Problem doboru środków technicznych i organizacyjnych w systemach informatycznych w perspektywie ogólnego rozporządzenia o ochronie danych (GDPR)

Usta­wa o ochro­nie danych oso­bo­wych jed­no­znacz­nie okre­śla wymo­gi, któ­re powin­ny speł­niać sys­te­my infor­ma­tycz­ne wyko­rzy­sty­wa­ne przez admi­ni­stra­to­rów danych oso­bo­wych. 27 kwiet­nia 2016 r. przy­ję­to ogól­ne roz­po­rzą­dze­nie o ochro­nie danych oso­bo­wych, któ­re wkrót­ce uchy­li prze­pi­sy naszej usta­wy. Roz­po­rzą­dze­nie usta­no­wi­ło wła­sne wymo­gi wzglę­dem sys­te­mów infor­ma­tycz­nych, któ­re nie są już tak jed­no­znacz­ne jak prze­pi­sy usta­wy. Nale­ży zatem poszu­kać odpo­wie­dzi na prak­tycz­ne pyta­nia: czym róż­nią się od sie­bie oba akty praw­ne, któ­rą pod­sta­wę praw­ną nale­ży sto­so­wać w aktu­al­nym okre­sie przej­ścio­wym oraz jakie prak­tycz­ne impli­ka­cje dla kan­ce­la­rii praw­nych nie­sie za sobą nowe rozporządzenie.

Aktualny stan prawny

Obo­wią­zu­ją­ca usta­wa o ochro­nie danych oso­bo­wych¹ na pod­sta­wie art. 36 ust. 2 zobo­wią­zu­je wszyst­kich admi­ni­stra­to­rów danych oso­bo­wych do pro­wa­dze­nia doku­men­ta­cji opi­su­ją­cej spo­sób prze­twa­rza­nia danych oraz środ­ki tech­nicz­ne i orga­ni­za­cyj­ne zapew­nia­ją­ce ochro­nę prze­twa­rza­nych danych oso­bo­wych odpo­wied­nią do zagro­żeń oraz kate­go­rii danych obję­tych ochro­ną. Środ­ki te powin­ny w szcze­gól­no­ści zabez­pie­czyć dane przed ich udo­stęp­nie­niem oso­bom nie­upo­waż­nio­nym, zabra­niem przez oso­bę nie­upraw­nio­ną, prze­twa­rza­niem z naru­sze­niem usta­wy oraz zmia­ną, utra­tą, uszko­dze­niem lub znisz­cze­niem. W 2004 roku usta­wo­daw­ca zno­we­li­zo­wał usta­wę doda­jąc art. 39a². Usta­no­wio­no w ten spo­sób dele­ga­cję na pod­sta­wie któ­rej Mini­ster wła­ści­wy do spraw infor­ma­ty­za­cji okre­ślił (w dro­dze roz­po­rzą­dze­nia) spo­sób pro­wa­dze­nia i zakres doku­men­ta­cji opi­su­ją­cej spo­sób prze­twa­rza­nia danych oraz pod­sta­wo­we warun­ki tech­nicz­ne i orga­ni­za­cyj­ne, jakim powin­ny odpo­wia­dać urzą­dze­nia i sys­te­my infor­ma­tycz­ne słu­żą­ce do prze­twa­rza­nia danych oso­bo­wych. Wła­ści­wy Mini­ster 29 kwiet­nia 2004 r. wydał sto­sow­ne roz­po­rzą­dze­nie³ sta­tu­ują­ce 3 zróż­ni­co­wa­ne pozio­my ochro­ny. Ich wybór został uza­leż­nio­ny od zło­żo­no­ści i cha­rak­te­ru pro­ce­sów prze­twa­rza­nia danych oso­bo­wych przy uży­ciu sys­te­mów informatycznych.

