Rejestr czynności przetwarzania jako cyfrowy model organizacji

Dlaczego większość organizacji zarządza dokumentacją zamiast informacją?

Organizacje nie mają problemu z Rejestrem Czynności Przetwarzania. Mają problem z zarządzaniem informacją.

Jednym z najbardziej utrwalonych przekonań dotyczących RODO jest pogląd, że Rejestr Czynności Przetwarzania stanowi przede wszystkim obowiązek dokumentacyjny. Takie podejście było zrozumiałe w pierwszych latach stosowania rozporządzenia, kiedy organizacje koncentrowały się na spełnieniu nowych wymagań prawnych i przygotowaniu niezbędnej dokumentacji. Dziś jednak, po kilku latach praktyki, można z pełnym przekonaniem stwierdzić, że największym problemem nie jest brak Rejestru Czynności Przetwarzania. Problemem jest sposób, w jaki organizacje rozumieją jego rolę.

Podczas audytów zgodności z RODO niezwykle rzadko spotykamy administratorów danych, którzy nie prowadzą Rejestru Czynności Przetwarzania. W zdecydowanej większości przypadków dokument istnieje, jest uporządkowany i – przynajmniej na pierwszy rzut oka – spełnia wymagania określone w art. 30 RODO. Zawiera cele przetwarzania, podstawy prawne, kategorie osób, odbiorców danych oraz okresy przechowywania. Formalnie wszystko wydaje się poprawne.

Paradoks polega na tym, że właśnie te organizacje bardzo często mają trudności z odpowiedzią na pytania, które z perspektywy zarządzania są znacznie ważniejsze niż sam fakt posiadania dokumentacji.

Czy kierownictwo potrafi wskazać, które procesy przetwarzania danych są najbardziej krytyczne dla funkcjonowania organizacji? Czy wiadomo, które systemy teleinformatyczne odpowiadają za realizację tych procesów? Czy zidentyfikowano właścicieli informacji oraz osoby odpowiedzialne za zarządzanie ryzykiem? Czy każda zmiana organizacyjna automatycznie uruchamia analizę jej wpływu na ochronę danych osobowych i bezpieczeństwo informacji?

Odpowiedzi na te pytania bardzo często okazują się znacznie trudniejsze niż przedstawienie samego Rejestru Czynności Przetwarzania. I właśnie w tym miejscu ujawnia się podstawowy problem, który obserwujemy podczas audytów.

Organizacje nauczyły się prowadzić dokumentację. Znacznie rzadziej nauczyły się zarządzać informacją.

To rozróżnienie ma fundamentalne znaczenie.

Dokumentacja opisuje rzeczywistość. Zarządzanie wpływa na rzeczywistość. Jeżeli Rejestr Czynności Przetwarzania pozostaje jedynie opisem procesów sporządzonym na potrzeby zgodności z przepisami, jego wartość kończy się w momencie podpisania dokumentu. Jeżeli natomiast staje się źródłem informacji wykorzystywanym podczas podejmowania decyzji, przestaje być dokumentem, a zaczyna pełnić funkcję modelu organizacji.

To właśnie ta różnica oddziela organizacje dojrzałe od tych, które ograniczają się do utrzymywania dokumentacji.

Rejestr Czynności Przetwarzania opisuje coś znacznie więcej niż dane osobowe

Jednym z najczęściej spotykanych uproszczeń jest utożsamianie Rejestru Czynności Przetwarzania z wykazem procesów związanych z danymi osobowymi. Takie spojrzenie wynika z literalnego odczytywania przepisów RODO, jednak z perspektywy zarządzania organizacją okazuje się niewystarczające.

Każda czynność przetwarzania danych osobowych jest jednocześnie elementem większego procesu organizacyjnego. Rekrutacja pracowników nie polega na przetwarzaniu życiorysów kandydatów, lecz na pozyskaniu kompetentnych pracowników. Obsługa pacjenta nie polega na przetwarzaniu dokumentacji medycznej, lecz na realizacji procesu leczenia. Obsługa mieszkańca w jednostce samorządu terytorialnego nie polega na gromadzeniu danych osobowych, ale na realizacji zadań publicznych.

Dane osobowe są zatem jednym z zasobów wykorzystywanych do realizacji określonych celów biznesowych lub ustawowych. Oznacza to, że opisując czynność przetwarzania, w rzeczywistości opisujemy sposób funkcjonowania organizacji.

