W systemie zarządzania danymi osobowymi "niezbędny" element z perspektywy RODO dotyczy bezpieczeństwa przetwarzania, a nie tego, jakie konkretnie dane system ma zawierać.
Art. 32 RODO wskazuje, że administrator ma dobrać odpowiednie środki techniczne i organizacyjne, aby zapewnić m.in. poufność, integralność i dostępność danych oraz odporność systemów. Praktycznie oznacza to m.in. kontrolę tego, kto ma dostęp do danych i co może z nimi zrobić.
Dlaczego poprawna jest odpowiedź:
- Mechanizmy kontroli dostępu i autoryzacji użytkowników są podstawą ochrony danych: pozwalają nadawać role i uprawnienia, ograniczać dostęp do minimum potrzebnego do pracy oraz egzekwować rozliczalność (np. poprzez konta imienne i logowanie działań). To bezpośrednio wspiera poufność i integralność.
Dlaczego pozostałe odpowiedzi są nieprawidłowe:
- Dostęp do danych wszystkich pracowników sugeruje nadmiernie szeroki dostęp. Taki model stoi w sprzeczności z zasadą ograniczania dostępu do osób upoważnionych i zwiększa ryzyko nieuprawnionego ujawnienia danych.
- Możliwość dowolnej modyfikacji przez wszystkich oznacza brak kontroli uprawnień i grozi naruszeniem integralności danych (błędne/nieautoryzowane zmiany). Bez kontroli ról nie da się wykazać, że system chroni dane adekwatnie do ryzyka.
- Automatyczne usuwanie po roku nie jest uniwersalnym wymogiem RODO. Okres przechowywania zależy od celu, podstawy prawnej i polityki retencji; w wielu przypadkach dane trzeba przechowywać dłużej (np. obowiązki księgowe/kadrowe) lub krócej. Sam sztywny "rok" nie przesądza o zgodności ani bezpieczeństwie.
Na egzaminie warto zapamiętać: RODO nie wymaga, by system "miał dane", tylko by potrafił je bezpiecznie przetwarzać poprzez odpowiednie zabezpieczenia (np. kontrolę dostępu, szyfrowanie, kopie zapasowe i testowanie skuteczności środków).