Usta­wo­daw­ca wykre­ował zatem sytu­ację, w któ­rej ist­nie­ją­ce prze­pi­sy pra­wa pozwa­la­ją zre­kon­stru­ować nor­my praw­ne kom­plek­so­wo regu­lu­ją­ce jakie­go typu środ­ki tech­nicz­ne i orga­ni­za­cyj­ne powin­ny zostać wdro­żo­ne przez admi­ni­stra­to­rów danych oso­bo­wych aby speł­nić wyma­ga­nia sta­wia­ne przez art. 36 ust. 2 obo­wią­zu­ją­cej usta­wy w sto­sun­ku do wyko­rzy­sty­wa­nych sys­te­mów infor­ma­tycz­nych. Ponad­to, roz­po­rzą­dze­nie wyko­naw­cze w spo­sób szcze­gó­ło­wy okre­śli­ło rów­nież róż­ne stop­nie ryzy­ka – kla­sy­fi­ku­jąc je w posta­ci pozio­mów bez­pie­czeń­stwa okre­ślo­nych jako pod­sta­wo­wy, pod­wyż­szo­ny i wyso­ki. Zabieg ten pozwo­lił na dobór odpo­wied­nich w rozu­mie­niu usta­wy, środ­ków tech­nicz­nych i orga­ni­za­cyj­nych. Sytu­acja ta, jak traf­nie skon­sta­to­wał M. Cwe­ner, jest bez­po­śred­nim następ­stwem chę­ci stwo­rze­nia przez usta­wo­daw­cę sztyw­nych ram praw­nych ochro­ny danych oso­bo­wych⁴.

Ustanowienie „równoległego” aktu prawnego

27 kwiet­nia 2016 r., po wie­lo­let­niej pro­ce­du­rze legi­sla­cyj­nej, przez Par­la­ment Euro­pej­ski osta­tecz­nie przy­ję­te zosta­ło ogól­ne roz­po­rzą­dze­nie o ochro­nie danych (GDPR)⁵. Roz­po­rzą­dze­nie w moty­wie 15 wska­zu­je, iż z zało­że­nia ma być neu­tral­ne pod wzglę­dem tech­nicz­nym. Poję­cie neu­tral­no­ści tech­nicz­nej było już dys­ku­to­wa­ne na eta­pie legi­sla­cyj­nym GDPR. Euro­pej­ski Inspek­tor Ochro­ny Danych w swo­jej opi­nii z 2015 r. komen­tu­ją­cej osta­tecz­ny tekst GDPR pod­kre­ślił rolę neu­tral­no­ści tech­no­lo­gicz­nej pra­wa jako sprzy­ja­ją­cą roz­wo­jo­wi inno­wa­cji oraz korzyst­ną ze spo­łecz­ne­go punk­tu widze­nia⁶. Twier­dze­nia te nale­ży oce­nić jako logicz­ną kon­se­kwen­cję uwag pod­no­szo­nych wcze­śniej przez komi­sa­rza Unii Euro­pej­skiej ds. ochro­ny kon­su­men­ta, któ­ra wska­zy­wa­ła jed­no­znacz­nie, że „dane oso­bo­we są nową ropą inter­ne­tu i nową walu­tą cyfro­we­go świa­ta”⁷. Do toż­sa­mych war­to­ści wyda­ją się odwo­ły­wać przed­sta­wi­cie­le pol­skiej dok­try­ny pra­wa ochro­ny danych oso­bo­wych. A. Grze­lak wska­zu­je, iż GDPR poprzez obra­nie neu­tral­nych tech­no­lo­gicz­nie ram praw­nych pozwo­li lepiej reago­wać na wyzwa­nia sta­wia­ne przez szyb­ki roz­wój nowych tech­no­lo­gii, któ­re zmie­nia­ją gospo­dar­kę i życie spo­łecz­ne⁸. Autor­ka traf­nie zesta­wia to twier­dze­nie z moty­wem 6 GDPR, wska­zu­jąc jed­no­cze­śnie że wpro­wa­dze­nie neu­tral­ne­go tech­nicz­nie pra­wa jest wręcz jed­nym z celów GDPR. M. Cwe­ner wska­zu­je z kolei, iż szyb­ki roz­wój tech­no­lo­gii prze­twa­rza­nia danych stoi w sprzecz­no­ści z sztyw­ny­mi wymo­ga­mi sta­wia­ny­mi sys­te­mom infor­ma­tycz­nym⁹. Prze­pi­sy GDPR jego zda­niem zosta­ły zbu­do­wa­ne w opar­ciu o kon­cep­cję rela­ty­wi­za­cji ochro­ny danych oso­bo­wych¹⁰.

