GDPR i zaštita osobnih podataka: vodič za tvrtke u Hrvatskoj

GDPR se često doživljava kao pravni teret, no u srži je propis o sigurnosti podataka. Članak 32. izričito traži tehničke i organizacijske mjere primjerene riziku, čime se zaštita osobnih podataka izravno povezuje s kibernetičkom sigurnošću.¹ Dokumentacija koja opisuje mjere koje ne postoje ne štiti ni od napada ni od kazne. Ovaj vodič objašnjava što propis traži i kako se uskladiti tako da usklađenost znači i stvarnu sigurnost.

Pišemo iz perspektive inženjera koji grade i testiraju sigurnosne programe. Kroz cijeli tekst povezujemo zahtjeve uredbe s konkretnim tehničkim radom, a cijeli program zaštite podataka vodimo kroz sigurnosni program i rizik.

Što je GDPR i otkad se primjenjuje

GDPR je skraćenica engleskog naziva General Data Protection Regulation. Riječ je o uredbi, što znači da se primjenjuje izravno, bez prenošenja u nacionalno zakonodavstvo, za razliku od direktive poput NIS2. Stupila je na snagu 2016., a primjenjuje se od 25. svibnja 2018. Cilj joj je uskladiti zaštitu osobnih podataka u cijeloj Uniji i dati pojedincima veću kontrolu nad vlastitim podacima.¹

U Hrvatskoj nadzor obavlja Agencija za zaštitu osobnih podataka (AZOP). AZOP zaprima pritužbe, provodi nadzore i izriče upravne mjere i kazne.³ Zakon o provedbi Opće uredbe (NN 42/2018) uređuje detalje koje uredba prepušta državama članicama, pa za konkretna pitanja postupka gledate uredbu i taj zakon zajedno.²

Na koga se GDPR odnosi

GDPR se odnosi na svaku organizaciju koja obrađuje osobne podatke pojedinaca u Europskoj uniji, bez obzira na veličinu. Ne postoji prag broja zaposlenih ili prometa ispod kojeg ste izuzeti. Mala tvrtka s jednim zaposlenikom koja vodi popis kupaca jednako je obveznik kao i velika korporacija. Što to konkretno znači za manje obveznike objašnjavamo u tekstu GDPR za male tvrtke i obrtnike.

Uredba ima i izvanteritorijalni doseg. Tvrtka izvan EU-a koja nudi robu ili usluge građanima Unije ili prati njihovo ponašanje također potpada pod GDPR.¹ Hrvatska tvrtka koja posluje s inozemstvom i strana tvrtka koja cilja hrvatske korisnike imaju iste obveze.

Ključni pojmovi

Uredba precizno definira nekoliko pojmova o kojima ovisi tko za što odgovara.

Sedam načela obrade

Članak 5. postavlja sedam načela koja moraju biti zadovoljena pri svakoj obradi. Sva ostala pravila razrada su tih načela.¹

• Zakonitost, poštenost i transparentnost: obrada mora imati pravnu osnovu, a ispitanik mora znati što se s podacima događa.
• Ograničenje svrhe: podatke prikupljate za jasno određenu svrhu i ne koristite ih za nešto nespojivo s njom.
• Smanjenje količine podataka: prikupljate samo ono što vam je stvarno potrebno.
• Točnost: podatke održavate ispravnima i ažurnima.
• Ograničenje pohrane: podatke čuvate samo onoliko dugo koliko je potrebno za svrhu.
• Cjelovitost i povjerljivost: podatke štitite sigurnosnim mjerama od neovlaštenog pristupa i gubitka.
• Pouzdanost: kao voditelj obrade morate moći dokazati da se pridržavate svih načela.

GDPR ne traži samo da imate pravila. Traži da možete dokazati da ih provodite. Dokaz se gradi kroz sigurnost, ne kroz dokumentaciju koja opisuje stanje koje ne postoji.

Pravne osnove za obradu

Nijedna obrada nije dopuštena bez valjane pravne osnove. Članak 6. navodi šest osnova, a za svaku obradu morate znati na koju se oslanjate.¹

Prava ispitanika

GDPR daje pojedincima niz prava koja morate ispuniti, u pravilu u roku od mjesec dana. Ispitanik koji ih zatraži, a ne dobije odgovor, može podnijeti pritužbu AZOP-u, što često pokreće nadzor.⁴ Kako postupiti sa zahtjevom objašnjavamo u tekstu o pravima ispitanika prema GDPR-u.

