Świadomość w zakresie ochrony prywatności: czym jest, dlaczego jest ważna i jak przeszkolić pracowników

Większość wycieków danych nie wynika z tego, że hakerzy przedostają się przez zapory sieciowe. Powodem są błędy pracowników, których można uniknąć: wysłanie pliku do niewłaściwego odbiorcy, pozostawienie dokumentu na dysku współdzielonym z niewłaściwymi uprawnieniami, używanie prywatnego konta e-mail do przesyłania danych służbowych albo dać się nabrać na wiadomość phishingową, która prowadzi do nieautoryzowanego dostępu. Świadomość w zakresie ochrony prywatności to praktyka organizacyjna polegająca na upewnieniu się, że pracownicy rozumieją, czym są dane osobowe, jakie obowiązki spoczywają na nich zgodnie z przepisami takimi jak RODO oraz jak postępować z danymi w sposób zapewniający ochronę zarówno osób fizycznych, jak i samej organizacji.

Czym jest świadomość w zakresie ochrony prywatności?

Świadomość w zakresie ochrony prywatności to stopień, w jakim pracownicy rozumieją zagrożenia związane z prywatnością oraz swoje obowiązki związane z przetwarzaniem danych osobowych. Obejmuje to zarówno aspekt prawny – czyli wymagania wynikające z przepisów takich jak RODO – jak i aspekt praktyczny: czyli to, jak te wymagania przekładają się na codzienne decyzje dotyczące gromadzenia, przechowywania, udostępniania i usuwania danych.

Pracownik, który ma silną świadomość w kwestii prywatności, zna różnicę między danymi osobowymi a danymi nieosobowymi, rozumie, dlaczego niektóre kategorie danych (dane dotyczące zdrowia, dane finansowe, poglądy polityczne) wymagają dodatkowej ochrony, potrafi rozpoznać, kiedy prośba o dane jest uzasadniona, a kiedy może to być próba socjotechniki, oraz wie, co zrobić, jeśli podejrzewa, że doszło do naruszenia bezpieczeństwa danych.

Świadomość w zakresie ochrony prywatności różni się od świadomości w zakresie bezpieczeństwa, ale jest z nią ściśle powiązana. Świadomość w zakresie bezpieczeństwa skupia się na ochronie systemów i danych przed zagrożeniami z zewnątrz. Świadomość w zakresie ochrony prywatności dotyczy tego, jak sami pracownicy obchodzą się z danymi. W praktyce te dwa obszary w znacznym stopniu się pokrywają: wiadomość phishingowa, która prowadzi do kradzieży danych logowania, to zarówno incydent bezpieczeństwa, jak i naruszenie prywatności.

Dlaczego świadomość w zakresie ochrony prywatności ma znaczenie: RODO i czynnik ludzki

Zgodnie z RODO organizacje ponoszą odpowiedzialność za sposób przetwarzania danych osobowych, w tym również wtedy, gdy dochodzi do nieprawidłowości w wyniku błędu pracownika. Naruszenie danych spowodowane przypadkowym wysłaniem przez pracownika listy klientów na niewłaściwy adres e-mail nadal podlega zgłoszeniu. Organizacja ma obowiązek zgłosić to do odpowiedniego organu nadzorczego w ciągu 72 godzin, ewentualnie powiadomić osoby, których to dotyczy, oraz wykazać, że stosowała odpowiednie środki techniczne i organizacyjne.

„Odpowiednie środki organizacyjne” wyraźnie obejmują szkolenia pracowników. RODO nie określa dokładnie, jak takie szkolenia powinny wyglądać, ale organy nadzorcze konsekwentnie interpretują ten wymóg jako ciągłe podnoszenie świadomości dostosowane do pełnionej funkcji, a nie jednorazowy moduł odbywany pierwszego dnia pracy.

Większość zgłoszeń dotyczących naruszeń RODO, które trafiły do holenderskiego organu ochrony danych (Autoriteit Persoonsgegevens), dotyczy błędów ludzkich, a nie ataków z zewnątrz. Szkolenia z zakresu świadomości prywatności zajmują się najczęstszą przyczyną najczęstszego rodzaju naruszeń.

Oprócz zapewnienia zgodności z przepisami świadomość w zakresie ochrony prywatności chroni zaufanie, jakim klienci, partnerzy i pracownicy darzą organizację. Naruszenie bezpieczeństwa danych to nie tylko kwestia przepisów, ale także reputacji. Organizacje, które potrafią wykazać się prawdziwą kulturą odpowiedzialności za ochronę prywatności, mają większe szanse na utrzymanie tego zaufania, gdy dojdzie do takich incydentów.

