Abychom lépe pochopili složitost a časovou náročnost takového procesu, návaznosti jednotlivých kroků a rozsah toho, jakých dat se práva subjektu týkají, vypracovali jsme příkladnou modelovou situaci (viz box na protější straně).

Z něho lze poměrně snadno odhadnout, že vedení většiny podniků si dnes ani nedovedou představit náročnost a složitost procesů potřebných k naplnění svých povinností vyplývajících ze směrnice o GDPR. Pro zajištění úspěchu bude nezbytné zajistit týmovou spolupráci všech oddělení, která mohu jakýmkoliv způsobem zpracovávat a uchovávat citlivá osobní data (HR, marketing, obchod...). Především je pak nezbytné zmapovat veškeré IT procesy, které s daty jakkoliv souvisejí, a adekvátně změnit procesy ukládání, zálohování a archivace dat. Organizace, která nemá dokonalý přehled o tom, jaká data uchovává, v jaké formě a na jakých místech, nemůže směrnici GDPR vyhovět.

 

Krok první, poznejte svá data a dostaňte je pod kontrolu

Podle průzkumů existuje ve firmách v průměru 52 procent temných dat. Takových, která nejsou zmapována podnikovými procesy, nejsou součástí oficiálních databází a nejsou zpracovávána standardizovanými aplikacemi. V řadě společností však může být poměr mezi jasně klasifikovanými a temnými daty i výrazně vychýlenější ve prospěch dat temných. Aby však bylo možné vyhovět GDPR směrnici, je potřeba mít přehled o veškerých osobních datech, která firma nebo organizace přechovává. Na počátku procesu přizpůsobení organizace novým pravidlům o ochraně osobních údajů tak musí být především důkladně zmapována zmíněná temná data. Je proto zapotřebí vést rozhovory s jednotlivými zaměstnanci, aby byl vytvořen kompletní přehled o tom, jak osobní data získávají, používají a zveřejňují. Na základě zjištěných skutečností je následně potřeba vytvořit kompletní mapu procesů vedoucí k pořízení, využívání, zveřejňování, ukládání a zálohování osobních dat. Teprve posléze lze provést účinnou revizi procesů a zásad pro zpracování dat tak, aby byla v souladu s GDPR.

S pomocí účinných technických nástrojů pak bude možné vnést světlo do temných dat, která firma či organizace vlastní. Nepotřebná data by měla být smazána a vhodnou formulací zásad je třeba zabránit jejich dalšímu pořizování a ukládání.

Po důkladné analýze budete možná hodně překvapeni zjištěním, kde všude jsou u vás citlivá data uložena a co obsahují. Proces zmapování a následné revize sice není snadný a v konečných důsledcích patrně nebude ani levný, nicméně na jeho konci může být i nemalá úspora nákladů na ukládání a zálohování dat. Především však nelze ignorovat rizika vysokých pokut spojených s nedodržením směrnice o GDPR, neřkuli s únikem či ztrátou citlivých dat.

 

Krok druhý, zaveďte procesy, abyste data nalezli rychle

Abyste byli schopni vyhovět možnému přílivu požadavků na prověrku, případně úpravu či smazání dat jednotlivých subjektů, bude nezbytné připravit a zavést takové procesy, které dovedou inkriminovaná data rychle vyhledat a spolehlivě prověřit. Je tedy zapotřebí identifikovat aplikace a úložiště, která nesou firemní data, zaznamenat aktuální nástroje a procesy vyhledávání obsahu datových zdrojů a stanovit ohodnocení replikačních a zálohovacích politik na základě kritičnosti dat a systémů i jejich dopadů.

Z tohoto pohledu je nejsnazší zavést pořádek v takzvaných strukturovaných datech, tedy takových, která jsou soustředěná a používaná v rámci databází. Práce s nimi je lépe definovatelná, u každého pole databáze lze snáze stanovit, nakolik může obsahovat citlivá data a jak je s nimi potřeba nakládat. Většinou není ani problémem poměrně snadno ustanovit, kdo může mít k citlivým datům přístup a případně jak s nimi může nakládat.

Pro úspěch "zkrocení" strukturovaných tak postačí:

  • poznat databázová schémata,
  • zajistit vhodnost nativních dotazovacích nástrojů,
  • definovat privilegované požadavky na přístup,
  • vytvořit dotazy pro vyhledávání a extrakci dat.

