Analiza ryzyka przetwarzania danych osobowych w systemie doręczeń elektronicznych

I. Kontekst

Doręczanie pism drogą elektroniczną w swoim założeniu stanie się preferowaną, podstawową i obowiązkową formą komunikacji podmiotów publicznych w rozumieniu ustawy dnia 23 listopada 2021 r. o doręczeniach elektronicznych (t.j. Dz.U. 2023 poz. 1309). W tej formie komunikacji tak samo jak i w korespondencji w formie papierowej dochodzić będzie do przetwarzania danych osobowych. Przepisy Dz.U. 2023 poz. 1309 nakładają na administratorów m.in. obowiązek przetwarzania danych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Jest to naczelna zasada przetwarzania na podstawie RODO – zasada integralności i poufności (art. 5 ust. 1 lit. f RODO). W kontekście wdrażania elektronicznych doręczeń w jednostce należy pamiętać, że przypadku, gdy operacje przetwarzania mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych Administrator zobowiązany jest przeprowadzić ocenę skutków (art. 35 RODO). Dotyczyć może to w szczególności takich Administratorów, którzy przetwarzają dane z katalogu art. 9 RODO.

II. Cel

Doręczenia elektroniczne to cyfrowa komunikacja obywateli i przedsiębiorców z podmiotami publicznymi. Zgodnie z informacjami podawanymi przez Ministerstwo Cyfryzacji usługa ta ma być:

• przyjazna i bezpieczna,

• równoważna prawnie z przesyłką poleconą za zwrotnym potwierdzeniem odbioru lub z doręczeniem osobistym,

• niezawodna dzięki dostawcy usługi rejestrowanego doręczenia elektronicznego (trzecia zaufana strona),

• interoperacyjna (zgodna z wymaganiami rozporządzenia eIDAS – 910/2014 i unijnym Planem działań na rzecz administracji elektronicznej 2021 – 2025).

W ramach e - Doręczeń będzie możliwa także usługa hybrydowa za pomocą, której podmioty publiczne będą mogły komunikować się z osobami wykluczonymi cyfrowo. Osobom tym umożliwi się odbiór korespondencji w sposób tradycyjny, mimo że w urzędzie dokumenty będą zapisane cyfrowo.

III. Analiza ryzyka - metodyka

1. Analiza zidentyfikowanego ryzyka polega na oszacowaniu:

a) Prawdopodobieństwa jego wystąpienia – ocena punktowa w skali 1 – 4

b) Skutku jego ewentualnego wystąpienia – ocena punktowa w skali 1 – 4

2. Sposób oceny prawdopodobieństwa wystąpienia oraz skutków ryzyka przedstawiają odpowiednio tabela nr 1 i tabela nr 2

Tabela nr 1 - Sposób oceny prawdopodobieństwa wystąpienia ryzyka

Prawdopodobieństwo wystąpienia ryzyka Ilość punktów Przesłanki

Bardzo wysokie 4 Przewiduje się, że zdarzenie z pewnością wystąpi w ciągu roku (81-100%)

Wysokie 3 Przewiduje się, że zdarzenie objęte ryzykiem, zdarzy się wielokrotnie w ciągu roku (61-80%)

Średnie 2 Przewiduje się, że zdarzenie objęte ryzykiem, zdarzy się raz lub kilka razy w ciągu roku (21-60%)

Niskie 1 Przewiduje się, że zdarzenie objęte ryzykiem, zdarzy się raz lub nie zdarzy się w ciągu roku (0-20%)

Tabela nr 2 - Sposób oceny skutku ryzyka

Skutek wystąpienia ryzyka* Ilość punktów Przesłanki

Bardzo wysoki 4 Zdarzenie wywołuje bardzo wysoki skutek. Skutki mogą prowadzi do wysokiego uszczerbku fizycznego, szkód majątkowych dla osób fizycznych. Zagrożenie ustawową karą pozbawienia wolności. Bardzo wysokie koszty wielu procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Kontrole UODO. Zdarzenie objęte ryzykiem powoduje brak realizacji kluczowych zadań albo osiąganie założonych celów – poważny uszczerbek w zakresie jakości wykonywanych zadań, poważna strata finansowa albo reputacji. Z wystąpieniem zdarzenia objętego ryzykiem wiąże się długotrwały i trudny proces przywracania stanu poprzedniego.

Wysoki 3 Zdarzenie wywołuje wysoki skutek. Skutki mogą prowadzić do uszczerbku fizycznego, szkód majątkowych lub niemajątkowych dla osób fizycznych. Zdarzenie powoduje np. wysokie ustawowe kary pieniężne dla jednostki. Koszt kilku procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Kontrole i kary UODO. Zdarzenie objęte ryzykiem powoduje znaczącą stratę posiadanych zasobów, ma negatywny wpływ na wykonywanie zadań. Wpływa negatywnie na reputację jednostki. Skutki zdarzenia wiążą się z trudnym procesem przywracania stanu poprzedniego.

Średni 2 Zdarzenie wywołuje średni skutek. Może spowodować nałożenie kar ustawowych w dolnej granicy kary. Koszt nielicznych procesów sądowych (obsługa prawna, informacyjna, odszkodowania). Zdarzenie objęte ryzykiem powoduje niewielką stratę finansową, niewielkie zakłócenie lub opóźnienie w wykonywaniu zadań. Niski wpływ na reputacje jednostki. Skutki zdarzenia można łatwo usunąć.

