Przewodnik po polityce prywatności firmy

Klient wysyła zapytanie, pracownik wprowadza informacje do systemu, a dokument trafia do chmury. W ciągu kilku minut powstają dane osobowe, które firma musi chronić, zarządzać nimi i być w stanie je wyjaśnić. Dobry przewodnik po polityce prywatności firmy nie polega zatem na dokumencie umieszczonym na stronie internetowej w celu spełnienia wymogów formalnych. Chodzi o dyscyplinę operacyjną, która zmniejsza ryzyko, wspiera zaufanie i zapobiega szerszemu dostępowi do danych niż wymaga tego praca.

Dla małych i średnich przedsiębiorstw największym zagrożeniem często nie jest brak dobrych intencji. Jest nim gromadzenie danych w wielu systemach, niejasna odpowiedzialność i zasady istniejące tylko w głowie jednego pracownika. Wtedy proste zapytanie od klienta, uszkodzony laptop lub błędnie wysłany e-mail mogą stać się kosztownym zakłóceniem. Polityka prywatności powinna ułatwiać podejmowanie właściwych decyzji – zarówno w zwykły dzień pracy, jak i wtedy, gdy coś pójdzie nie tak.

Co powinna rozwiązywać polityka prywatności firmy?

Polityka musi odpowiadać na proste pytanie: w jaki sposób firma przetwarza informacje o ludziach w sposób odpowiedzialny, bezpieczny i przewidywalny? Obejmuje to informacje o klientach, kontaktach, pracownikach, kandydatach, dostawcach i innych osobach, które mają kontakt z firmą.

Powinna wyjaśniać, jakie informacje są zbierane, w jakim celu, gdzie są przechowywane, kto ma do nich dostęp i jak długo są przechowywane. Powinna również określać, w jaki sposób osoby fizyczne mogą zażądać informacji o sobie, ich poprawienia lub usunięcia, gdy ma to zastosowanie.

Należy jednak rozróżnić dwa dokumenty. Zewnętrzne powiadomienie o ochronie danych wyjaśnia przetwarzanie danych klientom i odwiedzającym stronę internetową. Wewnętrzna polityka prywatności instruuje personel w zakresie codziennych praktyk pracy. Firma zazwyczaj potrzebuje obu. Pięknie sformułowane powiadomienie niewiele pomoże, jeśli pracownik nadal może udostępniać wrażliwy dokument niewłaściwej osobie lub jeśli stare dane leżą niezabezpieczone we wspólnym folderze.

Zacznij od rzeczywistego przepływu danych

Częstym błędem jest pisanie polityki przed tym, jak firma dowie się, gdzie znajdują się dane. Lepiej zacząć od prostej mapy. Zobacz, jak informacje napływają, dokąd trafiają, kto ich używa i kiedy powinny zniknąć.

Proces może rozpocząć się od formularza internetowego lub wiadomości e-mail, przejść do systemu sprzedaży, księgowości lub centrum obsługi, a zakończyć na kopii, raporcie lub archiwizacji u zewnętrznego dostawcy usług. Każdy krok ma znaczenie. Szczególną uwagę należy zwrócić na dane osobowe, takie jak imiona i nazwiska, adresy e-mail, numery telefonów, dane dotyczące płatności, numery identyfikacyjne, CV, adresy IP i dane logowania.

Nie wszystkie operacje na danych są równie wrażliwe. Dane płacowe, informacje związane ze zdrowiem i dane uwierzytelniające zazwyczaj wymagają surowszych zabezpieczeń niż ogólna lista mailingowa. Nie oznacza to jednak, że firma potrzebuje skomplikowanych systemów dla każdego zadania. Oznacza to, że ochrona musi odzwierciedlać ryzyko.

Zapisz cel, podstawę prawną i odpowiedzialność

Dla każdego zbioru danych firma powinna być w stanie określić, dlaczego informacje są niezbędne. Czy w celu realizacji umowy, świadczenia usług, wypełnienia obowiązku prawnego, zatrudnienia pracownika, czy odpowiedzi na zapytanie? Gdy cel jest jasny, łatwiej jest ograniczyć gromadzenie danych i zaprzestać ich wykorzystywania, które nie jest już uzasadnione.

Określ również, kto ponosi odpowiedzialność operacyjną. Dział techniczny lub dział IT może zarządzać dostępem, kopiami i zabezpieczeniami, ale nie może samodzielnie decydować, jak długo dział sprzedaży musi przechowywać dane ani jakie informacje może gromadzić dział HR. Ochrona danych osobowych to wspólne zadanie z jasno określonymi właścicielami.

Kontrola dostępu to miejsce, w którym polityka staje się rzeczywistością

Większość poważnych problemów z ochroną danych osobowych nie wynika z zaawansowanych włamań. Wynikają one z nadmiernego dostępu, ponownego użycia haseł, nieusuniętych nieaktywnych kont użytkowników lub dokumentów dostępnych dla wszystkich. Polityka musi zatem określać minimalne zasady dostępu.

