikami finałowej debaty, moderowanej przez dyrektora Zespołu Prawno-Legislacyjnego ZBP dr Tadeusza Białka, byli: Maciej Byczkowski, prezes zarządu Stowarzyszenia Administratorów Bezpieczeństwa Informacji; Krzysztof Kowalski, doradca ochrony danych; Piotr Mechliński, Country Leader for Government & Banking, IBM Analytics; Marta Nieścierowicz, audytor oraz dr Stefan Szyszko, członek Rady Nadzorczej ComCERT S.A. W toku dyskusji uczestnicy odnieśli się m.in. do wyzwania, jakim jest opanowanie żywiołu danych niestrukturyzowanych.

– Można sobie wyobrazić, że tych danych nie ma i że można funkcjonować. Powinniśmy zastanowić się nad tym, żeby nie śmiecić, to uprości i potani naszą działalność – zauważył Stefan Szyszko. Zgodził się z tą opinią Piotr Mechliński, według którego uporządkowanie danych może odchudzić ich zasoby nawet o 50% – i to bez straty dla instytucji. Z kolei Maciej Byczkowski przypomniał podstawową różnicę pomiędzy rozwiązaniami unijnymi a stosowanymi powszechnie w biznesie standardami ISO w zakresie ochrony danych. – RODO bierze za punkt wyjścia prawa osób, których dane dotyczą, a przy ISO 27000 sfokusowani jesteśmy na organizację. Trzeba to zmienić poprzez przeprowadzenie oceny skutków dla osób, których dane dotyczą z wykorzystaniem analogicznych metodyk, jakie przewiduje ISO 27000 – zaznaczył szef Stowarzyszenia Administratorów Bezpieczeństwa Informacji. Krzysztof Kowalski przypomniał zebranym o dość powszechnie pomijanym zagrożeniu związanym z nieprawidłowym przetwarzaniem danych osobowych, jakim jest możliwość wystąpienia przez klienta z pozwem o odszkodowanie z tytułu naruszenia danych. Jeszcze większym zagrożeniem jest możliwość wydania przez GIODO lub UODO zakazu przetwarzania danych, co dla wielu firm równoznaczne jest z końcem działalności. Dlatego właśnie niezmiernie ważnym zadaniem jest właściwie przeprowadzona i co najważniejsze uprzednia analiza ryzyka.