RODO ZMIANY OD 25.05.2018 DLA KAŻDEGO PRZEDSIĘBIORCY
Rozporządzenie będzie dotyczyć każdego przedsiębiorstwa, bez względu na skalę działalności, od jednoosobowej firmy po międzynarodową korporację, która przetwarza dane osobowe klientów, kontrahentów czy pracowników. Nowe przepisy mają na celu zadbanie o faktyczną i rzetelną ochronę danych osób fizycznych, zapewniając im szereg praw, m.in. do szerszego wglądu we własne dane, uzyskiwania szczegółowych informacji o celu i zakresie ich przetwarzania oraz możliwość ich całkowitego usunięcia z zasobów firmy. Dla przedsiębiorców regulacje te oznaczają powstanie nowych obowiązków, do których należy się przygotować w ciągu najbliższych kilku miesięcy.
„Polskie przepisy o ochronie danych osobowych nie odbiegają w znacznym stopniu od głównych koncepcji RODO. Firmy, które stosują się do obecnych regulacji mają już zatem podstawy do wdrożenia zasad Rozporządzenia. Należy jednak zwrócić uwagę, że przedsiębiorcy często traktują przepisy związane z ochroną danych osobowych jak zło konieczne, stosując się jedynie do wymogów formalnych, takich jak zgłoszenie zbiorów danych do GIODO, natomiast w kulturze ich organizacji brakuje dbałości o faktyczną ochronę tego rodzaju zasobów. RODO zmienia ten stan rzeczy, ponieważ wymusza na firmach stworzenie kompleksowej polityki bezpieczeństwa dotyczącej przechowywania i przetwarzania danych osobowych” – zauważa Cezary Karolczyk, ekspert z obszaru HR firmy Sage.
Jak przygotować się do wdrożenia RODO?
Czas na przygotowanie do wdrożenia RODO, w porównaniu ze skalą działań, jakie należy podjąć, jest stosunkowo krótki, zatem warto jak najszybciej zacząć realizację tego projektu.
1. Świadomość zmiany przepisów
Przede wszystkim należy zapoznać się z nowymi przepisami i określić, które z nich będą dotyczyły organizacji, bo nie we wszystkich firmach nowe regulacje będą miały zastosowanie w jednakowym zakresie, np. te dotyczące profilowania lub ochrony danych dzieci.
2. Analiza posiadanych zasobów
Najważniejszym krokiem jest szczegółowa analiza posiadanych zasobów danych. Określenie, gdzie się znajdują, jak są pozyskiwane/skąd pochodzą, kto ma do nich dostęp oraz jaka jest podstawa prawna do ich przetwarzania (od niej zależą prawa osób fizycznych, których dane są przetwarzane, np. do ich usunięcia). Każdy aspekt powinien być udokumentowany. Co ważne, należy zaktualizować wyrażone przez osoby fizyczne zgody na przetwarzanie danych zgodnie z celem ich przetwarzania. Zgody te nie mogą być domyślne (np. poprzez wyświetlenie informacji o tzw. ciasteczkach), ani zbyt ogólne.
3. Polityka bezpieczeństwa danych
Dokument informujący o polityce prywatności należy dostosować do wymogów RODO. Konieczna będzie także zmiana brzmienia formularzy zbierania danych na stronach internetowych oraz wykorzystywanych w bezpośrednich kontaktach z klientami. Informacje w nich zawarte muszą być przekazywane prostym i zwięzłym językiem. Nowe przepisy oznaczają także zmianę nawyków pracowników, szczególnie w zakresie właściwego pozyskiwania i zapisywania danych. Konieczne mogą okazać się szkolenia dotyczące stosowania polityki bezpieczeństwa w codziennej praktyce.
4. Dostosowanie systemów IT
RODO zapewnia osobom fizycznym prawo dostępu do danych, ich korekty bądź całkowitego usunięcia (tzw. „prawo do bycia zapomnianym”), niestosowania marketingu bezpośredniego, czy też automatycznego podejmowania decyzji i profilowania lub przenoszenia danych. Systemy komputerowe firmy muszą sprostać tym wszystkim wymaganiom, a także rejestrować zgody udzielone na przetwarzanie danych w taki sposób, aby kontrolerzy organów nadzorczych byli w stanie je zweryfikować.
Chociażby w celu realizacji „prawa do bycia zapomnianym” przedsiębiorcy będą musieli zadbać o spójny system IT, w którym dane będą przechowywane w sposób uporządkowany. W praktyce może to oznaczać konieczność ograniczenia liczby urządzeń i nośników, na których dane są przechowywane. Po wprowadzeniu RODO dane nie będą mogły być rozproszone, a pracownicy nie będą mogli w dowolny sposób kopiować i przenosić danych na urządzenia zewnętrzne.
5. Bezpieczeństwo danych
RODO nie narzuca konkretnych rozwiązań w zakresie zabezpieczenia danych. Każda organizacja musi wdrożyć systemy adekwatne do posiadanych zbiorów danych, skali i charakteru ich przetwarzania. Nowością jest jednak obejmujący wszystkich administratorów danych obowiązek monitorowania, raportowania i badania naruszeń ochrony danych osobowych. Każde naruszenie należy zgłaszać do organów nadzorczych w ciągu 72 godzin od wykrycia.