Z tej perspektywy Rejestr Czynności Przetwarzania staje się znacznie ważniejszy, niż wynika to z samego art. 30 RODO. Nie jest już wykazem czynności wymaganym przez przepisy, lecz mapą pokazującą zależności pomiędzy procesami, informacją, technologią oraz odpowiedzialnością poszczególnych komórek organizacyjnych.

To właśnie dlatego doświadczeni audytorzy bardzo często rozpoczynają analizę organizacji od Rejestru Czynności Przetwarzania. Nie dlatego, że chcą sprawdzić zgodność z przepisami. Chcą zrozumieć, w jaki sposób organizacja rzeczywiście funkcjonuje.

Dobrze opracowany Rejestr pozwala w ciągu kilkudziesięciu minut zidentyfikować procesy krytyczne, zależności pomiędzy systemami teleinformatycznymi, rolę podmiotów przetwarzających oraz obszary, które wymagają szczególnej uwagi podczas dalszego audytu. Dokument nie odpowiada jeszcze na wszystkie pytania, ale pozwala postawić właściwe.

I właśnie dlatego jego wartość wykracza daleko poza obowiązek wynikający z przepisów.

Z praktyki audytora – dokument był poprawny. Organizacja już nie.

Kilka miesięcy temu prowadziliśmy audyt w organizacji, która od wielu lat konsekwentnie rozwijała dokumentację z zakresu ochrony danych osobowych. Rejestr Czynności Przetwarzania został przygotowany starannie, obejmował wszystkie podstawowe procesy i nie budził większych zastrzeżeń formalnych. Na pierwszy rzut oka trudno było wskazać istotne nieprawidłowości.

Dopiero rozmowy z kierownikami poszczególnych komórek organizacyjnych ujawniły skalę zmian, jakie zaszły od momentu opracowania dokumentacji. W ciągu trzech lat organizacja wdrożyła nowy system elektronicznego obiegu dokumentów, rozpoczęła korzystanie z platformy chmurowej do współpracy z kontrahentami, zmieniła sposób prowadzenia rekrutacji oraz uruchomiła elektroniczne formularze dla klientów. Każda z tych zmian wpływała na sposób przetwarzania danych osobowych, jednak żadna nie została odzwierciedlona w Rejestrze Czynności Przetwarzania.

Co istotne, nie wynikało to z zaniedbania pracowników ani z braku wiedzy Inspektora Ochrony Danych. Organizacja po prostu nie posiadała mechanizmu, który łączyłby proces zarządzania zmianą z procesem aktualizacji dokumentacji.

To doświadczenie dobrze ilustruje problem, który obserwujemy niezwykle często. Dokument nie był błędny. Był poprawny w dniu jego opracowania. Przestał jednak odzwierciedlać organizację, ponieważ organizacja rozwijała się szybciej niż dokumentacja.

A właśnie w tym momencie Rejestr Czynności Przetwarzania przestaje być wiarygodnym modelem organizacji.

Rejestr Czynności Przetwarzania jako cyfrowy model organizacji

Jednym z powodów, dla których Rejestr Czynności Przetwarzania tak często traci swoją wartość praktyczną, jest sposób jego projektowania. W większości organizacji rozpoczyna się od pytania: „Jakie informacje musimy wpisać do rejestru, aby spełnić wymagania RODO?” Tak postawione pytanie prowadzi niemal zawsze do tego samego rezultatu – powstaje dokument zgodny z wymaganiami prawnymi, lecz oderwany od rzeczywistego sposobu funkcjonowania organizacji.

Tymczasem z perspektywy audytora właściwe pytanie powinno brzmieć zupełnie inaczej:

„Jakie informacje o organizacji powinien zawierać Rejestr Czynności Przetwarzania, aby wspierał podejmowanie decyzji zarządczych?”

To nie jest gra słów. To całkowicie odmienna filozofia projektowania dokumentacji.

Jeżeli punktem wyjścia jest zgodność z przepisami, Rejestr będzie zbiorem wymaganych informacji. Jeżeli punktem wyjścia jest zarządzanie organizacją, Rejestr stanie się modelem opisującym sposób funkcjonowania procesów, przepływu informacji i odpowiedzialności.

Dlatego proponujemy patrzeć na RCP nie jako na wykaz czynności przetwarzania, lecz jako na cyfrowy model organizacji.

Nie oznacza to oczywiście cyfrowego odwzorowania wszystkich procesów biznesowych w rozumieniu systemów klasy ERP czy narzędzi Process Mining. Chodzi o coś znacznie prostszego i jednocześnie bardziej użytecznego – stworzenie spójnego obrazu tego, w jaki sposób informacja przepływa przez organizację, kto za nią odpowiada, jakie systemy wspierają jej przetwarzanie oraz jakie ryzyka towarzyszą poszczególnym procesom.

