Gromadzenie danych osobowych „na zapas”. Case study ISO/IEC 27001 A.5.34

›Zabezpieczenie A.5.34 załącznika A normy ISO/IEC 27001:2022 wymaga, aby organizacja identyfikowała i spełniała wymagania wynikające z przepisów o ochronie danych osobowych oraz zobowiązań umownych w tym zakresie. Zgodnie z RODO gromadzenie danych osobowych „na zapas”, bez określonego celu i podstawy prawnej, narusza zasady minimalizacji danych i ograniczenia celu. Samo przechowywanie tych danych mieści się w definicji przetwarzania, niezależnie od tego, czy ktokolwiek aktywnie z nich korzysta.

Co pokazuje komiks

W scence chochlik Random gromadzi dane osobowe „na zapas”, na wypadek, gdyby kiedyś się przydały. Wokół niego rosną sterty dokumentów i nośników. Broni się argumentem, że tych danych nie przetwarza, bo one „po prostu leżą na serwerze”.
Krasnal Norman reaguje jednoznacznie. Zbieranie danych bez konkretnego celu i podstawy prawnej jest niedozwolone, a samo przechowywanie mieści się w definicji przetwarzania z RODO. W argumentacji chochlika kryje się klasyczne nieporozumienie wokół pojęcia przetwarzania danych osobowych.

Wymaganie ISO/IEC 27001, którego dotyczy scenka

Zabezpieczenie A.5.34. Ochrona danych osobowych
Zabezpieczenie A.5.34 załącznika A normy ISO/IEC 27001:2022 nakłada na organizację obowiązek identyfikowania i spełniania wymagań wynikających z przepisów o ochronie danych osobowych oraz zobowiązań umownych w tym zakresie. Dla organizacji działających w Polsce i pozostałych państwach Unii Europejskiej centralnym punktem odniesienia pozostaje RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679). Norma traktuje ochronę danych osobowych jako obszar wymagający świadomego mapowania wymagań prawnych na konkretne zabezpieczenia techniczne i organizacyjne w ramach ISMS.
Do scenki odnoszą się przede wszystkim trzy zasady z art. 5 RODO. Zasada ograniczenia celu mówi, że dane osobowe zbierane są w konkretnych, wyraźnych i prawnie uzasadnionych celach. Zasada minimalizacji danych wymaga, aby dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Zasada ograniczenia przechowywania nakłada obowiązek przechowywania danych w formie umożliwiającej identyfikację osoby, której dane dotyczą nie dłużej, niż wymaga tego cel przetwarzania. Każdą z w/wym. zasad narusza poprzez gromadzenie danych „bo kiedyś się przydadzą”.

Zabezpieczenie powiązane A.8.10

Scenka odsłania także zabezpieczenie A.8.10 dotyczące usuwania informacji. Norma wymaga, aby informacje, w tym dane osobowe, były usuwane z systemów i nośników, gdy nie są już wymagane. W połączeniu z zasadą ograniczenia przechowywania z RODO powstaje jasny obraz: dane bez aktualnego celu przetwarzania nie powinny dłużej zajmować miejsca w systemach organizacji, a sposób ich usuwania musi być skuteczny i udokumentowany.

Dlaczego scena stanowi niezgodność z wymaganiem

Pierwszy element niezgodności dotyczy samej decyzji o zbieraniu danych. Random gromadzi je bez określonego celu. Argument „nigdy nie wiadomo, co się kiedyś przyda” nie jest akceptowalną podstawą w świetle RODO. Każde przetwarzanie danych osobowych musi mieć jedną z podstaw prawnych wymienionych w art. 6 RODO: zgodę osoby, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, zadanie realizowane w interesie publicznym lub uzasadniony interes administratora. „Na zapas” nie figuruje na tej liście.
Drugi element to błędne rozumienie pojęcia przetwarzania. Random twierdzi, że tylko przechowuje dane, więc ich nie przetwarza. Zakłada, że przetwarzanie wymaga aktywnego działania. Definicja z art. 4 pkt 2 RODO jest jednak znacznie szersza i obejmuje każdą operację wykonywaną na danych osobowych, w tym zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, wykorzystywanie, ujawnianie, ograniczanie, usuwanie lub niszczenie. Przechowywanie danych na serwerze to przetwarzanie w pełnym sensie prawnym, a organizacja podlega wszystkim obowiązkom administratora.
Trzeci element dotyczy retencji. Nawet dane zebrane pierwotnie zgodnie z prawem tracą uzasadnienie do dalszego przechowywania, kiedy pierwotny cel przetwarzania ustaje. Organizacja nie może trzymać ich w nieskończoność tylko dlatego, że raz znalazły się w jej systemach. Zasada ograniczenia przechowywania wymaga aktywnego przeglądu i usuwania danych, które stały się zbędne.

Konsekwencje i potencjalne konsekwencje

Konsekwencja pierwsza dotyczy statusu organizacji w świetle RODO. Każdy zbiór danych osobowych, także ten „leżący na serwerze”, generuje pełen zestaw obowiązków administratora. Potencjalne konsekwencje sięgają znacznie dalej.

