CISO a DPO: jasně vymezte předávání práce

Týmy pro bezpečnost a ochranu osobních údajů často zkoumají tentýž systém z různých stran. CISO se ptá, zda jsou přístupy, odolnost a zvládání rizik dostatečné. Pověřenec pro ochranu osobních údajů (DPO) radí v otázkách zákonného zpracování, práv jednotlivců, záruk a souladu s předpisy o ochraně osobních údajů. Jejich práce se překrývá, jejich pravomoci by však neměly být zaměnitelné.

Pro vedení není praktickou otázkou jen to, kdo nese který titul. Jde o to, kdo dodává fakta, kdo radí, kdo zavádí a kdo činí odpovědné rozhodnutí. Tato rozlišení jsou důležitá, když se spouští produkt, mění se dodavatel nebo incident vynutí jednání dříve, než je vyšetřování dokončeno.

Funkční uspořádání dává oběma funkcím včasný přehled a zároveň zachovává nezávislost DPO. Zároveň jasně stanoví, že jmenování specialistů, ať interních, nebo externích, nepřenáší odpovědnost správce za rozhodnutí o zpracování.

Vymezte mandáty dříve, než přidělíte lidi

Odpovědnosti CISO závisejí na správě a řízení organizace. Titul může označovat člena vedení, který řídí bezpečnostní funkci, specialistu provozujícího systém řízení bezpečnosti informací nebo externího poradce na částečný úvazek. Manažer bezpečnosti informací může mít užší působnost. Mandát definujte, místo abyste předpokládali, že jej určuje titul.

DPO má podle článků 37–39 GDPR konkrétní zákonné úkoly a ochranu. Patří k nim informování a poradenství, monitorování souladu, poradenství k posouzení vlivu na ochranu osobních údajů, spolupráce s dozorovým úřadem a působení jako jeho kontaktní místo. DPO musí podléhat přímo nejvyšší úrovni vedení a nesmí dostávat žádné pokyny týkající se plnění těchto úkolů.

Bezpečnost pokrývá víc než osobní údaje. Útok ransomwaru na technické výkresy nebo plánování výroby je bezpečnostním problémem, i když se netýká žádných osobních údajů. Ochrana soukromí pokrývá víc než bezpečnost: dobře chráněná databáze může stále obsahovat informace shromážděné bez odpovídajícího právního základu nebo uchovávané zbytečně.

Společné území zahrnuje technická a organizační opatření založená na riziku, která vyžaduje článek 32 GDPR. Řízení přístupu, opatření pro obnovu a testování mohou podporovat obě funkce. Sdílené důkazy jsou užitečné; samotná posouzení tím ale totožná nejsou.

Určete, které role vaše organizace skutečně potřebuje

Povinnost jmenovat DPO posuzujte odděleně od personálního plánování

DPO není automaticky povinný pro každou organizaci. Podle článku 37 GDPR je jmenování povinné pro orgány veřejné moci a veřejné subjekty, s výjimkou soudů, a pro organizace, jejichž hlavní činnosti spočívají buď v rozsáhlém pravidelném a systematickém monitorování, nebo v rozsáhlém zpracování zvláštních kategorií údajů či osobních údajů týkajících se rozsudků v trestních věcech a trestných činů.

Toto posouzení nezužujte na velikost firmy. I relativně malá organizace může mít činnosti zpracování, které povinnost jmenování vyvolávají, zatímco samotný počet zaměstnanců na test podle GDPR neodpovídá. Vnitrostátní právo může stanovit další povinnosti jmenování. V Německu posuďte doplňující vnitrostátní pravidla, místo abyste se spoléhali výhradně na článek 37 nebo na zapamatovanou hranici počtu zaměstnanců.

Veďte posouzení jmenování, které uvádí dotčené subjekty, činnosti zpracování, jurisdikce, důvody závěru a události, které by vyvolaly nové posouzení. Nová monitorovací služba, akvizice nebo přechod ke zpracování citlivých údajů mohou odpověď změnit.

Pokud DPO povinný není, přidělte odpovědnosti za ochranu osobních údajů i tak. Povinnosti týkající se právních základů, transparentnosti, vyřizování práv, bezpečnosti a odpovědnosti nemizí. S formálním titulem DPO zacházejte uvážlivě: dobrovolné jmenování je třeba brát jako skutečnou roli DPO, ne jen jako označení administrativního kontaktu.