W takim ujęciu Rejestr Czynności Przetwarzania przestaje być dokumentem opisującym dane osobowe. Staje się mapą pokazującą sposób funkcjonowania organizacji.

Dojrzały Rejestr nie odpowiada na pytanie „jakie dane przetwarzamy?”

To jedno z największych nieporozumień, z jakimi spotykamy się podczas audytów.

Wiele organizacji uważa, że podstawową funkcją Rejestru Czynności Przetwarzania jest odpowiedź na pytanie, jakie dane osobowe są przetwarzane. Oczywiście informacja ta jest istotna, ale z perspektywy zarządzania ma ograniczoną wartość.

Znacznie ważniejsze są odpowiedzi na pytania, które pozwalają zrozumieć funkcjonowanie organizacji jako całości.

Na przykład:

• które procesy są krytyczne z punktu widzenia realizacji celów organizacji,
• które procesy przetwarzają dane szczególnych kategorii,
• które czynności zależą od zewnętrznych dostawców usług,
• które procesy wykorzystują te same zasoby informacyjne,
• które systemy teleinformatyczne są pojedynczym punktem awarii,
• które procesy nie były analizowane pod kątem ryzyka od kilku lat,
• które czynności wymagają przeprowadzenia oceny skutków dla ochrony danych,
• które procesy mają największy wpływ na ciągłość działania organizacji.

Z perspektywy audytora Rejestr jest mapą ryzyka

Jednym z najbardziej interesujących doświadczeń zdobytych podczas audytów jest obserwacja, że doświadczony audytor potrafi wyciągnąć wiele wniosków o organizacji jeszcze przed rozpoczęciem rozmów z pracownikami. Pierwszym dokumentem, po który sięga, jest często właśnie Rejestr Czynności Przetwarzania.

Dobrze opracowany Rejestr pozwala szybko zidentyfikować strukturę procesów, wykorzystywane systemy teleinformatyczne, udział podmiotów przetwarzających oraz miejsca, w których może kumulować się ryzyko. Dzięki temu audytor nie rozpoczyna pracy od przypadkowych pytań, lecz od obszarów wymagających szczególnej uwagi.

Jeżeli Rejestr pokazuje logiczne zależności pomiędzy procesami, systemami i odpowiedzialnością właścicieli procesów, jest to sygnał, że organizacja świadomie zarządza informacją. Jeżeli natomiast dokument ogranicza się wyłącznie do formalnego opisu czynności przetwarzania, zazwyczaj oznacza to konieczność znacznie głębszej analizy podczas audytu.

Rejestr nie zastępuje audytu, ale pozwala ukierunkować go już od pierwszych godzin pracy.

Rejestr jest lustrem organizacji

Podczas rozmów z klientami często używamy prostego porównania.

Rejestr Czynności Przetwarzania działa jak lustro.

Jeżeli organizacja jest uporządkowana, posiada jasno zdefiniowane procesy, świadomie zarządza zmianą oraz przypisuje odpowiedzialność właścicielom procesów, będzie to widoczne również w Rejestrze.

Jeżeli natomiast procesy są niejednoznaczne, odpowiedzialność rozproszona, a decyzje podejmowane w sposób przypadkowy, dokument również będzie odzwierciedlał ten stan.

Dlatego nie wierzymy w możliwość stworzenia „dobrego Rejestru” dla organizacji, która nie zna własnych procesów.

Rejestr nie porządkuje organizacji.

To organizacja porządkuje Rejestr.

I właśnie dlatego jego jakość jest jednym z najlepszych wskaźników dojrzałości całego Systemu Ochrony Danych Osobowych.

Model dojrzałości Rejestru Czynności Przetwarzania

Na podstawie doświadczeń z audytów wypracowaliśmy prosty model pozwalający ocenić sposób, w jaki organizacje wykorzystują Rejestr Czynności Przetwarzania.

Poziom 1 – Dokument zgodności

Rejestr istnieje wyłącznie dlatego, że wymagają tego przepisy. Aktualizowany jest sporadycznie i wykorzystywany głównie podczas kontroli.

Poziom 2 – Rejestr procesów

Dokument opisuje rzeczywiste czynności przetwarzania, jednak funkcjonuje niezależnie od pozostałych elementów systemu ochrony danych.

Poziom 3 – Mapa organizacji

Rejestr odzwierciedla procesy biznesowe, wskazuje właścicieli procesów, wykorzystywane systemy oraz podstawowe zależności organizacyjne.

