Czym jest RODO?
Odpowiadając na pytanie czym jest RODO, powinniśmy zacząć od rozwinięcia tego skrótu. RODO czyli Rozporządzenie o Ochronie Danych Osobowych jest zestawieniem przepisów, które mówią przedsiębiorcom i konsumentom, do czego mają prawo w zakresie prywatnych informacji i jak należy się z nimi obchodzić. Ze względu na to, że jest to dokument unijny, możemy spotkać się również z angielskim skrótem GDPR – General Data Protection Regulation.
Od kiedy obowiązuje RODO?
Projekt ogólnego rozporządzenia o ochronie danych przedstawiono w roku 2012, a w ostatecznej formie zostało ono przyjęte cztery lata później. We wszystkich krajach członkowskich Unii Europejskiej, więc także w Polsce RODO zaczęło obowiązywać 25 maja 2018 roku .
Kogo dotyczy RODO?
Każdy powinien mieć świadomość, że wdrożenie tego rozporządzenia to ważne wydarzenie nie tylko dla przedsiębiorców, ale też konsumentów. RODO w praktyce bowiem nakłada szereg obowiązków na firmy przetwarzające dane osobowe, a równocześnie oddaje w ręce klientów liczne prawa, pozwalające im zadbać o swoją prywatność.
Najważniejsze prawa i obowiązki wynikające z rozporządzenia
- obowiązek powołania IOD (Inspektora Ochrony Danych) w przedsiębiorstwach, w których przetwarzanie danych stanowi podstawę działalności,
- obowiązek informowania o wycieku danych– przedsiębiorstwo ma 72 godziny na ujawnienie informacji o odkrytym naruszeniu, które mogło skutkować trafieniem prywatnych informacji w niepowołane ręce,
- obowiązek dokumentowania przetwarzania danych osobowych– przedsiębiorstwo musi tworzyć rejestr dotyczący tego, jakie dane, w jakim celu, w jaki sposób i przez kogo są przetwarzane.
- prawo do dostępu do danych– konsument może wymagać od przedsiębiorstwa udzielenia szczegółowych informacji na temat tego, jakie dane na jego temat zostały zgromadzone i są przetwarzane,
- prawo do przenoszenia danych– konsument może zażądać eksportu danych osobowych przez przedsiębiorstwo i przekazania ich innemu podmiotowi,
- prawo do poprawienia danych osobowych– konsument ma możliwość wprowadzania korekt do informacji zebranych przez przedsiębiorstwo,
- prawo do bycia zapomnianym– konsument może żądać usunięcia zebranych informacji na swój temat.
RODO w praktyce
Prawa i obowiązki to jedno, ale dla firm najważniejsze jest to, by dane osobowe były przechowywane i przetwarzane w bezpieczny sposób oraz o to, by istniały określone schematy działania.
W przypadku RODO wymagania techniczne mogą być zatem całkiem duże. W skrócie należy zadbać o te elementy bezpieczeństwa:
- ochrona komputerów firmowych i urządzeń mobilnych– poprzez korzystanie z legalnego i aktualnego systemu operacyjnego, oprogramowania antywirusowego i oprogramowania użytkowego, a także stosowanie bezpiecznych haseł,
- zapobieganie wyciekom danych i szyfrowanie danych– można w tym celu wykorzystać profesjonalne oprogramowanie, jak i rozwiązania sprzętowe, np. serwery NAS, szyfrowane pendrive’y czy też chmurowe magazyny danych,
- monitorowanie zasobów firmowych i nadzór nad uprawnieniami– najczęściej osiągane przez to samo oprogramowanie i te same urządzenia, co we wcześniejszym punkcie,
- bieżąca dokumentacja– można to robić samodzielnie lub skorzystać z programu automatyzującego te procesy – trzeba jednak prowadzić rejestry dotyczące przetwarzania danych osobowych,
- bezpieczna wymiana sprzętu– należy zadbać o trwałe usunięcie wszystkich danych zapisanych na urządzeniach i nośnikach, które mają zostać zlikwidowane.
Wymaga jednak podkreślenia fakt, że RODO nie wprowadza precyzyjnych wytycznych na temat tego, jak przedsiębiorstwo powinno zadbać o ochronę danych (np. jakich programów użyć), a jedynie wskazuje to, co warto mieć na uwadze.
Konsekwencje i kary za nieprzestrzeganie/łamanie RODO
Aby sprostać wszystkim tym wymaganiom konieczne jest więc dostosowanie firmy do wymagań rozporządzenia. Przedsiębiorcy, którzy o to nie zadbają, muszą liczyć się z dotkliwymi karami. W rozporządzeniu przewiduje się dwa maksymalne progi grzywien:
- do 10 mln euro lub 2 proc. całkowitego rocznego obrotu za niewypełnianie obowiązku informacyjnego, braki w systemach ochrony danych, nieprawidłowe prowadzenie rejestrów itp.,
- do 20 mln euro lub 4 proc. całkowitego rocznego obrotu za złamanie podstawowych zasad przetwarzania danych, złamanie praw konsumenckich, niedozwolone udostępnianie danych itp.
Oczywiście poza karami finansowymi dochodzą jeszcze konsekwencje związane z renomą. Innymi słowy: zaufanie klientów do przedsiębiorstwa ukaranego za nieodpowiednie obchodzenie się z danymi osobowymi na pewno będzie niższe.