W związku z wejściem w życie RODO administratorów danych osobowych czekają nowe obowiązki. Jedna z nowych zasad, która dotyczy wycieku danych osobowych, zakłada, że w przypadku gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.
Jednymi z najważniejszych danych, jakie gromadzi każda firma, są informacje osobowe jej pracowników. Ich ochrona konieczna jest nie tylko ze względu na przepisy prawa, ale również dlatego, że mogą stać się łakomym kąskiem dla cyberprzestępców, a tego typu ataki są coraz częstsze. Dotykają one nie tyle duże koncerny, co przede wszystkim małe i średnie przedsiębiorstwa, gdzie procedury przeciwdziałania tego typu zagrożeniom są niedopracowane lub wręcz nie istnieją. Nie powinniśmy zatem pytać „czy” ktoś zaatakuje naszą firmę, ale bardziej - „kiedy” to zrobi.
Model postępowania przed prezesem nowego urzędu w sprawie naruszenia przepisów o ochronie danych osobowych, nie zabezpiecza właściwie interesów przedsiębiorców. Wątpliwości budzi możliwość wstrzymania wykonania decyzji urzędu, ale tylko w zakresie dotyczącym administracyjnej kary pieniężnej, nie zaś, np. w sytuacji ograniczenia lub zakazu przetwarzania danych osobowych. Projekt ustawy o ochronie danych osobowych, mimo minusów, stara się jednak wyjść naprzeciw oczekiwaniom przedsiębiorców - uważa Konfederacja Lewiatan.
W połowie 2018 roku zacznie obowiązywać Ogólne rozporządzenie o ochronie danych osobowych (GDPR). Unijne prawo wprowadza narzędzia, które mają zwiększyć kontrolę osób fizycznych nad ich danymi osobowymi. Z drugiej strony nakłada szereg wymogów na firmy i podmioty, które gromadzą, przetwarzają i udostępniają dane. Firmy, które nie wdrożą nowych przepisów, czekają kary finansowe.
Większość z nas podchodzi do tematu danych osobowych i ich ochrony z dużą beztroską. Z przeprowadzonych badań wynika, że informacje prywatne nie tylko są niefrasobliwie udostępniane w internecie, ale i trafiają do kosza w formie faktur, rachunków, pism urzędowych czy korespondencji bankowej. Wszystko to sprawia, że bazy danych aż kipią od najróżniejszych informacji, które nie tylko wykorzystywane są w celach marketingowych, ale i bywają udostępniane oraz sprzedawane w mniej lub bardziej legalnym obrocie gospodarczym.
Zgodnie z art. 40 z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, z wyjątkiem przypadków wskazanych w art. 43 ustawy. Podmiotem określonej w przepisie normy prawnej jest każdy administrator danych, przez którego zgodnie z art. 7 pkt 4 ustawy rozumie się organ, jednostkę organizacyjną, podmiot lub osobę fizyczną lub osobę prawną , które decydują o celach i środkach przetwarzania danych osobowych.
Coraz częściej podnoszone są głosy, że zgoda jako przesłanka legalizująca przetwarzanie danych jest nadużywana i staje się, nie do końca słusznie, centralną, kluczową przesłanką. Dlatego też, coraz częściej mówi się o potrzebie odwoływania się do pozostałych przesłanek przetwarzania, w tym do przesłanki prawnie usprawiedliwionego celu.
Zdaniem Głównego Inspektora Ochrony Danych Osobowych, coraz więcej Polaków interesuje się kwestiami w zakresie ochrony danych osobowych. Nic dziwnego, gdyż każda działalność gospodarcza nierozerwalnie wiąże się z korzystaniem z zasobów, zawierających dane osobowe klientów, partnerów czy współpracowników. Gromadzenie danych jeszcze szczególnie istotne w planowaniu działań e-marketingowych, a znajomość prawa w tym zakresie pozwala uniknąć wielu nieprzyjemności. Nawet pojedynczy e-mail czy telefon jest, zdaniem Inspektora, daną osobową, która podlega ochronie. Jednak dostęp do tych informacji nie oznacza swobody ich użycia.
W dniu 9 lipca 2014 r. Wojewódzki Sąd Administracyjny w Warszawie wydał ważny dla osób, których wizerunki objęte zostały monitoringiem, wyrok w sprawie o sygn. akt II SA/Wa 2393/13. Istota problemu, z którym zmierzył się sąd, sprowadzała się do rozstrzygnięcia, czy system monitoringu wizyjnego, pozwalający na identyfikację osób fizycznych, jest zbiorem danych osobowych podlegającym przepisom ustawy o ochronie danych osobowych.