Poziom 4 – Narzędzie zarządcze

Rejestr czynności przetwarzania jest wykorzystywany podczas analizy ryzyka, zarządzania zmianą, planowania audytów oraz podejmowania decyzji dotyczących bezpieczeństwa informacji.

Poziom 5 – Cyfrowy model organizacji

Rejestr stanowi integralny element Systemu Ochrony Danych Osobowych oraz Systemu Zarządzania Bezpieczeństwem Informacji. Aktualizacja procesów powoduje automatyczny przegląd ryzyka, procedur, środków bezpieczeństwa oraz odpowiedzialności właścicieli procesów. Dokument nie opisuje już wyłącznie stanu organizacji — staje się narzędziem wspierającym jej rozwój.

Jak audytor czyta Rejestr Czynności Przetwarzania?

Jednym z najczęściej spotykanych błędów jest przekonanie, że Rejestr Czynności Przetwarzania służy przede wszystkim organowi nadzorczemu lub Inspektorowi Ochrony Danych. W praktyce jest dokładnie odwrotnie. Dla doświadczonego audytora RCP jest jednym z pierwszych dokumentów, który pozwala ocenić nie tyle poziom zgodności z RODO, ile dojrzałość organizacji w zakresie zarządzania informacją.

Audytor nie rozpoczyna analizy od sprawdzenia, czy wszystkie pola wymagane przez art. 30 RODO zostały wypełnione. Taką ocenę można przeprowadzić stosunkowo szybko. Znacznie większą wartość ma odpowiedź na pytanie, czy Rejestr przedstawia rzeczywisty obraz organizacji. Właśnie dlatego podczas pierwszej analizy dokumentu poszukuje się przede wszystkim zależności, a nie pojedynczych informacji.

Jeżeli Rejestr został przygotowany wyłącznie z perspektywy obowiązków prawnych, zwykle przypomina katalog czynności przetwarzania. Jeżeli natomiast powstał jako element systemu zarządzania, bardzo szybko ujawnia sposób funkcjonowania organizacji, relacje pomiędzy procesami oraz poziom dojrzałości właścicieli procesów.

To różnica, której nie widać na pierwszy rzut oka. Jest jednak doskonale widoczna dla osoby, która od lat analizuje organizacje z perspektywy ryzyka i bezpieczeństwa informacji.

Pierwsze trzydzieści minut audytu

W praktyce pierwsze trzydzieści minut analizy Rejestru Czynności Przetwarzania pozwala postawić szereg hipotez dotyczących organizacji. Nie są to jeszcze wnioski z audytu, ale kierunki, które warto zweryfikować podczas rozmów z pracownikami.

Jeżeli dokument zawiera precyzyjnie opisane procesy, wskazuje właścicieli czynności, wykorzystuje jednolite nazewnictwo oraz zachowuje spójność pomiędzy poszczególnymi obszarami działalności, można przypuszczać, że organizacja posiada uporządkowany model zarządzania informacją.

Jeżeli natomiast poszczególne czynności są opisane bardzo ogólnie, nazwy procesów są przypadkowe, a odpowiedzialność za ich realizację nie została jasno określona, istnieje duże prawdopodobieństwo, że podobny poziom niejednoznaczności będzie występował również w innych elementach systemu ochrony danych.

Doświadczony audytor nie ocenia więc wyłącznie treści dokumentu. Analizuje sposób myślenia organizacji o własnych procesach.

Z praktyki audytora

Podczas audytu w jednej z instytucji publicznych poprosiliśmy o przedstawienie Rejestru Czynności Przetwarzania jeszcze przed rozpoczęciem wywiadów z pracownikami. Dokument liczył ponad osiemdziesiąt stron i obejmował kilkadziesiąt czynności przetwarzania. Na pierwszy rzut oka sprawiał wrażenie bardzo szczegółowego.

Już po kilkunastu minutach analizy zauważyliśmy jednak, że niemal każda czynność została opisana według identycznego schematu. Wykorzystywano te same środki bezpieczeństwa, te same okresy przechowywania oraz bardzo ogólne opisy procesów. Dokument nie wskazywał właścicieli procesów, nie identyfikował wykorzystywanych systemów teleinformatycznych ani nie pozwalał odróżnić procesów krytycznych od procesów pomocniczych.

Sam Rejestr nie zawierał błędów formalnych. Nie odpowiadał jednak na pytania, które są kluczowe z punktu widzenia zarządzania organizacją.

Ostatecznie większość informacji i tak musiała zostać pozyskana podczas rozmów z pracownikami. Rejestr nie skrócił procesu audytu, mimo że był bardzo rozbudowany.

