Ochrana osobních dat se podceňuje

Výrobce skartovacích zařízení Fellows se loni na jaře v Německu dotazoval personálních manažerů na jejich povědomí o ochraně osobních dat a jejich bezpečnosti. Průzkum se zaměřil na personální management, na oblast práva, zdravotnictví, bankovnictví a pojišťovnictví. Odpovědi 1005 účastníků ukázaly značné nedostatky, které by měly v digitálním věku vést k hlubšímu zamyšlení.

SKARTACÍ TO ALE NEKONČÍ

Jen 26 procent dotázaných totiž uvedlo, že znají obsah německého zákona o ochraně dat, 46 procent si jich není vědomo možnosti zcizení osobních údajů a 45 procent dotázaných odpovědělo, že neví, že o zcizení osobních údajů jde i tehdy, jestliže se nosiče s těmito informacemi dostanou třeba do kontejneru. I touto "nevědomostí" lze tedy vysvětlit, proč se stává, že návrhy smluv, staré materiály z personálních oddělení končí téměř ve dvaceti procentech v odpadkových koších, aniž byly předem zničeny.

Téma ochrany osobních dat má ale mnohem širší souvislosti a neomezuje se pouze na jejich skartaci apod. Například v období první ropné krize koncem 60. let stál jeden velký koncern před otázkou snižování počtu pracovníků. Šlo o velmi nákladné sociální plány. Společnost se tomuto nepříjemnému kroku vyhnula tím, že sestavila seznam mladých mužů a ten poskytla místní vojenské správě s tím, že mladí muži budou posláni na náhradní vojenskou službu. Personální manažeři si tehdy vůbec nebyli vědomi, že by postupovali nesprávně. Na možnost zneužití dat v seznamu upozornil pouze programátor, který se podílel na jeho sestavení.

JAK (NE)REPORTOVAT

Druhý příklad je čerstvějšího data a popisuje aktuální reportingový systém jednoho mezinárodního koncernu orientovaného na prodej. Jeho obchodníci denně zadávají své aktivity do celosvětově vedeného systému, jehož server je umístěn v mateřské společnosti za oceánem. Zaznamenává se v něm vše, co se týká obchodních případů - zahajování a uzavírání obchodů, stejně jako průtahy a neúspěšná jednání. Neomezený vstup do této databanky mají všichni obchodníci koncernu v souladu s filozofií mateřské společnosti. Podle ní se tím má vytvářet tlak na zvyšování individuálních výkonů. Z hlediska HR manažerů a strategických cílů udržet ve firmách ty nejlepší lidi, to však moc taktické není. Pracovník zodpovědný za reportingový systém, patrně nikdy neslyšel o lovcích mozků nebo o právu na ochranu osobních údajů.

BEZPEČNOST DAT

Podle řadu let platného německého zákona se stalo ve firmách pravidlem, že osobní data jsou spravována personálním oddělením a uchovávána pod zámkem. Jsou vydávána jen příslušným vedoucím pracovníkům, pokud tyto materiály potřebují. Po pracovní době se pak vracejí nazpět na personální oddělení. Ze zákona totiž nesmějí tyto materiály putovat po pracovišti. Značně omezen je i přístup do databank s informacemi o personálu. Zde dvojnásob platí zásada "need-to-know". Bohužel mnohdy chybí další článek v řetězu. Ne vždy je personálním oddělením dotvořen systém pro vedoucí pracovníky IT oddělení, jak mají postupovat při ochraně a skartování nosičů s osobními daty. Přitom právě zde je citlivé místo možnosti jejich úniku - např. se to může stát při obsluze, servisních pracích, přenosu dat stejně jako během výměny vadných pevných disků.

VNĚJŠÍ RIZIKA

Velkou pozornost vyžaduje zajištění o ochranu osobních dat, pokud firma zadává zpracování dat externímu dodavateli. Outsourcing (nákup služeb mimo podnik) osobních dat, totiž zavazuje firmu ke kontrole, zda dodavatel dostatečně zajistil z hlediska technického a organizačního veškerá opatření, aby data, s nimiž nakládá, byla chráněna. Tato povinnost kontroly externích dodavatelů v případě zpracování osobních dat vychází z novely spolkového zákona o ochraně dat, která platí od roku 2001. Nestanovuje sice žádné přímé sankce, jestliže je tato podmínka ignorována, ale ručení platí pro případ, že by došlo k chybě. Podle této novely se ale např. může i podniková rada dotázat, jak zaměstnavatel plní tyto své povinnosti.

Pokud se data zpracovávají mimo Evropu, je třeba s outsourcingem zacházet ještě obezřetněji. K úniku dat může přitom dojít i zcela nepozorovaně, stačí, když si např. podnik nechá vyhotovit elektronické karty pro své zaměstnance v zámoří a nezajistí si předem tento proces podle přísných předpisů, které pro ochranu dat platí. Právě případy takových přesunů informací by měly vést k přezkoumání, zda jsou předpisy o ochraně dat opravdu dodržovány.

ROLE HR ŠÉFA V OCHRANĚ DAT

Přirozeně vzniká otázka, jak šéf personálního oddělení u svých partnerů, poskytujících služby mimo podnik, může přezkoumat ochranná opatření. Má tento partner plán zabezpečení dat na úrovni IT, či má k dispozici návod, jak postupovat? Vysílá personální manažer pověřenou osobu, aby provedla inspekci? Jestliže se kontrola omezuje na to, že zaměstnanec personálního oddělení stojí v servisním výpočetním středisku při tisku, stěží může uskutečnit rozumnou kontrolu. Takových "kontrol" znají zpracovatelé dat z uplynulých desetiletí jistě bezpočet.

Správný postup zní pouze takto: buď se podívají vlastní nebo externí odborníci zadavatele zakázky na organizaci bezpečnosti dodavatelské firmy před vlastním zadáním zakázky, nebo si zadavatel nechá předložit od nezávislé instance doklad o bezpečnostním ověření. Jeden z těchto kroků je nutné uskutečnit, aby bylo možné se vyhnout rizikům, plynoucích ze závazků. Zda se poté dohodnuté standardy dodržují, to už může zjistit následná namátková kontrola.

PROVĚRKY POŽADOVANÝCH ZÁRUK BEZPEČNOSTI

Kdo může tento úkol uskutečnit? Je stále běžnější, že outsourcingový partner z oblasti poskytování služeb mimo podnik se sám nechá prověřit externí poradní společností. Tyto prověrky sestávají ze dvou částí: první odpovídá na otázku, zda zpracování dat u outsourcingových partnerů probíhá v souladu s požadavky na ochranu dat, druhá část otázkou, zda předem stanovená opatření splňují potřebné požadavky bezpečnosti IT. Na základě takto uskutečněné prověrky může pak německá společnost požádat o certifikát, jestliže posuzovatel vlastní certifikát u dozorčího úřadu pro ochranu dat.

Podle Gliss, H., Kamer P.: Personaldaten sichern, Personal 11/2005, výtah -kle-

Pokud si společnosti v oblasti IT a High Tech stěžují na agresivitu headhunterů, kteří loví mezi jejich zaměstnanci, není se někdy proč divit. Často v místnostech, kde se konají porady, a na recepcích leží bez povšimnutí interní telefonní seznamy, které jsou řazeny nejenom podle jmen, ale také podle oddělení a pozic.