S nestrukturovanými daty je to však poněkud složitější, mohou představovat různé podoby a formáty, spolehlivá identifikace typů a atributů dat je tedy mnohem náročnější. V podstatě se neobejde bez sofistikovaných nástrojů, jakými je například Data Insight. To následně platí také o případných korekcích dat nebo jejich vymazání.

Stejný nástroj pak lze s úspěchem využít také k zajištění upozorňování na možná ohrožení v podobě neoprávněných využití citlivých dat a anomálií v přístupech k nim.

Požadavek na rychlé vyhledání a korekci nestrukturovaných dat v případě, že o ně subjekt požádá, lze velmi podstatně urychlit vytvořením a pravidelnou aktualizací indexu nestrukturovaných dat. Tady je možné sáhnout například po nástroji Enterprise Vault.

Popsanými postupy lze vnést řád do nestrukturalizovaných dat natolik, aby zbývající kroky nakládání s daty, tedy definice privilegovaných požadavků na přístup a vytvoření dotazu pro vyhledávání a extrakci dat, proběhly už víceméně obdobně jako u dat strukturovaných.

V návaznosti na uvedené fáze práce se strukturovanými a nestrukturovanými daty je následně potřeba identifikovat nedostatky v používaných nástrojích a zpřesnit politiky pro klasifikaci a retenci dat.

V procesu revize je dále zapotřebí:

  • irelevantní data vyloučit nebo redigovat,
  • data určená ke zveřejnění označit,
  • data určená ke zveřejnění převést do "snadno pochopitelného" formátu,
  • průběh zpracování případu přitom musí být sledován a je třeba zajistit i dodržení stanovených časových lhůt.

 

Krok třetí, nezapomeňte na základy - proveďte analýzu zabezpečení a ochrany vašich dat

Princip integrity a důvěrnosti v GDPR vyžaduje, aby osobní údaje byly chráněny před ztrátou, poškozením a zničením. Je proto nezbytné se také ujistit, že jsou data řádně zálohována tak, aby je bylo možné v případě potřeby a v potřebných lhůtách obnovit. Ačkoliv se mnohým může zdát, že jde o nejjednodušší část z celé problematiky GDPR, neměli bychom ji podceňovat. Kdo se již někdy v praxi setkal se ztrátou dat a potřebou jejich částečné nebo i plné obnovy, dozajista ví, že pravidelně zálohovat ještě neznamená spolehlivě a včas obnovit.

Pokud společnosti provedou analýzu svých dat správně, s vysokou pravděpodobností zjistí, že jejich data jsou roztroušena napříč různými úložnými prostory. Osobní údaje jsou tak často uložené na mnoha místech včetně virtualizovaných systémů, cloudových infrastruktur, mobilních zařízení nebo i sdílených cloudových služeb. Udržet je tedy pod kontrolou, zajistit jejich kompletní zálohování a případně i účinnou obnovu tak není až tak triviální činností. Zpravidla se tedy ani tady firmy a organizace neobejdou bez kvalitních a sofistikovaných nástrojů.

Petr David, senior principal presales consultant CZ, SK & Baltics, Veritas

Právo být zapomenut - příběh jednoho zákazníka

Zákazník Karel vytvoří v 11:00 dne 28. 5. 2018 následující požadavek:

"Ahoj Petře, tady Karel, vzpomínáš si, pracoval jsem jako Pre-Sale. Pamatuješ si na ty semináře, které jsi pořádal v roce 2016 ohledně GDPR? Poslouchal jsem všechno, co jsi říkal, a na základě práv podle článku 15 bych rád viděl kopie svých dat. Všechno, co máte, prosím."

Svým požadavkem tak spustí následující sérii událostí:

Petr ověří, že požadavek skutečně přišel od Karla.

=>

Petr zhodnotí, zda požadavek není "zjevně nedůvodný" nebo "nepřiměřený".

=>

Petr kontaktuje Karla, aby mu blíže specifikoval, co všechno chce vidět. Pokud bude Karel skutečně trvat na tom, že chce vidět "všechno", Petr mu musí vyhovět.

=>

Petr musí kontaktovat Jiřího z IT oddělení se zadáním požadavku na vyhledání dat.

=>

Jiří vytvoří časový rámec pro vyhledávání, která mají být provedena (30 dní).

=>

Jiří naváže spolupráci s HR, aby prohledali jejich systémy a firemní databáze.