Czego audytor szuka w pierwszej kolejności?

Wbrew pozorom nie są to podstawy prawne przetwarzania ani okresy retencji.

Oczywiście mają one znaczenie, jednak z perspektywy oceny dojrzałości organizacji znacznie istotniejsze są odpowiedzi na kilka innych pytań.

Audytor próbuje przede wszystkim ustalić, czy organizacja rozumie własne procesy.

Dlatego analizuje między innymi:

• czy sposób podziału czynności odpowiada rzeczywistym procesom biznesowym,
• czy można jednoznacznie wskazać właściciela każdego procesu,
• czy opis procesów jest spójny z rzeczywistą strukturą organizacyjną,
• czy wykorzystane nazewnictwo jest konsekwentne,
• czy pomiędzy czynnościami można zidentyfikować logiczne zależności,
• czy Rejestr pokazuje, które procesy mają największe znaczenie dla organizacji.

Dopiero w kolejnym etapie analizowane są kwestie związane z podstawami prawnymi, odbiorcami danych, retencją czy obowiązkami informacyjnymi.

To kolejność odwrotna od tej, którą bardzo często przyjmują organizacje przygotowujące dokumentację.

Rejestr Czynności Przetwarzania nie powinien odpowiadać na pytania audytora. Powinien prowokować właściwe pytania.

Dojrzały Rejestr Czynności Przetwarzania nie eliminuje potrzeby rozmów z pracownikami ani prowadzenia szczegółowych analiz. Jego rolą nie jest udzielenie odpowiedzi na wszystkie pytania audytora, lecz wskazanie obszarów wymagających pogłębionej weryfikacji.

Jeżeli z Rejestru wynika, że kilka procesów korzysta z tego samego systemu teleinformatycznego, naturalnym pytaniem staje się sposób zarządzania uprawnieniami użytkowników. Jeżeli wiele czynności opiera się na usługach jednego dostawcy, warto zweryfikować sposób nadzorowania podmiotu przetwarzającego. Jeżeli proces obejmuje dane szczególnych kategorii, audyt powinien koncentrować się na adekwatności zastosowanych środków bezpieczeństwa.

Rejestr nie zastępuje audytu. Stanowi jego punkt wyjścia, ponieważ pozwala skierować uwagę na procesy, które z perspektywy ryzyka mają największe znaczenie.

Dlaczego większość analiz ryzyka nie opisuje rzeczywistych zagrożeń?

Jednym z najbardziej zaskakujących wniosków płynących z audytów bezpieczeństwa informacji jest fakt, że organizacje coraz częściej wykonują analizę ryzyka, ale coraz rzadziej wykorzystują ją do zarządzania ryzykiem.

Na pierwszy rzut oka brzmi to paradoksalnie. Analiza ryzyka jest przecież jednym z podstawowych elementów zarówno ochrony danych osobowych, jak i Systemów Zarządzania Bezpieczeństwem Informacji. W praktyce jednak bardzo często funkcjonuje jako odrębny dokument, przygotowywany w oderwaniu od procesów, technologii oraz rzeczywistego sposobu funkcjonowania organizacji.

Najczęściej nie wynika to z błędów metodologicznych. Wynika z błędnego punktu wyjścia.

Organizacja rozpoczyna analizę od katalogu zagrożeń.

Tymczasem analiza ryzyka nigdy nie powinna rozpoczynać się od zagrożeń.
Powinna rozpoczynać się od zrozumienia procesu.

Nie analizujemy ryzyka dla „danych osobowych”. Analizujemy ryzyko dla konkretnego procesu realizowanego przez konkretną organizację, przy wykorzystaniu określonych zasobów informacyjnych, technologicznych oraz organizacyjnych.

To subtelna różnica, która w praktyce całkowicie zmienia sposób prowadzenia analizy.

Ryzyko nie dotyczy danych. Ryzyko dotyczy procesu.

To jedno z najczęściej powtarzanych zdań podczas naszych warsztatów z kierownictwem organizacji.

Dane osobowe same w sobie nie generują ryzyka. Ryzyko pojawia się dopiero wtedy, gdy dane stają się elementem określonego procesu biznesowego.

Weźmy prosty przykład.

Dane pracownika znajdują się jednocześnie w systemie kadrowym, systemie płacowym, skrzynce poczty elektronicznej, dokumentacji papierowej oraz kopiach zapasowych.

Czy oznacza to pięć różnych ryzyk?

Nie.

