25 maja br. upłynął termin na dostosowanie się organizacji do wymogów wynikających z Rozporządzenia o ochronie danych osobowych (w skrócie ,,RODO”). W wielu instytucjach był to okres intensywnych prac, których celem było przygotowanie dokumentacji i wdrożenie procesów zapewniających zgodność z konkretnymi zapisami RODO. W mniejszym stopniu podejmowano próby integracji nowych procesów oraz dokumentów z już funkcjonującymi w organizacjach regulacjami, w szczególności adresującymi wymogi określone w Wytycznych dotyczących zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego (dalej: Wytyczne IT KNF), których wdrożenie jest obligatoryjne dla instytucji finansowych. Pierwowzorem Wytycznych IT KNF była Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego dla banków (dalej: Rekomendacja D). Wszelkie odwołania do numerów Wytycznych IT KNF są tożsame z numeracją zastosowaną w Rekomendacji D. Dodatkowym utrudnieniem dla integracji tych obszarów było odrębne właścicielstwo i odmiennie przypisane odpowiedzialności. Odpowiedzialność za wdrożenie Wytycznych IT KNF najczęściej spoczywała na działach bezpieczeństwa oraz IT, natomiast w przypadku przepisów dotyczących ochrony danych osobowych odpowiedzialność była po stronie działów prawnych oraz Compliance.
Przeprowadzając audyty oraz konsultacje i wdrożenia dotyczące RODO w instytucjach nadzorowanych przez KNF wielokrotnie spotykaliśmy się z całkowicie odrębnymi procesami i dokumentami mającymi zastosowanie do podobnych, a nawet tożsamych obszarów.
Warto zwrócić uwagę, że zarówno RODO, jak i Wytyczne IT KNF / Rekomendacja D stawiają duży nacisk na podejście oparte na ryzyku oraz na stosowanie w wybranych obszarach praktyk opisanych w normach i standardach ISO/IEC z serii 27000. Prezes Urzędu Ochrony Danych Osobowych w jednym ze swoich wystąpień wskazał, iż ,,jednym z najważniejszych, powszechnie akceptowanych dokumentów prezentujących aktualny stan wiedzy technicznej w zakresie stosowania środków bezpieczeństwa i zarządzania bezpieczeństwem są m.in. normy ISO/IEC z serii 27000” – https://uodo.gov.pl/pl/138/273. Tym samym istnieją duże możliwości integracji i optymalizacji procesów, których celem jest zapewnienie zgodności.
Wytyczne IT KNF / Rekomendacja D tworzą jeden spójny system, w którym każda z 22 wytycznych / rekomendacji powiązana jest w mniejszym lub większym stopniu z procesem zarządzania bezpieczeństwem danych osobowych. Rezultaty wdrożenia Wytycznych / Rekomendacji mogą być efektywnie wykorzystywane w kolejnych etapach wdrożenia i stosowania RODO. Poniższa tabela przedstawia obszary, których wykorzystanie przy wdrożeniu i/lub integracji przyniesie organizacji najwięcej korzyści oraz zoptymalizuje ich działanie:
Przedstawione propozycje integracji optymalizują zarządzanie bezpieczeństwem danych osobowych w powiązaniu z procesami, które w instytucjach objętych Wytycznymi IT KNF / Rekomendacją D powinny już funkcjonować. Dodatkowo należy uwzględnić procesy wynikające z zarządzania ryzykiem operacyjnym i zarządzania ciągłością działania, które dodatkowo wynikają z odrębnych regulacji. Traktując wspomniane obszary z osobna, organizacja będzie operowała nadmiarowymi procedurami. W praktyce często będzie to prowadziło do niespójnej dokumentacji oraz występowania błędów i nieporozumień w organizacji.
