Analýza a hodnotenie rizík

Analýza rizík spracovania osobných údajov spoločnosťou Westernobchod:

1. Kategorizácia spracovania + legislatívny základ spracovania
   Spoločnosť Westernobchod vo vzťahu k svojim klientom, vykonáva spracovanie osobných údajov v rámci nasledujúcich činností:

• plnenie zmluvy, vybavenie objednávky - vo vzťahu ku klientom a dodávateľom správcu (spracovanie bez súhlasu dotknutých osôb, keď spracovanie osobných údajov je nevyhnutné na účely uzatvorenia a plnenia zmluvy, vybavenie objednávky)
• priamy marketing - vo vzťahu ku klientom (spracovanie bez súhlasu dotknutých osôb, keď spracovanie osobných údajov je nevyhnutné na účely oprávnených záujmov - prezentácie výrobkov a služieb)

2. Kategórie spracovania osobných údajov

• * Identifikačné údaje - zahŕňajú údaje, ktorými sú predovšetkým meno, priezvisko, adresa trvalého pobytu; u fyzickej osoby - podnikateľa tiež IČO a DIČ. Ďalšími možnými identifikačnými údajmi sú napríklad údaj o IP adrese užívaného počítača;
• * Kontaktné údaje - kontaktné adresy, telefónne čísla, e-mailové adresy;

3. Spôsob spracovania osobných údajov
   Naša spoločnosť spracováva osobné údaje manuálne v informačných systémoch našej spoločnosti a ďalej v archívnych zložkách.
4. Príjemcovia osobných údajov
   Osobné údaje sú prístupné najmä zamestnancom spoločnosti Westernobchod v súvislosti s vybavovaním objednávok, resp. pri objednávaní tovaru, pri ktorých je nutné nakladať s osobnými údajmi klientov a dodávateľov, iba však v rozsahu, ktorý je v tom-ktorom prípade nevyhnutný a pri dodržaní všetkých bezpečnostných opatrení.
5. Spôsob zmýšľaného spracovania a jeho riziká
   Informačné systémy spoločnosti Westernobchod a v prípade potreby archívne zložky.

Určenie rizík spracovanie pre subjekt údajov:

• 5.1) identifikácia hrozieb spojených so spracovaním:

• - spracovanie osobných údajov v rozpore so zásadou zákonnosti;
• - nevhodné spracovanie osobných údajov, ktoré presahuje rozumné očakávania subjektu údajov alebo ktoré ide nad rámec obvyklého očakávania v spoločnosti;
• - nezákonné prekročenie stanoveného účelu spracovania;
• - rozpor so zásadou minimalizácie údajov, tzn. excesívne zhromažďovanie
• - spracovanie či uchovanie osobných údajov, ktoré sú nepresné alebo neaktuálne
• - uchovavnie osobných údajov po dobu dlhšiu, než je nutné
• - narušenie integrity alebo dôvernosti osobných údajov
• - znemožnenie či sťaženie možnosti uplatniť práva dotknutých osôb

• 5.2) identifikácia potencionálnej ujmy - či by spracovanie vzhľadom na hore uvedenú špecifikáciu mohlo viesť k diskriminácii, krádeže, zneužitia identity, finančnej strate, poškodenie povesti, strate dôvernosti osobných údajov chránených služobným tajomstvom alebo akémukoľvek inému významnému spoločenskému či spoločenskému znevýhodnenia alebo či by dotknuté osoby mohli takýmto postupom byť zbavené svojich práv a slobôd
• 5.3) zhodnotenie pravdepodobnosti vzniku ujmy - pri určení miery pravdepodobnosti vzniku ujmy zohľadňuje správca tieto faktory:

• - počet subjektov zapojených do spracovania
• - zapojenie tretích strán do spracovania
• - absencia automatizovaného rozhodovania a profilovanie
• - nezasielanie osobných údajov do zahraničia
• - existencia možných slabých miest v procesoch a úroveň zabezpečenia osobných údajov
• - história predchádzajúcich incidentov

