Data governance je dlouhodobá odpověď na požadavky GDPR

Jedním ze základních požadavků vyplývajících z GDPR je potřeba dlouhodobého udržení tzv. „Datové hygieny.“ Zpracování osobních údajů v organizaci se bude od května 2018 řídit zásadou minimalizace, což znamená, že lze zpracovávat personální data pouze v nezbytně nutném rozsahu, po dobu nezbytně nutnou a jen za předem stanoveným účelem. To vše přímo navádí k zavedení řešení na správu dat v organizaci a v ideálním případě její co nejvyšší míru automatizace.

Plnohodnotné řešení správy dat (v našem případě primárně osobních údajů) by mělo být dynamickým nástrojem, který umožňuje monitorovat nejen statický výskyt dat v informačních systémech, ale také vytvoření a udržení procesní mapy v kontextu zpracování osobních údajů.

Každá organizace je v tomto tématu specifická a v současné době se na trhu nevyskytuje žádné řešení, které by problamatiku vyřešilo implementací v řádech kratších dnů. Nasazení si vyžaduje primárně dvě roviny úkolů, které musí být provedy, aby bylo efektivně dosaženo požadováného výsledku. Prvním z nich je zmapování výskytu osobních údajů v digitálních i analogových informačních systémech včetně účelu jejich zpracování a právního titulu, na jehož základě jsou daná data držena a využívána. Tento vstup je nutný pro zajištění kvalitní implementace a umožnění další fáze projektu. V druhé řadě pak dochází k naplnění znalostní báze řešení zajišťující data governance v organizaci, jak po statické, tak procesní stránce a jeho napojení na systémy pracující s osobními údaji.

Pokud organizace podobné řešení nasadí, umožní jí to nejen splnit mnohé z požadavků nového nařízení, ale zároveň získat dlouhodobou kontrolu nad svou datovou základnou, ušetřit náklady a dát nový impulz svému podnikání. V současnosti se správa dat stává žhavým tématem nejen pro velké korporace, ale potřeba takového řešení se čím dál častěji objevuje také u středních podniků, případně u malých podniků, jejichž podnikání stojí na práci s osobními údaji.

Co je při výběru takového řešení vlastně nejdůležitější? Faktorů je hned několik. Prvním z nich je potenciál vysoké míry automatizace, ale zároveň schopnost řešit dané úkoly také manuálně u případů, které si takový zásah vyžadují. Řešení by také mělo uživatelsky přívětivé a to minimálně v rovině, kdy s ním budou pracovat uživatelé bez hlubších IT znalostí, jako například Pověřenec na ochranu osobních údajů nebo datoví stewardi. Nástroj by měl umožnit napojení co největšího portfolia řešení třetích stran, aby tak zjednodušil a zlevnil nasazení.

Výsledný efekt je schopnost organizace aktivně a včas odpovídat na požadavky naplnění práv subjektů údajů jako je právo na přístup, výmaz či přenositelnost. Řešení také zajistí vizibilitu datového prostředí nejen IT oddělení, ale i dalších klíčovým držitelům problematik. Dalším neméně důležitým důsledkem je pak schopnost doložit případné kontrole, jak zpracování osobních údajů ve společnosti probíhá a z jednoho centrálního místa prokázat nasazení dostatečných technických a organizačních opatření pro zajištění souladu s požadavky nařízení.

Závěr je nasnadě. Společnost vytváří a zpracovává stále větší množství dat včetně osobních údajů, a pokud chce v budoucnu růst, bude muset dříve nebo později téma řízení dat uchopit. Ať už z důvodu dodržení souladu s právními předpisy, nebo pro umožnění inovací a efektivního řízení podniku. Nyní je tak správný čas obrátit povinnost v příležitost.

Autor: Daniel Joksch, security & data privacy consultant v IBM