Rozlišujte vlastnictví bezpečnosti od univerzální povinnosti mít CISO

GDPR neobsahuje jednotný požadavek jmenovat někoho s titulem CISO. Řízení bezpečnosti mohou ovlivňovat jiná odvětvová nebo vnitrostátní pravidla, proto je posuďte samostatně.

ISO/IEC 27001 vyžaduje přidělení odpovědností a pravomocí pro ISMS v daném rozsahu; univerzální název pozice nepředepisuje. Smlouvy se zákazníky mohou také vyžadovat jmenovitý bezpečnostní kontakt, definované odpovědnosti nebo konkrétní doklady o zárukách.

Pro organizace v působnosti upravují články 20–23 NIS2 dohled vedení, opatření k řízení kybernetických bezpečnostních rizik a hlášení incidentů. NIS2 se provádí vnitrostátním právem a její použitelnost závisí na odvětví, velikosti, službě a pravidlech zahrnutí, nikoli jen na počtu zaměstnanců. U provozů v Německu používejte pokyny BSI k NIS2 spolu s příslušnými právními předpisy.

Rozhodnutí vedení je tedy dvojí: určit právní a smluvní požadavky a poté zajistit zdroje pro bezpečnostní práci potřebnou k provozu firmy. Titul bez pravomocí, kapacity a přístupu neřeší ani jeden z těchto problémů.

Střet zájmů posuzujte podle skutečných rozhodovacích pravomocí

Čl. 38 odst. 6 GDPR umožňuje, aby DPO plnil i jiné úkoly, pokud nevedou ke střetu zájmů. Kombinace rolí není automaticky zakázána, vyžaduje však věcné posouzení. Hlavní otázkou je, zda daná osoba určuje účely a prostředky zpracování, k nimž pak má nezávisle radit nebo je monitorovat.

Prověřte pravomoci spojené s navrhovaným jmenováním:

• Může osoba rozhodovat o tom, proč se shromažďují údaje zaměstnanců nebo zákazníků?
• Může volit monitorovací nástroje, vymezovat jejich rozsah nebo určovat dobu uchovávání?
• Schvaluje systémy nebo ujednání o zpracování, místo aby jen radila?
• Monitorovala by rozhodnutí, která sama učinila v jiné roli?
• Může vznášet obavy přímo u vedení bez protichůdné motivace?

CISO, který schvaluje opatření k monitorování zaměstnanců, představuje jiný profil střetu zájmů než bezpečnostní poradce, který dodává doporučení bez rozhodovací pravomoci. Zvláštní pozornost si zaslouží vyšší pozice v IT, HR a vedení, samotné názvy pozic však úplné posouzení nepředstavují.

Zdokumentujte povinnosti druhé role, delegované pravomoci, linie podřízenosti a záruky. Posouzení zopakujte, když se odpovědnosti změní. Zástupce nebo nezávislý posuzovatel může pomoci s kontinuitou a zárukami, neslučitelné jmenování však automaticky nenapraví.

Jako praktické doporučení role oddělte tam, kde má bezpečnostní funkce podstatné pravomoci nad zpracováním osobních údajů. Dvojí jmenování neodůvodňujte jen tím, že je firma malá nebo že dané osobě důvěřujete. Důvěra neodstraňuje přezkoumávání vlastní práce ani protichůdné odpovědnosti.

Externí jmenování vyžaduje stejně důkladné prověření. Outsourcing může poskytnout nezávislost na interních liniích podřízenosti, střety však mohou vzniknout i prostřednictvím překrývajících se mandátů nebo motivací poskytovatele.

Předávání definujte kolem opakující se práce

Matice odpovědností by měla popisovat rozhodnutí a výstupy, ne jen účast. Vyhněte se řádkům typu „bezpečnost a ochrana soukromí společně odpovědné“, aniž by bylo uvedeno, kdo musí jednat jako další.