• Odpowiedzialność administratora. Organizacja odpowiada za wszystkie dane osobowe, które przechowuje, nawet jeżeli nie są aktywnie wykorzystywane. Obowiązuje ją m.in. obowiązek informacyjny z art. 13 i 14 RODO, obsługa praw osób z art. 15 do 22 RODO oraz zgłaszanie naruszeń z art. 33 RODO.
• Kary administracyjne. Naruszenie zasad z art. 5 RODO jest zagrożone karą do 20 mln EUR lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. PUODO (Prezes Urzędu Ochrony Danych Osobowych) nakłada kary za nadmiarowe gromadzenie danych i brak polityki retencji regularnie.
• Obowiązek obsługi żądań osób. Osoba, której dane znalazły się w zbiorze, może zażądać m.in. dostępu, sprostowania, usunięcia lub przeniesienia danych. Organizacja bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem. Jeżeli administrator nie wie, gdzie są dane i co dokładnie posiada, nie odpowie na czas.
• Zwiększona powierzchnia ataku. Im więcej danych osobowych organizacja przechowuje, tym większy skutek ewentualnego wycieku. Baza pełna zbędnych rekordów w przypadku incydentu może być przedmiotem poważnego naruszenia ochrony danych osobowych wymagającym zgłoszenia do UODO w ciągu 72 godzin.
• Nieaktualne dane w decyzjach. Dane zebrane dawno i nieodświeżone prowadzą do błędnych działań biznesowych: wysyłek do osób, które dawno zmieniły status, ofert opartych na nieaktualnej segmentacji, kontaktów do byłych kontrahentów.
• Wpływ na certyfikację. Audytor nadzorczy ISO/IEC 27001 weryfikuje spełnianie wymagań prawnych zgodnie z A.5.34. Stwierdzenie nadmiarowego gromadzenia danych przy braku rejestru czynności przetwarzania i bez polityki retencji może skończyć się niezgodnością wymagającą działań korygujących.

Jak prawidłowo spełnić wymaganie A.5.34

W analogicznej sytuacji organizacja może sięgnąć po różne mechanizmy spełnienia wymagania. Żadna z poniższych propozycji nie jest jedyną drogą. W praktyce doradczej Malon Group obserwujemy kilka kierunków, które skutecznie zamykają ten obszar.
Jednym ze sposobów jest prowadzenie rejestru czynności przetwarzania zgodnie z art. 30 RODO. Rejestr określa m.in. cele przetwarzania, podstawę prawną (opcjonalnie), kategorie osób i danych, odbiorców oraz jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych.
Możliwym rozwiązaniem jest wdrożenie polityki retencji danych. Organizacja ustala okres przechowywania dla każdej kategorii danych, wynikający z celu przetwarzania z uwzględnieniem obowiązujących przepisów (np. Ordynacja podatkowa, Kodeks pracy, Kodeks cywilny). Po upływie okresu dane są usuwane, anonimizowane lub archiwizowane według odrębnych zasad. Polityka musi być wsparta mechanizmem technicznym lub proceduralnym, który wymusza jej wykonanie.
Jednym z obowiązków jest projektowanie systemów zgodnie z zasadą privacy by design i privacy by default z art. 25 RODO. Systemy od początku minimalizują zakres zbieranych danych, a ustawienia domyślne ograniczają przetwarzanie do niezbędnego minimum. Formularze nie pytają o dane, których organizacja nie używa. Systemy CRM nie przechowują informacji zbędnych dla procesu handlowego.
Innym podejściem jest program świadomości zgodny z zabezpieczeniem A.6.3. Pracownicy powinni rozumieć, że dane osobowe, które gromadzą lub przechowują, podlegają przepisom RODO, a samo przechowywanie to jedna z form przetwarzania danych osobowych. Szkolenie z podstaw RODO wzbogacone konkretnymi przykładami z praktyki organizacji może mieć wpływ na sposób, w jaki pracownicy podchodzą do zbierania i utrzymywania danych.

Wsparcie Malon Group

Wdrożenie zgodności z RODO, prowadzenie rejestrów czynności przetwarzania, polityka retencji danych, outsourcing funkcji inspektora ochrony danych (IOD) oraz integracja zarządzania danymi osobowymi z ISMS zgodnym z ISO/IEC 27001 to obszary, w których Malon Group wspiera organizacje w Polsce. Jeżeli chcesz omówić, jak zamknąć ten obszar w swojej firmie, skontaktuj się z nami w sprawie wdrożenia ISO/IEC 27001 lub audytu wewnętrznego systemu zarządzania bezpieczeństwem informacji.

Najczęściej zadawane pytania (FAQ):

Case study opracowany przez zespół Malon Group na podstawie komiksu ilustrującego wymagania ISO/IEC 27001:2022, załącznik A, zabezpieczenie A.5.34. Aktualizacja: kwiecień 2026.

Zapraszamy do korzystania z naszych usług w zakresie systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

• Wdrażanie systemu ISO/IEC 27001 czytaj więcej …

• Wdrażanie wymagań RODO czytaj więcej …

• Nadzorowanie systemów zarządzania (outsourcing Pełnomocnika) czytaj więcej …

• Szkolenia z bezpieczeństwa informacji ISO/IEC 27001 czytaj więcej …