Nowa era prywatności w sieci i zagrożenia dla sektora bankowego

Z początkiem kwietnia szerokim echem w mediach odbiła się wiadomość o „wycieku” sald rachunków klientów jednego z polskich banków. Na skutek błędu, informacje o stanie kont miały trafić na serwery zewnętrznej firmy zajmującej się analityką internetową. Zbieranie danych o aktywności użytkowników zarówno w obrębie stron internetowych, jak i w ramach aplikacji mobilnych to już powszechnie stosowana praktyka. Systemy analityczne umożliwiają marketerom analizę zachowania użytkowników, ocenę efektywności kanałów marketingowych oraz optymalizację konwersji. Takie dane są bardzo cenne również dlatego, że pozwalają precyzyjnie określić grupę docelową, a następnie dotrzeć do nich ze spersonalizowaną ofertą.

Banki są instytucjami zaufania publicznego i dysponentami najbardziej wrażliwych danych osobowych, a więc ze szczególną troską powinny podchodzić do kwestii bezpieczeństwa. Dlatego, kiedy podczas korzystania z serwisu bankowości on-line przeglądarka przesyła saldo rachunku klienta na serwer zewnętrznej firmy, dochodzi do przekroczenia pewnej granicy. Problem dotyczy w tym przypadku nie tylko ochrony danych osobowych, ale także ryzyka naruszenia tajemnicy bankowej.

W obliczu nieskuteczności dotychczasowych rozwiązań prawdziwym wyzwaniem dla instytucji finansowych (i nie tylko) staje się zabezpieczenie newralgicznych danych przy równoczesnym gromadzeniu i analizowaniu informacji uzyskanych za pomocą specjalistycznych narzędzi. Kluczowa w tym kontekście jest kontrola nad serwerami, na których te dane są przechowywane. Właśnie z tego powodu banki oraz inne instytucje i firmy powinny zwrócić szczególną uwagę na rozwiązania hostowane w prywatnej chmurze lub na własnej infrastrukturze (ang. on-premises).

Czytaj też: Ekspert: Atak na KNF skoordynowany i bardzo dobrze zaplanowany

Nowe regulacje unijne wejdą w życie już od przyszłego roku. Od maja 2018 roku wchodzi w życie Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu danych (ang. General Data Protection Regulation - GDPR), która zaostrzy konieczność zabezpieczenia informacji zbieranych w internecie. Wszystkie organizacje mają jeszcze rok na wdrożenie rozwiązań gwarantujących ochronę prywatności danych użytkowników.

Najważniejsze zmiany, jakie wprowadza regulacja unijna to przede wszystkim konieczność uzyskania zgody na przetwarzanie danych personalnych od użytkowników internetu (czyli takich, które umożliwiają identyfikację - np. IP, lokalizacja, ciasteczka), ale również obowiązek udzielenia dostępu do treści internetowych, nawet w przypadku braku zgody użytkownika na zbieranie danych. Dodatkowo, internauta będzie mógł zwrócić się z wnioskiem do firmy o udzielenie informacji, jakimi danymi na jego temat dysponuje, jak również będzie mógł wnioskować o ich usunięcie. Ponadto, nowym wyzwaniem dla administratorów danych będzie także konieczność identyfikacji i oznaczenia użytkowników internetu, którzy skorzystają z nowego prawa i nie wyrażą zgody na zbieranie danych na ich temat.