Konkretne obveze tvrtke

Osim načela i pravnih osnova, GDPR nameće niz provjerljivih obveza. Upravo njih nadzorno tijelo prvo traži.¹

• Evidencija aktivnosti obrade (članak 30.): popis koje podatke obrađujete, zašto, na kojoj osnovi i koliko dugo.
• Procjena učinka na zaštitu podataka (DPIA, članak 35.) za obrade visokog rizika, npr. opsežno praćenje ili osjetljive podatke.
• Imenovanje službenika za zaštitu podataka (DPO, članak 37.) kad to uredba traži.
• Ugovori s izvršiteljima obrade (članak 28.) koji vanjske partnere obvezuju na iste standarde.
• Tehničke i organizacijske mjere (članak 32.), razmjerne riziku: enkripcija, kontrola pristupa, sposobnost oporavka.
• Zaštita podataka već u fazi dizajna i prema zadanim postavkama (članak 25.).

Prijava povrede u 72 sata

Kod povrede osobnih podataka (curenje, krađa, neovlašteni pristup) GDPR propisuje kratke rokove. Povredu morate prijaviti AZOP-u bez nepotrebne odgode, a najkasnije u roku od 72 sata od saznanja, osim ako je malo vjerojatno da predstavlja rizik za prava i slobode pojedinaca. Ako je rizik visok, obavještavate i same ispitanike.¹

Rok od 72 sata nemoguće je ispuniti ako uopće ne primjećujete da se incident dogodio. Zato je sposobnost otkrivanja i odgovora preduvjet usklađenosti, a ne tek poželjna mogućnost. To pokrivamo kroz detekciju i odgovor na incidente.

Kazne za nepoštivanje

GDPR predviđa dvije razine upravnih kazni. Stvarna kazna ovisi o težini, trajanju i namjeri, a navedeni iznosi su gornje granice.¹ Kako se visina određuje i tko ih izriče u Hrvatskoj objašnjavamo u tekstu o GDPR kaznama.

Kazna nije jedini ni najveći rizik. Povreda donosi gubitak povjerenja klijenata, troškove sanacije i moguće tužbe. Za mnoge tvrtke reputacijska šteta nadmašuje samu kaznu.

GDPR i kibernetička sigurnost

Veza je najjasnija u članku 32. On traži sigurnost obrade, uključujući enkripciju, povjerljivost i cjelovitost sustava te redovito testiranje učinkovitosti tih mjera.¹ GDPR od vas traži da zaštitu provjeravate, a ne samo opisujete.

Tu se zaštita podataka preklapa s drugim propisima. Obveznici NIS2 mnoge mjere grade jednom i koriste za oba okvira. Testiranje kroz penetracijsko testiranje i pregled sigurnosti aplikacija i clouda izravno potkrepljuje zahtjeve članka 32. Veza certifikacije i usklađenosti detaljnije je u tekstu o ISO 27001 u Hrvatskoj.

Kako se uskladiti, korak po korak

Usklađivanje nije jednokratan projekt, nego trajno stanje. Ipak, postoji jasan redoslijed koji daje rezultat i smanjuje rizik da kasnije otkrijete velik propust.

1. 01
   Popišite podatke

   Utvrdite koje osobne podatke prikupljate, gdje su pohranjeni, tko im pristupa i s kim ih dijelite. Bez te slike svaka odluka je nagađanje.
2. 02
   Odredite osnovu i svrhu

   Za svaku obradu utvrdite pravnu osnovu i svrhu te ih dokumentirajte u evidenciji aktivnosti obrade.
3. 03
   Procijenite rizik

   Provedite procjenu učinka (DPIA) tamo gdje je obrada visokog rizika.
4. 04
   Uvedite mjere

   Primijenite tehničke i organizacijske mjere razmjerne riziku, od kontrole pristupa i enkripcije do planova oporavka.
5. 05
   Uredite izvršitelje

   Sklopite ugovore koji vanjske partnere obvezuju na iste standarde zaštite.
6. 06
   Pripremite postupke

   Uvježbajte ostvarivanje prava ispitanika i prijavu povreda u roku od 72 sata.
7. 07
   Testirajte i educirajte

   Testirajte mjere i educirajte zaposlenike, jer većina povreda počinje ljudskom pogreškom.

Najčešće pogreške

• Oslanjanje na privolu za sve, iako su za poslovne obrade prikladniji ugovor ili legitimni interes.
• Politike privatnosti koje nitko ne provodi i koje ne odgovaraju stvarnom stanju sustava.
• Zanemarivanje izvršitelja obrade, iako vaš rizik uključuje i njihove sustave i propuste.
• Tretiranje GDPR-a kao isključivo pravnog pitanja, bez tehničkih mjera koje propis traži.
• Izostanak plana za prijavu povrede, pa se rok od 72 sata propusti jer postupak nije uvježban.

Kako Raptoric pomaže

Usklađenost gradimo na stvarnoj sigurnosti obrade. Kroz sigurnosni program i rizik slažemo evidencije, procjene i mjere tako da opisuju vašu stvarnu tvrtku, a kroz penetracijsko testiranje dokazujemo da mjere iz članka 32. zaista rade. Najbolji prvi korak je trezvena slika onoga što obrađujete i gdje su stvarne slabosti. Dogovorite uvodni razgovor i reći ćemo vam jasno gdje stojite i koji je sljedeći korak.