Jak RODO zmieni zarządzanie danymi osobowymi

Jakich jest 5 najważniejszych zmian, które RODO wprowadza w zarządzaniu danymi osobowymi?

1. Podejście oparte na analizie ryzyka

Jedną z największych zmian jest przeniesienie decyzji, „jak chronić dane osobowe", z ustawodawcy na administratora, czyli spółkę, która jest „właścicielem" danych. RODO, w odróżnieniu od dotychczasowych przepisów, wielokrotnie posługuje się jedynie ogólnymi pojęciami dotyczącymi prawidłowego przetwarzania danych osobowych, ich ochrony, wdrażania odpowiednich środków bezpieczeństwa etc. To administrator, jako najlepiej znający swoje przedsiębiorstwo, analizując ryzyka w obszarze przetwarzania danych osobowych, w zależności od procesu podejmuje decyzję, jakie konkretnie środki zastosuje w praktyce (inne pasują do spółki e-commerce, a inne do spółki typowo produkcyjnej). Oczywiście w przypadku kontroli administrator powinien wykazać, dlaczego zdecydował się akurat na takie rozwiązania.

2. Nowa dokumentacja przetwarzania danych

RODO znosi wymóg rejestracji zbiorów danych osobowych, brak również obowiązku prowadzenia polityki bezpieczeństwa czy instrukcji zarządzania systemem informatycznym. Nie oznacza to jednak, że spółka nie powinna prowadzić żadnej dokumentacji. Administrator prowadzi rejestr czynności przetwarzania, w którym gromadzi informacje dot. m.in. kategorii osób, których dane przetwarza (np. pracowników), kategorii przetwarzanych danych (np. dane kontaktowe, dane identyfikacyjne) oraz celu ich przetwarzania (np. wykonanie umowy o pracę). Także podmiot, który jest procesorem, tj. przetwarza dane na zlecenie innych podmiotów (np. prowadzi hosting, świadczy usługi księgowe dla spółek z grupy), powinien prowadzić tzw. rejestr kategorii czynności przetwarzania, w którym opisuje m.in., jakie operacje dokonuje w imieniu każdego z administratorów (np. zbiera dane pracowników w celu korzystania przez nich z określonych benefitów sportowych czy medycznych). Jeśli ww. podmioty zatrudniają mniej niż 250 pracowników, teoretycznie nie są zobowiązane do prowadzenia tych rejestrów, chyba że przetwarzanie dotyczy np. danych wrażliwych.

3. Nowe obowiązki informacyjne

RODO wprowadza konieczność przekazania osobom, których są przetwarzane, szeregu informacji. Co więcej, powinny być one formułowane jasnym i prostym językiem i przekazywane w sposób zwięzły, łatwo dostępny i zrozumiały. Informacje obejmują m.in. cele przetwarzania, odbiorców danych (np. to, że w przetwarzaniu mogą brać udział np. podmioty dostarczające rozwiązania IT, lub kurierzy dostarczający zaproszenia na konferencję), zamiar przekazywania danych poza Europejski Obszar Gospodarczy, np. do USA, i stosowane w takim wypadku zabezpieczenia, np. standardowe klauzule umowne zatwierdzone przez Komisję Europejską, czy tzw. tarczę prywatności. Istotne jest więc, aby spółka zdawała sobie sprawę, dokąd przekazuje dane, decydując się na współpracę z określonymi podmiotami, zwłaszcza w obszarze IT, głównie w przypadku przechowywania danych w chmurze – co niestety często wymaga przeanalizowania skomplikowanych regulaminów.

4. Zgłaszanie incydentów

W przypadku wykrycia przez spółkę w swoich strukturach incydentów naruszających ochronę danych osobowych, które mogą skutkować zagrożeniem praw i swobód osób, których dane zostały naruszone, powinna ona bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia, zgłosić ten fakt prezesowi Urzędu Ochrony Danych Osobowych wraz z opisem zdarzenia oraz zastosowanych środków mających na celu wyeliminowanie zagrożeń. Ale to nie wszystko. Jeżeli naruszenie mogło powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, spółka zawiadamia o incydencie również osobę, której dane dotyczą, chyba że odpowiednie środki ochrony uniemożliwią odczyt danych osobom nieuprawnionym, wysokie ryzyko zostało przez administratora wyeliminowane w inny sposób lub po prostu dotarcie do takiej osoby wymagałoby niewspółmiernie dużego wysiłku (w tym ostatnim przypadku wystarczające może być udostępnienie informacji publicznie, co jednak może wiązać się z większym ryzykiem wizerunkowym spółki).