Roz­dział IV sek­cji 1 GDPR okre­śla obo­wiąz­ki admi­ni­stra­to­ra (odpo­wied­ni­ka admi­ni­stra­to­ra danych oso­bo­wych z pol­skiej usta­wy). Zgod­nie z tre­ścią art. 24 GDPR admi­ni­stra­tor wdra­ża odpo­wied­nie środ­ki tech­nicz­ne i orga­ni­za­cyj­ne, któ­re zapew­nią prze­twa­rza­nie danych oso­bo­wych zgod­ne z zało­że­nia­mi GDPR. Wdro­że­nie tych środ­ków powin­no uwzględ­niać cha­rak­ter, zakres, kon­tekst i cele prze­twa­rza­nia danych oraz ryzy­ko naru­sze­nia praw lub wol­no­ści osób fizycz­nych o róż­nym praw­do­po­do­bień­stwie i wadze zagro­że­nia. Admi­ni­stra­tor powi­nien móc wyka­zać, że wdro­żył środ­ki tech­nicz­ne i orga­ni­za­cyj­ne uwzględ­nia­jąc powyż­sze wymo­gi. Obo­wią­zek dobo­ru odpo­wied­nich środ­ków tech­nicz­nych i orga­ni­za­cyj­nych powi­nien nastą­pić już w momen­cie okre­śla­nia przez admi­ni­stra­to­ra spo­so­bów prze­twa­rza­nia danych oraz póź­niej w cza­sie ich prze­twa­rza­nia, co wyni­ka z art. 25 GDPR. Nato­miast zawar­ty w sek­cji 2 tego same­go roz­dzia­łu art. 32 GDPR wska­zu­je, iż admi­ni­stra­tor lub pod­miot prze­twa­rza­ją­cy wdra­ża­ją odpo­wied­nie środ­ki tech­nicz­ne i orga­ni­za­cyj­ne, aby zapew­nić sto­pień bez­pie­czeń­stwa odpo­wia­da­ją­cy ryzyku.

Mamy zatem do czy­nie­nia z ponow­nym ure­gu­lo­wa­niem w GDPR kwe­stii wcze­śniej pre­cy­zyj­nie ure­gu­lo­wa­nych przez pol­skie­go usta­wo­daw­cę. W pierw­szej kolej­no­ści wyja­śnie­nia zatem wyma­ga, któ­ry z aktów praw­nych powi­nien być sto­so­wa­ny przez admi­ni­stra­to­rów danych w chwi­li obec­nej. W dru­giej kolej­no­ści wyja­śnie­nia wyma­ga zagad­nie­nie prak­tycz­ne­go wymia­ru dobo­ru środ­ków tech­nicz­nych i orga­ni­za­cyj­nych speł­nia­ją­cych wymo­gi GDPR w odnie­sie­niu do wyko­rzy­sty­wa­nych sys­te­mów informatycznych.

