Kiedy wchodzi ustawa RODO i czego możesz się spodziewać?

Kiedy wchodzi RODO? Obowiązuje od 25 maja 2018 roku jako rozporządzenie Unii Europejskiej, a nie krajowa ustawa, dlatego potoczna nazwa ustawa RODO jest umowna. W Polsce stosowanie uzupełniają przepisy krajowe dotyczące ochrony danych osobowych. Co to oznacza i czego możesz się spodziewać? Realnego obowiązku wykazania zgodności, podejścia opartego na ryzyku i pełnej odpowiedzialności za sposób przetwarzania danych w organizacji.

Kiedy wchodzi RODO i jaki ma status prawny?

RODO to rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 stosowane bezpośrednio we wszystkich państwach członkowskich, obowiązuje od 25 maja 2018 roku. Nie jest ustawą krajową, a jego stosowanie w Polsce uzupełniają przepisy ustawy o ochronie danych osobowych oraz akty wykonawcze.

Rozporządzenie obejmuje przetwarzanie danych przez podmioty publiczne i prywatne w formie elektronicznej oraz papierowej, jeżeli informacje tworzą lub mogą tworzyć uporządkowany zbiór danych. Ma również zastosowanie do wybranych podmiotów spoza UE, jeżeli oferują towary lub usługi osobom w Unii albo monitorują ich zachowanie.

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, który egzekwuje zgodność i przyjmuje zgłoszenia naruszeń.

Czym dokładnie jest RODO i kogo dotyczy?

RODO reguluje przetwarzanie danych osobowych, czyli informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, w tym identyfikatorów i danych lokalizacyjnych oraz identyfikatorów internetowych. Przetwarzanie obejmuje między innymi zbieranie, utrwalanie, przechowywanie, modyfikowanie, wykorzystywanie, udostępnianie i usuwanie.

Za zgodność odpowiada administrator danych, który decyduje o celach i sposobach przetwarzania. Operacje techniczne na danych może wykonywać podmiot przetwarzający działający w imieniu administratora na podstawie umowy lub innego instrumentu prawnego.

RODO opiera się na zasadach zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności i poufności oraz rozliczalności. Zasady te wyznaczają ramy każdego procesu, od momentu pozyskania do usunięcia danych.

Rozporządzenie wprowadza podejście oparte na ryzyku, a także privacy by design i privacy by default. Ochrona danych musi być wbudowana w produkt, usługę lub proces już na etapie projektowania i domyślnych ustawień.

W określonych sytuacjach konieczne jest wyznaczenie inspektora ochrony danych, w szczególności w organach i podmiotach publicznych oraz przy regularnym i systematycznym monitorowaniu osób na dużą skalę albo przetwarzaniu szczególnych kategorii danych na dużą skalę. Szczególne kategorie obejmują między innymi dane o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej oraz dane genetyczne i biometryczne używane do jednoznacznej identyfikacji.

Na czym polega największa zmiana?

Kluczowa zmiana to przejście od formalnego spełniania wymogów do rozliczalności. Organizacja musi wykazać, że rzeczywiście zarządza ryzykiem, spełnia zasady RODO i potrafi to udowodnić dokumentacją, procesami oraz środkami technicznymi i organizacyjnymi.

Jakie są podstawy przetwarzania danych?

Każdy cel przetwarzania wymaga konkretnej podstawy prawnej. Może to być zgoda osoby, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym albo prawnie uzasadniony interes administratora, z poszanowaniem praw i wolności osoby.

Jakie prawa przysługują osobom, których dane dotyczą?

Osobom przysługują prawa dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu, a w określonych przypadkach także prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu. Na wnioski należy odpowiadać co do zasady w ciągu miesiąca z możliwością wydłużenia przy wysokiej złożoności sprawy po poinformowaniu osoby.

Co musisz przygotować w organizacji, aby spełnić RODO?

Trzeba wprowadzić kompletne i udokumentowane mechanizmy zgodności obejmujące procesy, polityki, rejestry i środki bezpieczeństwa oparte na analizie ryzyka.

• Inwentaryzacja danych. Identyfikacja kategorii danych, źródeł, celów, miejsc przechowywania i odbiorców w systemach informatycznych i dokumentacji papierowej. Ujęcie obszarów takich jak komunikacja, rekrutacja, kadry, sprzedaż oraz marketing.
• Ustalenie podstaw prawnych. Przypisanie podstawy do każdego celu i rozdzielenie celów w zależności od relacji z osobą, ponieważ różne operacje wymagają różnych podstaw prawnych.
• Ocena ryzyka. Analiza prawdopodobieństwa i skutków naruszeń praw osób oraz dobór adekwatnych środków jak szyfrowanie, pseudonimizacja, kontrola dostępu, segmentacja, kopie zapasowe i monitoring logów.
• Ocena skutków dla ochrony danych DPIA. Wymagana, gdy przetwarzanie może powodować wysokie ryzyko, między innymi przy systematycznym monitorowaniu na dużą skalę, przetwarzaniu szczególnych kategorii danych na dużą skalę lub wdrażaniu nowych technologii. Ocena opisuje operacje, cele, proporcjonalność, ryzyka i planowane zabezpieczenia.
• Obsługa praw osób. Procedura przyjmowania i weryfikacji wniosków oraz terminowe odpowiedzi wraz z zarządzaniem sprzeciwami i ograniczeniami przetwarzania.
• Reagowanie na incydenty. Wykrywanie, zabezpieczanie dowodów, ograniczanie skutków, analiza ryzyka, decyzja o zgłoszeniu i działania naprawcze. Obowiązek zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin, jeżeli istnieje ryzyko naruszenia praw lub wolności osób.
• Kontrola cyklu życia danych. Określone okresy retencji oraz usuwanie lub anonimizacja po ich upływie albo wykazanie innej podstawy dalszego przechowywania.

