GDPR · Riadenie prístupu
Chráňte osobné údaje.
Majte prehľad, kto k nim má prístup.
Riadenie prístupov prepája pracovnú potrebu so schválením, aktuálnymi oprávneniami a dohľadateľnými záznamami. Podporuje vaše opatrenia na ochranu osobných údajov, ale nenahrádza celý program súladu s GDPR.
Právne požiadavky, z ktorých opatrenia vychádzajú
Nariadenie (EÚ) 2016/679 sa uplatňuje od 25. mája 2018. Článok 5 ods. 1 písm. f) stanovuje zásadu integrity a dôvernosti. Podľa článku 5 ods. 2 prevádzkovateľ zodpovedá za dodržiavanie zásad a musí vedieť ich dodržiavanie preukázať. Články 25 a 32 vyžadujú primerané opatrenia už pri návrhu aj pri štandardných nastaveniach a bezpečnosť zodpovedajúcu riziku.
Článok 32 ods. 4 sa zaoberá spracúvaním osobami konajúcimi na základe právomoci prevádzkovateľa alebo sprostredkovateľa: osobné údaje by mali spracúvať iba na základe pokynov, pokiaľ právo Únie alebo členského štátu nevyžaduje inak. Kontroly prístupu pomáhajú implementovať túto zodpovednosť spolu s organizačnými zásadami a školením.
GDPR nepredpisuje konkrétny produkt IGA ani jednotné štvrťročné kontroly prístupov. Používanie tabuľky samo osebe nie je nezákonné a export zo softvéru nie je automaticky dostatočným podkladom. Posúďte, či je opatrenie primerané, spoľahlivé, úplné a či preukázateľne funguje.
Jasne určte rozsah
Určte spracovateľské činnosti a systémy, ktoré uchovávajú osobné údaje. Pri každom zaznamenajte zodpovedného vlastníka, príslušné používateľské a servisné účty, privilegované prístupy a podmienky, za ktorých sú prístupy potrebné. Podľa potreby ich prepojte so záznamami o spracovateľských činnostiach a s posúdením rizík organizácie.
Nástroje riadenia neodhalia každú kópiu osobných údajov ani nevytvoria zákonný základ pre každú spracovateľskú činnosť. Vaša organizácia stále potrebuje mapovanie údajov, rozhodnutia o účele a uchovávaní, prípadne dohody medzi prevádzkovateľom a sprostredkovateľom a postupy pre práva dotknutých osôb.
Premietnite pravidlá do každodennej prevádzky
| Situácia | Kontrola | Čo skontrolovať |
|---|---|---|
| Nový prístup | Vyžadujte pracovný dôvod a schválenie zodpovedným vlastníkom. | Udelené práva zodpovedajú schválenému rozsahu a trvaniu. |
| Zmena roly | Skontrolujte nový aj existujúci prístup. | Predchádzajúce práva sú odstránené tam, kde už nie sú opodstatnené. |
| Odchod alebo koniec zmluvy | Zrušte prístup a overte výsledok. | Zohľadňujú sa cieľové systémy, relácie a výnimky. |
| Pravidelná kontrola | Dajte kontrolujúcim potrebné informácie a určte frekvenciu kontrol podľa rizika. | Rozhodnutia o zrušení sa vykonávajú, nielen zaznamenávajú. |
| Záznamy o riadení | Chráňte osobné údaje v rámci žiadostí a kontrolných záznamov. | Zákonný základ, obmedzenia prístupu a uchovávanie sú zdokumentované. |
Pri bezpečnostnom incidente používajte správne podklady
Podľa článku 33 musí prevádzkovateľ oznámiť porušenie ochrany osobných údajov príslušnému dozornému orgánu bez zbytočného odkladu, podľa možnosti do 72 hodín od zistenia. Výnimkou je prípad, keď nie je pravdepodobné riziko pre práva a slobody osôb. Sprostredkovateľ musí bez zbytočného odkladu informovať prevádzkovateľa. Článok 34 osobitne upravuje oznámenie dotknutým osobám pri pravdepodobnom vysokom riziku a stanovuje aj výnimky z tejto povinnosti.
Záznamy o prístupoch pomôžu určiť, ku ktorým systémom a údajom sa účet mohol dostať. Samy však nedokážu potvrdiť, čo sa skutočne čítalo, kopírovalo alebo zverejnilo. Prepojte ich so zisteniami z incidentu a príslušnými aplikačnými logmi. Právne posúdenie a rozhodnutie o hlásení patria zodpovedným incidentným tímom a odborníkom na ochranu osobných údajov.
Overte easyIGA vo vašom konkrétnom prostredí
V pilotnom nasadení vyberte systém s osobnými údajmi. Otestujte žiadosti, schvaľovanie, odobratie prístupu aj kampaň na kontrolu prístupov. Záznamy porovnajte s výsledkami v cieľovom systéme. Neúspešná operácia alebo chýbajúci údaj o poslednom použití prístupu musia zostať jasne označené.
Štandardný prevádzka na vlastnej infraštruktúre uchováva údaje o riadení prístupov na infraštruktúre, ktorú máte pod kontrolou. Hosťovanie v EÚ na požiadanie vytvára osobitný vzťah pri spracúvaní údajov, ktorý treba posúdiť. Samotné umiestnenie serverov nezaručuje súlad s GDPR ani nerieši všetky otázky prenosu údajov, prístupu a ďalších sprostredkovateľov. Pozrite si informácie o bezpečnosti a ochrane osobných údajov na webe, ktoré sa venujú odlišným oblastiam.
Primárny zdroj
EUR-Lex: GDPR, články 5, 25, 28, 30, 32 až 35 a 99. Kontrola zdroja: 12. septembra 2026.