Niski 1 Zdarzenie wywołuje niski skutek. Nie skutkuje poważnym wpływem na prawa i wolności osób fizycznych np. nie grozi dyskryminacją, kradzieżą tożsamości, oszustwem spowodowanym kradzieżą tożsamości. Zdarzenie objęte ryzykiem powoduje minimalną stratę finansową lub krótkotrwałe zakłócenia lub opóźnienie w wykonywaniu zadań. Nie wpływa na reputację. Skutki zdarzenia można łatwo usunąć

3. Punktowa istotność ryzyka (Istotność) określana jest według wzoru:

Istotność = Prawdopodobieństwo x Skutek

4. Poziomy istotności ryzyka (dopuszczalność ryzyka) przedstawia tabela nr 3

Tabela nr 3 - Poziomy Istotności ryzyka

Oszacowanie ryzyka Dopuszczalność ryzyka Działania

Ryzyko poważne Niedopuszczalne (nieakceptowane) Działania nie mogą być podjęte ani kontynuowane do czasu zmniejszenia ryzyka do poziomu dopuszczalnego Skala: 13 - 16 pkt.

Ryzyko wysokie Dopuszczalne (akceptowane) Zaleca się zaplanowanie i podjęcie działań, których celem jest zdecydowane zmniejszenie ryzyka Skala: 9 – 12 pkt.

Ryzyko umiarkowane Dopuszczalne (akceptowane) Zaleca się zaplanowanie i podjęcie działań, których celem jest zdecydowane i skuteczne zmniejszenie ryzyka Skala: 5 - 8 pkt.

Ryzyko nieznaczne Dopuszczalne (akceptowane) Zaleca się rozważenie możliwości dalszego zmniejszenia poziomu ryzyka lub zapewnienie, że ryzyko pozostanie na tym samym poziomie Skala: 1- 4 pkt.

Tabela nr 4 – Analiza ryzyka

Zagrożenie (źródło ryzyka) Zagrożony atrybut: poufność/integralność/dostępność Skutki wystąpienia ryzyka Prawdopodobieństwo Skutki Poziom istotności ryzyka Środki techniczne i organizacyjne redukujące ryzyko Decyzja dotycząca ryzyka

Ataki phishingowe Poufność • Wyłudzenie danych osobowych 2 3 6 • wdrożenie silnych zabezpieczeń antyspamowych i antywirusowych • wymuszenie używania silnych haseł i autoryzacji dwuskładnikowej • regularne szkolenia w zakresie ochrony danych dla personelu • regularne szkolenia pracowników z zakresu rozpoznawania phishingu

Wyciek danych Poufność • dostęp osób nieupoważnionych do danych osobowych • kradzież tożsamości • możliwość zapoznania się z danymi wrażliwymi • utrata zaufania do instytucji przetwarzającej dane w systemie 2 3 6 • wdrożenie szyfrowania danych w spoczynku i w ruchu • wymuszenie używania silnych haseł i autoryzacji dwuskładnikowej • regularne szkolenia w zakresie ochrony danych dla personelu • regularne szkolenia pracowników z zakresu bezpiecznego przetwarzania danych

Braki w zabezpieczeniach Poufność Integralność Dostępność • próby ujawnienia danych osobowych • przerwanie lub odmowa dostępu do usług • kradzież danych 2 4 8 • implementacja funkcji kontroli dostępu • szyfrowanie danych • zapory sieciowe • systemy wykrywania włamań oraz systemy zapobiegania włamaniom • regularne przeglądy stosowanych zabezpieczeń • zabezpieczenie środków finansowych na nowe technologie mające wpływ na bezpieczeństwo sieci • system przeciwdziałania utracie danych (DLP)

Brak nadzoru nad komputerami pracowników podczas pracy zdalnej Poufność Integralność • dostęp osób nieupoważnionych do danych wrażliwych • możliwość modyfikacji treści dokumentu 2 2 4 • indywidualne konta oraz hasła dostępu do systemu • wygaszacz ekranu włączający się po okresie bezczynności • szkolenia pracowników z zasad ochrony danych podczas pracy zdalnej • regulamin pracy zdalnej

Brak nadzoru nad dokumentacją papierową podczas pracy stacjonarnej Poufność Integralność • dostęp osób nieupoważnionych do danych wrażliwych • możliwość przypadkowego zniszczenia dokumentów 2 2 4 • ewidencja dokumentów papierowych • przechowywanie dokumentów papierowych przez czas niezbędny do wykonania zadania • zakaz wynoszenia oryginałów dokumentów • zakaz niszczenia dokumentów w sposób nieautoryzowany • ograniczenie drukowania dokumentów w wersji papierowej • procedura postępowania z dokumentacją papierową

Brak szkoleń pracowników z usługi e-Doręczeń – błędy w funkcjonującym w jednostce systemie Poufność • wysłanie przesyłki do niewłaściwej osobie w wyniku błędnej weryfikacji danych • brak weryfikacji czy dany pracownik posiada uprawnienia do wysyłania e-Doręczeń • niedostosowanie dokumentu do wymagań technicznych e-Doręczeń 3 2 6 • regularne szkolenia pracowników • obowiązkowe szkolenia dla nowoprzyjętych pracowników