Definicja GDPR
General Data Protection Regulation (GDPR), znane w Polsce jako RODO, to unijne rozporządzenie 2016/679 regulujące zasady przetwarzania danych osobowych. Obowiązuje od 25 maja 2018 roku we wszystkich państwach członkowskich i ma zastosowanie do firm przetwarzających dane obywateli UE - niezależnie od lokalizacji siedziby.
Kluczowe założenia
- Zgoda i przejrzystość - dane muszą być przetwarzane zgodnie z wolą użytkownika, jasno informowanego o celu i zakresie przetwarzania.
- Minimalizacja danych - gromadzenie wyłącznie niezbędnych informacji.
- Prawo do bycia zapomnianym - możliwość trwałego usunięcia danych.
- Przenoszalność danych - użytkownik może żądać przekazania swoich danych w ustrukturyzowanym formacie.
- Bezpieczeństwo danych - obowiązek wdrażania odpowiednich środków technicznych i organizacyjnych.
- Obowiązek zgłoszenia naruszenia - incydenty należy zgłaszać do PUODO (lub innego organu nadzorczego) w ciągu 72 godzin.
Role w systemie GDPR
| Rola | Obowiązki |
|---|---|
| Administrator danych | Ustala cele i sposoby przetwarzania danych |
| Procesor danych | Przetwarza dane w imieniu administratora, zgodnie z umową powierzenia |
| Osoba, której dane dotyczą | Ma prawo do informacji, dostępu, korekty i sprzeciwu wobec przetwarzania |
Zastosowanie GDPR w cyberbezpieczeństwie
- Audyty i testy penetracyjne muszą uwzględniać ochronę danych osobowych.
- Systemy SIEM, MDM, EMM muszą być zgodne z zasadą privacy-by-design.
- Organizacje muszą prowadzić Rejestr czynności przetwarzania (RoPA).
- Narzędzia analityczne i monitorujące muszą mieć funkcje anonimizacji i pseudonimizacji.
- Zespoły SOC powinny szybko identyfikować i eskalować incydenty naruszenia danych.
Współzależności regulacyjne
GDPR często współistnieje z innymi regulacjami, np.:
- NIS2 - obowiązek raportowania naruszeń w sektorach krytycznych.
- DORA - ciągłość działania i odporność operacyjna w finansach.
- ISO 27001 - systemowe podejście do ochrony informacji i zgodności.
Kary i sankcje
- Do 20 mln € lub 4% rocznego światowego obrotu - w zależności od tego, która kwota jest wyższa.
- Kary mogą dotyczyć zarówno naruszeń praw osób fizycznych, jak i braku zabezpieczeń technicznych.
- W praktyce najczęstsze przyczyny sankcji to brak zgody, naruszenia prywatności i niewłaściwe przetwarzanie danych.
Wyzwania związane z GDPR
- Skalowanie zgodności w środowiskach chmurowych i zdalnych.
- Balans między monitorowaniem bezpieczeństwa a prywatnością użytkownika.
- Zgodność systemów OT, IoT i legacy z zasadami privacy-by-default.
- Wysokie koszty wdrożenia dla MŚP.
- Różna interpretacja przepisów przez krajowe organy nadzorcze.
Trendy i dobre praktyki
- Privacy Engineering - wdrażanie ochrony danych na poziomie kodu i architektury systemu.
- Zarządzanie cyklem życia danych - retencja, automatyczne usuwanie, dostępność.
- Audytowalność działań IT - logi dostępowe, revizje uprawnień, SIEM z funkcją masking.
- Szkolenia i świadomość pracowników - programy ciągłego doskonalenia kompetencji.
- Zewnętrzni DPO i GRC-as-a-Service - rosnąca popularność outsourcingu zgodności.