Analiza ryzyka przetwarzania danych osobowych na fanpage'u JST

I. Kontekst

Jednostki samorządu terytorialnego (JST) coraz częściej wykorzystują media społecznościowe, w tym portal Facebook, do komunikacji z mieszkańcami. Fanpage na Facebooku pozwala na szybkie przekazywanie informacji, angażowanie społeczności oraz promowanie lokalnych inicjatyw. Podstawą prawną do wykorzystywania fanpage’u na Facebooku jest art. 6 ust 1 lit. e RODO czyli przetwarzanie danych osobowych jest niezbędne do wykonania zadania realizowanego w interesie publicznym. Gmina przez swój fanpage może rozpowszechniać informacje o wydarzeniach, ogłoszenia, relacje z wydarzeń. Dzięki temu zwiększa się interakcja z mieszkańcami, turystami oraz poprawia się komunikacja z osobami zainteresowanymi sprawami gminy. Orzecznictwo sądów w sprawach dostępu do informacji publicznej widzi to nawet poprzez pryzmat art. 10 ust. 1 ustawy o dostępie do informacji publicznej.

Niemniej jednak, użycie tego narzędzia wiąże się z pewnymi ryzykami, które należy zidentyfikować i zarządzać nimi odpowiednio. Przepisy RODO nakładają na administratorów m.in. obowiązek przetwarzania danych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Jest to naczelna zasada przetwarzania na podstawie RODO – zasada integralności i poufności (art. 5 ust. 1 lit f RODO). Należy także pamiętać, że przypadku, gdy operacje przetwarzania mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych Administrator zobowiązany jest przeprowadzić ocenę skutków (art. 35 RODO). Dotyczyć może to w szczególności takich Administratorów, którzy przetwarzają dane z katalogu art. 9 RODO.

II. Cel

Fanpage jest wykorzystywany do informowania mieszkańców o wydarzeniach, projektach, inicjatywach i decyzjach JST. Poprzez publikowanie treści i umożliwienie interakcji, JST stara się zwiększać zaangażowanie społeczności lokalnej. Fanpage może służyć, jako narzędzie zwiększające przejrzystość działań JST, udostępniając informacje o budżetach, planach i wynikach pracy.

III. Analiza ryzyka - metodyka

Analiza ryzyka użycia fanpage’a Facebook przez JST wymaga uwzględnienia wielu aspektów, w tym celów i zakresu użycia, przepisów prawnych, aspektów technologicznych, organizacyjnych oraz interesariuszy. Każdy z tych elementów wpływa na potencjalne ryzyka i skutki związane z użyciem platformy, dlatego istotne jest kompleksowe podejście do analizy i zarządzania ryzykami, aby zapewnić ochronę danych osobowych oraz zgodność z obowiązującymi przepisami. Do tego celu będzie wykorzystana macierz opracowana i przygotowana przez Deloitte:

Poziom ryzyka (Istotność) określana jest według wzoru:

Istotność = Prawdopodobieństwo x Skutek

Analiza ryzyka

Zagrożenie (źródło ryzyka) Zagrożony atrybut: poufność/integralność/dostępność Skutki wystąpienia ryzyka Prawdopodobieństwo Skutki Poziom istotności Środki techniczne i organizacyjne Decyzja dotycząca ryzyka

Naruszenie przepisów RODO poufność/integralność/dostępność ● Utrata zaufania mieszkańców 3 4 Wysoki ● Wdrożenie polityki bezpieczeństwa ● Monitorowanie działań

                                             ● Kara finansowa ● Regularne audyty ● Okresowe szkolenia

                                             ● Reputacyjne straty ● Utworzenie rejestru czynności przetwarzania ● Akceptacja ryzyka z działaniami minimalizującymi

Wyciek danych osobowych poufność ● Utrata reputacji gminy 3 3 Wysoki ● Szyfrowanie danych ● Procedury reagowania na incydenty

                                            ● Roszczenia finansowe od osób poszkodowanych ● Kontrola dostępu do danych ● Akceptacja ryzyka z działaniami minimalizującymi

                                            ● Postępowanie administracyjne ● Dwufazowe uwierzytelnienie ● Regularne kopie bezpieczeństwa

Niewłaściwe zarządzanie danymi poufność/integralność/dostępność ● Naruszenie praw osób, których dane dotyczą 2 3 Średni ● Jasno określone procedury zarządzania danymi ● Szkolenia dla pracowników

                                                                       ● Utrata danych ● Regularna inwentaryzacja danych ● Minimalizacja ryzyka

                                                                       ● Nieprawidłowe przetwarzanie danych ● Ograniczony dostęp do danych ● Ustalenie procedur postępowania z danymi

Brak odpowiednich zabezpieczeń technicznych poufność/integralność/dostępność ● Nieautoryzowany dostęp do danych 3 4 Wysoki ● Wdrożenie zapory sieciowej ● Szyfrowanie dysków

                                                                          ● Utrata danych ● System antywirusowy ● Aktualizacje oprogramowania

                                                                          ● Atak hakerski ● Silne hasła ● Minimalizacja ryzyka poprzez wdrożenie zabezpieczeń

Brak szkoleń pracowników poufność/integralność/dostępność ● Nieprawidłowe przetwarzanie danych 3 3 Wysoki ● Regularne szkolenia z zakresu ochrony danych osobowych ● Opracowanie i wdrożenie instrukcji postępowania z danymi

                                                     ● Wyciek danych ● Testy wiedzy ● Minimalizacja ryzyka poprzez szkolenia i nadzór

                                                     ● Narażenie na kary ● Wdrożenie procedur ● Monitorowanie działań pracowników

Automatyczne przetwarzanie danych przez portal Facebook poufność/integralność/dostępność ● Brak kontroli nad przetwarzanymi danymi 3 3 Wysoki ● Analiza ustawień prywatności ● Regularne sprawdzanie ustawień

                                                                       ● Wyciek danych ● Ograniczenie dostępu aplikacji do danych ● Minimalizacja ryzyka poprzez kontrolę ustawień

                                                                       ● Profilowanie użytkowników ● Monitorowanie aktywności ● Informowanie użytkowników o przetwarzaniu danych

Zagrożenia związane z aplikacjami i wtyczkami trzecich poufność/integralność/dostępność ● Nieautoryzowany dostęp do danych 3 3 Wysoki ● Weryfikacja aplikacji i wtyczek ● Ograniczenie dostępu

                                                                      ● Wyciek danych ● Monitorowanie aktywności ● Minimalizacja ryzyka poprzez weryfikację i ograniczenie dostępu

                                                                      ● Złośliwe oprogramowanie ● Regularne aktualizacje ● Informowanie użytkowników o wykorzystywanych aplikacjach