W maju 2018 roku, po dwuletnim okresie przejściowym, weszło w życie RODO, czyli unijne rozporządzenie o ochronie danych osobowych, które nakłada szereg obowiązków na Administratorów danych osobowych (ADO), oraz między innymi firmy przetwarzające dane w ich imieniu, tzw. Procesorów.
RODO to powszechnie używany skrót na określenie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, które od dnia 25 maja 2018 r., zgodnie z ogólną zasadą prawa Unii Europejskiej jest bezpośrednio stosowane we wszystkich państwach członkowskich UE i od tego dnia stało się częścią prawa krajowego.
Przepisy RODO dotyczą niemal wszystkich podmiotów przetwarzających dane osobowe: podmiotów publicznych jak i prywatnych przedsiębiorstw, a nawet osób fizycznych prowadzących działalność gospodarczą, jeśli przetwarzają one dane osobowe innych osób fizycznych (np. kandydatów do pracy, pracowników, dostawców, klientów oraz osób współpracujących), i przez to stają się Administratorem tych danych.
Przedsiębiorcy muszą dostosować dotychczasową dokumentację ochrony danych osobowych, jeżeli taką posiadają, do wymagań RODO. Dostosowanie to dotyczy opracowania m.in. analizy ryzyka, rejestru (kategorii) czynności przetwarzania, zgód na przetwarzanie danych osobowych, klauzul informacyjnych, upoważnień do przetwarzania danych osobowych, rejestru naruszeń ochrony danych osobowych, czy umów powierzenia przetwarzania danych.
Pewnym wyzwaniem dla przedsiębiorców, poza opracowaniem dokumentacji, jest nałożony na Administratorów w art. 33 RODO, obowiązek zgłaszania incydentów ochrony danych osobowych nie później niż w 72 godziny od stwierdzenia naruszenia, do odpowiedniego organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych.
Ponadto, przedsiębiorcy, zgodnie z art. 32 RODO, winni wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia ochrony danych, w tym między innymi w stosownym przypadku, przedsiębiorca winien zapewnić:
- pseudonimizację (rozumianą jako przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji),
- szyfrowanie danych osobowych,
- ciągłe zapewnienie poufności, integralności, dostępności i odporności systemów i usług przetwarzania,
- zapewnienie zdolności posiadanych systemów do szybkiego przywrócenia dostępności danych osobowych.
Jakie mają być te odpowiednie środki, aby osiągnąć cel RODO? Niestety na to pytanie RODO już nam nie odpowiada. Rozporządzenie charakteryzuje się bardzo wysokim stopniem ogólności i nie daje żadnych szczegółowych wskazówek, w jaki sposób chronić dane osobowe. Nie podaje ani środków technicznych, ani też organizacyjnych. Sam przedsiębiorca musi zapewnić – dostosowane do profilu swojej działalności i zakresu przetwarzania danych – środki techniczne i organizacyjne, aby w pełni zabezpieczyć przetwarzane przez siebie dane osobowe.
Oferujemy kompleksową usługę opracowania i wdrożenia Systemu Ochrony Danych Osobowych, zgodnie z wymaganiami RODO, począwszy od inwentaryzacji aktywów, poprzez analizę ryzyka i dobór zabezpieczeń adekwatnych do zagrożeń, po implementację odpowiednich procedur i polityk bezpieczeństwa.
Świadczymy także usługi Inspektora Ochrony Danych Osobowych, dzięki czemu nasi klienci mają dostęp do doświadczonych konsultantów/inspektorów obsługujących różne firmy i organizacje.
