Weryfikacja niekaralności osób realizujących zadania z zakresu cyberbezpieczeństwa i bezpieczeństwa infrastruktury krytycznej w kontekście RODO
Nowe przepisy — art. 8f ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) oraz art. 6zh ustawy o zarządzaniu kryzysowym (UZK) — nakładają na podmioty kluczowe, podmioty ważne i operatorów infrastruktury krytycznej obowiązek weryfikacji niekaralności osób realizujących zadania z zakresu cyberbezpieczeństwa i mających dostęp do informacji o bezpieczeństwie infrastruktury krytycznej. Obie ustawy regulują to samo zagadnienie w odmienny sposób - inaczej wyznaczają krąg osób objętych weryfikacją, moment jej przeprowadzenia i zakres pozyskiwanych informacji. Choć na pierwszy rzut oka wygląda to na czynność czysto kadrową, w istocie dotyka w dużym stopniu kwestii przetwarzania danych osobowych i już rodzi wiele wątpliwości interpretacyjnych.
Kogo obejmuje obowiązek weryfikacji?
Art. 8f UKSC obejmuje osoby realizujące zadania, o których mowa w art. 8 lub art. 11 UKSC - związane z wdrażaniem i utrzymywaniem technicznych oraz organizacyjnych środków zarządzania bezpieczeństwem systemów informacyjnych, a także z obsługą i zgłaszaniem incydentów - niezależnie od tego, czy są pracownikami w rozumieniu prawa pracy. Art. 6zh UZK dotyczy natomiast wyłącznie pracowników (oraz kandydatów) na stanowisku umożliwiającym dostęp do informacji o bezpieczeństwie infrastruktury krytycznej. W jednym przypadku liczy się więc to, co osoba faktycznie robi, w drugim - jak formalnie ukształtowano jej stanowisko.
Problem interpretacyjny pojawia się w szczególności przy pojęciu „realizowania zadań". Czy obejmuje ono każdego, kto w jakikolwiek sposób jest powiązany z tymi zadaniami - również osoby wykonujące czynności czysto techniczne - czy tylko tych, którzy podejmują decyzje? Kuszące jest objęcie weryfikacją wszystkich pracowników „na wszelki wypadek", ale byłoby to działanie nadmiarowe i błędne.
Zakres przetwarzanych danych
Kolejny praktyczny problem dotyczy tego, co dokładnie administrator może pozyskać - i tu ustawy znów prowadzą w różne strony. Art. 8f UKSC odsyła do „informacji o osobie" z Krajowego Rejestru Karnego, a więc do sformalizowanego dokumentu pochodzącego z rejestru. Art. 6zh UZK poprzestaje natomiast na oświadczeniu o niekaralności i niefigurowaniu w KRK, bez prawa żądania jego udokumentowania - a jednocześnie pozwala operatorowi infrastruktury krytycznej pozyskiwać dane biometryczne (odciski linii papilarnych, głos, obraz rogówki, sieć żył palców czy biometrię twarzy) na potrzeby kontroli dostępu.
Czy wystarczy zgoda kandydata?
Rozpowszechnione jest podejście, by weryfikować kandydata, który na etapie rekrutacji ma zostać dopuszczony do realizacji zadań z art. 8 lub art. 11 UKSC albo zatrudniony na stanowisku umożliwiającym dostęp do informacji o bezpieczeństwie infrastruktury krytycznej, do którego wprost odnosi się art. 6zh UZK. za jego zgodą, ewentualnie uzupełniając ją o inne czynności sprawdzające. Na pierwszy rzut oka wydaje się to rozwiązaniem bezpiecznym - skoro osoba się zgadza, administrator może przetwarzać jej dane. Przy bliższym spojrzeniu problem okazuje się jednak wielowarstwowy. Po pierwsze, dane pozyskiwane w rekrutacji podlegają zamkniętemu katalogowi z Kodeksu pracy (art. 22(1) i nast. k.p.), a informacje o karalności to dodatkowo dane objęte zaostrzonym reżimem art. 10 RODO.
Po drugie, w relacji z osobą ubiegającą się o zatrudnienie występuje wyraźna nierównowaga stron, a odmowa zgody nie może pociągać za sobą negatywnych konsekwencji - w szczególności nie może prowadzić do odmowy zatrudnienia. Czy w takich warunkach zgoda jest w ogóle dobrowolna, a więc czy może stanowić ważną podstawę przetwarzania? A jeśli nie zgoda, to jaka podstawa jest właściwa - i jakie realne skutki niesie jej wybór dla prawa sprzeciwu oraz prawa do usunięcia danych?
Na te pytania odpowiada komentarz praktyczny dr Pawła Litwińskiego - adwokata i członka Społecznego Zespołu Ekspertów przy Prezesie Urzędu Ochrony Danych Osobowych oraz Grupy Ekspertów Europejskiej Rady Ochrony Danych - pt.: Weryfikacja niekaralności osób realizujących zadania z zakresu cyberbezpieczeństwa (UKSC) i bezpieczeństwa podmiotów krytycznych (ustawa o zarządzaniu kryzysowym) - obowiązki w zakresie ochrony danych osobowych, zestawiając art. 8f UKSC z art. 6zh UZK i porządkując obowiązki tam wskazane w kontekście ochrony danych osobowych.
Zachęcamy do zapoznania się z publikacją dostępną w LEX Ochrona Danych Osobowych.