Przejściowy dualizm obowiązujących aktów prawnych

Zgod­nie z tre­ścią art. 99 GDPR weszło ono w życie 25 maja 2016 r., nato­miast jego sto­so­wa­nie roz­pocz­nie się dopie­ro 25 maja 2018 r. Tego same­go dnia nastą­pi też uchy­le­nie dotych­czas obo­wią­zu­ją­cej dyrek­ty­wy 95/46/WE¹¹, któ­rej imple­men­ta­cją jest obo­wią­zu­ją­ca w Rze­czy­po­spo­li­tej Pol­skiej usta­wa o ochro­nie danych oso­bo­wych (w sku­tek przy­ję­cia sze­re­gu nowe­li­za­cji). Mamy zatem do czy­nie­nia z sytu­acją, w któ­rej sta­tus „będą­cych w życiu” dzier­żą obec­nie rów­no­cze­śnie dwa akty nor­ma­tyw­ne o zróż­ni­co­wa­nej pozy­cji w hie­rar­chii źró­deł pra­wa (z per­spek­ty­wy pol­skie­go porząd­ku kon­sty­tu­cyj­ne­go). Są nimi pol­ska usta­wa oraz GDPR. Oba akty nor­ma­tyw­ne, jak wska­za­łem wcze­śniej, sta­tu­ują tak­że koniecz­ność wdro­że­nia środ­ków tech­nicz­nych i orga­ni­za­cyj­nych mają­cych zapew­nić prze­twa­rza­nie danych oso­bo­wych w spo­sób zgod­ny z ich regulacjami.

Jak wska­zu­ją prze­pi­sy same­go GDPR uchy­li ono dotych­cza­so­wą pod­sta­wę har­mo­ni­za­cji pra­wa ochro­ny danych oso­bo­wych w posta­ci dyrek­ty­wy. Z racji bez­po­śred­nie­go powią­za­nia pol­skiej usta­wy o ochro­nie danych oso­bo­wych z dyrek­ty­wą oraz przy­ję­ciem GDPR będą­ce­go roz­po­rzą­dze­niem – prze­pi­sy pol­skiej usta­wy w myśl regu­ły koli­zyj­nej lex supe­rior dero­gat legi infe­rio­ri zastą­pią wła­śnie prze­pi­sy GDPR¹². Uchy­le­nie pol­skich prze­pi­sów nastą­pi oczy­wi­ście we wska­zy­wa­nym wcze­śniej momen­cie roz­po­czę­cia sto­so­wa­nia GDPR. M. Kawec­ki traf­nie wska­zu­je, iż sytu­acja taka jest tak­że rezul­ta­tem zasto­so­wa­nia utrwa­lo­nej w dok­try­nie i orzecz­nic­twie TSUE zasa­dy pierw­szeń­stwa pra­wa unij­ne­go nad pra­wem kra­jo­wym oraz zasa­da lojal­nej współ­pra­cy¹³. Jego zda­niem mimo powyż­sze­go, dero­ga­cji nie będą pod­le­ga­ły prze­pi­sy sta­tu­ują­ce dzia­ła­nie Gene­ral­ne­go Inspek­to­ra Ochro­ny Danych Oso­bo­wych. Wszyst­ko wska­zu­je jed­nak na to, iż pol­ski usta­wo­daw­ca uchy­li całą usta­wę przyj­mu­jąc w jej miej­sce nową¹⁴. War­to tak­że wska­zać, jak pod­kre­ślał jesz­cze przed przy­ję­ciem GDPR W. Wie­wió­row­ski, iż koniecz­ność odro­cze­nia roz­po­czę­cia sto­so­wa­nia prze­pi­sów GPDR podyk­to­wa­na jest wymo­giem zapew­nia­nia admi­ni­stra­to­rom danych moż­li­wo­ści dosto­so­wa­nia się do nowych, dalej idą­cych wymo­gów praw­nych¹⁵.

Nowe podejście w GDPR

Wska­zy­wa­ne już art. 24 i 32 GDPR w prze­ci­wień­stwie do art. 36 usta­wy o ochro­nie danych oso­bo­wych nie znaj­du­ją ana­lo­gicz­ne­go uzu­peł­nie­nia w posta­ci aktu nor­ma­tyw­ne­go okre­śla­ją­ce­go kon­kret­ne środ­ki tech­nicz­ne i orga­ni­za­cyj­ne czy pozio­my ryzy­ka w odnie­sie­niu do sys­te­mów infor­ma­tycz­nych. GDPR w sto­sun­ku do obu prze­pi­sów co praw­da dodat­ko­wo wska­zu­je, iż w przy­pad­kach pro­por­cjo­nal­nych dzia­ła­nia te powin­ny obej­mo­wać wdro­że­nie przez admi­ni­stra­to­ra odpo­wied­nich poli­tyk ochro­ny danych. Ponad­to, admi­ni­stra­tor może wspie­rać się zatwier­dzo­ny­mi kodek­sa­mi postę­po­wa­nia lub zatwier­dzo­ny­mi mecha­ni­zma­mi cer­ty­fi­ka­cji (któ­re obec­nie jesz­cze nie ist­nie­ją). Zabieg ten nie jest przy­pad­ko­wy i sta­no­wi kon­se­kwen­cję przy­ję­cia opi­sa­nej już zasa­dy neu­tral­no­ści tech­nicz­nej GDPR¹⁶.

