Algorytm analizy ryzyka ochrony danych osobowych

Przykładowy algorytm analizy ryzyka

Uwaga: poniższy algorytm jest wyłącznie przykładem podejścia do analizy ryzyka.

Dane wejściowe:

▪ określenie kryteriów szacowania ryzyka (waga / prawdopodobieństwo / postępowanie z ryzykiem);

▪ określenie przedmiotu analizy (dany proces biznesowy, system informatyczny, nowa usługa etc.);

▪ określenie punktów odniesienia analizy (charakteru, zakresu, kontekstu i celów przetwarzania);

▪ określenie obszaru wymogów objętych analizą ryzyka z uwzględnieniem ograniczeń i modyfikacji w zakresie wymogów spoczywających na Wirtualna Polska S.A. pod kątem RODO;

(bezpieczeństwo danych osobowych lub pozostały obszar wymogów);

▪ określenie analizowanych operacji na danych osobowych;

▪ określenie wdrożonych zabezpieczeń (środków technicznych lub organizacyjnych służących eliminowaniu lub ograniczeniu wystąpienia zagrożeń);

▪ Zweryfikowanie czy dany rodzaj przetwarzania zawiera elementy wskazane w art. 35 RODO.

Dane wyjściowe:

▪ identyfikacja podatności (luk w systemie ochrony danych osobowych);

▪ identyfikacja zagrożeń w ramach poszczególnych wymogów;

▪ wskazanie wymogu, które podatność (luka)/zagrożenie może dotyczyć;

▪ określenie ryzyk dla praw lub wolności jako konsekwencji wystąpienia zagrożenia;

▪ określenie wagi zagrożenia przez pryzmat jego potencjalnych konsekwencji dla praw lub wolności osób fizycznych;

▪ określenie prawdopodobieństwa zagrożenia;

▪ określenie poziomu ryzyka jako kombinacji wagi zagrożenia i jego prawdopodobieństwa;

▪ podjęcie decyzji w odniesieniu do zidentyfikowanego ryzyka.

Przykładowa analiza ryzyka w obszarze bezpieczeństwa oraz poza obszarem bezpieczeństwa

Przykładowy formularz analizy ryzyka

Dane wejściowe

Przedmiot analizy

(np. proces rejestracji nowych użytkowników, system informatyczny CRM, proces biznesowy windykacji należności)

punkty odniesienia analizy

(charakter, zakres, kontekst i cele przetwarzania)

Czy oceniany rodzaj przetwarzania polega na:

a) automatycznej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na automatycznym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;

b) przetwarzania na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 RODO lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10 RODO;

c) systematycznego monitorowania na dużą skalę miejsc publicznie dostępnych.

- Jeżeli tak => to należy przeprowadzić analizę ryzyka w ramach pełnej oceny skutków dla ochrony danych.

- Jeżeli nie => to należy przeprowadzić analizę ryzyka a pełną ocenę skutków dla ochrony danych gdy dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Oceniane operacje na danych osobowych

(np. zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie lub udostępnianie, usuwanie, niszczenie)

Obszar wymogów

(np. bezpieczeństwo danych osobowych, minimalizacja danych, prawidłowość danych w ramach profilowania)

Dane wyjściowe

Zidentyfikowane podatności

(luki systemu ochrony danych osobowych np. brak odpowiednich mechanizmów szyfrowania danych, brak skutecznych mechanizmów kontroli dostępu, brak wdrożonych metod weryfikacji prawidłowości wyników profilowania)

Wdrożone (stosowane) zabezpieczenia

Zidentyfikowane zagrożenia

(np. możliwość wycieku danych)

Wymogi odnoszące się do podatności/zagrożeń

(np. poufność danych osobowych, dobrowolność zgody)

Ryzyko (naruszenia praw lub wolności osoby fizycznej)

Waga zagrożeń

Prawdopodobieństwo wystąpienia każdego zagrożenia

Poziom ryzyka

Czy w ramach decyzji należy uwzględnić stan wiedzy technicznej oraz koszt wdrażania?

Czy w związku z przeprowadzoną oceną ryzyka zidentyfikowano, że dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych?

Jeżeli nie => decyzja

=> unikanie ryzyka;

=> akceptacja ryzyka;

=> redukcja ryzyka;

Jeżeli tak => decyzja o unikaniu albo należy:

a) sporządzić szczegółowy opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez Allegro.pl;

b) przeprowadzić ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;

d) określić środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie art. 25 RODO, z uwzględnieniem praw i uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

Następnie należy ocenić czy przewidywane środki redukują ryzyko i jeżeli nie to należy zweryfikować potrzebę przeprowadzenia uprzedniej konsultacji.