Co w praktyce oznacza dla pracowników świadomość w zakresie ochrony prywatności

Świadomość w zakresie ochrony prywatności nie polega na tym, żeby pracownicy stali się prawnikami specjalizującymi się w tej dziedzinie. Chodzi o to, żeby dać im praktyczną wiedzę, która pozwoli im prawidłowo obchodzić się z danymi w ramach ich konkretnych obowiązków. W większości organizacji sprowadza się to do zestawu podstawowych kompetencji:

• Rozpoznawanie danych osobowych. Imiona i nazwiska, adresy e-mail, numery telefonów, adresy IP, dane dotyczące lokalizacji, informacje o stanie zdrowia, dane finansowe: pracownicy muszą wiedzieć, co w kontekście ich pracy uznaje się za dane osobowe.
• Zrozumienie zasady „wiedzy niezbędnej”. Dostęp do danych osobowych powinny mieć tylko osoby, które potrzebują ich do wykonywania swoich obowiązków. Pracownicy, którzy to rozumieją, rzadziej dzielą się danymi nieformalnie lub przyznają niepotrzebny dostęp.
• Jak prawidłowo radzić sobie z wnioskami dotyczącymi danych. Co zrobić, gdy klient poprosi o wgląd w swoje dane, zażąda ich usunięcia lub zgłosi sprzeciw wobec przetwarzania. Ważniejsze od znajomości wszystkich szczegółów RODO jest to, żeby wiedzieć, jaka procedura obowiązuje i do kogo należy zgłosić sprawę.
• Bezpieczne obchodzenie się z danymi w codziennej pracy. Wysyłanie poufnych danych przez szyfrowane kanały, nieprzechowywanie danych osobowych na prywatnych kontach e-mailowych ani na niezabezpieczonych dyskach współdzielonych, blokowanie ekranu przy opuszczaniu stanowiska pracy, nieomawianie danych klientów w miejscach publicznych.
• Rozpoznawanie i zgłaszanie incydentów związanych z ochroną prywatności. E-mail wysłany do niewłaściwego adresata, załącznik wysłany do niewłaściwej osoby, zgubione urządzenie z niezaszyfrowanymi danymi: pracownicy, którzy wiedzą, że to wszystko może stanowić potencjalne naruszenie, i do kogo to zgłosić, pozwalają organizacjom dotrzymać 72-godzinnego terminu na zgłoszenie.

Szkolenie z zakresu świadomości prywatności: jak sprawić, by jego efekty były trwałe

Te same zasady, które obowiązują przy szkoleniach z zakresu świadomości bezpieczeństwa, mają zastosowanie również do szkoleń dotyczących ochrony prywatności: krótkie, regularne i dostosowane do konkretnych ról są lepsze niż długie, rzadkie i ogólnikowe. 30-minutowy, coroczny moduł e-learningowy poświęcony RODO zapewnia zgodność z przepisami tylko na papierze. Nie wpływa on jednak w sposób wiarygodny na to, jak pracownik obsługi klienta zajmie się wnioskiem o dostęp do danych sześć miesięcy później.

Skuteczne szkolenie z zakresu świadomości prywatności ma kilka cech:

• Oparte na scenariuszach. Szkolenie, które przedstawia realistyczne sytuacje, np. „dostajesz e-mail z prośbą o przekazanie danych osobowych klienta stronie trzeciej; co robisz?”, rozwija umiejętności podejmowania decyzji, a nie tylko wiedzę.
• Dostosowane do stanowiska. Zagrożenia dla prywatności, z jakimi boryka się zespół obsługi klienta, różnią się od tych w działach finansów, kadr czy IT. Szkolenie, które odnosi się do rzeczywistej codziennej pracy pracownika, ma większe szanse na to, że zostanie zapamiętane i wykorzystane w praktyce.
• Trzeba to regularnie powtarzać. Przepisy dotyczące ochrony danych się zmieniają. Praktyki związane z przetwarzaniem danych też ulegają zmianom. Nowe narzędzie czy proces mogą wiązać się z nowymi zagrożeniami dla prywatności. Ciągłe szkolenia gwarantują, że nasza świadomość nadąża za tymi zmianami.
• Udokumentowane. Sam fakt, że można wykazać, iż szkolenie zostało ukończone – kto, kiedy i co – jest już wymogiem zgodności z przepisami. Szkolenie, po którym pozostaje ślad audytowy, jest znacznie cenniejsze niż takie, po którym go nie ma.

Platforma Guardey do szkoleń z zakresu świadomości bezpieczeństwa uwzględnia kwestię prywatności w ramach swojego szerszego programu, zapewniając organizacjom jedną platformę zarówno do podnoszenia świadomości w zakresie bezpieczeństwa, jak i prywatności, wraz z funkcjami śledzenia i raportowania niezbędnymi do spełnienia wymagań zarówno audytorów, jak i inspektorów ochrony danych.