Milionowe kary za wycieki danych. Rząd zapowiada kontrole i ujawnianie firm

Po serii incydentów związanych z bezpieczeństwem cyfrowym rząd zaostrza podejście do firm przetwarzających dane. Minister cyfryzacji mówi wprost o milionowych karach i ujawnianiu podmiotów, które nie zadbają o ochronę informacji.

Kontrole po incydentach już się toczą

– Kontrole w firmach, które miały wycieki danych, już trwają. Jeżeli potwierdzą się nasze przypuszczenia, że nie było odpowiednich zabezpieczeń, kary już będą. One są wielomilionowe i będą nakładane na każdą firmę, która nie dołożyła starań – tłumaczy minister cyfryzacji Krzysztof Gawkowski.

W sierpniu br. doszło do jednego z największych incydentów tego typu w Polsce. W firmie MyDr nieuprawniona osoba uzyskała dostęp do bazy danych systemu używanego przez przychodnie lekarskie i gabinety.

Za naruszenie przepisów RODO w Polsce grożą kary administracyjne do 10 mln euro lub 20 mln euro, a w przypadku przedsiębiorstw odpowiednio do 2% lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Rząd przyjął przepisy o dostępie do danych

13 października rząd przyjął projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu. Ma on wdrożyć unijny Data Act i zmienić zasady korzystania z informacji generowanych przez urządzenia podłączone do internetu.

Nowe regulacje mają dać użytkownikom takich sprzętów jak inteligentny dom czy samochody dostęp do danych powstających podczas użytkowania. Będą też mogli przekazywać je innym podmiotom, np. firmom naprawczym.

Nadzór nad przestrzeganiem zasad, rozpatrywanie skarg oraz certyfikowanie podmiotów rozstrzygających spory zostaną powierzone prezesowi Urzędu Komunikacji Elektronicznej.

„Cyber Piątka” obejmie także sektor medyczny

Resort cyfryzacji pracuje równolegle nad pakietem „Cyber Piątka”, który ma wzmocnić bezpieczeństwo danych obywateli. Jak wyjaśnia Krzysztof Gawkowski, rozwiązania mają objąć m.in. firmy medyczne, które nie będą mogły przetwarzać zbyt wielu danych bez odpowiedniego wzmocnienia cyberbezpieczeństwa.

Pakiet ma przewidywać pięć zmian: certyfikację firm przetwarzających dane medyczne, minimalne wymagania technologiczne, większą przejrzystość dla pacjentów, powiadomienia o zdarzeniach medycznych oraz nowe obowiązki dla podmiotów masowo przetwarzających dane.

Ujawnianie firm, które nie inwestują w ochronę

Minister zapowiada zmianę podejścia państwa do prywatnych przedsiębiorstw. – Robimy też coś wyjątkowego. Namawiamy firmy do tego, żeby inwestowały w cyberbezpieczeństwo. Zmieniamy doktrynę. Będziemy ujawniać te, które nie inwestują w cyberbezpieczeństwo, ponieważ ono teraz w firmach prywatnych jest tak samo ważne jak w państwowych – podkreśla.

Jak dodaje, odpowiedzialność mają brać na siebie zarządy, rady nadzorcze i właściciele. W jego ocenie cyberbezpieczeństwo powinno znaleźć się wyżej w firmowych budżetach, bo to kwestia ochrony marki, konkurencyjności i użytkowników.

– To jest dzisiaj przesłanie dla wszystkich firm w Polsce, czyli wspólna odpowiedzialność za cyberbezpieczeństwo – mówi Krzysztof Gawkowski, przypominając, że rząd w ostatnich dwóch latach przeznaczył na cyberbezpieczeństwo i transformację cyfrową firm 2,8 mld zł.

Polskie firmy nadal są celem ataków

Skala ryzyka pozostaje wysoka. Z Eurobarometru „Cyberbezpieczeństwo w miejscu pracy: świadomość i przygotowanie pracowników” wynika, że w ostatnich sześciu miesiącach w organizacjach w Polsce pojawiały się phishing lub fałszywe wiadomości (41%), ataki złośliwego oprogramowania (22%), próby kradzieży haseł (20 proc.) oraz próby kradzieży danych osobowych (20%).

Minister zapowiada, że ujawnianie firm niewystarczająco dbających o bezpieczeństwo będzie kontynuowane w najbliższych miesiącach.

Przeczytaj także inne artykuły dotyczące cyberbezpieczeństwa:

Firmy nie nadążają za falą cyberataków. "Jedno szkolenie nie wystarczy"

NIS2 obejmie tysiące firm. Do 3 października trzeba sprawdzić obowiązki

Polskie firmy coraz częściej celem cyberataków. MŚP wciąż lekceważą ryzyko