Poniżej znajdą Państwo informację producenta oprogramowania dotyczącą grzywnien nakładanych przez GIODO za nieodpowiednie zabezpieczanie danych osobowych Klientów lub Kontrahentów.
Zapraszamy do zapoznania się z lekturą.
Grzywny dla firm nakładane przez GIODO za nieodpowiednie zabezpieczenie danych osobowych klientów lub kontrahentów
7 marca 2011 r. weszła w życie nowelizacja ustawy o ochronie danych osobowych która umożliwia Głównemu Inspektorowi Ochrony Danych Osobowych (GIODO) nakładanie grzywny na podmioty niezabezpieczających danych osobowych w odpowiedni sposób.
Wysokość takiej grzywny w stosunku do osoby fizycznej będzie mogła wynosić maksymalnie 10 000 zł, zaś w stosunku do osoby prawnej oraz jednostki organizacyjnej nieposiadającej osobowości prawnej 50000 zł, jednak w przypadku wielokrotnego nakładania grzywien w jednym postępowaniu egzekucyjnym ich łączna kwota nie będzie mogła przekraczać: 50 000 zł w odniesieniu do osób fizycznych oraz 200 000 zł w odniesieniu do osób prawnych i jednostek organizacyjnych nieposiadających osobowości prawnej.
Jest to istotna zmiana w procedurach kontroli przetwarzania danych osobowych - do tej pory GIODO dysponował jedynie sankcjami prawa karnego. Od teraz GIODO na podmioty, które nie będą wykonywały jego decyzji administracyjnych,
Ponadto, nowelizacja uprawnia GIODO do tworzenia ośrodków zamiejscowych, a więc zasięg kontroli GIODO z czasem będzie dotyczył całego kraju, a w pierwszej kolejności większych miast w Polsce. W chwili obecnej kontrole koncentrują się w Warszawie i województwie Mazowieckim.
Chcemy dodać iż nasz produkt - DATA SECURITY SYSTEM, uchroni Państwa od kar w zakresie odpowiedniej zgodnej z przepisami ochrony dokumentów elektronicznych. Mając zainstalowany DSS wypełniają Państwo wszystkie, nawet najbardziej rygorystyczne wymogi ustawowe w zakresie ochrony danych osobowych, a także normy bezpieczeństwa ISO 27001, oraz inne przepisy dotyczące ochrony danych. Dzięki DSS będą Państwo w stanie także jednoznacznie w stanie stwierdzić kto i kiedy stworzył plik, kto i kiedy go edytował i nadpisał (art. 38 i art. 39 ustawy o ochronie danych osobowych). DSS zapewnia więc obok wielu użytecznych funkcji także pełną identyfikowalność zdarzeń elektronicznych.
Pozostałe wymogi bezpieczeństwa dotyczące ochrony danych osobowych zostały określone w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. Rozporządzenie to określa w szczególności wymagania w zakresie bezpieczeństwa przetwarzania danych osobowych, wymagania te dotyczą zarówno organizacji, jak i elementów technicznych. Od strony organizacji wymagane jest posiadanie odpowiedniej dokumentacji, na którą składają się:
polityka bezpieczeństwa i instrukcja zarządzania systemem – pod tymi, trzeba przyznać, „enigmatycznymi” terminami kryje się tak naprawdę normalna polityka bezpieczeństwa i dokumentacja systemu oraz stosowanych zabezpieczeń w tym obszarze DSS również pomoże Państwu odpowiednio przygotować procedury. Jeśli chodzi o wspomniane wymogi to test tego całkiem sporo,
bo należy posiadać m.in. (§4.5):
1) „określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych (…),
2) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności (…),
3) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania”, a także opisy, jak system jest zabezpieczony przed działalnością złośliwego oprogramowania, jak dokonuje się konserwacji sprzętu (np. czy dane na nośnikach są usuwane przed przekazaniem do serwisu), etc.
Certyfikat DSS’a, pomoże Państwu w spełnieniu m.in. powyższych wymogów.
