Niewłaściwa ochrona danych osobowych = kara

Przeczytaj także: Sklep internetowy a ochrona danych osobowych

Z doświadczeń Tax Care wynika, że małe firmy często zakładają, iż problem ochrony danych osobowych nie dotyczy prowadzonego przez nich biznesu. Tymczasem zasady wynikające z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U z 2002 r Nr 101, poz. 926 z późn. zm.) dotyczą zarówno instytucji publicznych (takich jak szkoły, urzędy centralne, samorządowe, szpitale, ZUS, itp.), jak i podmiotów sektora prywatnego - nie tylko dużych korporacji i spółek prawa handlowego, lecz także osób fizycznych prowadzących działalność gospodarczą.

Dane jednego klienta to już baza

No tak - powie niejeden jednoosobowy lub mikro przedsiębiorca - ale przecież mój biznes nie wymaga gromadzenia danych osobowych – nie zatrudniam pracowników, których dane są pod ustawową ochroną, mam tylko kilku stałych klientów, których dane znajdują się co prawda na moim komputerze, ale wykorzystuję je w zasadzie tylko do kontaktu z klientem i wystawienia faktury.

Niestety, te argumenty, choć logiczne, stoją w sprzeczności z wymaganiami ustawy dotyczącej danych osobowych.

- Prawo zobowiązuje do zgłoszenia zbioru danych Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO), a przede wszystkim do zabezpieczenia zbioru przed dostępem osób nieupoważnionych nawet wtedy, gdy w bazie przedsiębiorcy znajduje się tylko jeden klient – wyjaśnia Mariusz Sarnecki, administrator bezpieczeństwa informacji w Tax Care. – Jeśli jest to osoba fizyczna, nieprowadząca działalności gospodarczej, ochronie podlegają wszystkie informacje, jakie znajdują się w bazie – np. imię i nazwisko, adres czy numer PESEL. Jeśli natomiast klientem jest przedsiębiorca, z ochrony wykluczone są tzw. dane jawne, znajdujące się w ewidencji działalności gospodarczej. Wystarczy jednak, że oprócz danych jawnych innego przedsiębiorcy mamy zapisany jego prywatny numer telefonu, adres miejsca zamieszkania, gdy jest inny niż adres prowadzonej działalności gospodarczej, adres e-mail lub PESEL – w takiej sytuacji powinniśmy stosować się już do ustawy o ochronie danych osobowych.

Internet – duże źródło zagrożenia dla bezpieczeństwa danych

Każdy, kto dysponuje danymi osobowymi, ma obowiązek ich ochrony poprzez zastosowanie odpowiednich zabezpieczeń i wprowadzenie związanych z tym procedur. Przedsiębiorca, którego baza danych znajduje się w komputerach podłączonych do sieci publicznej, winien zastosować najwyższy stopień bezpieczeństwa przetwarzanych danych osobowych. Oznacza to między innymi, że hasła do systemu powinny składać się z co najmniej 8 znaków zawierających małe i duże litery, cyfry oraz znaki specjalne, a komputery powinny być odpowiednio zabezpieczone przed atakami z zewnątrz.

- A ponieważ Internet to już codzienność dla przedsiębiorców, w praktyce może to oznaczać, że wysoki poziom zabezpieczeń powinien obowiązywać w większości firm, nawet tych najmniejszych, jeśli tylko mają styczność z siecią – wyjaśnia Mariusz Sarnecki.