Заштитата на личните податоци не подразбира само воспоставување технички мерки за безбедност, туку и јасно дефинирање на одговорностите, овластувањата и правилата за пристап до личните податоци.
Еден од ризиците со кои се соочуваат Контролорите е неовластениот пристап до лични податоци од страна на вработените. Тој може да биде резултат на намерна злоупотреба на пристапните права, но и на ненамерен пристап до податоци кои не се потребни за извршување на конкретните работни задачи.
Пристапот до лични податоци мора да биде ограничен на она што е неопходно за извршување на конкретните работни задачи и да се одвива во рамки на доделените овластувања и добиените упатства.
На пример, доколку вработен има пристап до база на податоци поради природата на својата работа, но ја користи за проверка на информации за пријател, член на семејството или друго лице од личен интерес, таквото постапување излегува надвор од рамките на неговото службено овластување.
Неовластеното разгледување, користење, преземање, копирање или споделување лични податоци може да претставува повреда на правилата за заштита на личните податоци и зависно од конкретните околности, да доведе до дисциплинска или друга одговорност на вработениот.
Фактот дека неовластениот пристап го извршил вработен не значи дека одговорноста на Контролорот автоматски е исклучена.
Контролорот има обврска да воспостави соодветни технички и организациски мерки со кои ќе обезбеди законита и безбедна обработка на личните податоци.
Ова, меѓу другото, подразбира:
- Јасно дефинирање на правилата и условите за пристап до лични податоци;
- Доделување кориснички овластувања согласно работните задачи;
- Ограничување на пристапот исклучиво на податоците што се неопходни за извршување на работните обврски;
- Редовна едукација и информирање на вработените за нивните обврски;
- Следење и контрола на пристапите со цел навремено откривање на евентуални злоупотреби.
Оттука, при секој ваков настан, не е доволно да се утврди само кој пристапил до податоците, туку и дали Контролорот презел соодветни мерки за спречување и навремено откривање на неовластениот пристап.
Доколку Контролорот има воспоставено соодветни политики, ограничувања на пристапот, технички контроли и механизми за надзор, а вработениот намерно ги заобиколил, неговото постапување може да се разгледува одделно од прашањето дали Контролорот ги исполнил своите законски обврски.
Спротивно на тоа, доколку пристапните права се премногу широки, не постојат јасни интерни правила, вработените не се соодветно обучени или недостасуваат безбедносни контроли, може да се постави прашањето за исполнувањето на обврските на самиот Контролор.
Не секој неовластен пристап автоматски има исти правни последици. Проценката зависи од конкретните околности на случајот, особено од видот и обемот на податоците, причината и времетраењето на пристапот, дали податоците биле преземени или споделени, како и од потенцијалниот ризик за правата и слободите на засегнатите лица.
Затоа, кога ќе се утврди ваков настан, Контролорот треба навремено да ги испита околностите, да го документира настанот и да процени дали станува збор за повреда на безбедноста на личните податоци, како и дали произлегуваат дополнителни обврски согласно применливата регулатива.
Ефикасната заштита од неовластен пристап бара повеќе од формално доделување кориснички права. Таа подразбира континуирано преиспитување на пристапните овластувања, примена на соодветни технички контроли, јасни интерни процедури и редовна едукација на вработените.
Клучната порака е дека одговорноста за неовластен пристап не може автоматски да се припише исклучиво на вработениот. Во секој конкретен случај потребно е да се анализираат и постапувањето на вработениот и мерките, контролите и организацијата на обработката воспоставени од страна на Контролорот.
Заштитата на личните податоци започнува со правилно управување со пристапот, но се одржува преку континуирана контрола, одговорно постапување и свесност на сите лица кои учествуваат во обработката.