Nie wierz tym, którzy mówią, że są „RODO ready” – Przedsiębiorcom pozostało 5 miesięcy na dostosowanie swojej działalności i oprogramowania do wchodzących w życie przepisów RODO.

22 stycznia 2018

Przedsiębiorcom pozostało 5 miesięcy na dostosowanie swojej działalności i oprogramowania do wchodzących w życie przepisów RODO. To bardzo mało czasu, szczególnie że aby mieć pewność, iż działa się zgodnie z rozporządzeniem, należy poddać analizie już posiadane dane, metody ich przetwarzania, umowy z klientami, partnerami i pracownikami oraz wdrożyć nowe procedury, które pozwolą zapewnić osobom fizycznym nowe prawa.

Wprowadzenie w Polsce ujednoliconych dla całej UE przepisów regulujących zasady przetwarzania danych osobowych najpewniej będzie jedną z tych zmian legislacyjnych roku 2018, do których przedsiębiorcom będzie najtrudniej się zaadaptować. To dlatego, że dostosowanie organizacji do wymagań RODO wymaga od firm czasochłonnych i kosztownych operacji, na kilku poziomach: firmy powinny poddać analizie już posiadane dane, metody ich procesowania, zapisywania i udostępniania. Powinny też przeanalizować stosowane formularze zgód pod kątem ich zgodności z RODO, które zagadnienie przybliżają artykuł 4 punkt 11, motywy 32 i 42 preambuły. Weryfikacji wymagają procedury zapewniające należytą ochronę danych, a także narzędzia, dzięki którym możliwe będzie wypełnienie przysługujących osobom fizycznym praw, takich jak np. prawo do bycia zapomnianym czy przeniesienia danych do innego podmiotu.

RODO wniesie 7 zasad ogólnych, których spełnienie wymaga od przedsiębiorców dużych nakładów pracy i kosztów. Chodzi o zasadę zgodności z prawem, rzetelności i przejrzystości, zasadę ograniczenia celu przetwarzanych danych, zasady minimalizacji i prawidłowości danych, zasadę ograniczenia przechowania danych, zasadę integralności i poufności danych oraz zasadę rozliczalności. Jednocześnie RODO przewiduje ogromne kary finansowe za każdorazowe naruszenie tych zasad (czytaj: niespełnienie wymogów rozporządzenia). Zależnie od rodzaju naruszenia, kary mogą sięgać do 10 mln euro (lub 2% wartości światowego obrotu) lub do 20 mln euro (lub 4% wartości światowego obrotu).

„Wśród wielu podmiotów gospodarczych panuje przekonanie, że głównym zadaniem dostosowawczym do RODO jest zapewnienie odpowiedniej funkcjonalności w oprogramowaniu biznesowym, czyli środowisku gdzie dane osobowe są pozyskiwane i przetwarzane. Systemy informatyczne są narzędziami wspomagającym zgodność działań z przepisami. Niemniej ze względu na otwarty charakter rozporządzenia dostosowanie się do RODO wymaga analizy procedur i procesów, które mają ulec zmianie. Kluczowe mogą okazać się te elementy procesu, które pozostają poza „odpornym” na zagrożenia rozwiązaniem informatycznym, czyli pracownicy firmy” – wyjaśnia Piotr Ciski, dyrektor zarządzający polskim oddziałem Sage.

RODO wymusza zmianę funkcjonowania firm

W jego opinii jednym z największych wyzwań RODO będzie dopełnienie zasady rozliczalności, która jasno mówi, że przetwarzanie danych osobowych musi odbywać się zgodnie z zasadami ogólnymi przewidzianymi w rozporządzeniu. Spełnienie każdej z nich z osobna dla wielu przedsiębiorstw oznacza konieczność dostosowania realizowanych wewnątrz procedur oraz dokumentacji. Zasada rozliczalności polega m.in. na tym, że przedsiębiorcy mają potrafić wykazać przed organem nadzorczym, iż wszelkie działania związane z przetwarzaniem danych są wykonywane zgodnie z przepisami i skutecznie.

Jeśli dziś ktoś mówi, że jest w pełni przygotowany na RODO, zapewne jest w błędzie. RODO gruntownie zmienia bardzo szeroki zakres aspektów, wedle których firmy działają od lat. Rozporządzenie wymusi weryfikację i w niektórych przypadkach zmianę umów z pracownikami, partnerami i klientami. Z pracownikami – w zakresie unormowania odpowiedzialności za działania związane z przetwarzaniem danych osobowych. Z kontrahentami – w zakresie dotyczącym przekazywania danych osobowych do dalszego przetwarzania. Z klientami – w zakresie dotychczas wyrażonych zgód na przetwarzanie powierzonych danych osobowych, a także
w przypadkach profilowania.

Firmy staną wobec konieczności stosowania nowych formularzy zgód na przetwarzanie danych osobowych. Przepisy wymuszą weryfikację i dostosowanie polityki bezpieczeństwa i systemów ochrony danych, szkolenia pracowników oraz sposób zapisywania, udostępniania i archiwizacji danych osobowych. RODO wnosi nowy wymiar odpowiedzialności – obok drakońskich kar finansowych pojawia się odpowiedzialność solidarna podmiotów uczestniczących w procesie przetwarzania danych oraz bezpośrednia odpowiedzialność odszkodowawcza administratora danych osobowych. W niektórych przypadkach organizacje zmuszone będą powołać nową funkcję – Inspektora Danych Osobowych. Zmiana ta w połączeniu z koniecznością wdrożenia zmian w obowiązujących procedurach w firmie może wiązać się z modyfikacją struktury organizacyjnej przedsiębiorstwa.

„Procesu dostosowawczego nie da się przeprowadzić w ramach szkolenia z RODO dla jednej osoby, ani analizy użytkowanych systemów informatycznych. Przepisy rozporządzenia są otwarte – na przedsiębiorcy ciąży odpowiedzialność za znalezienie odpowiednich metod i narzędzi, bo to przedsiębiorca wie jak i po co przetwarza dane osobowe” – dodaje Piotr Ciski.

Diabeł tkwi w szczegółach

RODO nie konkretyzuje sposobu, w jaki przedsiębiorcy mają dopełnić obowiązku bycia zgodnym z przepisami. Wskazuje jednak konkretne kategorie naruszeń odwołując się do poszczególnych artykułów RODO. Zadaniem firm jest więc takie przeprowadzenie reorganizacji biznesu i prowadzonych operacji, by wyeliminować bądź zminimalizować ryzyku potencjalnych naruszeń i incydentów. Każda firma w oparciu o swój unikatowy model działania i system pracy musi dostosować się do RODO stosując indywidualnie dobrane narzędzia i środki. I tu w każdej organizacji pojawia się wiele pytań o szczegóły. Na przykład: jak skutecznie usunąć dane osoby fizycznej, która wystąpiła z żądaniem bycia zapomnianym, jeśli dane te są rozproszone i rezydują w różnych kopiach backup (będących zintegrowanymi plikami), na przenośnych komputerach pracowników, w kilku systemach informatycznych i na różnych wydrukowanych dokumentach? Tylko ten jeden przykład pokazuje, że firmy powinny uważnie zrewidować sposób procesowania danych osobowych. Każda operacja na nich powinna być wykonana na podstawie wyraźnej zgody właściciela danych osobowych, transparentna dla administratora danych i organu nadzorczego, możliwa do udokumentowania i wykonywana tylko wtedy, gdy jest to konieczne.