Následující tabulka je praktickým výchozím bodem, nikoli zákonným rozdělením všech povinností:

Změny produktu: proveďte první předání dost brzy, aby mělo smysl

U nové zákaznické platformy by měl odpovědný vlastník v byznysu uvést zamýšlený účel a rozhodnutí o zpracování. Dodejte krátké zadání změny, které pokryje kategorie údajů, dotčené osoby, systémy, dodavatele, přístupy, uchovávání a předpokládané datum nasazení. Přidejte náčrt toku dat, pokud uspořádání zpřehlední.

Bezpečnost pak posoudí hrozby a ochranu: privilegovaný přístup, autentizaci, oddělení, logování, zálohování a obnovu a doklady potřebné před vydáním. Specialisté na ochranu osobních údajů posoudí právní základ, transparentnost, minimalizaci, uchovávání, vztahy při zpracování a to, zda je nutné DPIA. Podle článku 35 GDPR je DPIA povinné tam, kde zpracování pravděpodobně povede k vysokému riziku; je-li DPO jmenován, konzultujte jej.

Předání by mělo vést k výslovným zjištěním, ne k odděleným nevysvětleným schválením. Zaznamenejte doporučení DPO, je-li relevantní, obchodní rozhodnutí, podmínky vydání a vlastníka každého zbývajícího úkolu. Pokud se vedení doporučením neřídí, uchovejte jeho zdůvodnění a nevyřešené právní obavy eskalujte. Akceptace obchodního rizika nemůže z nezákonného zpracování udělat zákonné.

Nastavte spouštěče přezkumu, jako jsou nové citlivé údaje, monitorování zaměstnanců, změněné účely, podstatně širší přístupy nebo nový dodavatel. To je užitečnější než vyžadovat stejnou dokumentaci u každé drobné změny rozhraní.

Zavedení dodavatele: oddělte bezpečnostní záruky od zákonnosti zpracování

Vlastník v byznysu by měl určit službu, dotčené údaje a to, co bude dodavatel skutečně dělat. Bezpečnost posoudí relevantní záruky, ujednání o přístupu, podporu při incidentech a odolnost. Ochrana soukromí posoudí, zda je dodavatel zpracovatelem, samostatným správcem nebo jiným účastníkem uspořádání zpracování.

Pokud se uplatní článek 28, musí smlouva obsahovat požadovaná ustanovení o zpracovateli. Mezinárodní předávání vyžaduje samostatné posouzení; smlouva o zpracování ani preferované místo hostingu tuto otázku neřeší.

Dohodněte se, kdo získá chybějící doklady a kdo vyjedná smluvní změny. Častou chybou je považovat bezpečnostní dotazník za úplný přezkum, takže role při zpracování, další zpracovatelé, výmaz a předávání zůstanou neprověřeny. Jinou chybou je vyjednávat podmínky ochrany osobních údajů bez pochopení skutečného technického přístupu dodavatele.

Výstup by měl uvádět, jaká služba a konfigurace byly posouzeny, akceptované podmínky, otevřené otázky a spouštěče nového posouzení. Podstatné změny přístupů, dalších zpracovatelů nebo míst zpracování by se měly dostat k oběma funkcím.

Incidenty: sdílejte fakta dříve, než je k dispozici jistota

Při podezření na porušení bezpečnost vyšetřuje, zatímco ochrana soukromí posuzuje dopady na dotčené osoby a oznamovací povinnosti. Žádný z týmů by neměl se sdílením relevantních informací čekat na hotovou zprávu.

První předání by mělo uvádět, co se stalo, kdy to bylo zjištěno, jaké systémy a údaje mohou být dotčeny, zda byla zasažena důvěrnost, integrita nebo dostupnost, jaká omezující opatření proběhla a co zůstává neznámé. Určete osobu, která bude vést časovou osu a průběžně informovat obě funkce o změnách faktů.

Podle článku 33 GDPR musí správce ohlásit porušení dozorovému úřadu bez zbytečného odkladu, a pokud je to možné, do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody osob. Zpracovatel musí správce informovat bez zbytečného odkladu. Zaznamenejte posouzení okamžiku, kdy se správce o porušení dozvěděl; nepředpokládejte, že každé první upozornění spouští zákonnou lhůtu nebo že před jednáním je nutná úplná forenzní jistota.

