Przetwarzanie i ochrona danych osobowych w „chmurze”

Chmura obliczeniowa

Chmura obliczeniowa, to - w skrócie - rodzaj usługi teleinformatycznej polegający na zapewnieniu użytkownikowi odpowiedniej infrastruktury (oprogramowanie, sprzęt, serwis) niezbędnej do magazynowania i przetwarzania informacji w internecie, przy czym obowiązek ten spoczywa całkowicie na barkach usługodawcy. Podmiot korzystający z chmury potrzebuje jedynie sprzętu umożliwiającego połączenie się z internetem. Jedną z zalet chmury jest jej ogromna pojemność (zdecydowanie większa od pojemności klasycznych dysków twardych) umożliwiająca gromadzenie i przetwarzanie odpowiednio dużej ilości danych, w tym oczywiście osobowych.

Zagrożenia

Wiele przedsiębiorstw z racji swojej działalności ma dostęp do poufnych danych, np. na temat swoich klientów lub kontrahentów. W związku z tym spoczywa na nich obowiązek ich ochrony; wynika on z art. 52 ustawy o ochronie danych osobowych: „...Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku...”

Co ciekawe, technologia oraz popularność chmur obliczeniowych rozwija się tak szybko, że prawo po prostu za nimi nie nadąża. Nie ma zatem odrębnych przepisów dotyczących zabezpieczenia danych osobowych przechowywanych w chmurach. Przedsiębiorca musi więc opierać się na ogólnych postanowieniach zawartych w ustawie o ochronie danych osobowych.

Aby skutecznie przeciwdziałać potencjalnym zagrożeniom, należy najpierw zdać sobie sprawę z ich rodzajów. Oto ich możliwe przykłady.

Może się zdarzyć, że firma świadcząca usługi z zakresu chmur obliczeniowych korzysta w tym z usług innych przedsiębiorstw, np. dostarczających oprogramowanie, czy też dbających o infrastrukturę chmur. W praktyce oznacza to, że bezpieczeństwo gromadzonych w chmurze danych spoczywa w rękach kilku podmiotów, z którymi usługobiorca nie ma żadnego kontaktu, a nawet nie wie o ich istnieniu. Im więcej zaś podmiotów ma dostęp do wrażliwych danych, tym większe ryzyko ze któryś z nich „zawiedzie”, co skutkować będzie wyciekiem poufnych informacji.

Inne zagrożenie wynika z kwestii prawnych; współczesny biznes nie zna granic, może w związku z tym dojść do sytuacji, w której przedsiębiorca prowadzący działalność w jednym kraju, będzie korzystał z usług firmy zajmującej się cloud computingiem, ale mającej siedzibę w innym, gdzie obowiązują odmienne przepisy prawne, nakładające na nią obowiązek udostępniania pewnych danych określonym podmiotom. Przedsiębiorca taki może zostać niemile zaskoczony, kiedy dowie się, że informacje na temat jego firmy oraz jej klientów i kontrahentów znane są urzędnikom z innego państwa.

Niestety chmury obliczeniowe narażone są na groźne skutki działalności przestępczej – cyberataki zmierzające do kradzieży przechowywanych danych.

Przeciwdziałanie

Pierwszym krokiem, jaki powinien poczynić przedsiębiorca jest wybór właściwego rodzaju chmury.  Najlepsza opcja to chmura prywatna; jest to rozwiązanie droższe niż chmura publiczna lub hybrydowa, ale najbezpieczniejsza, jako że ten rodzaj chmury jest własnością konkretnej firmy, która nią zarządza oraz kontroluje. Dzięki temu zewnętrzne podmioty nie mają dostępu do poufnych danych, co znacząco zmniejsza ryzyko ich ujawnienia.

Ważne jest także podjęcie odpowiednich kroków prawnych; konieczne jest zawarcie odpowiedniej umowy z usługodawcą dostarczającym rozwiązania cloud computing, określającej zasady ochrony zamieszczanych w chmurach informacji. Umowa taka powinna zawierać zakres przekazywanych danych oraz sposób w jaki będą zarządzane. Co bardzo ważne, konieczne jest określenie miejsca świadczenia usług; wynika to z litery polskiego prawa – Generalny Inspektor Ochrony Danych Osobowych musi wydać zgodę na transfer danych (osobowych oczywiście) do kraju, którego przepisy nie zapewniają odpowiedniego stopnia ich bezpieczeństwa (art. 48 ustawy o ochronie danych osobowych).  Inne kwestie, jakie powinna, a wręcz musi obejmować umowa o cloud computing to kto będzie miał dostęp do informacji zamieszczanych i przetwarzanych w chmurze, jakie zabezpieczenia, zarówno informatyczne jak i techniczne, stosuje usługodawca (jest to bardzo ważny punkt, jako że pozwala ocenić w jakim stopniu informacje będą zabezpieczanie przed ewentualnymi cyberatakami lub w wypadku awarii sprzętu), oraz w jaki sposób w razie zerwania lub wygaśnięcia umowy poufne dane zostaną usunięte.

Obowiązki usługodawców reguluje ustawa o świadczeniu usług drogą elektroniczną.

Polecamy: INFORLEX Księgowość i Kadry

Wiedza to podstawa

Osoby planujące wykorzystanie w pracy możliwości jakie daje chmura, powinni zdobyć najpierw pewną wiedzę dotyczącą jej funkcjonowania, w tym kwestii związanych z ochroną danych osobowych. Ułatwia to tzw. „dekalog chmuroluba”, czyli opracowane przez Generalnego Inspektora Ochrony Danych Osobowych informacje podpowiadające na co należy położyć nacisk w trakcie zawierania umów z zakresu cloud computingu. „Dekalog” jest dostępny na stronie
 http://giodo.gov.pl/pl/259/6271.

Zawarcie umowy, której postanowienia będą pochodną zaleceń „dekalogu” w dużym stopniu zabezpieczą przedsiębiorstwo przed ryzykiem utraty wrażliwych danych.

Sprawdzony partner

Teoretyczna wiedza na temat chmur oraz praw i obowiązków dostawców tego rodzaju usług jest bardzo ważna, ale równie istotna jest praktyka, wyrażająca się wyborem odpowiedniej firmy, która będzie przetwarzać i jednocześnie chronić poufne dane. Informacje na ten temat można znaleźć co prawda na forach internetowych, ale najlepsza rekomendacja to opinia innych przedsiębiorców, np. kontrahentów lub kooperantów zadowolonych z jakości świadczonych przez firmy teleinformatyczne usług.