Ponad powyż­sze, art. 24 GDPR doda­je, iż nakła­da­ny na admi­ni­stra­to­ra obo­wią­zek powi­nien zostać zre­ali­zo­wa­ny w spo­sób moż­li­wy do wyka­za­nia. Zobo­wią­za­nie takie moż­na poczy­ty­wać jako obo­wią­zek udo­ku­men­to­wa­nia albo przy­naj­mniej zebra­nia sze­re­gu infor­ma­cji mają­cych postać dowo­dów, któ­re pozwo­lą admi­ni­stra­to­ro­wi wyka­zać jakie kon­kret­nie środ­ki tech­nicz­ne i orga­ni­za­cyj­ne zosta­ły przez nie­go przy­ję­te. M. Cwe­ner wska­zu­je wprost, iż obo­wią­zek ten de fac­to wymu­si na nie­któ­rych admi­ni­stra­to­rach przy­ję­cie sto­sow­nej doku­men­ta­cji, któ­ra potwier­dzi nie­ja­ko zasto­so­wa­nie tych środ­ków¹⁷. Uwa­żam jed­nak, że w odnie­sie­niu do sys­te­mów infor­ma­tycz­nych, któ­re przy­bie­ra­ją trwa­łą postać choć­by w posta­ci kodu wyni­ko­we­go, wymu­sze­nie to nie będzie tak oczy­wi­ste. Jestem bowiem zda­nia, iż sam kod i okre­ślo­na w nim funk­cjo­nal­ność speł­ni sta­wia­ne rygo­ry dowo­do­we. Obo­wią­zek oce­ny ryzy­ka jest nato­miast roz­wi­ja­ny przez art. 35 GDPR, któ­ry naka­zu­je by oce­na taka mia­ła cha­rak­ter uprzed­ni – to zna­czy nastą­pi­ła przed roz­po­czę­ciem prze­twa­rza­nia danych. Za uza­sad­nio­ne uznać nale­ży zatem, iż admi­ni­stra­tor powi­nien być w sta­nie udo­wod­nić, iż doko­nał takiej uprzed­niej oce­ny. Za wąt­pli­wą nale­ży uznać pró­bę reali­za­cji tego wymo­gu poprzez oka­za­nie kodu opro­gra­mo­wa­nia. Uwa­żam nato­miast, że odpo­wied­nio sko­men­to­wa­na doku­men­ta­cja pro­jek­to­wa lub roz­wo­jo­wa opro­gra­mo­wa­nia mogła­by być wystar­cza­ją­cym dowo­dem czy­nią­cym zadość temu wymogowi.

Rozwiązanie w okresie przejściowym

Oce­nia­jąc powyż­szy stan praw­ny nale­ży skon­sta­to­wać, iż GDPR daje admi­ni­stra­to­rom dużo mniej­szy poziom pew­no­ści praw­nej. Narzu­ca na nich obo­wią­zek samo­dziel­ne­go dobo­ru środ­ków tech­nicz­nych i orga­ni­za­cyj­nych oraz samo­dziel­nej oce­ny ryzy­ka. Bez wąt­pie­nia, z punk­tu widze­nia war­to­ści jaką jest pew­ność obo­wią­zu­ją­ce­go sta­nu pra­wa, regu­la­cje funk­cjo­nu­ją­ce na grun­cie dotych­cza­so­wej usta­wy o ochro­nie danych oso­bo­wych w odnie­sie­niu do sys­te­mów infor­ma­tycz­nych dawa­ły o wie­le więk­szy kom­fort admi­ni­stra­to­rom danych osobowych.