Článek 34 může vyžadovat oznámení dotčeným osobám, pokud existuje vysoké riziko, s výhradou jeho výjimek. Dohodněte se, kdo koordinuje lhůty, připravuje podání, schvaluje komunikaci a uchovává doklady. Porušení zabezpečení osobních údajů dokumentujte včetně zdůvodnění v případech, kdy se oznámení považuje za nepotřebné. Chybějící fakta mohou vyžadovat postupné ohlašování namísto mlčení po dobu vyšetřování.

U incidentu zasahujícího subjekt v působnosti souběžně posuďte, zda splňuje příslušnou prahovou hodnotu NIS2 pro hlášení významného incidentu. Směrnice stanoví včasné varování do 24 hodin, oznámení incidentu do 72 hodin a zpravidla závěrečnou zprávu do jednoho měsíce od oznámení; ověřte vnitrostátní a odvětvová pravidla. Jde o jiné spouštěče a jiné adresáty než u GDPR, nikoli o jeden zaměnitelný ohlašovací proces.

Žádosti subjektů údajů: držte provozní podporu odděleně od vlastnictví odpovědi

Žádosti subjektů údajů často vyžadují podporu bezpečnosti a IT při přiměřeném ověření totožnosti, vyhledání informací, ochraně údajů třetích osob a bezpečném doručení odpovědi. Ochrana soukromí koordinuje právní posouzení, v odůvodněných případech s doporučením DPO. Za odpověď nadále odpovídá správce.

Podle článku 12 GDPR je běžná lhůta pro odpověď jeden měsíc. Prodloužení o další dva měsíce může být možné, je-li to nezbytné, přičemž oznámení a důvody je třeba poskytnout během prvního měsíce. Žádosti jsou zpravidla bezplatné a pro poplatky nebo odmítnutí platí omezené podmínky.

Zaznamenejte, kdo vlastní lhůtu, které systémy je třeba prohledat a kdo schvaluje zpřístupnění. Nevyžadujte standardně nadměrné doklady totožnosti a nedopusťte, aby se technický export stal nepřezkoumanou odpovědí. Sdílený provozní proces může propojit posouzení ochrany soukromí s vyhledáváním a kontrolami doručení popsanými v článku vyřizování žádostí subjektů údajů o přístup.

Mezi interním a externím jmenováním volte podle schopností a přístupu

Čl. 37 odst. 6 GDPR výslovně umožňuje, aby roli DPO plnil zaměstnanec nebo aby byla zajištěna na základě smlouvy o poskytování služeb. Vedení bezpečnosti lze rovněž zajistit externě jako organizační uspořádání, s výhradou příslušných požadavků a jasného mandátu.

Interní DPO může firmě hluboce rozumět a mít snadný přístup ke kolegům. Organizace mu přesto musí zajistit odbornost, zdroje, chráněný čas, nezávislost a zastoupení. Externí DPO může přinést specializované zkušenosti a dodatečnou kapacitu, potřebuje však spolehlivý přístup ke změnám produktů, smlouvám, posouzením a incidentům. Žádný model nefunguje, pokud se DPO o rozhodnutích dozví až po jejich zavedení.

Porovnávejte celkové provozní potřeby, nikoli jen mzdu s paušálem. Zvažte školení, specializované poradenství, zastoupení při nepřítomnosti, čas na koordinaci, projektové špičky a poplatky za práce mimo rozsah. Neexistuje spolehlivé univerzální pravidlo, že externí zajištění je levnější.

U externích mandátů se dohodněte na:

• Jmenovitých kontaktech, zástupcích, eskalačních cestách a přístupu k nejvyššímu vedení.
• Tom, které přezkumy, schůzky, školení a podpora při incidentech jsou zahrnuty.
• Způsobu reakce přizpůsobeném naléhavé a běžné práci.
• Tom, jak budou informace, doporučení a rozhodnutí dokumentovány a uchovávány.
• Mlčenlivosti, hranicích přístupu, řešení střetů a ujednáních pro ukončení spolupráce.

Pokud jeden poskytovatel zajišťuje obě funkce, prověřte, kdo vykonává který mandát a jak jsou řízeny střety. Různá jména v nabídce nestačí, pokud tatáž osoba rozhodnutí o zpracování řídí i přezkoumává.

Jmenujte interního koordinátora s pravomocí získávat informace a urgovat zavádění. Externí specialisté nemohou posoudit nezveřejněné systémy ani prosadit úkoly, které nikdo uvnitř nevlastní. Rozhodnutí o rozpočtu a obchodních prioritách zůstávají vedení a správce si podle článku 24 ponechává odpovědnost podle GDPR.

