RODO (GDPR) – nowe regulacje UE
Przypomnijmy że RODO (Rozporządzenie o Ochronie Danych Osobowych lub z ang. GDPR – General Data Protection Regulation) to rozporządzenie, którego celem jest zagwarantowanie swobodnego przepływu danych osobowych w ramach Unii Europejskiej oraz usystematyzowanie procesów dot. przetwarzania tych danych przez wszystkie państwa członkowskie. Nowe regulacje przewidują wysokie sankcje za naruszenia przepisów. Każda osoba, która poniesie szkodę, jest też uprawniona do odszkodowania od podmiotu, który administrował lub przetwarzał jej dane.
Na co musieli przygotować się przedsiębiorcy?
Zmiany które wprowadza RODO w zakresie ochrony danych osobowych nie są w żaden sposób obwarowane ścisłymi regułami, które należało wdrożyć w przedsiębiorstwach. Te zależą głównie od lokalnych uwarunkowań i są związane ze specyfiką działania, mechanizmami i procedurami. Istotne były zatem audyty, sprawdzające w jaki sposób przetwarzane są dane osobowe, w jakich celach są przechowywane i jak zabezpiecza się je przed nieuprawnionym dostępem. Następnie kluczowe było przygotowanie reguł i procedur, adekwatnych do wyników audytów oraz zgodnych z rozporządzeniem Parlamentu Europejskiego.
Polecamy: WARSZTAT: BIZNES z RODO Jak efektywnie funkcjonować w nowych realiach prawnych
Zasady przetwarzania danych
Przypomnijmy jeszcze, że ustawodawca sformułował siedem głównych zasad, które dotyczą przetwarzania danych osobowych i których każdy przedsiębiorca, począwszy od 25 maja 2018 r., musi przestrzegać:
- zasada zgodności z prawem, rzetelności i przejrzystości,
- zasada ograniczenia celu przetwarzania,
- zasada minimalizacji danych,
- zasada prawidłowości,
- zasada ograniczenia przechowywania,
- zasada integralności i poufności,
- zasada rozliczalności.
Stąd właśnie wynikała potrzeba audytów. Przede wszystkim w odniesieniu do rodzaju danych osobowych przetwarzanych w firmie oraz posiadania stosownych zgód na ich przetwarzanie. Istotna była także weryfikacja celu przetwarzania wspomnianych danych oraz sprawdzenie ich poprawności, zgodnie z zasadą minimalizacji. Ostatnim etapem był test zabezpieczeń oraz funkcjonalności aplikacji, służących do gromadzenia i przetwarzania danych. Oczywiście, nie można było zapomnieć o edukacji pracowników w zakresie ochrony danych osobowych oraz sprawdzeniu podpisanych już umów z kontrahentami.
W czym pomoże odpowiednie oprogramowanie?
Jednym z obowiązków, które zawarte są w nowych regulacjach, jest konieczność przechowywania zgód na przetwarzanie danych osobowych. Jeżeli jednak posiadane bazy są pokaźnych rozmiarów, odnalezienie wymaganych zgód w razie ewentualnej kontroli może okazać się kłopotliwe. Podobna sytuacja może dotyczyć rejestru czynności przetwarzania, który powinien być prowadzony w sposób czytelny, przejrzysty i kompleksowy, a także rejestru naruszeń. Wszystkie te czynności można jednak zautomatyzować za pomocą odpowiednio przygotowanego i zaktualizowanego oprogramowania. Warto zatem zwrócić się do naszego dostawcy oprogramowania finansowo-księgowego czy kadrowego i zapytać o moduły lub rozszerzenia, wspierające GDPR. W zależności od producenta, mogą one być dodatkowe płatne lub dostępne bezkosztowo, w ramach posiadanej już licencji.
Prawo do bycia zapomnianym
Zależenie od zakresu w jakim przetwarzane są dane osobowe, prawo do bycia zapomnianym nie zawsze ma zastosowanie. Umownie można jednak stwierdzić, że większość przedsiębiorców będzie się z nim mierzyć. Tutaj z pomocą również przyjdzie automatyzacja i wyposażenie posiadanego oprogramowania w odpowiednie funkcje, które pozwolą zarówno na możliwość usunięcia danych użytkownika, jeżeli ten dokona stosownego zgłoszenia, jak również na psudonimizację danych czy po prostu wymagane zmiany.
RODO a kary – czego należy się wystrzegać?
Jak wskazano powyżej, RODO to szereg konsekwencji, z którymi muszą mierzyć się praktycznie wszyscy przedsiębiorcy. Nowe regulacje przewidują kary, które mogą zostać zastosowane w razie wykrycia naruszeń. Przykładami takich naruszeń mogą być np. braki podstaw prawnych do przetwarzania danych osobowych, naruszenia zasad bezpieczeństwa, braki w dokumentacji dot. danych osobowych czy nawet niezgłoszenia incydentów, które mogły spowodować szkody konkretnych osób, których dane są przez przedsiębiorstwo przetwarzane. Jeżeli zatem jeszcze tego nie zrobiliśmy, warto podejść do tematu RODO z pełną powagą, wykonać kompleksowe audyty, a na końcu zadbać o odpowiednie narzędzia, które pozwolą wywiązać się ze wszystkich obowiązków w zakresie ochrony danych osobowych.
Autor: RESET2 Sp. z o.o.