Fakt ist­nie­nia wią­żą­ce­go do 24 maja 2018 r. kata­lo­gu środ­ków tech­nicz­nych i orga­ni­za­cyj­nych war­to wyko­rzy­stać jako ostat­nią szan­sę pozwa­la­ją­cą uzy­skać peł­ną zgod­ność z pra­wem w zakre­sie wyko­rzy­sty­wa­nych do prze­twa­rza­nia danych sys­te­mów infor­ma­tycz­nych. Oczy­wi­ście zasto­so­wa­nie się do wska­za­nych wymo­gów nie spo­wo­du­je, iż admi­ni­stra­tor danych auto­ma­tycz­nie speł­ni nakła­da­ne przez GDPR nowe obo­wiąz­ki. Znaj­dzie się jed­nak w kom­for­to­wej sytu­acji dys­po­nu­jąc kata­lo­giem już wdro­żo­nych środ­ków tech­nicz­nych i orga­ni­za­cyj­nych, dobra­nych w spo­sób ade­kwat­ny do jed­ne­go z okre­ślo­nych pozio­mów ryzy­ka przez same­go ustawodawcę.

Wyja­śnie­nia wyma­ga tak­że kwe­stia zwią­za­na z tym w jaki spo­sób zacząć dobie­rać środ­ki tech­nicz­ne i orga­ni­za­cyj­ne oraz sza­co­wać ryzy­ko po 25 maja 2018 r. Poza opar­ciem się o dotych­cza­so­we roz­wią­za­nia admi­ni­stra­to­rzy mogą już sko­rzy­stać z przy­ję­tych w dniu 4 kwiet­nia 2017 r. wytycz­nych opra­co­wa­nych przez Gru­pę Robo­czą art. 29¹⁸. Zawie­ra­ją one kon­kret­ne wska­zów­ki doty­czą­ce tego kie­dy i czy w ogó­le w rozu­mie­niu GDPR admi­ni­stra­tor powi­nien podej­mo­wać okre­ślo­ne dzia­ła­nia zwią­za­ne z oce­nia­niem ryzy­ka dla ochro­ny danych. Dodat­ko­wo zawie­ra­ją one zestaw pro­po­zy­cji kry­te­riów uży­tecz­nych pod­czas pró­by oce­ny ryzy­ka i dobo­ru środ­ków tech­nicz­nych i orga­ni­za­cyj­nych w celu jego minimalizacji.

Część z prak­ty­ków wska­zu­je rów­nież na moż­li­wość sko­rzy­sta­nia z mię­dzy­na­ro­do­wej nor­my stan­da­ry­za­cyj­nej ISO/IEC 27001¹⁹. Nor­ma ta odno­si się do sys­te­mów zarzą­dza­nia bez­pie­czeń­stwem infor­ma­cji i pro­po­nu­je sze­reg uży­tecz­nych roz­wią­zań zwięk­sza­ją­cych bez­pie­czeń­stwo danych (nie tyl­ko oso­bo­wych) w sys­te­mach (nie tyl­ko infor­ma­tycz­nych). Do tego typu zało­żeń nale­ży jed­nak pod­cho­dzić dość scep­tycz­nie, bowiem nor­ma ta nie prze­wi­du­je oce­ny ryzy­ka z punk­tu widze­nia naru­sze­nia pra­wa do ochro­ny danych oso­bo­wych jed­nost­ki. W związ­ku z tym nale­ży uznać, iż powin­na ona peł­nić rolę jedy­nie pomoc­ni­czą przy sza­co­wa­niu ryzy­ka dla sys­te­mów informatycznych.

