Prawnik od bezpieczeństwa informacji w sektorze bankowym - czym się zajmuje?

Banki przetwarzają jedne z najbardziej wrażliwych danych - informacje o rachunkach, transakcjach i sytuacji majątkowej klientów. Prawnik specjalizujący się w bezpieczeństwie informacji w sektorze finansowym łączy znajomość przepisów o ochronie danych osobowych, prawa bankowego, regulacji nadzorczych oraz prawa karnego dotyczącego przestępstw komputerowych. Jego rolą jest pomoc w zapobieganiu naruszeniom, w prawidłowym reagowaniu na incydenty oraz w obronie instytucji i osób w razie postępowań. Poniższy tekst odnosi się do realiów polskich i unijnych - nie do regulacji brytyjskich, które pojawiały się w wcześniejszych opracowaniach tego tematu.

Naruszenia danych i obowiązki zgłoszeniowe

Zgodnie z RODO (rozporządzenie 2016/679) administrator danych - a takim jest bank - ma obowiązek zgłosić naruszenie ochrony danych osobowych organowi nadzorczemu, czyli Prezesowi Urzędu Ochrony Danych Osobowych (PUODO), bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO). Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób, bank musi też zawiadomić same osoby, których dane dotyczą (art. 34 RODO). Prawnik ocenia, czy dany incydent w ogóle podlega zgłoszeniu, przygotowuje treść zawiadomienia i dokumentuje przebieg zdarzenia w wewnętrznym rejestrze naruszeń.

Zgodność z RODO i kary

Maksymalne kary za naruszenie RODO sięgają 20 mln euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa - w zależności od tego, która kwota jest wyższa (art. 83 ust. 5 RODO). To realne ryzyko finansowe, dlatego prawnik pomaga wdrożyć dokumentację ochrony danych, analizy ryzyka (DPIA), procedury powierzenia przetwarzania oraz polityki bezpieczeństwa zgodne z RODO i wytycznymi PUODO oraz Europejskiej Rady Ochrony Danych.

Przestępstwa komputerowe i obrona w sprawach karnych

Polskie prawo karne penalizuje m.in. nieuprawniony dostęp do systemu informatycznego (art. 267 Kodeksu karnego), naruszenie integralności danych (art. 268-269a KK) oraz oszustwo komputerowe (art. 287 KK). W sprawach dotyczących sektora bankowego prawnik reprezentuje klientów jako pełnomocnik pokrzywdzonego (np. banku) albo jako obrońca osoby oskarżonej. Analizuje materiał dowodowy, współpracuje z biegłymi z zakresu informatyki śledczej i ocenia, czy zachowanie wyczerpuje znamiona przestępstwa.