Aby mohly být údaje zapomenuty, musí být nejprve nalezeny

Abychom lépe pochopili složitost a časovou náročnost takového procesu, návaznosti jednotlivých kroků a rozsah toho, jakých dat se práva subjektu týkají, vypracovali jsme příkladnou modelovou situaci (viz box na protější straně).

Z něho lze poměrně snadno odhadnout, že vedení většiny podniků si dnes ani nedovedou představit náročnost a složitost procesů potřebných k naplnění svých povinností vyplývajících ze směrnice o GDPR. Pro zajištění úspěchu bude nezbytné zajistit týmovou spolupráci všech oddělení, která mohu jakýmkoliv způsobem zpracovávat a uchovávat citlivá osobní data (HR, marketing, obchod...). Především je pak nezbytné zmapovat veškeré IT procesy, které s daty jakkoliv souvisejí, a adekvátně změnit procesy ukládání, zálohování a archivace dat. Organizace, která nemá dokonalý přehled o tom, jaká data uchovává, v jaké formě a na jakých místech, nemůže směrnici GDPR vyhovět.

Krok první, poznejte svá data a dostaňte je pod kontrolu

Podle průzkumů existuje ve firmách v průměru 52 procent temných dat. Takových, která nejsou zmapována podnikovými procesy, nejsou součástí oficiálních databází a nejsou zpracovávána standardizovanými aplikacemi. V řadě společností však může být poměr mezi jasně klasifikovanými a temnými daty i výrazně vychýlenější ve prospěch dat temných. Aby však bylo možné vyhovět GDPR směrnici, je potřeba mít přehled o veškerých osobních datech, která firma nebo organizace přechovává. Na počátku procesu přizpůsobení organizace novým pravidlům o ochraně osobních údajů tak musí být především důkladně zmapována zmíněná temná data. Je proto zapotřebí vést rozhovory s jednotlivými zaměstnanci, aby byl vytvořen kompletní přehled o tom, jak osobní data získávají, používají a zveřejňují. Na základě zjištěných skutečností je následně potřeba vytvořit kompletní mapu procesů vedoucí k pořízení, využívání, zveřejňování, ukládání a zálohování osobních dat. Teprve posléze lze provést účinnou revizi procesů a zásad pro zpracování dat tak, aby byla v souladu s GDPR.

S pomocí účinných technických nástrojů pak bude možné vnést světlo do temných dat, která firma či organizace vlastní. Nepotřebná data by měla být smazána a vhodnou formulací zásad je třeba zabránit jejich dalšímu pořizování a ukládání.

Po důkladné analýze budete možná hodně překvapeni zjištěním, kde všude jsou u vás citlivá data uložena a co obsahují. Proces zmapování a následné revize sice není snadný a v konečných důsledcích patrně nebude ani levný, nicméně na jeho konci může být i nemalá úspora nákladů na ukládání a zálohování dat. Především však nelze ignorovat rizika vysokých pokut spojených s nedodržením směrnice o GDPR, neřkuli s únikem či ztrátou citlivých dat.

Krok druhý, zaveďte procesy, abyste data nalezli rychle

Abyste byli schopni vyhovět možnému přílivu požadavků na prověrku, případně úpravu či smazání dat jednotlivých subjektů, bude nezbytné připravit a zavést takové procesy, které dovedou inkriminovaná data rychle vyhledat a spolehlivě prověřit. Je tedy zapotřebí identifikovat aplikace a úložiště, která nesou firemní data, zaznamenat aktuální nástroje a procesy vyhledávání obsahu datových zdrojů a stanovit ohodnocení replikačních a zálohovacích politik na základě kritičnosti dat a systémů i jejich dopadů.

Z tohoto pohledu je nejsnazší zavést pořádek v takzvaných strukturovaných datech, tedy takových, která jsou soustředěná a používaná v rámci databází. Práce s nimi je lépe definovatelná, u každého pole databáze lze snáze stanovit, nakolik může obsahovat citlivá data a jak je s nimi potřeba nakládat. Většinou není ani problémem poměrně snadno ustanovit, kdo může mít k citlivým datům přístup a případně jak s nimi může nakládat.

Pro úspěch "zkrocení" strukturovaných tak postačí:

• poznat databázová schémata,
• zajistit vhodnost nativních dotazovacích nástrojů,
• definovat privilegované požadavky na přístup,
• vytvořit dotazy pro vyhledávání a extrakci dat.

S nestrukturovanými daty je to však poněkud složitější, mohou představovat různé podoby a formáty, spolehlivá identifikace typů a atributů dat je tedy mnohem náročnější. V podstatě se neobejde bez sofistikovaných nástrojů, jakými je například Data Insight. To následně platí také o případných korekcích dat nebo jejich vymazání.

Stejný nástroj pak lze s úspěchem využít také k zajištění upozorňování na možná ohrožení v podobě neoprávněných využití citlivých dat a anomálií v přístupech k nim.

Požadavek na rychlé vyhledání a korekci nestrukturovaných dat v případě, že o ně subjekt požádá, lze velmi podstatně urychlit vytvořením a pravidelnou aktualizací indexu nestrukturovaných dat. Tady je možné sáhnout například po nástroji Enterprise Vault.

Popsanými postupy lze vnést řád do nestrukturalizovaných dat natolik, aby zbývající kroky nakládání s daty, tedy definice privilegovaných požadavků na přístup a vytvoření dotazu pro vyhledávání a extrakci dat, proběhly už víceméně obdobně jako u dat strukturovaných.

V návaznosti na uvedené fáze práce se strukturovanými a nestrukturovanými daty je následně potřeba identifikovat nedostatky v používaných nástrojích a zpřesnit politiky pro klasifikaci a retenci dat.

V procesu revize je dále zapotřebí:

• irelevantní data vyloučit nebo redigovat,
• data určená ke zveřejnění označit,
• data určená ke zveřejnění převést do "snadno pochopitelného" formátu,
• průběh zpracování případu přitom musí být sledován a je třeba zajistit i dodržení stanovených časových lhůt.

Krok třetí, nezapomeňte na základy - proveďte analýzu zabezpečení a ochrany vašich dat

Princip integrity a důvěrnosti v GDPR vyžaduje, aby osobní údaje byly chráněny před ztrátou, poškozením a zničením. Je proto nezbytné se také ujistit, že jsou data řádně zálohována tak, aby je bylo možné v případě potřeby a v potřebných lhůtách obnovit. Ačkoliv se mnohým může zdát, že jde o nejjednodušší část z celé problematiky GDPR, neměli bychom ji podceňovat. Kdo se již někdy v praxi setkal se ztrátou dat a potřebou jejich částečné nebo i plné obnovy, dozajista ví, že pravidelně zálohovat ještě neznamená spolehlivě a včas obnovit.

Pokud společnosti provedou analýzu svých dat správně, s vysokou pravděpodobností zjistí, že jejich data jsou roztroušena napříč různými úložnými prostory. Osobní údaje jsou tak často uložené na mnoha místech včetně virtualizovaných systémů, cloudových infrastruktur, mobilních zařízení nebo i sdílených cloudových služeb. Udržet je tedy pod kontrolou, zajistit jejich kompletní zálohování a případně i účinnou obnovu tak není až tak triviální činností. Zpravidla se tedy ani tady firmy a organizace neobejdou bez kvalitních a sofistikovaných nástrojů.

Petr David, senior principal presales consultant CZ, SK & Baltics, Veritas