• 5.4) zhodnotenie závažnosti potenciálnej ujmy - pri určení závažnosti potencionálnej ujmy zohľadňuje správcu tieto faktory:

• - citlivosť osobných údajov
• - objem spracovaných osobných údajov a ich kategórie
• - možný dopad spracovania na významné udalosti v živote subjektu údajov
• - možný dopad spracovania na finančnú a ekonomickú situáciu subjektu údajov
• - výhody spracovávania osobných údajov

• 5.5) vyhodnotenie rizika a prijatie vhodných opatrení na zabezpečenie súladu s nariadením

Pomocou nasledujúcej metódy vyhodnocujeme príslušné riziko pri každej kategórii spracovania osobných údajov v troch jeho zložkách, a to s ohľadom na:

• pravdepodobnosť vzniku (P)
• závažnosť následkov (Z)
• názor hodnotiteľov (H)

Odhad pravdepodobnosti (P), s ktorou môže nejaké nebezpečenstvo naozaj nastať, je stanovený podľa stupnice odhadu pravdepodobnosti vzostupne od 1 do 5, kde zahŕňame mieru, úroveň a kritériá jednotlivých nebezpečenstiev a ohrozenia.

Pre stanovenie závažnosti následku (Z) je opäť stanovená stupnica od 1 do 5.

Pri kategórii (H), v ktorej sa zohľadňuje miera závažnosti ohrozenia, počet ohrozených subjektov údajov, čas pôsobenia ohrozenia (trvanie), kategória spracúvaných osobných údajov a pod., úroveň zabezpečenia dát, kumulácia rizík, dynamickosť rizík, možnosť zaistenia okamžitého zásahu, vplyv pracovného systému, pracovného prostredia a pracovných podmienok, bezpečnostné opatrenia fyzickej aj kybernetickej povahy, atď.

P - pravdepodobnosť vzniku a existencie nebezpečenstva

Z – závažnosť možných následkov ohrozenia

H – názor hodnotiteľov

K posúdeniu a hodnoteniu zdrojov rizík sú použité nasledujúce špecifikácie, ktorá sa zaznamenávajú do stĺpcov "P", "Z" a "H" v tabuľke. Celkové hodnotenie rizík získame po stanovení jednotlivých činiteľov ich súčinom, ktorého výsledkom je potom ukazovateľ miery rizika - R.

Vzorec celkového rizika: R = P x Z x H

Výsledné bodové rozpätie vyjadruje naliehavosť úlohy prijatia opatrení na zníženie rizík a prioritu bezpečnostných opatrení, ktorý je súčasťou dokumentácie rizík pre dotknuté osoby. Pri stanovení kategórie závažnosti vyhodnotenia rizík je možné rozdelenie do piatich rizikových stupňov (I. až V.) a celkové hodnotenie miery rizika (R) je potom nasledovné:

* Bezvýznamné zanedbateľné riziko - nie je vyžadované žiadne zvláštne opatrenia, to však neznamená, že je možné na bezpečnosť dát zanevrieť. Správca stanoví vhodné personálne a administratívne opatrenia na eliminovanie existujúceho rizika;

* Akceptovateľné menej významné riziko - je nutné zvážiť náklady na prípadné riešenie alebo zlepšenie. V prípade, že sa nepodarí vykonať technické a bezpečnostné opatrenia na zníženie rizika, je potrebné zaviesť vhodné organizačné opatrenia. Väčšinou postačuje školenie obsluhy a bežný dozor;

* Mierne riziko - napriek tomu, že nie je naliehavosť opatrenia tak závažná ako u výztnamných rizík, bezpečnostné opatrenia sa spravidla realizovaný podľa vypracovaného plánu a podľa rozhodnutia vedenia organizácie. Prostriedky na zníženie rizík musia byť implementované v stanovenom časovom období. Ak je toto riziko spojené so značnými nebezpečnými následkami, musia sa vykonať ďalšie zhodnotenia, aby sa presnejšie stanovila pravdepodobnosť vzniku ujmy ako podkladu pre určenie potreby dosiahnutia zlepšenia a zníženia rizík;

