W archiwum (także zakładowym) często przetwarza się i przechowuje informacje zawierające dane osobowe (np. akta osobowe, dokumentację płacową, wnioski, korespondencję). Kluczowym wymaganiem przy takim przetwarzaniu jest zapewnienie poufności danych, czyli dopuszczenie do nich wyłącznie osób, które mają do tego podstawę i upoważnienie.
Dlatego odpowiedź "Udostępnianie danych osobowych osobom nieupoważnionym." jest niezgodna z przepisami: udostępnienie "na zewnątrz" lub nawet "wewnątrz" organizacji bez uprawnień oznacza naruszenie kontroli dostępu. W praktyce archiwum powinno mieć procedurę udostępniania akt oraz weryfikacji tożsamości i uprawnień osoby żądającej wglądu.
Pozostałe propozycje opisują działania, które są co do zasady właściwe i oczekiwane jako element zabezpieczenia danych:
- "Regularne aktualizowanie systemów zabezpieczających." – aktualizacje ograniczają ryzyko wykorzystania znanych luk (np. w systemie ewidencji, systemie kontroli dostępu, stacjach roboczych). To typowy środek techniczny podnoszący poziom bezpieczeństwa.
- "Szyfrowanie danych osobowych." – szyfrowanie utrudnia odczyt danych osobom nieuprawnionym w razie utraty nośnika, wycieku lub przechwycenia transmisji. Jest to klasyczny środek techniczny ochrony poufności.
- "Limitowanie dostępu do danych tylko dla upoważnionych osób." – to podstawowy środek organizacyjny i techniczny: role, uprawnienia, ewidencja upoważnień, zasada minimalnych uprawnień. W archiwum przekłada się to m.in. na ograniczenie wstępu do magazynu i dostęp do określonych zespołów akt.
Na egzaminie warto zapamiętać prostą regułę: działania wzmacniające kontrolę dostępu i utrudniające nieuprawniony odczyt są zgodne z wymaganiami, natomiast ujawnienie danych osobom bez upoważnienia jest naruszeniem. Jeśli w odpowiedzi pojawia się warunek "osobom nieupoważnionym", zwykle wskazuje on na niezgodność działania z ochroną danych.