5. Kary finansowe

Nic tak nie działa na wyobraźnię przedsiębiorców jak kary finansowe. Faktycznie, dotychczas kary organu opierały się głównie na wskazywaniu właściwych praktyk czy wzywaniu do zaprzestania określonych naruszeń. RODO ma jednak na celu zmobilizowanie przedsiębiorców do realnego zatroszczenia się o przetwarzane dane, co ma być osiągnięte przez system kar administracyjnych w wysokości do 20 mln euro lub do 4 proc. całkowitego rocznego światowego obrotu przedsiębiorcy. Przedsiębiorstwo jest przy tym rozumiane jako grupa kapitałowa (polskie tłumaczenie nie jest jednoznaczne, jednak wniosek taki płynie przede wszystkim z orzecznictwa TSUE). Słabym pocieszeniem jest fakt, że w niektórych przypadkach kary te mogą osiągać poziom 10 mln euro lub 2 proc. światowego obrotu. Wszystkie kary podlegają jednak miarkowaniu, a organ wciąż może poprzestać na swoich innych uprawnieniach, np. ostrzeżeniu.

Do czego mają prawo osoby, których dane są przetwarzane?

Jednym z głównych założeń RODO jest zapewnienie wszystkim osobom fizycznym kontroli nad ich danymi osobowymi, stąd szereg uprawnień, które mają im pomóc w jej realizacji (część znana już do tej pory).

Najważniejsze z nich to:

- prawo do bycia poinformowanym (tutaj sprawę załatwiają dobrze napisane klauzule informacyjne w ramach obowiązków informacyjnych, o których powyżej);

- prawo dostępu do danych (co wiąże się przede wszystkim z możliwością otrzymania ich kopii od spółki);

- prawo sprostowania nieprawidłowych lub uzupełnienia danych niekompletnych (przykładem może być żądanie pracownika zaktualizowania jego kwalifikacji zawodowych po ukończonym kursie);

- prawo do bycia zapomnianym (najbardziej chyba przereklamowane hasło ostatnich miesięcy, które stanowi po prostu znane już prawo do usunięcia danych, przy czym nie działa w sposób bezwarunkowy – np. pracodawca nie zrealizuje przecież każdego takiego żądania pracownika w czasie trwania stosunku pracy, kiedy dane będące przedmiotem wniosku są niezbędne do wykonania umowy, a także często nawet po jego zakończeniu, z uwagi na obowiązek ich dalszego przetwarzania wynikający z przepisów prawa);

- prawo do przenoszenia danych (czyli wydania danych w „ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego" – np. plik CSV, a nawet przesłania tych danych przez spółkę innemu, wskazanemu administratorowi, np. przesłanie historii transakcji pomiędzy bankami w przypadku zmiany podmiotu prowadzącego rachunek – uprawnienie to często stanowi największy problem przedsiębiorców pod kątem stopnia przygotowania ich systemów informatycznych);

- prawo do ograniczenia przetwarzania wyłącznie do przechowywania danych (do zastosowania w ściśle określonych przypadkach, np. gdy osoba, której dane dotyczą, kwestionuje prawidłowość tych danych – na okres pozwalający administratorowi sprawdzić ich prawidłowość).

Ważne jednak, aby mieć świadomość, że administrator nie będzie zobowiązany do realizacji wszystkich uprawnień każdej osoby, w każdym przypadku i zakresie. Konkretne uprawnienia przysługują bowiem w zależności od tego, na jakiej podstawie oparte jest przetwarzanie i jaki jest jego cel.

Czego mogą się spodziewać akcjonariusze w związku z RODO?

Z uwagi na konieczność spełnienia obowiązku informacyjnego przez spółki część z akcjonariuszy otrzymała lub w najbliższej przyszłości otrzyma zapewne zaktualizowane polityki prywatności spółek, których akcje nabyła. Inni, głównie właściciele akcji na okaziciela, o nowych regulacjach dowiedzą się pewnie z ogłoszenia o zwołaniu walnego zgromadzenia, w którym spółki będą umieszczać odpowiednie klauzule, szukając najbardziej efektywnego sposobu, w jaki mogą przekazać te informacje. W dalszej przyszłości, wraz ze wzrostem świadomości podmiotów zarządzających danymi, akcjonariusze powinni się spodziewać przede wszystkim większej atencji spółek przy pobieraniu i przetwarzaniu ich danych, np. lista akcjonariuszy uprawnionych do udziału w WZ nie powinna zawierać więcej danych niż wyłącznie niezbędne do jej sporządzenia i przeprowadzenia WZ. Dodatkowa ostrożność może być również potrzebna w przypadku żądania przez uprawnionych akcjonariuszy przesłania im listy akcjonariuszy pocztą elektroniczną. Weryfikacja ich tożsamości przez spółki niekoniecznie powinna się odbywać np. poprzez żądanie przesłanie skanu dowodu osobistego czy paszportu celem jej potwierdzenia (może zostać odebrane jako środek nieproporcjonalny do zamierzonego celu). Podobne wątpliwości mogą zachodzić w przypadku praktyki kserowania dowodów tożsamości w innych przypadkach, np. uczestnictwa w walnym zgromadzeniu, czy zgłaszania żądania umieszczenia spraw w porządku obrad przez pełnomocnika akcjonariusza spółki, które zostaną pewnie ograniczone.