Oznacza to jeden proces realizowany przy wykorzystaniu różnych aktywów informacyjnych.

Jeżeli analiza ryzyka koncentruje się wyłącznie na zbiorach danych, bardzo łatwo przeoczyć zależności pomiędzy systemami, odpowiedzialnością właścicieli procesów oraz rzeczywistymi skutkami potencjalnego incydentu.

Dlatego punktem wyjścia nie powinny być dane.

Powinien nim być proces opisany w Rejestrze Czynności Przetwarzania.

Analiza ryzyka bez RCP przypomina diagnozę bez znajomości pacjenta

Wyobraźmy sobie lekarza, który rozpoczyna leczenie od wyboru leków, nie znając jeszcze pacjenta ani jego historii choroby.

Brzmi absurdalnie.

A jednak dokładnie tak wygląda wiele analiz ryzyka.

Organizacja identyfikuje katalog zagrożeń — awaria systemu, błąd pracownika, ransomware, utrata laptopa, nieuprawniony dostęp — a następnie próbuje ocenić ich prawdopodobieństwo i skutki.

Problem polega na tym, że te same zagrożenia mogą mieć zupełnie inne znaczenie w zależności od procesu, którego dotyczą.

Awaria systemu rejestracji wizyt w przychodni będzie miała inny wpływ na organizację niż awaria systemu ewidencji wyposażenia.

Błąd pracownika podczas naliczania wynagrodzeń wywoła inne konsekwencje niż analogiczny błąd w procesie publikacji materiałów promocyjnych.

Nie istnieje ryzyko oderwane od kontekstu.

Dlatego analiza ryzyka powinna rozpoczynać się od odpowiedzi na pytanie Jak funkcjonuje proces? Dopiero później należy zastanawiać się nad zagrożeniami.

Z praktyki audytora

W jednej z organizacji analiza ryzyka obejmowała ponad sto zidentyfikowanych zagrożeń. Dokument był bardzo szczegółowy i sprawiał wrażenie kompleksowego.

Podczas audytu poprosiliśmy jednak o wskazanie procesu, którego dotyczy jedno z najwyżej ocenionych ryzyk.

Po kilku minutach okazało się, że dokument nie pozwala jednoznacznie odpowiedzieć na to pytanie.

Ryzyka opisano dla grup danych oraz systemów informatycznych, ale nie powiązano ich z konkretnymi procesami biznesowymi.

W efekcie organizacja wiedziała, że istnieje wysokie ryzyko awarii serwera, ale nie potrafiła określić, które procesy przestaną działać w przypadku jego niedostępności.

Dokument zawierał analizę ryzyka.

Nie zawierał jednak informacji pozwalających zarządzać ryzykiem.

Dlaczego Rejestr powinien być punktem wyjścia do analizy ryzyka?

W naszej metodyce odpowiedź jest jednoznaczna.

Rejestr Czynności Przetwarzania opisuje proces.

Proces wykorzystuje określone informacje.

Informacje są przetwarzane przy wykorzystaniu aktywów.

Aktywa podlegają zagrożeniom.

Zagrożenia generują ryzyko.

Ryzyko wymaga zastosowania odpowiednich środków bezpieczeństwa.

To naturalna sekwencja.

Odwrócenie tej kolejności prowadzi do sytuacji, w której analiza ryzyka staje się katalogiem potencjalnych problemów, a nie narzędziem wspierającym podejmowanie decyzji.

Dlatego w DSO Consulting nigdy nie rozpoczynamy analizy od listy zagrożeń.
Rozpoczynamy od procesu.

Dopiero później identyfikujemy aktywa, właścicieli informacji, zależności technologiczne, potencjalne zagrożenia oraz możliwe scenariusze incydentów.

Takie podejście powoduje, że analiza ryzyka przestaje być dokumentem przygotowanym na potrzeby zgodności z przepisami. Staje się narzędziem wspierającym kierownictwo podczas podejmowania decyzji dotyczących inwestycji, zmian organizacyjnych oraz priorytetów bezpieczeństwa.

Rejestr jako punkt styku SODO i SZBI

To właśnie w tym miejscu spotykają się dwa światy, które w wielu organizacjach nadal funkcjonują niezależnie od siebie.

Pierwszy z nich koncentruje się na ochronie danych osobowych i zgodności z przepisami RODO.

Drugi dotyczy bezpieczeństwa informacji, zarządzania aktywami, ciągłości działania oraz odporności organizacji.

W praktyce oba opisują te same procesy, wykorzystują te same systemy teleinformatyczne i odnoszą się do tych samych informacji. Różnią się jedynie perspektywą.