Wymagane komponenty to między innymi polityka ochrony danych i bezpieczeństwa informacji, rejestr czynności przetwarzania, rejestr naruszeń, klauzule informacyjne, procedura realizacji praw osób, procedura zarządzania zgodami, umowy powierzenia, analizy ryzyka i DPIA, polityka retencji, kontrola dostępu zgodna z zasadą najmniejszych uprawnień, szkolenia, audyty i testy bezpieczeństwa, plan ciągłości działania i odtwarzania danych, procedura transferów poza EOG oraz mechanizmy pseudonimizacji, anonimizacji i szyfrowania.

Istotne zależności w projektowaniu zgodności to powiązanie celów, podstawy prawnej, zakresu danych i okresu retencji. Zmiana celu wymaga ponownej oceny podstawy i zakresu. Wpływ ryzyka determinuje środki bezpieczeństwa i obowiązki dokumentacyjne.

Jak przygotować klauzule informacyjne i zarządzać zgodami?

Klauzula informacyjna musi w sposób jasny i przejrzysty wskazywać administratora, cele i podstawy przetwarzania, odbiorców danych, okres przechowywania oraz prawa osoby, której dane dotyczą, wraz z informacją o możliwości wniesienia skargi do organu nadzorczego.

Zgoda jako podstawa przetwarzania musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz możliwa do wycofania w sposób równie łatwy jak jej udzielenie. Zgoda na działania marketingowe nie zawsze jest wymagana, ponieważ podstawą może być prawnie uzasadniony interes, jednak wymaga to testu równowagi i poszanowania prawa sprzeciwu.

Jak odróżnić RODO od cookies, marketingu elektronicznego i telemarketingu?

RODO reguluje przetwarzanie danych osobowych i wynikające z tego obowiązki, natomiast pliki cookies i zgody marketingowe mogą podlegać także odrębnym przepisom sektorowym. W praktyce obowiązki wynikające z RODO współistnieją z regulacjami dotyczącymi komunikacji elektronicznej.

Jak zarządzać dostawcami i podwykonawcami?

Umowy z podmiotami, które mają dostęp do danych, powinny precyzować zakres przetwarzania, poufność, bezpieczeństwo, zasady angażowania podwykonawców, tryb zgłaszania incydentów oraz usuwanie lub zwrot danych po zakończeniu świadczenia usług. Wartościowe jest systemowe zarządzanie dostawcami i bezpieczeństwem łańcucha dostaw, z wykorzystaniem szyfrowania, wieloskładnikowego uwierzytelniania i ścisłego zarządzania uprawnieniami.

Jak legalnie przekazywać dane poza EOG?

Transfer danych poza Europejski Obszar Gospodarczy wymaga odpowiedniej podstawy prawnej i oceny poziomu ochrony. Podstawę mogą stanowić decyzje stwierdzające odpowiedni stopień ochrony lub standardowe klauzule umowne wraz z analizą skuteczności zabezpieczeń w państwie odbiorcy.

Co grozi za naruszenia i jak wygląda reakcja na incydenty?

Naruszenie może skutkować karą finansową, nakazem ograniczenia lub zaprzestania przetwarzania, obowiązkiem usunięcia danych, ostrzeżeniem oraz roszczeniami odszkodowawczymi. Reakcja obejmuje wykrycie zdarzenia, zabezpieczenie, ocenę ryzyka, decyzję o notyfikacji oraz działania naprawcze i zapobiegawcze. Jeżeli incydent powoduje ryzyko naruszenia praw lub wolności, administrator zawiadamia organ nadzorczy w miarę możliwości w ciągu 72 godzin.

Czy RODO dotyczy podmiotów spoza Unii Europejskiej?

RODO ma zastosowanie do administratorów i podmiotów przetwarzających spoza UE, którzy oferują towary lub usługi osobom w Unii lub monitorują ich zachowanie na terytorium UE. Powoduje to obowiązek wdrożenia adekwatnych mechanizmów zgodności także poza granicami Wspólnoty.

Na co zwrócić uwagę dziś i w najbliższych latach?

Priorytety obejmują ochronę danych w obszarach sztucznej inteligencji, profilowania, biometrii, chmury, urządzeń IoT, analityki behawioralnej oraz transgranicznego przetwarzania. Coraz większego znaczenia nabierają zarządzanie dostawcami, bezpieczeństwo łańcucha dostaw, szyfrowanie, uwierzytelnianie wieloskładnikowe, kontrola uprawnień oraz szybkie reagowanie na incydenty.

Podsumowanie

RODO obowiązuje od 25 maja 2018 roku i jest bezpośrednio stosowanym prawem unijnym, które w Polsce uzupełniają regulacje krajowe. Odpowiedź na pytanie z tytułu jest jednoznaczna oraz praktyczna. Zgodność wymaga rozliczalności, podejścia opartego na ryzyku, jasnych podstaw prawnych, transparentnej informacji, respektowania praw osób, bezpiecznych procesów, kontroli dostawców i świadomego zarządzania transferami. RODO nie zakazuje gromadzenia danych, jednak wymaga aby były potrzebne do jasno określonego celu, właściwie zabezpieczone i przechowywane nie dłużej niż to konieczne.