Analiza ryzyka przetwarzania danych osobowych w systemie EZD

I. Kontekst

System elektronicznego zarządzania dokumentacją (dalej EZD) to zgodnie z zapisami § 2 pkt 13 rozporządzenia Dz.U. 2019 poz. 650 „system teleinformatyczny do elektronicznego zarządzania dokumentacją umożliwiający wykonywanie w nim czynności kancelaryjnych, dokumentowanie przebiegu załatwiania spraw oraz gromadzenie i tworzenie dokumentów elektronicznych”. Natomiast moduł e-Doręczenia, w systemie EZD, umożliwia obsługę korespondencji w trybie ustawy o doręczeniach elektronicznych. Doręczanie pism drogą elektroniczną w swoim założeniu stanie się preferowaną, podstawową i obowiązkową formą komunikacji podmiotów publicznych w rozumieniu ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. W tej formie komunikacji tak samo jak i w korespondencji w formie papierowej dochodzić będzie do przetwarzania danych osobowych. Przepisy RODO nakładają na administratorów m.in. obowiązek przetwarzania danych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Jest to naczelna zasada przetwarzania na podstawie RODO – zasada integralności i poufności (art. 5 ust. 1 lit. f RODO).

W kontekście wdrażania EZD w jednostce należy pamiętać, że w przypadku, gdy operacje przetwarzania mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator zobowiązany jest przeprowadzić ocenę skutków (DPIA). Dotyczyć może to w szczególności takich Administratorów, którzy przetwarzają dane z katalogu art. 9 ust. 1 RODO.

II. Cel

System EZD jako kompleksowe rozwiązanie, ma za zadnie przyspieszać obieg dokumentów w jednostce oraz ułatwiać prowadzenie nowoczesnej administracji. Pozwala na efektywną organizację pracy, dostęp do aktualnych informacji i ujednolica procesy wewnętrzne przy zachowaniu zgodności z obowiązującymi przepisami oraz zapewnia bezpieczeństwo danych. System ten powinien być aktualny i zawierać moduły umożliwiające cyfrową komunikację obywateli i przedsiębiorców z podmiotami publicznymi, czyli obejmować także e-Doręczenia.

III. Analiza ryzyka - metodyka

Określanie poziomu ryzyka polega na przypisaniu danemu zagrożeniu prawdopodobieństwa oddziaływania oraz ustaleniu wpływu materializacji zagrożenia na:

1) dostępność systemu lub informacji,

2) integralność systemu lub informacji,

3) poufność informacji przetwarzanej w systemie,

4) rozliczalności informacji , a następnie wyznaczeniu poziomu ryzyka.

Do oszacowania analizy ryzyka zgodnie z art. 32 RODO wykorzystana będzie macierz opracowana i przygotowana przez Urząd Ochrony Danych Osobowych. W oparciu o ocenę prawdopodobieństwa wystąpienia oraz skutków uzyskuje się poziom istotności ryzyka utraty poufności, dostępności, integralności i rozliczalności danych. Przy ocenie skutków wystąpienia ryzyka brane są pod uwagę zarówno skutki finansowe, jak i niefinansowe, np. utrata reputacji, konsekwencje prawne, utrata szansy zrealizowania ważnego zadania, opóźnienie w realizacji zadań, obniżenie jakości pracy itp.

Poziom ryzyka wyznaczono według wzoru: R= P x S

gdzie:

R – poziom ryzyka (istotność)

P – wartość przypisana prawdopodobieństwu materializacji zagrożenia,

S – wartość skutków

Prawdopodobieństwo Wartość Opis

wystąpienia zagrożenia liczbowa

Prawie pewne 5 Przewiduje się, że zdarzenie z pewnością wystąpi w ciągu roku

Prawdopodobne 4 Przewiduje się, że zdarzenie objęte ryzkiem zdarzy się wielokrotnie w ciągu roku

Możliwe 3 Przewiduje się, że zdarzenie objęte ryzkiem zdarzy się kilka razy w ciągu roku

Mało prawdopodobne 2 Przewiduje się, że zdarzenie objęte ryzkiem zdarzy się dwa w ciągu roku

Rzadkie 1 Przewiduje się, że zdarzenie objęte ryzkiem zdarzy się raz się lub nie zdarzy się w ciągu roku

Wpływ Wartość Opis

zagrożenia liczbowa (Skutki)

Bardzo wysoki 5 Zdarzenie wywołuje krytyczny skutek. Skutki mogą prowadzi do wysokiego uszczerbku fizycznego, szkód majątkowych dla osób fizycznych. Zagrożenie ustawową karą pozbawienia wolności. Koszty miesięczne procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Kontrole organów ścigania. Zdarzenie objęte ryzykiem powoduje brak realizacji kluczowych zadań albo osiąganie założonych celów – poważny uszczerbek w zakresie jakości wykonywanych zadań, poważna strata finansowa albo reputacji. Z wystąpieniem zdarzenia objętego ryzykiem wiąże się długotrwały i trudny proces przywracania stanu poprzedniego.

Wysoki 4 Zdarzenie wywołuje wysoki skutek. Skutki mogą prowadzić do uszczerbku fizycznego, szkód majątkowych lub niemajątkowych dla osób fizycznych, jednak nie są one wysokie. Wysokie ustawowe kary pieniężne. Koszt kwartalnych procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Kontrole i kary UODO. Zdarzenie objęte ryzykiem powoduje znaczącą stratę posiadanych zasobów, ma negatywny wpływ na efektywność działania, jakość wykonywanych zadań, reputację jednostki Z wystąpieniem zdarzenia objętego ryzykiem może się wiązać trudny proces przywracania stanu poprzedniego.

Średni 3 Zdarzenie wywołuje średni skutek. Nałożenie kar ustawowych w dolnej granicy kary. Koszt rocznych procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Zdarzenie objęte ryzykiem powoduje niewielką stratę finansową, niewielkie zakłócenie lub opóźnienie w wykonywaniu zadań. Wpływa na reputacje jednostki. Skutki zdarzenia można łatwo usunąć.

Niski 2 Zdarzenie wywołuje niski skutek. Miesięczne straty, np. z powodu ujawnienia danych niepodlegających ochronie prawnej. Zdarzenie objęte ryzykiem powoduje minimalną stratę finansową lub krótkotrwałe zakłócenia lub opóźnienie w wykonywaniu zadań. Nie wpływa na reputację. Skutki zdarzenia można łatwo usunąć.

Bardzo niski 1 Zdarzenie nie wywołuje żadnych skutków

Analiza ryzyka - tabela

Zagrożenie (źródło Zagrożony atrybut: Skutki wystąpienia ryzyka Prawdopodobieństwo Skutki Poziom Środki techniczne i Decyzja dotycząca ryzyka

ryzyka) poufność/integralność/dostępność istotności ryzyka organizacyjne redukujące ryzyko

Nieautoryzowany Poufność • Wyciek danych osobowych 3 3 Wysoki • System kontroli dostępu • wyeliminowane

dostęp do danych klientów • Utrata reputacji jednostki • Wymuszenie używania • zredukowane

• Kary finansowe nakładane silnych haseł i autoryzacji • zaakceptowane

przez UODO dwuetapowej

• Procesy sądowe ze • Określone role

szkodami dla osób, których użytkowników systemu

prywatność została • Regularne szkolenia

naruszona pracowników z zakresu

• Modyfikacja danych bezpiecznego

przez osoby zarządzania hasłami i

nieuprawnione uwierzytelnienia

• Spadek zaufania do • Szyfrowanie danych

jednostki • Kopie zapasowe

• Pozw