System Ochrony Danych Osobowych odpowiada na pytanie, czy przetwarzanie danych odbywa się zgodnie z wymaganiami prawa i z poszanowaniem praw osób, których dane dotyczą.

System Zarządzania Bezpieczeństwem Informacji odpowiada na pytanie, czy organizacja jest zdolna zapewnić poufność, integralność i dostępność informacji niezbędnych do realizacji swoich celów.

W obu przypadkach punktem wspólnym pozostaje proces.

To właśnie dlatego Rejestr Czynności Przetwarzania może stać się naturalnym elementem łączącym oba systemy. Nie dlatego, że wynika to z wymagań normy lub rozporządzenia, lecz dlatego, że opisuje sposób funkcjonowania organizacji.

Model DSO Consulting

To podejście można przedstawić w prostym modelu.

Nie jest to jedynie kolejność wykonywania działań.

To sposób myślenia o organizacji.

Proces definiuje, jakie informacje są potrzebne.

Informacje wskazują, jakie aktywa należy chronić.

Aktywa pozwalają zidentyfikować rzeczywiste zagrożenia.

Analiza zagrożeń prowadzi do oceny ryzyka.

Ocena ryzyka umożliwia dobór adekwatnych zabezpieczeń.

Zastosowane zabezpieczenia są następnie weryfikowane podczas audytów i przeglądów kierownictwa, co prowadzi do doskonalenia całego systemu.

W tym modelu Rejestr Czynności Przetwarzania nie jest kolejnym dokumentem.
Jest początkiem całego procesu zarządzania bezpieczeństwem informacji.

Rejestr Czynności Przetwarzania powinien być narzędziem kierownictwa, a nie wyłącznie Inspektora Ochrony Danych

Jednym z największych paradoksów związanych z ochroną danych osobowych jest to, że dokument zawierający najbardziej uporządkowaną wiedzę o procesach organizacji bardzo często pozostaje dokumentem, z którego korzysta wyłącznie Inspektor Ochrony Danych.

To zaskakujące, ponieważ zakres informacji zgromadzonych w Rejestrze Czynności Przetwarzania wykracza daleko poza zagadnienia związane z RODO. Dobrze zaprojektowany Rejestr opisuje procesy organizacyjne, wykorzystywane systemy teleinformatyczne, role i odpowiedzialności, odbiorców danych, podmioty przetwarzające oraz miejsca, w których koncentrują się najistotniejsze ryzyka.

Są to informacje, które powinny interesować przede wszystkim kierownictwo organizacji.

W praktyce jednak Rejestr bardzo rzadko trafia na posiedzenia zarządu. Nie jest wykorzystywany podczas planowania inwestycji, wdrażania nowych systemów informatycznych ani projektowania zmian organizacyjnych. Aktualizowany jest najczęściej wtedy, gdy przypomina o tym Inspektor Ochrony Danych lub zbliża się audyt.

Takie podejście powoduje, że organizacja traci jedno z najbardziej wartościowych źródeł informacji zarządczej.

Każda zmiana organizacyjna jest jednocześnie zmianą w Rejestrze

• Nowy system elektronicznego obiegu dokumentów.
• Wdrożenie platformy HR.
• Migracja poczty elektronicznej do chmury.
• Uruchomienie elektronicznych formularzy dla klientów.
• Centralizacja obsługi kadrowej.
• Rozpoczęcie współpracy z nowym dostawcą usług IT.

Na pierwszy rzut oka są to projekty technologiczne lub organizacyjne. W rzeczywistości każdy z nich zmienia sposób przetwarzania informacji.

Zmieniają się kanały komunikacji, wykorzystywane systemy, odbiorcy danych, podmioty przetwarzające, zakres odpowiedzialności oraz profil ryzyka.

Jeżeli organizacja nie aktualizuje w tym momencie Rejestru Czynności Przetwarzania, bardzo szybko dochodzi do sytuacji, w której dokument opisuje przeszłość, a nie stan faktyczny.

Nie jest to wyłącznie problem zgodności z RODO.

To problem jakości informacji, na podstawie których podejmowane są decyzje.

Z praktyki audytora

Podczas audytu w jednej z organizacji poprosiliśmy o wskazanie momentu, w którym aktualizowany jest Rejestr Czynności Przetwarzania.

Odpowiedź była jednoznaczna:

„Kiedy pojawia się nowa czynność przetwarzania.”

Po chwili zadaliśmy kolejne pytanie:

„A co dzieje się wtedy, gdy zmienia się sposób realizacji istniejącego procesu?”

