Jak chronić dane w systemach zarządzania energią i jaka jest odpowiedzialność za ich nielegalne pozyskanie?

Systemy zarządzania energią (EMS) przetwarzają duże ilości danych operacyjnych, a często także danych osobowych - profili zużycia powiązanych z konkretnymi gospodarstwami czy firmami. Nieuprawniony dostęp do takich danych nie jest tylko incydentem technicznym. Rodzi on odpowiedzialność na dwóch płaszczyznach: karną wobec sprawcy włamania oraz administracyjną i cywilną wobec administratora, który nie zabezpieczył danych zgodnie z RODO. Poniżej porządkujemy, jak ograniczyć ryzyko i jakie konsekwencje grożą za naruszenia.

Odpowiedzialność karna za nieuprawniony dostęp

Polski Kodeks karny penalizuje tzw. hacking. Zgodnie z art. 267 KK, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, m.in. przełamując lub omijając zabezpieczenia elektroniczne, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Karalne jest też zakładanie lub posługiwanie się urządzeniami podsłuchowymi oraz uzyskiwanie dostępu do całości lub części systemu informatycznego. Przestępstwa te są zasadniczo ścigane na wniosek pokrzywdzonego. W grę mogą wchodzić również art. 268 i 268a KK (niszczenie lub utrudnianie dostępu do danych) oraz art. 269a KK (zakłócanie pracy systemu).

Obowiązki administratora danych według RODO

Gdy w EMS przetwarzane są dane osobowe, administrator musi spełnić wymogi RODO. Artykuł 32 RODO nakazuje wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo - w praktyce m.in. szyfrowanie danych w spoczynku i w przesyle, kontrolę dostępu opartą na rolach, uwierzytelnianie wieloskładnikowe oraz zasadę minimalizacji danych (art. 5 ust. 1 lit. c). Naruszenie ochrony danych co do zasady trzeba zgłosić Prezesowi UODO w ciągu 72 godzin (art. 33 RODO), a w razie wysokiego ryzyka - także osobom, których dane dotyczą (art. 34).

Sankcje administracyjne i roszczenia cywilne

Za naruszenie RODO grożą administracyjne kary pieniężne. W najpoważniejszych przypadkach mogą one sięgnąć 20 mln euro lub 4 proc. całkowitego rocznego światowego obrotu z poprzedniego roku - zależnie od tego, która kwota jest wyższa (art. 83 ust. 5 RODO). Niezależnie od kary nałożonej przez organ, osoba, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia, może dochodzić odszkodowania na podstawie art. 82 RODO. Dla firmy realne bywają też straty reputacyjne i utrata zaufania kontrahentów.