Ostatnio głośno jest o tzw. „RODO”, jednakże jak to wynika z badań przeprowadzonych przez Głównego Inspektora Danych Osobowych aż 72 proc. przedsiębiorstw nie sprawdziło nawet i nie wie, w jakim zakresie powinno się przygotować na wejście w życie nowych regulacji[1]. Badanie, w którym wzięło udział 507 firm (głównie mikro i małych przedsiębiorców), wykazało znaczne braki w poziomie wiedzy przedsiębiorców na temat omawianej kwestii.

Zatem czym właściwie jest „RODO”?

Skrótem tym określa się Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Akt ten na nowo definiuje zasady przetwarzania, wykorzystywania i przechowywania danych osobowych. Wprowadza przy tym szereg obowiązków, nowe rodzaje odpowiedzialności, a także sankcje finansowe za ich nie przestrzeganie.

Zgodnie z art. 99, rozporządzenie weszło w życie 24 maja 2016 r., a będzie stosowane od dnia 25 maja 2018 r. Z uwagi na charakter prawny rozporządzenia, oznacza to, że wszystkie materialne przepisy tego dokumentu będą od tego dnia obowiązywać bezpośrednio w Polsce i będą miały bezpośredni skutek. Zostały zatem niecałe 3 miesiące, aby przygotować się na zmiany.

Zasadnicza nowość dotyczy nie tyle podstaw prawnych, czy zasad przetwarzania danych osobowych, ale samego podejścia do ochrony. Nowe zasady, które zwiększają samodzielność, ale i odpowiedzialność administratorów danych mają charakter dość rewolucyjny. Wyrażone w rozporządzeniu podejście oparte na ryzyku (ang. risk based approach) określa sposób, w jaki należy podchodzić do przetwarzania danych – w każdej sytuacji, kiedy zbieramy i korzystamy z danych osobowych, musimy przede wszystkim analizować ryzyko, jakie może to spowodować dla prywatności osób, których te dane dotyczą. Zupełnie nową zasadą w systemie ochrony danych wprowadzoną przez rozporządzenie jest też zasada rozliczalności (ang. accountability). Zgodnie z nią, na każdym administratorze danych spoczywa obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających zgodność w wymogami rozporządzenia (np. wprowadzenie rozwiązań umożliwiających realizację praw osób, których dane dotyczą). Rozporządzenie nie podaje jednak konkretnych przykładów najlepszych rozwiązań. Nie określa też minimalnych standardów technicznych mających na celu zabezpieczenie danych (zachęca jedynie do skorzystania z narzędzi pseudonimizacji czy też szyfrowania danych).

W związku z tym, iż przestaje obowiązywać rozporządzenie MSWiA określające warunki techniczne i organizacyjne, jakie muszą spełniać urządzenia i systemy informatyczne wykorzystywane do przetwarzania danych osobowych, od 25 maja 2018 r. każdy administrator – biorąc pod uwagę charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych – będzie musiał samodzielnie zdecydować, jakie zabezpieczenia, dokumentację i procedury przetwarzania danych wdrożyć.

Szukając pomocy, administrator będzie mógł skorzystać ze wskazanych w rozporządzeniu instrumentów, takich jak:
– zatwierdzane przez GIODO tzw. kodeksy postępowania,
– mechanizm certyfikacji,
– wytyczne Europejskiej Rady Ochrony Danych,
– sugestie inspektora ochrony danych,
– normy ISO.

Zasadniczo jednak po stronie administratora pozostawiony będzie dość duży zakres swobody w kształtowaniu systemu ochrony danych. Zgodnie z Rozporządzeniem „dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych”. Każdy, kto przetwarza dane osobowe, musi więc odpowiednio je zabezpieczyć, tak by uniemożliwić ich nieuprawnione udostępnienie. W ogólnym rozporządzeniu nie znajdziemy jednak szczegółowych wskazówek, jakie środki organizacyjne i techniczne wdrożyć.

Jednym z zadań administratora danych osobowych będzie dostosowanie systemów informatycznych tak, aby na każde żądanie osoby, której dane dotyczą, można było między innymi usunąć całkowicie jej dane osobowe, a także przenieść je do innego usługodawcy. Administrator danych będzie miał również obowiązek udzielenia wszelkich informacji na temat danych osobowych osobie, której te dane dotyczą. W przypadku złożenia zapytania przez tę osobę, powstanie obowiązek udzielenia odpowiedzi na zadane pytanie w terminie miesiąca.