Ustawa definiuje trzy poziomy bezpieczeństwa przetwarzanych danych – podstawowy, podwyższony
i wysoki. Ten ostatni, praktycznie najczęstszy przypadek, występuje, gdy „przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną” – a więc np. z siecią Internet. Dla każdego z poziomów, jeżeli do uwierzytelniania stosuje się hasło (spełniające odpowiednie wymogi), należy je zmieniać co 30 dni, a system należy chronić przed wirusami i utratą danych spowodowaną awarią zasilania. Należy też wykonywać zapasowe kopie danych i odpowiednio je przechowywać.
Osoba korzystająca z laptopa poza firmą powinna stosować szyfrowanie – „osoba użytkująca komputer przenośny zawierający dane osobowe zachowuje szczególną ostrożność podczas jego transportu, przechowywania i użytkowania poza obszarem, o którym mowa w § 4 pkt 1 rozporządzenia, w tym stosuje środki ochrony kryptograficznej wobec przetwarzanych danych osobowych”. Dokumenty zawierające dane osobowe powinny być więc zaszyfrowane na urządzeniach przenośnych i odnosi się to nie tylko do laptopów, ale także do pamięci masowych (pendrive, karty pamięci, przenośne dyski twarde itp.). Dzięki DSS’owi odpowiednie dane będą zawsze zaszyfrowane niezależnie od tego na jakim nośniku się będą znajdować i nie trzeba będzie o tym pamiętać, ponieważ system robi to automatycznie. W obliczu dużej ilości danych w firmie ma to ogromne znaczenie. W ten sposób dzięki DSS’owi ważne dane będą zawsze chronione 24h/dobę i 7 dni w tygodniu, a ponadto firma będzie spełniać zaostrzone, prawne wymagania ochrony danych osobowych.
Ponadto, należy pamiętać, że w świetle przepisów o ochronie danych osobowych przekazując komputery do likwidacji lub naprawy należy wcześniej usunąć z nich dane osobowe lub je uszkodzić. Stosując DSS firma uniemożliwia odczyt danych przez serwis, a więc spełnia wymogi ustawy, nie narażając firmę na koszty związane z czyszczeniem twardych dysków i ich ponownym zapełnianiem.
W świetle przepisów o ochronie danych osobowych na firmie spoczywa także odpowiedzialność karna, za odpowiednie zabezpieczenie danych. Inaczej jest bowiem kategoryzowany przez prawo czyn złamania zabezpieczeń, a czym innym fakt znalezienia luki w systemie i wykorzystania jej w celu przejęcia danych. Żeby dokładniej zobrazować, jak działa aktualne prawo, zachęcamy do zapoznania się z wyrokiem (sygn. akt VI K 849/07) w sprawie mężczyzny, oskarżonego o czyn z art. 267 §1 kk (przestępstwa przeciwko ochronie informacji). Sąd w tej sprawie zważył, co następuje: „czym innym jest bowiem przełamanie fizycznie istniejącego zabezpieczenia programu, a czym innym jest znalezienie luki w zabezpieczeniu programu, która powstała w wyniku błędu twórcy zabezpieczeń albo braku jego wyobraźni – czyli ominięcie zabezpieczenia. W takiej sytuacji odpowiedzialność z osoby kradnącej dane zostaje zdjęta, natomiast winą obciążona jest firma, która sama powinna zadbać o odpowiednie zabezpieczenia.
Powyższe wymagania prawne pomoże Państwu wypełnić kompleksowy system Ochrony Danych - DSS (DATA SECURITY SYSTEM).