Přizpůsobte uspořádání objemu práce

Pro menší organizaci bez povinnosti jmenovat DPO může být vhodný jmenovitý vlastník ochrany osobních údajů a vlastník bezpečnosti, s dostupným specializovaným poradenstvím pro obtížné otázky. To je něco jiného než formální jmenování DPO.

Pokud je DPO povinný, ale interní kandidáti mají střetové provozní pravomoci, stojí za zvážení externí jmenování. Doplňte jej interním vlastnictvím zavádění, místo abyste očekávali, že poskytovatel bude vykonávat každý úkol v oblasti ochrany osobních údajů.

Pokud zákaznické požadavky na záruky vyžadují vybudování ISMS a interní zkušenosti s bezpečností jsou omezené, může externí vedení bezpečnosti podpořit úvodní práci. Rozhodněte, kdo bude poté udržovat posouzení rizik, důkazy a reporting pro vedení; projektová zakázka by po svém skončení neměla zanechat mezeru ve vlastnictví.

Zavedená organizace může obě funkce zajišťovat interně, pokud chrání nezávislost DPO a vyčlení dostatečnou kapacitu. Rozhodnutí by se mělo řídit skutečným objemem práce, odborností a pravomocemi, nikoli předpokladem, že interní řešení je vždy lepší a externí vždy snazší.

Modelový příklad: výrobce připravuje zákaznický portál

Představme si ilustrativního výrobce s 200 zaměstnanci, malým IT týmem a plánovaným portálem pro zákaznickou podporu a údržbu strojů. Předpokládejme, že portál bude obsahovat kontaktní údaje zákazníků, servisní historie a záznamy o činnosti techniků. Zákazníci také požadují zdokumentované řízení bezpečnosti. Jde o hypotetická fakta, nikoli o právní závěr pro každého výrobce této velikosti.

Vedení nejprve zadá samostatná posouzení povinnosti jmenovat DPO a použitelnosti odvětvových předpisů o kybernetické bezpečnosti. Působnost NIS2 nedovozuje jen z počtu zaměstnanců. Přezkoumá také stávající jmenování IT ředitele do funkce DPO, protože tento ředitel vybírá systémy a schvaluje jejich provoz.

Po posouzení střetů a kapacity firma jmenuje externího DPO a vedoucího bezpečnosti na částečný úvazek. IT ředitel vlastní technickou realizaci, ředitel servisu vlastní účely zpracování a obchodní požadavky portálu a interní koordinátor vede registr úkolů. Jednatel zaštiťuje rozhodnutí a řeší spory o zdroje.

Během návrhu bezpečnost doporučí podrobné logování činnosti pro vyšetřování zneužití. Ochrana soukromí upozorní, že logy odhalují i chování techniků. Ředitel servisu vysvětlí provozní potřebu; bezpečnost navrhne omezený přístup a definované použití pro vyšetřování; ochrana soukromí posoudí nezbytnost, transparentnost a uchovávání. Doporučení DPO je zaznamenáno dříve, než odpovědný vlastník rozhodne o konfiguraci. DPO neschvaluje návrh logování místo vedení.

Záznam o spuštění obsahuje popis toku dat, hodnocení dodavatele, bezpečnostní zjištění, výsledek předběžného posouzení DPIA, úkoly v oblasti ochrany soukromí a akceptované podmínky vydání. Každý nevyřešený úkol má vlastníka a termín.

Vedení poté uspořádá simulační cvičení s kompromitovaným účtem na portálu. Bezpečnost poskytne úvodní souhrn faktů; ochrana soukromí vyhodnotí možnou újmu; koordinátor sleduje lhůty pro posouzení a pověřený manažer řídí komunikaci. Cvičení odhalí, že v postupu pro řešení incidentů chyběly nouzové kontaktní údaje externího DPO. Oprava této drobné mezery zajistí, že předávání bude fungovat i pod tlakem.

