RODO – co to jest w praktyce?

Od 25 maja 2018 roku obowiązują w pełni przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Mityczne RODO. Czy należy się go obawiać?

Na to pytanie nie ma jednoznacznej odpowiedzi. Nasi prawnicy w ostatnich miesiącach przed wejście w życie nowych przepisów zajmowali się wdrażaniem rozwiązań dostosowujących działalność przedsiębiorstw i instytucji publicznych do wymogów RODO. W przypadku klientów, którzy już wcześniej wprowadzili odpowiednie rozwiązania wymagane obowiązującą do 24 maja krajową ustawą o ochronie danych osobowych, zmiany zwykle nie były znaczne. U tych klientów, którzy po raz pierwszy zaczęli zastanawiać się nad bezpieczeństwem danych osobowych w swoich firmach czy instytucjach, pracy do wykonania było dużo.

Co się zmienia? Przede wszystkim uprawnienia osób, których dane dotyczą, sposób określenia środków technicznych i organizacyjnych zabezpieczających przetwarzanie danych, inne będą też wymogi co do treści obowiązku informacyjnego oraz umów o powierzenie danych, co w praktyce oznacza konieczność ponowienia realizacji obowiązku informacyjnego oraz zawierania nowych umów. Zdecydowanie wyższe będą też kary.

Jednak zmiany nie zawsze są dla przedsiębiorców niekorzystne, przykładowo: dotychczasowa ustawa, a konkretnie wydane na jej mocy rozporządzenie, przewidywało jeden standard środków technicznych zabezpieczających przetwarzanie danych dla wszystkich. Niektóre z tych środków były problematyczne do wdrożenia dla mniejszych przedsiębiorstw. Teraz RODO wskazuje jedynie, że stosowane środki mają być adekwatne i odpowiednie do zakresu przetwarzania danych i ryzyka naruszenia ich bezpieczeństwa. Można się więc spodziewać, że np. przedsiębiorstwa działające wyłącznie w sektorze B2B nie będą musiały stosować tak rygorystycznych środków, jak choćby duże sklepy internetowe.

Czy jeżeli do dzisiaj nic nie zrobiono w związku z wejściem w życie RODO, należy spodziewać się surowych konsekwencji? Dotychczasowa praktyka oraz sygnały płynące dotychczas od GIODO – Generalnego Inspektora Ochrony Danych Osobowych (obecnie PUODO – Prezesa Urzędu Ochrony Danych Osobowych) oraz z Ministerstwa Cyfryzacji pozwalają przypuszczać, że firmom, które zaniedbały dotychczas wdrożenie rozwiązań wymaganych RODO, nie będą od razu wymierzane wysokie kary. Nadal jest czas na wprowadzenie odpowiednich rozwiązań i zadbanie o bezpieczeństwo danych w firmie czy instytucji. Czyli uniknięcie ewentualnych kłopotów w przyszłości.