Kontekst prawny i biznesowy ochrony danych finansowych w relacji z bankiem
Dane finansowe jako dane wrażliwe biznesowo
Dane finansowe firmy to nie tylko saldo rachunku. To również pełna historia operacji, numery rachunków kontrahentów, opisy przelewów, dane identyfikacyjne pracowników uprawnionych do dysponowania środkami, a także różnego rodzaju identyfikatory i loginy używane w systemach bankowości elektronicznej. Dostęp do takiego pakietu informacji pozwala odtworzyć obraz działalności przedsiębiorstwa – kto, kiedy i komu płaci, jakie są cykle płatności, z kim firma współpracuje i na jakich zasadach.
Z perspektywy prawa ochrony danych osobowych część tych informacji będzie danymi osobowymi (np. imię i nazwisko pracownika na liście użytkowników systemu, dane osób fizycznych – kontrahentów). Inne elementy, jak salda czy zestawienia zbiorcze, nie są danymi osobowymi w ścisłym znaczeniu RODO, ale są wrażliwe biznesowo, bo ich ujawnienie może wywołać realne szkody gospodarcze. Dane finansowe pokazują kondycję ekonomiczną, marże, zwyczaje płatnicze – to często rzeczy, których przedsiębiorca nie chce ujawniać konkurencji ani osobom trzecim.
Ochrona tych informacji ma więc wymiar podwójny. Po pierwsze, chodzi o zabezpieczenie środków pieniężnych przed nieautoryzowanymi transakcjami. Po drugie – o ochronę samej informacji finansowej jako zasobu, który może zostać wykorzystany przeciwko firmie, na przykład do przygotowania skuteczniejszych ataków socjotechnicznych czy negocjacyjnych działań konkurencji. Z punktu widzenia wewnętrznych procedur bezpieczeństwa finansowego w firmie oba aspekty są równie istotne.
Dane finansowe są też szczególnie atrakcyjne dla cyberprzestępców. Łączą w sobie trzy cechy: są łatwo monetyzowalne (przelew da się szybko „wyczyścić”), są często przetwarzane w pośpiechu (płatności „na wczoraj”) i bywają obsługiwane przez stosunkowo wąską grupę pracowników, którzy z czasem popadają w rutynę. Bez przemyślanych procedur po stronie firmy takie środowisko sprzyja błędom i nadużyciom.
Podział odpowiedzialności: co po stronie banku, co po stronie firmy
Banki działają w oparciu o przepisy prawa bankowego, ustawy o usługach płatniczych i szereg regulacji nadzorczych. Tajemnica bankowa, zabezpieczenia systemów teleinformatycznych, mechanizmy autoryzacji – za to wszystko odpowiada instytucja finansowa. Jednocześnie relacja z przedsiębiorcą jest w dużym stopniu kontraktowa. Umowa rachunku i regulamin bankowości elektronicznej bardzo precyzyjnie określają, w jaki sposób następuje autoryzacja operacji i kiedy uznaje się, że bank wykonał swoje obowiązki należ