Termin wejścia w życie unijnego rozporządzenia o ochronie danych osobowych (RODO) zbliża się wielkimi krokami. Zapewnienie zgodności z nowymi przepisami wymaga od firm podjęcia szeregu działań dostosowawczych. Pojawiają się więc pytania o to, czy jest jakiś prosty, uniwersalny sposób na to, by od 25 maja 2018 r. działać zgodnie z rozporządzeniem?
RODO zacznie obowiązywać od 25 maja 2018 r. Rozporządzenie obejmie każdy podmiot, który w jakikolwiek sposób przetwarza dane osób fizycznych. Wśród wielu przedsiębiorców pojawiają się więc pytania o to, jak w możliwie prosty i nieobciążający sposób zapewnić zgodność działań z nowymi przepisami.
Każdy indywidualnie i we własnym trybie
W stosunku do obecnie obowiązującej ustawy o ochronie danych osobowych, RODO poszerza prawa osób fizycznych w zakresie przetwarzana ich danych oraz gruntownie zmienia podejście firm do organizacji i zapewnienia ochrony danych. O ile w ustawie obowiązki firmy w zakresie przetwarzania i ochrony danych osobowych są jasno określone, w myśl RODO to administrator danych w każdej firmie powinien samodzielnie określić, jakie metody, procedury i narzędzia będą adekwatne i wystarczające do tego, by zapewnić zgodność z przepisami. „RODO nie precyzuje, w jaki sposób podmiot przetwarzający dane osobowe ma dostosować swoją działalność, by zagwarantować odpowiednie bezpieczeństwo danych i spełnić rozszerzone prawa osób fizycznych. To lekcja, którą każda firma musi odrobić we własnym zakresie. Jest natomiast kilka wskazówek, które mogą pomóc w sprawnym przejściu procesu adaptacyjnego. Mówiąc w skrócie, ma być bezpiecznie” – tłumaczy Piotr Ciski, dyrektor zarządzający polskiego oddziału Sage.
Punkty wspólne w procesie adaptacyjnym
Niezależnie od skali działania firmy oraz powodów, dla których przetwarzane są dane, w procesie dostosowawczym do RODO można wyróżnić kilka elementów wspólnych. Rozpoznanie ich może pomóc przyspieszyć adaptację. Zwróćmy uwagę na kilka elementów wynikających z RODO:
- Podmiot narusza prawo, jeżeli przetwarza dane osobowe bez odpowiedniej podstawy prawnej lub błędnie ją identyfikuje. Jedną z podstaw legalnego przetwarzania danych jest zgoda osoby fizycznej. RODO mówi, że ma być ona uprzednia, wyraźna i dobrowolna, a jej wyrażenie musi zostać udokumentowane przez administratora. Osoba fizyczna w trakcie wyrażania zgody musi otrzymać informację, że może zgodę odwołać w każdym czasie.
- Po wejściu w życie RODO przedsiębiorcy nie będą musieli już rejestrować zbiorów danych w GIODO. W zamian znacznie większy nacisk położony zostanie na to, by w firmie zagwarantować rzeczywistą, prawną ochronę danych osobowych – na poziomie organizacji pracy (procedury), systemów IT (funkcjonalność, bezpieczeństwo) i obowiązków informacyjnych.
- W dotychczas obowiązującej ustawie administratorzy danych osobowych mieli obowiązek wdrażać politykę bezpieczeństwa oraz systemy zarządzania systemami IT. Z kolei w RODO administrator danych samodzielnie podejmuje decyzję, jaka polityka bezpieczeństwa jest niezbędna do tego, by zapewnić firmie zgodność. W tym celu każda organizacja we własnym zakresie powinna przeprowadzić analizę ryzyka przetwarzania danych osobowych.
