Logi dostępu do danych osobowych: art. 32 RODO i rozliczalność

Logi dostępu pomagają ustalić, kto wykonywał operacje na danych, ale same w sobie nie tworzą skutecznego systemu bezpieczeństwa. Powinny być proporcjonalne, chronione i analizowane.

Podstawa oceny i kwalifikacja zdarzenia

Art. 32 RODO wymaga odpowiednich środków bezpieczeństwa dostosowanych do ryzyka. Zakres logowania zależy od rodzaju danych, uprawnień użytkowników i charakteru systemu. Dla dokumentacji medycznej lub danych klientów kancelarii potrzeba szczególnej precyzji identyfikacji operacji.

Obowiązki organizacyjne i dowody

Dobry dziennik powinien pozwalać ustalić użytkownika, czas, typ operacji, zakres danych i istotne zdarzenia uwierzytelnienia. Nie oznacza to dowolności gromadzenia danych pracowników: okres retencji i dostęp do logów trzeba uzasadnić i objąć polityką bezpieczeństwa.

Postępowanie praktyczne i konsekwencje

Po incydencie logi mają znaczenie dowodowe tylko wtedy, gdy są integralne i ich interpretacja uwzględnia kontekst. Nieuprawniony dostęp należy odróżnić od zwykłego błędu operacyjnego; dopiero ocena skutków pozwala zdecydować o ewentualnym zgłoszeniu naruszenia.

Przykład zastosowania

Administrator wykrywa nietypowy odczyt wielu rekordów w krótkim czasie. Weryfikuje uprawnienia i logi, zabezpiecza materiał oraz ocenia ryzyko dla osób.

Model postępowania zgodny z zasadą rozliczalności

Działanie powinno obejmować identyfikację stanu faktycznego, mapę systemów i przepływu danych, kwalifikację prawną, decyzję organizacyjną i dokumentację jej wykonania. Nie można zastąpić tej sekwencji gotową formułką o zgodności z RODO. Dla każdej operacji należy określić cel, podstawę przetwarzania, dostępne zabezpieczenia i osobę odpowiedzialną za ich okresowy przegląd.

Podstawa prawna

Art. 5 ust. 2, 24, 32–34 RODO. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.