Hodnotenie rizík pri jednotlivých kategóriách spracovania:

1. Plnenie zmluvy, vybavenie objednávky

• - subjekt údajov: klienti a dodávatelia správcu
• - právny dôvod spracovania: spracovanie bez súhlasu dotknutých osôb, keď spracovanie osobných údajov je nevyhnutné pre účely uzatvorenia a plnenia zmluvy
• - kategória osobných údajov: identifikačné údaje, kontaktné údaje, osobné údaje
• - spôsob spracovania: manuálne v informačných systémoch spoločnosti Westernobchod a v archívnych zložkách
• - zdroj dát: dotknuté osoby
• - zabezpečenie:

• A) dátové súbory: do informačných systémov – internetové objednávky, emailové objednávky, telefonické objednávky- majú prístup zamestnanci společnosti Westernobchod, účtovník v rozsahu potrebnom na plnenie svojich povinností, prostredníctvom používateľského mena a hesla. Prihlasovanie je podmienené dvojakou kontrolou hesiel - jedno užívateľské meno a heslo pre prístup do PC / siete a druhé užívateľské meno a heslo pre prístup do internetových objednávok. Dáta sa ukladajú na zabezpečených serveroch. Na pripojenie k internetu sú použité prostriedky na účinné zamedzenie napadnutiu vnútornej firemnej siete (firewall, antivírus, blokovanie účtov užívateľov pri pokuse neautorizovaného prístupu alebo opakovanom zadaní chybného hesla a systémové hlásenia takýchto prípadov administrátorovi).
• B) archívne zložky: spracovanie osobných údajov pre účely plnenia zmluvy, vybavenia objednávky predstavujú archiváciu dokladov ohľadom plnenia zmluvy, objednávky vrátane potrebnej komunikácie. Bezpečnosť je zaistená zabezpečením budovy, kvalitou dverí a zámkov do priestorov s fyzickou prítomnosťou príslušných dokumentov, alarm, napojenie budovy na bezpečnostnú agentúru.

Výsledok hodnotenia rizík: spracovanie osobných údajov na úseku plnení zmluvy, vybavení objednávky predstavuje bezvýznamné riziko nevyžadujúce si špecifické opatrenia na zníženie rizík.

2. priamy marketing

• - subjekt údajov: klienti
• - právny dôvod spracovania: spracovanie bez súhlasu dotknutých osôb, keď spracovanie osobných údajov je nevyhnutné pre účely oprávnených záujmov - prezentácie výrobkov a služieb
• - kategória osobných údajov: identifikačné údaje, kontaktné údaje v nevyhnutnom rozsahu (meno, priezvisko, kontaktná adresa, email, telefónne číslo)
• - spôsob spracovania: manuálne v informačných systémoch spoločnosti Westernobchod
• - zdroj dát: dotknuté osoby
• - zabezpečenie:

Do informačných systémov - majú prístup zamestnanci spoločnsti (admin) internetového obchodu spoločnosti, prípadne ďalší poverení pracovníci v rozsahu potrebnom na na plnenie svojich povinností (marketing), prostredníctvom používateľského mena a hesla. Prihlasovanie je podmienené dvojakou kontrolou hesiel - jedno užívateľské meno a heslo pre prístup do PC / siete a druhé užívateľské meno a heslo pre prístup do internetového obchodu. Dáta sa ukladajú na zabezpečených serveroch. Na pripojenie k internetu sú použité prostriedky na účinné zamedzenie napadnutiu vnútornej firemnej siete (firewall, antivírus, blokovanie účtov užívateľov pri pokuse neautorizovaného prístupu alebo opakovanom zadaní chybného hesla a systémové hlásenia takýchto prípadov administrátorovi).

Výsledok hodnotenia rizík: spracovanie osobných údajov na úseku priameho marketingu predstavuje bezvýznamné riziko nevyžadujúce si špecifické opatrenia na zníženie rizík.