„Narzędzia do RODO” czyli ekosystem bezpieczeństwa Wizards
W dobie restrykcyjnych przepisów RODO i rosnących zagrożeń cybernetycznych polskie firmy muszą budować odporne organizacje. Kluczem jest kompleksowe podejście do ochrony danych i procesów IT. Wizards oferuje cztery zintegrowane narzędzia do RODO – Oblivio, Nocturno, Revelio i Detecto – które współdziałają w jednym ekosystemie. Dzięki temu zarząd może centralnie zarządzać retencją i anonimizacją danych oraz wykrywać informacje wrażliwe na różnych poziomach infrastruktury. Posiadanie tych rozwiązań to fundament bezpieczeństwa i zgodności firmy z prawem oraz ochrona przed dotkliwymi sankcjami za naruszenia.
Oblivio
Oblivio to system do retencji danych osobowych i zarządzania danymi w organizacji. Umożliwia centralne definiowanie reguł przechowywania danych (np. według okresu obowiązywania umowy lub innych kryteriów) oraz automatyczne usuwanie lub anonimizację informacji po ustaniu podstawy prawnej ich przetwarzania. Dzięki temu administracja nie musi ręcznie szukać, które rekordy należy usunąć. Przykładowo, gdy wygasa umowa z klientem lub pracownik odchodzi z firmy. Oblivio wykrywa utratę podstawy prawnej do przetwarzania i – po akceptacji opiekuna – inicjuje proces anonimizacji w powiązanych systemach (np. w CRM i systemie marketingowym), zachowując spójność danych we wszystkich bazach.
Brak takiego narzędzia grozi pozostawieniem przetwarzanych informacji bez wymaganego usunięcia. W praktyce przedsiębiorca może nieumyślnie nadal gromadzić i udostępniać dane, do których utracił zgodę. Taka sytuacja narusza m.in. art. 17 RODO (prawo do usunięcia danych) czy art. 5 RODO (zasada minimalizacji danych). Zgodnie z art. 83 RODO niedopełnienie tych obowiązków może skutkować administracyjną karą finansową nawet do 20 mln euro lub 4% całkowitego rocznego obrotu firm.
Nocturno
Nocturno to aplikacja do anonimizacji danych, wykorzystująca rozbudowane słowniki i generatory pozwalające zachować charakterystykę danych produkcyjnych. Dzięki temu narzędziu można równocześnie przetwarzać duże zbiory z wielu systemów. Dodatkowo zachowując spójność między nimi nawet po masowej zamianie danych osobowych na fikcyjne. Na przykład firma IT budująca nowe środowisko testowe używa Nocturno, aby zastąpić rzeczywiste imiona, nazwiska, PESEL-e czy NIP-y pracowników i klientów ich syntetycznymi odpowiednikami – co pozwala na realistyczne testy, ale bez ryzyka wycieku prywatnych danych.
Brak systemu do anonimizacji może skończyć się poważnym incydentem bezpieczeństwa. Jeśli niezaszyfrowane dane trafią do osób nieuprawnionych, naruszone zostaną m.in. art. 32 RODO (wymagania techniczne i organizacyjne dla bezpieczeństwa) oraz art. 5 RODO (zasada zgodności i minimalizacji przetwarzania). Dodatkowo Kodeks pracy nakłada na pracownika obowiązek dbania o dobro przedsiębiorstwa i zachowania w tajemnicy informacji mogących mu zaszkodzić (art. 100 §2 pkt 4 Kodeksu pracy). Za nieprzestrzeganie tych zasad pracodawca może wymierzyć karę dyscyplinarną (np. naganę lub karę pieniężną do wysokości średniodobowego wynagrodzenia) – a w praktyce przewinienia mogą prowadzić do odpowiedzialności także administracyjnej i cywilnej wobec firmy.
Revelio
Revelio to narzędzie służące do wykrywania danych osobowych i wrażliwych w udostępnionych zasobach plikowych (np. na komputerach, w poczcie e‑mail czy udostępnionych folderach). Umożliwia identyfikację dokumentów i procesów biznesowych generujących poufne pliki oraz rekomenduje ich cyfryzację. Przykładowo, Revelio można wykorzystać do przeskanowania wszystkich udziałów sieciowych pracowników w poszukiwaniu starych arkuszy z listą klientów. Dzięki temu firma dowiaduje się, które zespoły i procesy stale generują dokumenty zawierające dane wrażliwe, i może zareagować, zanim dojdzie do wycieku.
Jeśli nie przeprowadza się takich przeglądów, istnieje ryzyko, że poufne pliki pozostaną niezabezpieczone i nieznane działowi IT. To narusza zasady RODO – np. art. 5 ust. 1 lit. a RODO (przetwarzanie zgodne z prawem, jasno określonymi celami) oraz art. 32 RODO – oraz wewnętrzne regulacje dotyczące poufności. Jednocześnie art. 100 §2 pkt 4 Kodeksu pracy nakłada na pracownika obowiązek zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Naruszenie tego obowiązku może skutkować karą porządkową (np. upomnieniem czy grzywną), a w skrajnych przypadkach odpowiedzialnością odszkodowawczą. Ponadto Prezes UODO ma prawo nałożyć za naruszenie przepisów RODO karę administracyjną (z art. 83 RODO) sięgającą nawet kilkudziesięciu milionów euro.
Detecto
Detecto to narzędzie do wykrywania danych osobowych oraz innych informacji wrażliwych w bazach danych. Pozwala automatycznie zeskanować hurtownie i systemy bazodanowe w poszukiwaniu wpisów zawierających np. numery PESEL, dane finansowe lub poufne. Równocześnie śledzi zmiany w strukturach baz danych, ułatwiając wytypowanie nowych obszarów wymagających anonimizacji i retencji. Przykładowo, przed wdrożeniem nowego systemu CRM dział IT korzysta z Detecto, aby sprawdzić, czy przypadkowo nie zostały w nim umieszczone stare dane klientów. Jeśli takie dane zostaną wykryte, można natychmiast zmodyfikować proces migracji lub wprowadzić dodatkowe zabezpieczenia.
Brak monitorowania, gdzie znajdują się dane wrażliwe, tworzy „ślepą plamę” na mapie bezpieczeństwa IT. Może to zakończyć się istotnym wyciekiem – na przykład przez niewykryte błędy w migracji baz. Konsekwencją mogą być naruszenia art. 32 RODO (niewdrożenie adekwatnych środków bezpieczeństwa) oraz obowiązku zgłoszenia poważnego incydentu (ustawy o krajowym systemie cyberbezpieczeństwa). W praktyce oznacza to ryzyko kary w wysokości do 10 mln euro lub 2% obrotu przedsiębiorstwa, a przy szczególnie istotnych uchybieniach – nawet 20 mln euro lub 4% obrotu. Co więcej, Prezes UKE może nałożyć karę administracyjną (np. do 10% obrotu firmy) za niezgłoszenie poważnego incydentu ICT zgodnie z ustawą o KSC
Podsumowanie
Oblivio, Nocturno, Revelio i Detecto to krok w stronę pełnej odporności i zgodności firmy z prawem. Te cztery narzędzia tworzą spójny ekosystem do ochrony danych wrażliwych na wszystkich poziomach. Zachęcamy do kontaktu z eksperckim zespołem Wizards – wspólnie zadbamy, by Twój biznes nie tylko spełniał wszystkie wymagania prawa, ale przede wszystkim uniknął realnych kosztów naruszeń i kar związanych z niezgodnością.