DSS dba o zgodną z obecnie obowiązującym prawem i europejskimi normami bezpieczeństwa ISO 27001 ochronę danych. Spełnia on wymogi ustaw:
- o ochronie danych osobowych wraz z rozporządzeniami,
- o rachunkowości,
- o ochronie informacji niejawnych
- o świadczeniu usług drogą elektroniczną
- prawo bankowe
CHARAKTERYSTYKA DSS’a:
DSS charakteryzuje się następującymi cechami:
1. Głęboko szyfruje pliki (2x256 AES – algorytm szyfrowania stosowany m.in. w wojsku) – tak że odszyfrowanie pojedynczego pliku zajęłoby wiele lat, używając nawet super komputerów, a każdy plik ma inny, losowy szyfr - konsekwencją tego jest fakt, iż zabezpieczone DSS’em pliki są chronione cały czas, na każdym nośniku i w każdym miejscu – i tylko osoby uprawnione, na uprawnionym komputerze będą mogły je otworzyć,
2. Umożliwia zarządzanie prawami do dokumentów – oznacza to, iż pewnym użytkownikom w firmie można przydzielić prawo odczytu pliku, jego edycji, wydruku, kopiowania treści itd., a innym użytkownikom możemy selektywnie blokować poszczególne prawa do dokumentów zabezpieczonych DSS’em. Konsekwencją stosowania DSS’a jest to, że:
a. określone pliki są otwierane tylko przez uprawnione osoby,
b. nawet osoba pracująca z danym dokumentem elektronicznym nie będzie go mogła bez pozwolenia w żaden sposób otworzyć poza firmą,
c. wysłany pomyłkowo do innej osoby emailem zabezpieczony DSS’em plik nie będzie mógł być przez nią odczytany, to samo dotyczy znalezionych przypadkowo nośników danych z plikami zabezpieczonymi DSS’em, czy też skradzionymi danymi.
3. Jest skonstruowany w ten sposób, iż nie da się wyciągnąć z komputera zabezpieczonych DSS’em danych. Dotyczy to nie tylko użytkowników, ale także informatyków.
4. DSS śledzi każdy zabezpieczony dokument – co:
a. z punktu widzenia obowiązującego prawa pozwala na zidentyfikowanie stworzył określone dokumenty elektroniczne, kto je edytował i modyfikował,
b. z punktu widzenia zabezpieczenia ważnych informacji w firmie DSS pozwala na stwierdzenie kto, kiedy i co robił z danym plikiem zabezpieczonym DSS’em, czy otwierał, modyfikował, drukował, czy też że system zablokował wydruk lub zrzut ekranu - dokładnie wszystkie informacje
5. DSS pozwala także na odcięcie pracownika od zabezpieczonych DSS’em plików w dowolnym momencie nawet jeżeli pliki te znajdują się na prywatnym laptopie tej osoby, która znajduje się poza firmą.
6. Firma po raz pierwszy zachowuje pełną kontrolę nad własnymi dokumentami elektronicznymi, ponieważ przekazany dokument osobie z zewnątrz firmy lub tez pracownikowi lub partnerowi pozostanie własnością firmy, a osoba która go otrzymała nie będzie w stanie przekazać go wraz z hasłem innym, niewiadomym firmie osobom tak ja ma to miejsce obecnie
DSS oferuje całkowicie nową technologię i filozofię podejścia do zabezpieczania, która umożliwia zarządzanie dostępem do dokumentów w czasie rzeczywistym, realnie odcinając od ważnych dokumentów niepowołane w danym momencie osoby. W przypadku tradycyjnego systemu hasłowego osoba znająca hasło ma nieograniczony czasowo dostęp do dokumentów i możliwości ich powielania. DSS to zmienia. Z naszym systemem można zagwarantować, iż tylko uprawniona osoba będzie miała dostęp do określonych dokumentów w określonym czasie.
Nawet osoba, która miała dostęp do zabezpieczonych plików, może być go pozbawiona w dowolnej chwili, pomimo tego, iż fizycznie zabezpieczone pliki znajdują się na jej komputerze i pomimo tego, iż osoba ta znajduje się poza organizacją.
Rewolucjonizuje to podejście do zabezpieczania plików przed osobami z zewnątrz, ale również przed pracownikami wewnątrz organizacji. DSS pozwala więc skutecznie chronić dane personalne, listy płac, ważne projekty, tajne uchwały oraz inne rodzaje dokumentów i plików elektronicznych
Ponadto, DSS umożliwia ścisłe zarachowanie dokumentów elektronicznych, każdy zabezpieczony dokument jest śledzony, wiadomo więc kto go i gdzie używał i używa, a kopia nie może być otwarta poza firmą.
Bardzo ważną kwestią jest duża prostota Systemu DAC dla użytkownika i dla administratora Systemu. W przypadku małych firm możliwa jest także sytuacja administrowania systemem przez zarządzającego firmą lub jego asystenta (brak wymogu znajomości informatyki)!
Już dziś skontaktuj się z naszym Partnerem!