Praktyczne znaczenie dla adwokatury

Oma­wia­ne zagad­nie­nie dobo­ru odpo­wied­nich środ­ków tech­nicz­nych i orga­ni­za­cyj­nych oraz oce­ny ryzy­ka w sto­sun­ku do wyko­rzy­sty­wa­nych sys­te­mów infor­ma­tycz­nych znaj­du­je prak­tycz­ne prze­ło­że­nie na realia pra­cy setek kan­ce­la­rii adwo­kac­kich w Pol­sce. Nie spo­sób obec­nie wyobra­zić sobie funk­cjo­no­wa­nie tego typu pod­mio­tu bez uży­cia jakie­go­kol­wiek sys­te­mu infor­ma­tycz­ne­go – choć­by sys­te­mu ope­ra­cyj­ne­go kom­pu­te­ra słu­żą­ce­go do spo­rzą­dza­nia pism pro­ce­so­wych czy sys­te­mu infor­ma­tycz­ne­go obsłu­gu­ją­ce­go pocz­tę elek­tro­nicz­ną. Zarów­no aktu­al­nie obo­wią­zu­ją­ce prze­pi­sy jak i GDPR trak­tu­ją kan­ce­la­rie adwo­kac­kie w spo­sób podob­ny do zde­cy­do­wa­nej więk­szo­ści innych pod­mio­tów ryn­ko­wych. W związ­ku z powyż­szy wyko­rzy­sty­wa­nie sys­te­mów infor­ma­tycz­nych powin­no wią­zać się z wdra­ża­niem środ­ków tech­nicz­nych i orga­ni­za­cyj­nych odpo­wied­nich do wystę­pu­ją­ce­go ryzy­ka. Powa­gę sytu­acji pod­kre­śla fakt, iż prze­twa­rza­ne przez kan­ce­la­rie adwo­kac­kie dane oso­bo­we bar­dzo czę­sto zali­cza­ją się do kate­go­rii wraż­li­wych danych oso­bo­wych, dla któ­rych nawet poten­cjal­na moż­li­wość naru­sze­nie bez­pie­czeń­stwa będzie rodzić szcze­gól­nie wyso­kie ryzy­ko. War­to tak­że wska­zać, iż od adwo­ka­tów wyma­ga się szcze­gól­nej sta­ran­no­ści, któ­rą to sta­tu­uje mię­dzy inny­mi obo­wią­zek zacho­wa­nia tajem­ni­cy zawo­do­wej wią­żą­cy się z koniecz­no­ścią zabez­pie­cze­nia dobra wła­snych klien­tów. Powyż­sze argu­men­ty wyda­ją się dodat­ko­wo zwięk­szać koniecz­ność dobo­ru ponad­prze­cięt­nie sku­tecz­nych środ­ków tech­nicz­nych i orga­ni­za­cyj­nych, odpo­wied­nio zabez­pie­cza­ją­cych dane oso­bo­we prze­twa­rza­ne przez kan­ce­la­rie adwokackie.

Szan­są dla całej adwo­ka­tu­ry było­by z pew­no­ścią opra­co­wa­nie w przy­szło­ści bran­żo­we­go kodek­su postę­po­wa­nia, któ­ry wspo­ma­gał­by kan­ce­la­rie w dobo­rze ade­kwat­nych środ­ków tech­nicz­nych i orga­ni­za­cyj­nych oraz sza­co­wa­niu pozio­mów ryzy­ka. Roz­wią­za­nie takie jest moż­li­we do przy­ję­cia na mocy wska­zy­wa­nych już prze­pi­sów GDPR.

Prag­ma­tycz­nie oce­nia­jąc sytu­ację, sto­so­wa­na obec­nie doku­men­ta­cja w posta­ci Poli­ty­ki Bez­pie­czeń­stwa i Instruk­cji Zarzą­dza­nia Sys­te­mem Infor­ma­tycz­nym mogą być bar­dzo dobrym punk­tem wyj­ścia pozwa­la­ją­cym roz­po­cząć reali­za­cję wymo­gów GDPR. Posia­da­ją one okre­ślo­ną struk­tu­rę, któ­ra sama w sobie sta­no­wią śro­dek orga­ni­za­cyj­ny mają­cy na celu zabez­pie­cza­nie danych.