Zajistěte přezkoumatelnou spolupráci, aniž byste sdíleli vše

Pro neshody stanovte pojmenovanou eskalační cestu. Technické kompromisy mohou směřovat k vlastníkovi služby a sponzorovi z vedení; nevyřešené obavy ohledně souladu by se měly dostat k nejvyšší úrovni vedení prostřednictvím nezávislé reportingové cesty DPO. Odlišné názory zachovejte, místo abyste záznam přepsali tak, aby vyvolával dojem shody.

Sdílejte jen informace, které každá role potřebuje, zejména u citlivých vyšetřování. DPO musí mít podle článku 38 GDPR přístup k relevantním informacím o zpracování, to však neopravňuje k distribuci nezpracovaných záznamů o zaměstnancích nebo forenzních materiálů všem účastníkům projektu. Používejte hranice přístupu a vhodně začerněná shrnutí, aniž byste zadržovali fakta potřebná k posouzení.

Vedení by mělo sledovat několik provozních signálů: změny zavedené před konzultací, úkoly po termínu po poskytnutí doporučení, incidenty s opožděnou eskalací napříč funkcemi a opakovanou nejistotu ohledně rozhodovacích pravomocí. Ty odhalují selhání řízení zřetelněji než počítání politik nebo schůzek.

Praktický přezkum vedením by měl končit rozhodnutími, ne jen aktualizovanými zprávami. Pokud posouzení opakovaně přicházejí pozdě, změňte spouštěč pro příjem projektů. Pokud úkoly zůstávají otevřené, protože týmům chybí kapacita, přidělte zdroje nebo upravte plán realizace. Pokud nikdo nedokáže určit, kdo rozhoduje, opravte delegování dříve, než přijmete další vydání.

Výsledný záznam udržujte stručný: problém, relevantní doporučení bezpečnosti a ochrany soukromí, odpovědné rozhodnutí, jeho zdůvodnění, vlastníci úkolů a datum přezkumu. Rozlišujte mezeru v důkazech od zavedeného opatření, které selhalo. Vyžadují jiné navazující kroky, i když se obě situace zobrazují jako otevřený úkol.

Otázky, které by mělo vedení výslovně vyřešit

Musí DPO schvalovat každé spuštění?

GDPR definuje poradní a monitorovací roli, nikoli univerzální požadavek, aby DPO schvaloval vydání. Organizace může zavést konzultační kontrolní body, měla by však odlišovat konzultaci od pravomoci vlastníka v byznysu rozhodnout o spuštění. Dokončená konzultace navíc neprokazuje, že je zpracování zákonné.

Mohou bezpečnostní důkazy postačit pro přezkumy ochrany soukromí?

Mohou je podpořit. Záznamy z přezkumů přístupů nebo testy obnovy mohou sloužit jako podklad pro posouzení podle článku 32. Neprokazují však právní základ, dostatečnou transparentnost ani odůvodněnou dobu uchovávání. U každého podkladu určete, jaké tvrzení dokládá, místo abyste jeden balík důkazů považovali za schválení všeho.

Začněte dvěma procesy a malou stopou důkazů

Začněte změnami produktu a řešením incidentů. U každého z nich pojmenujte vlastníka příjmu, potřebné informace, spouštěče přezkumu, rozhodovací pravomoc, eskalační cestu a zastoupení. Oba procesy otestujte na realistických případech dříve, než matici rozšíříte.

Secani propojuje požadavky, důkazy, vlastníky, úkoly a rozhodnutí z přezkumů ve sdíleném kontextu. Pro cíleně vymezený rozsah služby mohou týmy modelovat podpůrné systémy a poskytovatele, připojovat důkazy k požadavkům nebo rozhodnutím, které podporují, a nezodpovězené otázky z přezkumu převádět na přidělenou práci. Hranice přístupu pro interní a externí přispěvatele naplánujte předem; zdokumentovaná role OSCAL API uděluje pouze přístup k validaci. U návrhů s podporou AI zachovejte výslovný lidský přezkum a uchovávejte zdroje, komentáře, schválení a časová razítka.

Praktickým dalším krokem je společné setkání vlastníka v byznysu, vedoucího bezpečnosti, týmu ochrany soukromí a DPO. Projděte navrhovaným předáváním jednu nadcházející změnu a jeden pravděpodobný incident. Všude, kde skupina nedokáže určit, kdo jedná jako další, proces vylepšete dříve, než přijde další naléhavý případ.