Analiză de risc GDPR și evaluare de impact (DPIA)

Ce este analiza de risc GDPR

Analiza de risc GDPR este procesul prin care stabiliți, pentru fiecare activitate de prelucrare, ce se poate întâmpla cu datele personale, cât de probabil este acel eveniment și cât de grave ar fi consecințele pentru persoanele vizate. Pe baza acestei analize alegeți măsurile de securitate potrivite.

Regulamentul (UE) 2016/679 este construit pe ideea de risc. Art. 24 cere măsuri care țin seama de riscurile pentru drepturile persoanelor, art. 25 cere protecția datelor încă de la proiectarea unei prelucrări, iar art. 32 cere un nivel de securitate „corespunzător acestui risc”. Fără o analiză de risc documentată, organizația nu poate explica de ce a ales anumite măsuri și nu altele.

Riscul se evaluează din perspectiva persoanei ale cărei date sunt prelucrate, nu doar a organizației. Un dosar de asistență socială pierdut este o problemă administrativă pentru primărie, dar poate fi o expunere gravă pentru familia respectivă.

Analiză de risc sau evaluare de impact (DPIA)

Când este obligatorie evaluarea de impact

Art. 35 alin. (3) GDPR indică trei situații în care DPIA este cerută în mod special:

• evaluarea sistematică și extinsă a unor aspecte personale, bazată pe prelucrare automată, inclusiv crearea de profiluri, cu efecte juridice sau similare asupra persoanelor;
• prelucrarea pe scară largă a categoriilor speciale de date, cum sunt datele privind sănătatea, sau a datelor privind condamnări penale;
• monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

În plus, ANSPDCP a publicat o listă a tipurilor de operațiuni pentru care evaluarea de impact este obligatorie. Pentru cabinetele medicale, sistemele extinse de supraveghere video sau bazele de date cu persoane vulnerabile, verificarea necesității unei DPIA este un pas obligatoriu. Vedeți și paginile despre GDPR pentru cabinete medicale și despre supravegherea video și protecția datelor.

Ce măsuri de securitate cere art. 32

Art. 32 alin. (1) GDPR enumeră, cu titlu de exemplu, măsurile pe care operatorul le ia în funcție de risc:

• pseudonimizarea și criptarea datelor personale;
• capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența sistemelor de prelucrare;
• capacitatea de a restabili la timp disponibilitatea datelor și accesul la ele în cazul unui incident fizic sau tehnic;
• un proces de testare, evaluare și apreciere periodică a eficacității măsurilor.

Măsurile nu sunt doar informatice. Un dulap cu dosare de personal lăsat descuiat, un calculator de la ghișeu vizibil din sala de așteptare sau lipsa unei proceduri la plecarea unui angajat sunt riscuri la fel de reale ca un virus informatic.

Securitatea fizică și organizatorică: unde contează experiența noastră

Fondatorul KRASP DPO are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea firmei, în aprilie 2018. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică, fiind înscris în registrul național al evaluatorilor de risc la securitatea fizică. Mai multe despre firmă găsiți pe pagina despre noi.

Această pregătire face diferența în analiza de risc GDPR, pentru că multe incidente pornesc de la probleme fizice și organizatorice, nu tehnice:

• accesul în arhivă și în încăperile cu servere sau echipamente de rețea;
• gestiunea cheilor, a cartelelor și a vizitatorilor;
• amplasarea camerelor video și cine vede imaginile;
• circuitul documentelor pe hârtie, de la registratură până la arhivare și distrugere;
• drepturile de acces ale angajaților și retragerea lor la încetarea contractului;
• separarea atribuțiilor, astfel încât o singură persoană să nu controleze tot fluxul.

Precizare: analiza de risc GDPR nu este același lucru cu evaluarea de risc la securitatea fizică, care are un regim legal separat. Serviciul descris aici privește riscurile pentru datele personale.

Cum lucrăm

1. Pornim de la inventarul prelucrărilor. Folosim registrul prevăzut de art. 30 sau, dacă nu există, îl întocmim întâi.
2. Identificăm amenințările. Pentru fiecare prelucrare stabilim ce poate merge rău: acces neautorizat, pierdere, divulgare, modificare, indisponibilitate.
3. Evaluăm probabilitatea și impactul. Acordăm fiecărui risc un nivel, din perspectiva persoanelor vizate.
4. Verificăm la fața locului. Unde este posibil, vedem birourile, arhiva, camerele video și modul de lucru. Pentru clienții din afara zonei Călărași, verificarea se face prin interviuri și documente.
5. Propunem măsuri. Pentru fiecare risc semnificativ stabilim măsuri tehnice și organizatorice proporționale.
6. Realizăm DPIA acolo unde este cazul. Documentăm evaluarea de impact și stabilim dacă este necesară consultarea ANSPDCP.
7. Predăm registrul riscurilor. Vă explicăm cum se actualizează la fiecare schimbare.

Ce primiți

• registrul riscurilor, completat pentru activitățile de prelucrare ale organizației;
• raportul de analiză de risc, cu nivelul fiecărui risc și justificarea lui;
• planul de măsuri de securitate, pe priorități;
• documentul DPIA pentru prelucrările cu risc ridicat;
• o bază documentată pentru deciziile de securitate, utilă la un control sau după un incident de securitate a datelor.

Registrul riscurilor se păstrează alături de celelalte evidențe; detalii pe pagina despre registrele GDPR. Dacă nu știți dacă analiza de risc este prima prioritate, un audit GDPR vă arată ordinea corectă a pașilor.

Cât costă analiza de risc GDPR

Pentru clienții cu abonament DPO extern, întocmirea registrului riscurilor și evaluarea periodică a riscurilor sunt incluse în prețul de 1.500 lei pe trimestru (organizații sub 40 de angajați). Separat, analiza de risc și evaluarea de impact se ofertează în funcție de numărul de activități de prelucrare, de numărul de sedii și de câte evaluări DPIA sunt necesare. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este final. Informațiile generale despre tarife sunt pe pagina de prețuri.