Podsumowanie

Bez wąt­pie­nia obec­nie trwa­ją­cy okres przej­ścio­wy może­my potrak­to­wać jako szan­sę dla pod­mio­tów nie posia­da­ją­cych zło­żo­nych tech­no­lo­gicz­nie sys­te­mów infor­ma­tycz­nych, do któ­rych czę­sto może­my zali­czyć kan­ce­la­rie adwo­kac­kie. Z jed­nej stro­ny war­to wska­zać, iż zastęp­ca Euro­pej­skie­go Inspek­to­ra Ochro­ny Danych odno­si się kry­tycz­nie do obec­nie obo­wią­zu­ją­cej w Pol­sce regu­la­cji. Pod­no­si on, m.in. iż przy­ję­te roz­wią­za­nia prze­sta­ły odpo­wia­dać realiom współ­cze­śnie funk­cjo­nu­ją­cych sys­te­mów infor­ma­tycz­nych²⁰. Z twier­dze­niem takim bez wąt­pie­nia nale­ży się zgo­dzić. Od 2004 roku sys­te­my infor­ma­tycz­ne roz­wi­nę­ły swo­je moż­li­wo­ści i ule­gły prze­kształ­ce­niom. Opra­co­wa­ne zosta­ły nowe roz­wią­za­nia pozwa­la­ją­ce zapew­niać o wie­le wyż­szy poziom bez­pie­czeń­stwa danych. Sta­no­wią one środ­ki kon­ku­ren­cyj­ne do tych wska­zy­wa­nych przez roz­po­rzą­dze­nie wyko­naw­cze np. obo­wiąz­ku wymu­sza­nia zmia­ny hasła co 30 dni, sto­so­wa­nia opro­gra­mo­wa­nia anty­wi­ru­so­we­go lub roz­wią­zań typu fire­wall. Zde­cy­do­wa­na więk­szość współ­cze­snych sys­te­mów ope­ra­cyj­nych sto­su­je roz­wią­za­nia typu 2FA²¹, User Acco­unt Con­trol²² czy posia­da wbu­do­wa­ne mecha­ni­zmy zastę­pu­ją­ce opro­gra­mo­wa­nie anty­wi­ru­so­we²³ lub roz­wią­za­nia typu fire­wall²⁴. Poja­wia­ją się rów­nież publi­ka­cje oraz gło­sy eks­per­tów, iż odpo­wied­nia archi­tek­tu­ra orga­ni­za­cyj­na pozba­wia przy­mus sto­so­wa­nia tego typu roz­wią­zań racji bytu²⁵.

Pod­kre­ślić jed­nak tak­że nale­ży, iż szcze­gól­nie w sek­to­rze małych i śred­nich firm (do któ­re­go może­my zali­czyć prze­cież część kan­ce­la­rii adwo­kac­kich) roz­wią­za­nia wska­zy­wa­ne przez pol­skie­go usta­wo­daw­cę, spo­sób ich dobo­ru oraz podzia­łu są nadal bar­dzo dobrym punk­tem wyj­ścia. Obo­wią­zu­ją­ce roz­wią­za­nia – zwłasz­cza te o cha­rak­te­rze orga­ni­za­cyj­nym – pozwa­la­ją w pod­sta­wo­wym stop­niu przy­go­to­wać się do wymo­gów sta­wia­nych przez GDPR. War­to zatem zain­te­re­so­wać się ich wdro­że­niem jesz­cze przed roz­po­czę­ciem sto­so­wa­nia GDPR, gdyż mogą być one swo­istym pomo­stem uła­twia­ją­cym samo­dziel­ny dobór środ­ków orga­ni­za­cyj­nych i tech­nicz­nych oraz sza­co­wa­nia ryzy­ka dla sys­te­mów infor­ma­tycz­nych po uchy­le­niu obo­wią­zu­ją­cych obec­nie prze­pi­sów prawa.