Pracownicy powinni mieć dostęp tylko do tego, co jest im potrzebne do wykonywania pracy. Dostęp powinien być indywidualny, a nie oparty na hasłach działowych, które są udostępniane między ludźmi. Uwierzytelnianie wieloskładnikowe powinno być domyślnie włączone tam, gdzie jest dostępne, a hasła powinny być przechowywane w zatwierdzonym systemie zarządzania hasłami, a nie w arkuszu kalkulacyjnym, przeglądarce czy na karteczce przy biurku.

Ta sama zasada dotyczy menedżerów i stron trzecich. Szeroki dostęp menedżerski jest wygodny, gdy trzeba szybko rozwiązać problem, ale zwiększa wpływ błędów i ataków. Przyznawaj podwyższone uprawnienia tymczasowo, gdy jest to możliwe, i regularnie sprawdzaj, kto je posiada.

Gdy pracownik odchodzi lub zmienia rolę, proces musi być terminowy i zdefiniowany. Dostęp do poczty e-mail, systemów chmurowych, urządzeń, systemów biznesowych i kont współdzielonych nie może czekać, aż ktoś sobie o tym przypomni tygodnie później.

Przechowywanie i usuwanie muszą być celowe

Dane, których nikt nie potrzebuje, nadal stanowią ryzyko. Mogą wyciec, wprowadzić w błąd personel lub sprawić, że żądanie informacji będzie bardziej skomplikowane niż powinno. Polityka prywatności powinna zatem określać zasady przechowywania w zależności od rodzaju danych, potrzeb operacyjnych i obowiązków prawnych.

Może być właściwe przechowywanie dokumentacji księgowej przez określony czas, ale nie ma potrzeby wiecznego przechowywania starych CV. Podobnie historia usług może być niezbędna podczas trwania umowy, ale nie wszystkie kopie, pliki tymczasowe i pobrane dokumenty, które powstały po drodze.

Usuwanie musi obejmować więcej miejsc niż tylko system główny. Weź pod uwagę kopie zapasowe, foldery udostępnione, dyski osobiste, telefony komórkowe i skrzynki pocztowe. Kopie zapasowe są niezbędne do ciągłości działania i odzyskiwania po ataku lub awarii, ale muszą również mieć określony czas przechowywania i ograniczony dostęp.

Ustanów proces reagowania, zanim wystąpi incydent

Nieprawidłowe załączniki, zgubiony telefon lub podejrzane logowanie mogą wymagać szybkiej reakcji. Personel musi wiedzieć, gdzie się zwrócić, nie obawiając się upomnienia za zgłoszenie błędu. Opóźnienia często kosztują więcej niż sam incydent.

Proces reagowania powinien określać, kto odbiera zgłoszenie, kto ocenia zakres, jak blokowany jest dostęp lub izolowane są urządzenia oraz jak zabezpieczane są dowody. Musi być również jasne, kto decyduje, czy i kiedy należy powiadomić odpowiednie osoby lub organy nadzorcze zgodnie z obowiązującymi przepisami.

Monitorowanie techniczne, ochrona punktów końcowych, bezpieczne kopie zapasowe i przetestowane odzyskiwanie wspierają ten proces. Jednak sama technologia nie wystarczy. Jeśli łańcuch odpowiedzialności jest niejasny, firma straci cenny czas na szukanie właściwej osoby, podczas gdy incydent będzie trwał.

Przewodnik po polityce prywatności firm w praktyce

Polityka, której nikt nie czyta, nie poprawia bezpieczeństwa. Utrzymuj ją krótką, jasną i powiązaną z procesami pracy, z których korzysta personel. Nowi pracownicy powinni otrzymywać wskazówki dotyczące postępowania z danymi od pierwszego dnia, a obecni pracownicy potrzebują powtarzających się szkoleń z rzeczywistymi przykładami: Co zrobić, gdy klient prosi o dane? Czy można wysłać dokument na prywatny adres e-mail? Jak reagować na podejrzane e-maile?

Przeglądaj politykę co najmniej raz w roku i zawsze, gdy firma wdraża nowy system, zaczyna współpracować z nowym dostawcą usług, zmienia procesy pracy lub doświadcza incydentu bezpieczeństwa. Zmiana oprogramowania może również stanowić zmianę ryzyka prywatności, zwłaszcza jeśli dane są przesyłane między krajami lub dostęp uzyskuje więcej użytkowników.

Podmioty zewnętrzne potrzebują takiej samej uwagi jak systemy wewnętrzne. Firma ponosi nadal odpowiedzialność za własne decyzje, nawet jeśli inny podmiot hostuje system lub zapewnia wsparcie. Należy wymagać kontroli dostępu, bezpiecznego przetwarzania, zgłaszania incydentów i jasnych umów dotyczących przetwarzania danych. Po prostu zapytaj: Jakie dane otrzymujecie, dlaczego ich potrzebujecie i co się stanie, gdy umowa wygaśnie?

Ochrona danych osobowych nie powstaje poprzez zakup jednego narzędzia lub zatwierdzenie jednego dokumentu. Powstaje ona, gdy operacje, personel i technologia działają według tych samych zasad. Zacznij od poznania lokalizacji danych, ograniczenia dostępu, usunięcia tego, co niepotrzebne i przećwiczenia reakcji. Wtedy polityka nie będzie tylko obietnicą dla klientów – stanie się częścią sposobu, w jaki firma nadal działa w trudnych czasach.