=>

Jiří prohledá kolekce nestrukturovaných dat pomocí firemního eDiscovery systému:
- e-maily, telefonní hovory, zprávy chatu,
- sdílené soubory, archivy, SharePoint i systémy řízení dokumentů.

=>

Jiří prohledá katalogy zálohovacího systému, aby identifikoval data.

=>

Jiří zkontroluje zdroje osobních dat ve výtažcích z databází, katalogových souborech a firemním eDiscovery systému a poskytne je Petrovi k přezkoumání.

=>

Petr bude muset posoudit data, která dostal:

- Zda se skutečně týkají Karla, nebo o někoho jiného.
- Zda předáním každé z informací jakkoliv neovlivní práva na soukromí a důvěrnost někoho jiného.

=>

Petr musí vyloučit nebo redigovat irelevantní data.

=>

Petr musí vyhodnotit, co zachovat a co zveřejnit.

=>

Petr musí označit, co se chystá zveřejnit Karlovi.

=>

Petr musí prezentovat to, co je třeba zveřejnit, ve "snadno pochopitelné" formě.

=>

Petr musí předat data Karlovi v elektronické formě (typicky PDF), protože požadavek byl rovněž podán v této formě.

=>

Karel si prohlédne informace, které obdržel, a vznese další požadavek:

"Chci uplatnit své právo na zapomenutí":
- Chce smazat fotografii z prezentace na konferenci v Brně v roce 2016, na které je společně s REDIGOVÁNO Z DŮVODU OCHRANY PRÁV JINÉHO SUBJEKTU a která byla nalezena jako příloha e-mailu na poštovním serveru. => Tento požadavek bude akceptován a proveden.
- Chce smazat záznamy o svých výdajích z konference v Brně v roce 2016. => Tento požadavek bude z důvodů povinnosti vést účetní záznamy zamítnut.
- Chce smazat záznamy o svém špatném hodnocení z prezentace na konferenci v Brně v roce 2016. => Tento požadavek bude zamítnut, jelikož na základě tohoto hodnocení bylo sníženo osobní ohodnocení zaměstnance v daném měsíci.
- Chce smazat zprávy na sociálních sítích, které byly zveřejněny marketingovým
oddělením a popisují Karla, jako zdatného vedoucího, některé byly dále sdíleny. => Tento požadavek bude akceptován a proveden.
- Chce smazat své komentáře, které napsal na firemní intranet, jako odpověď na interní zprávy. => Tento požadavek bude akceptován a proveden.
- Chce smazat obrázky ze svého rodinného alba, které byly nalezeny v jeho "osobní" složce na firemním souborovém serveru. => Tento požadavek bude akceptován a proveden.

=>

Případ musí být archivován podle retenční politiky a v souladu se záznamem o požadavku subjektu údajů na zpřístupnění dat.

=>

Jiří provede smazání v databázích, archivech a souborových serverech.

=>

Pokud jsou nastavena retenční kritéria, pak jsou spuštěna privilegovaná smazání, případně jsou retenční nastavení odebrána.

=>

Smazání jsou potvrzena i v sekundárním datovém centru na základě replikačních logů.

=>

Protože zálohy jsou uchovávány jen 30 dní, data budou plně vyčištěna ze systémů společnosti po uplynutí této doby.

=>

eDiscovery System zopakuje sběr dat z původních zdrojů.

=>

Bude vytvořena auditní stopa úspěšného odstranění.

=>

Budou nastaveny úlohy, které zajistí, aby inkriminovaná data nebyla znovu oživena, například v rámci obnovy ze zálohy.

=>

Petr zajistí prokazatelné důkazy (např. pomocí auditních logů ze všech procesů) o tom, že společnost vyhověla požadavku.

- Toto může být provedeno rozličnými způsoby, cílem je podat přiměřený důkaz.

=>

Jiří spouští testovací sběr vzorových dat pomocí eDiscovery systému, aby ověřil, že data již skutečně neexistují.

Toto byl příklad jedné osoby.
- Karel spustil celý proces jediným e-mailem.
- Petr strávil půl dne vyřízením požadavku.
- Jiří strávil dva dny manuálním vyhledáváním v aktuálních i archivovaných systémech.
- HR strávilo vyřízením požadavku půl dne.

Co by se stalo 28. 5. 2018, pokud by obdobný požadavek vznesl každý, kdo se uvedené konference v Brně zúčastnil?

"Nejsou lidi" nebo "Nemám čas" není adekvátní odpověď!