Hakerzy i szantażyści zagrożeniem dla przetwarzających dane

Rozporządzenie o Ochronie Danych Osobowych (RODO) to regulacja, która ma sprawić, że obywatele krajów Unii Europejskiej zyskają większą kontrolę nad tym, w jaki sposób przedsiębiorstwa wykorzystują ich dane osobowe. Dotyczy to nawet organizacji spoza Wspólnoty, które przetwarzają informacje o obywatelach UE.

Uwaga na „aktywistów"

Unijne przepisy niosą ze sobą liczne zmiany, które dotkną zdecydowanej większości firm i instytucji. Na dostosowanie się do nich zainteresowani mieli wiele miesięcy. Dziś na wdrażanie jest już za późno. RODO w życie wchodzi bowiem już w ten piątek (25 maja). Warto natomiast zwrócić uwagę na kilka kwestii. Eksperci wskazują, że już od 25 maja będą podejmować zróżnicowane działania, które utrudnią życie biznesowi. Jak tłumaczy Nigel Tozer, dyrektor w firmie Commvault, hakerzy będą poszukiwać sposobów na włamanie się do określonych firm, a dane zaczną wykradać i ujawniać dopiero po wejściu RODO w życie tylko po to, aby narobić zamieszania i spowodować nakładanie kar.

– Drugim typem działań będą skoordynowane wnioski o dostęp do danych i ich usunięcie, wysyłane przez osoby, których dane dotyczą, w nadziei, że firma będąca ich adresatem będzie musiała poświęcić na nie dużo czasu i pieniędzy. Ich wysyłaniem zajmą się najprawdopodobniej grupy konsumenckie lub przeciwnicy globalizacji – przewiduje Nigel Tozer.

Na zagrożenie innymi tzw. aktywistami zwraca uwagę również Cezary Kaźmierczak, prezes Związku Przedsiębiorców i Pracodawców (ZPP). – Docierają do nas liczne sygnały o wiadomościach, w których przedsiębiorcom grozi się złożeniem donosu do prezesa Urzędu Ochrony Danych Osobowych czy też prokuratury, jeśli nie zapłacą określonej kwoty. Jest to klasyczny przykład szantażu, któremu nie należy się poddawać – przestrzega Kaźmierczak.

Tłumaczy przy tym, że z zgodnie z art. 61 nowej ustawy o ochronie danych organizacje społeczne mogą występować w postępowaniu w sprawie naruszenia przepisów o ochronie danych osobowych, ale tylko za zgodą osoby, której dane dotyczą. – Ostrzegając przedsiębiorców przed próbami szantażu, a także zachęcając ich do zgłaszania wszelkich prób podobnych wyłudzeń do odpowiednich organów, apelujemy do prawodawcy, by w związku z nałożeniem na przedsiębiorców dodatkowych obowiązków, których niedopełnienie zagrożone jest ogromną karą finansową, dokonał drobnej nowelizacji kodeksu karnego. Chodzi o uniemożliwienie nieuczciwym podmiotom zarabiania na obawach związanych z wejściem w życie nowej ustawy o ochronie danych osobowych – mówi prezes ZPP.

Eksperci uspokajają przy tym, że nie należy się obawiać zmasowanych kontroli, czyhających tylko na wlepienie przedsiębiorcom gigantycznych kar finansowych. – Nie będzie żadnych masowych nalotów. Zasadniczo takie akcje byłyby możliwe, np. urząd regulacyjny w Wielkiej Brytanii przeprowadził trwający tydzień nalot na biura firmy Cambridge Analytica, ale było to po skandalu dotyczącym Facebooka – mówi przedstawiciel Commvault.

Jego zdaniem w przypadku RODO nie dojdzie do takiej sytuacji. – A z pewnością nie stanie się to od razu po wprowadzeniu w życie nowych regulacji i nie na skalę masową – przekonuje.

Zauważa przy tym, że nie należy się spodziewać spektakularnych afer i wielkich kar już w 2018 r. – Aczkolwiek może dojść do niszczących reputację firm incydentów i sporej aktywności w sądach w Europie. Batalie sądowe z biegiem czasu przyniosą jednak rewizję polityki przedsiębiorstw – podkreśla.

A o to w końcu chodzi w przepisach RODO.

Cios w automatyzację

Zgodnie z nowymi przepisami jednym z obowiązków firm (z reguły tych większych lub z określonych branż, np. finansowej) będzie powołanie inspektora ochrony danych, którego zadaniem jest nadzór nad przeprowadzaniem wewnętrznych procedur. Taki wymóg będą musiały spełnić przedsiębiorstwa, które w ramach swojej głównej działalności regularnie i na dużą skalę monitorują osoby lub jeżeli ich działalność polega stricte na przetwarzaniu w szerokim zakresie szczególnych kategorii danych osobowych. Wraz z wejściem w życie RODO wszystkie bazy danych dotyczące klientów będą musiały być znacznie bardziej uporządkowane. Jeśli jakaś osoba wycofa upoważnienie do przetwarzania jej danych osobowych, firma będzie musiała usunąć ze swoich systemów wszelkie informacje na jej temat. Może to jednak powodować problemy ze względu na fakt, że niektóre przepisy wymagają przechowywania danych o umowach lub klientach przez określony czas.

– Istotną sprawą dla firm związanych z sektorem finansowym jest kwestia automatyzacji procesów profilowania klienta. RODO wymaga, aby mimo wszechobecnych chatbotów i nowych technologii pozwalających na automatyczną wycenę wysokości ubezpieczenia lub pożyczki w procesie decyzyjnym uczestniczył człowiek, który ostatecznie oceni możliwości klienta – wyjaśnia mec. Paweł Pawlukiewicz, członek zarządu Aasa Polska. – A to oznacza, że firmy nie będą mogły podejmować decyzji wyłącznie na podstawie systemu automatycznego profilowania – zaznacza.