Rozporządzenie nakłada także na administratora danych osobowych obowiązek prowadzenia wewnętrznego rejestru czynności przetwarzania danych osobowych, za które odpowiada administrator. Od 25 maja 2018 r. należy zatem dokumentować czynności związane z przetwarzaniem danych osobowych, uwzględniając następujące kwestie:
– jakimi danymi dysponujemy i w jakich okolicznościach zostały pozyskane,
– jaka jest podstawa prawna przetwarzania danych i w jaki sposób spełniono obowiązki informacyjne,
– komu i kiedy udostępniono dane,
– jak raportowane są incydenty związane z naruszeniem ochrony danych,
– czy przeprowadzono analizę w zakresie obowiązku bądź braku obowiązku wyznaczenia inspektora ochrony danych i jakie wnioski z niej płyną,
– który organ nadzorczy będzie wiodącym dla transgranicznych operacji przetwarzania, które prowadzimy.

Rejestr powinien być prowadzony w formie pisemnej, najlepiej elektronicznej. Prowadzenie rejestru nie zawsze będzie jednak obowiązkowe. W określonych w rozporządzeniu sytuacjach z tego obowiązku zwolnieni będą administratorzy, którzy zatrudniają mniej niż 250 pracowników.

Funkcje zbliżone do dotychczasowego ABI (Administratora Bezpieczeństwa Informacji) będzie pełnił IODO (Inspektor Ochrony Danych Osobowych). Będzie on odpowiedzialny za bezpieczeństwo danych osobowych, ale również za raportowanie naruszeń do organu nadzoru. Ma także wspierać administratorów i podmioty przetwarzające w wykonywaniu przez nich obowiązków. W przeciwieństwie do ABI, funkcję IODO może pełnić także jednostka organizacyjna powołana zarówno przez administratora, jak i procesora, a nie tylko osoba fizyczna powołana przez administratora danych.

Nowym obowiązkiem dla większości administratorów będzie obowiązek zgłaszania naruszeń ochrony danych osobowych. W ciągu 72 godzin od wykrycia naruszenia mogącego skutkować zagrożeniem praw i swobód osób, których dane zostały naruszone, trzeba zgłosić się do GIODO. Warto podkreślić, że należy zgłaszać takie naruszenia, które z dużym prawdopodobieństwem powodują naruszenie praw i wolności osób, których dane dotyczą. Istnieje również możliwość zgłoszenia tej informacji do konkretnej osoby, której prawa i wolności zostały zagrożone naruszeniem.

Niezgłoszenie naruszenia może skutkować nałożeniem przez GIODO dotkliwej kary pieniężnej. Mowa tu o karach do 10 milionów euro lub do 2% wartości rocznego światowego obrotu przedsiębiorstwa bądź 20 milionów euro lub do 4% wartości rocznego światowego obrotu przedsiębiorstwa. Oczywiście są to kwoty maksymalne, a kary nakładane są proporcjonalnie, w zależności od skali naruszenia przepisów.

Za nieprzestrzeganie postanowień RODO, przetwarzający dane będzie ponosił bezpośrednią odpowiedzialność. Powołanie Inspektora Ochrony Danych Osobowych, czy wynajęcie firmy zewnętrznej w tym obszarze, nie zwalnia z tej odpowiedzialności.

Warto zaznaczyć, że RODO dotyczy niemal wszystkich. Wyłączenia są niewielkie. Dotyczą m.in. osób fizycznych, które w działalności czysto osobistej lub domowej, bez związku z działalnością zawodową lub handlową przetwarzają dane osobowe (na przykład przechowywanie danych adresowych, czy korespondencji prowadzonej z grupą znajomych). Niewątpliwie zmiany dotkną jednak zdecydowaną większość przedsiębiorców. Czasu jest niewiele, więc warto jak najszybciej przeanalizować sytuację w swojej firmie i wprowadzić niezbędne zmiany, tak, aby nie narazić się na nieprzyjemności w razie kontroli.

Odpowiadając na pytanie zawarte w tytule trudno udzielić jednoznacznej odpowiedzi. Z jednej strony RODO wprowadza podejście bardzo zdroworozsądkowe i elastyczne – pozwalające każdemu przedsiębiorcy na zastosowanie takich metod ochrony danych osobowych, które będą dla niego najdogodniejsze, a przy tym skuteczne z punktu widzenia jego działalności. Nie ma zatem sztywnych reguł i narzuconych z góry koncepcji. Z drugiej strony, tego rodzaju swoboda może okazać się swoistym wyzwaniem, bowiem wymaga wszechstronnego i kompleksowego spojrzenia na zagadnienie ochrony danych osobowych w naszym przedsiębiorstwie.

[1] Raport Kantar Public przeprowadzony dla Generalnego Inspektora Ochrony Danych Osobowych w grudniu 2017 roku;