W sali zapadła cisza.

W ciągu ostatnich dwóch lat organizacja wdrożyła nowe środowisko Microsoft 365, zmieniła system kadrowo-płacowy, uruchomiła elektroniczny obieg dokumentów oraz rozpoczęła korzystanie z nowych usług chmurowych.

Żadna z tych zmian nie została potraktowana jako przesłanka do przeglądu Rejestru.

Nie dlatego, że ktoś o tym zapomniał.

Po prostu nikt nie powiązał procesu zarządzania zmianą z zarządzaniem informacją.

Rejestr Czynności Przetwarzania jako wskaźnik dojrzałości organizacji

Jednym z najbardziej wiarygodnych wskaźników dojrzałości organizacji nie jest liczba procedur ani objętość dokumentacji, lecz sposób zarządzania procesami. Rejestr Czynności Przetwarzania bardzo dobrze to pokazuje.

W dojrzałych organizacjach za aktualność informacji odpowiadają właściciele procesów, ponieważ to oni najlepiej wiedzą, kiedy zmienia się sposób realizacji zadań, wykorzystywane systemy, odbiorcy danych czy zakres odpowiedzialności. Rolą Inspektora Ochrony Danych nie jest samodzielne prowadzenie Rejestru, lecz nadzorowanie jego spójności oraz wspieranie organizacji w utrzymaniu zgodności z przepisami.

Takie podejście powoduje, że ochrona danych osobowych przestaje być zadaniem jednej osoby lub jednego działu. Staje się naturalnym elementem zarządzania organizacją, a Rejestr Czynności Przetwarzania – wiarygodnym odzwierciedleniem rzeczywistych procesów.

Rejestr Czynności Przetwarzania jako źródło informacji dla zarządu

Jeżeli Rejestr Czynności Przetwarzania ma pełnić funkcję narzędzia zarządczego, powinien umożliwiać kierownictwu uzyskanie odpowiedzi na pytania, które rzeczywiście wspierają podejmowanie decyzji.

Przykładowo:

• Czy wiemy, które procesy mają kluczowe znaczenie dla realizacji celów organizacji?
• Czy potrafimy wskazać właściciela każdego procesu?
• Czy wszystkie nowe projekty przechodzą ocenę wpływu na ochronę danych i bezpieczeństwo informacji?
• Czy analiza ryzyka jest aktualna dla wszystkich procesów?
• Czy zmiany technologiczne są odzwierciedlane w dokumentacji?
• Czy wiemy, które procesy opierają się na usługach zewnętrznych i jakie wiążą się z tym ryzyka?

Jeżeli odpowiedzi na te pytania wymagają wielodniowego zbierania informacji z różnych komórek organizacyjnych, oznacza to, że Rejestr nie spełnia swojej funkcji.

Dobrze zaprojektowany Rejestr Czynności Przetwarzania powinien umożliwiać uzyskanie tych informacji w ciągu kilku minut.

Podsumowanie

Przez wiele lat Rejestr Czynności Przetwarzania był postrzegany przede wszystkim jako obowiązek wynikający z RODO. Z perspektywy współczesnych organizacji takie podejście staje się jednak niewystarczające.

Dobrze zaprojektowany Rejestr nie jest jedynie wykazem czynności przetwarzania danych osobowych. Stanowi uporządkowany obraz procesów, informacji, wykorzystywanych systemów oraz odpowiedzialności właścicieli procesów. Dzięki temu może wspierać analizę ryzyka, zarządzanie zmianą, audyty oraz podejmowanie decyzji przez kierownictwo.

Doświadczenia z audytów pokazują, że największym wyzwaniem nie jest opracowanie Rejestru, lecz utrzymanie jego zgodności z rzeczywistym sposobem funkcjonowania organizacji. Dokument, który nie nadąża za zmianami, bardzo szybko przestaje być wiarygodnym źródłem informacji.

Dlatego warto spojrzeć na Rejestr Czynności Przetwarzania nie jako na kolejny obowiązkowy dokument, ale jako na cyfrowy model organizacji. Model, który pozwala lepiej rozumieć procesy, identyfikować ryzyka i świadomie zarządzać informacją.

Organizacje przyszłości będą zarządzać informacją równie świadomie, jak dziś zarządzają finansami, zasobami ludzkimi czy jakością. Rejestr Czynności Przetwarzania może stać się jednym z fundamentów tego podejścia – pod warunkiem, że przestanie być traktowany wyłącznie jako dokument zgodności, a zacznie pełnić rolę narzędzia wspierającego zarządzanie.