W analizie tej powinno się przeprowadzić rodzaj inwentaryzacji – jakie dane są przetwarzane, w jaki sposób, na jakie potrzeby, przez kogo, gdzie te dane są zapisywane i przechowywane, komu i w jaki sposób udostępniane oraz jak w firmie zorganizowany jest system zabezpieczeń danych. Na tej podstawie administrator danych podejmuje decyzję co do adekwatnych środków bezpieczeństwa. Co ważne – środki te powinny być rozpatrzone na poziomie technicznym (użytkowane narzędzia, systemy, serwisy WWW itp.) oraz organizacyjnym (obowiązujące w firmie procedury, sposoby dokumentacji zdarzeń, uprawnienia i kompetencje personelu, zapisy w umowach, formularzach zgód itp.). Sposób przygotowania firmy do RODO w znacznym stopniu zależy od oceny ryzyka. - W ramach analizy ryzyka firma powinna zweryfikować, czy poziom i skala przetwarzanych danych wymaga, aby prowadziła ona ocenę skutków przetwarzania danych osobowych. Jest to konieczne, gdy istnieje duże prawdopodobieństwo, że przetwarzanie danych stwarza wysokie ryzyko naruszenia praw i wolności osób fizycznych. Ze względu na nieostrą definicję tego pojęcia dla podmiotu ważna jest rzetelna ocena rzeczywistego ryzyka, a w przypadku wątpliwości zalecane jest skonsultowanie się z organem nadzorczym.
- RODO wprowadza obowiązek zgłaszania naruszeń danych do organu nadzorczego oraz do osób, których te naruszenia dotyczą – w terminie do 72 godzin od identyfikacji zdarzenia. Aby móc skutecznie spełnić ten obowiązek, w firmie należy wdrożyć skuteczne procedury monitorowania systemu bezpieczeństwa danych oraz prowadzić dokumentację w postaci ewidencji naruszeń.
- Każdy przedsiębiorca powinien zweryfikować, czy ma obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych. Jest to wymóg dla firm zatrudniających powyżej 250 pracowników, a w przypadku mniejszych firm obejmuje on te podmioty, które przetwarzając dane osobowe mogą naruszyć prawa lub wolność osób oraz te, które przetwarzają dane wrażliwe. Nawet jeśli firma nie ma obowiązku utrzymywania takiego rejestru, a ryzyko naruszenia praw i wolności jest niskie, na użytek utrzymania zgodności z RODO warto rozważyć, czy nie utrzymywać w firmie tej formy dokumentacji. Ważne jest jednak, by rejestr żył, to znaczy odzwierciedlał rzeczywiście realizowane działania.
- Każdy przedsiębiorca powinien również rozstrzygnąć, czy ma obowiązek powołać w swojej organizacji funkcję Inspektora Danych Osobowych (IDO). Obowiązek ten ciąży na trzech kategoriach podmiotów:
- podmiotach publicznych (z wyjątkiem sądów), w tym prywatnych realizujących zadania publiczne;
- podmiotach, których działalność opiera się na przetwarzaniu danych
w sposób, który wymaga monitorowania osób, których dane dotyczą; - podmiotach przetwarzających dane wrażliwe.
- W myśl RODO profilowanie danych jest czynnością przetwarzania. Oznacza to, że wszelkie próby profilowania wymagają uprzedniej zgody osób, których profilowanie dotyczy. Zgoda wyrażona jest na podstawie informacji, czego dotyczy profilowanie, w jakim celu jest prowadzone i przez jaki okres.
- RODO rozszerza obowiązek informacyjny podmiotu przetwarzającego
– w relacji z osobami, których dane są przetwarzane, należy przekazywać informacje m.in. o okresie przechowywania danych osobowych, o planowanym profilowaniu, o prawach przysługujących osobie (możliwości wycofania zgody na przetwarzanie czy możliwości złożenia skargi do organu nadzorczego). Rozszerzenie obowiązków informacyjnych w praktyce oznacza, że pod tym kątem należy zmienić stosowane przez firmę klauzule i formularze na wyrażenie zgody.
