Jak przygotować się do RODO 2018 - nowe obowiązki pracodawców

Skąd wziął się taki szum wokół RODO? Wszystko dlatego, że kary za nieprzestrzeganie RODO są bardzo wysokie, a choć informacji na temat tego jak się do niego przygotować jest w Internecie mnóstwo, to brakuje jednak konkretów. Firmy szkoleniowe zbierają zatem żniwa, bo z lęku przed RODO, każdy chce choć trochę „liznąć” ten temat i uchronić się przed ewentualnymi negatywnymi konsekwencjami niewiedzy.

Po przeczytaniu całego rozporządzenia mogę stwierdzić jedno, strach ma wielkie oczy. Oczywiście, nie twierdzę, że przed nami mało pracy, kilka rzeczy niewątpliwie się zmieni, ale nie taki diabeł straszny.

Organ nadzorczy w postaci Urzędu Ochrony Danych w Polsce, który zastąpi dotychczasowe GIODO, ma za zadanie egzekwować realizowanie założeń RODO. Każdy kto do tej pory na poważnie traktował przepisy ustawy o ochronie danych osobowych nie powinien się jednak obawiać nadchodzących zmian czy ewentualnych kontroli ze strony Urzędu.

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Czy Polacy na poważnie traktowali zapisy ustawy o ochronie danych osobowych? Śmiem twierdzić, że nie do końca. Chociaż ustawa obowiązuje od 1997 zdarzają się jeszcze pracodawcy dopiero teraz uzupełniający teczki akt osobowych o upoważnienia do przetwarzania danych osobowych.

Podstawowa zmiana ma właśnie na celu ułatwienie życia przedsiębiorcom, w skrócie ma być mniej dokumentacji, a więcej konkretnego działania. Nasuwa się pytanie na czym mają polegać te działania?

Przepisy rozporządzenia nie odpowiadają wprost. Wprawdzie wskazują na istotne elementy ochrony danych osobowych ale nie „mówią” zrób to czy tamto, stąd tak wiele ofert szkoleniowych czy propozycji audytu pod kątem RODO, czy też ochrony danych osobowych w ogóle. I dobrze! Biznes się kręci, pracodawcy słuchają jak ważna jest ochrona danych osobowych ale często niestety wracają do normalnej codzienności zapominając, że faktycznie trzeba będzie zmienić myślenie o ochronie danych osobowych.

Zapominamy o regularnej zmianie haseł, nie wiemy czym jest polityka czystego biurka, nie blokujemy komputera w momencie odejścia od monitora, nie chowamy dokumentacji w odpowiednio przystosowane do tego miejsce, często nawet nie bardzo się orientujemy jakiego rodzaju zbiory danych osobowych w firmie przetwarzamy! Nie mówiąc już o ograniczonym dostępie pracowników czy współpracowników do dokumentacji pracowniczej, czy wszelkiej dokumentacji, która zawiera dane osobowe, zastosowaniu odpowiednich środków ochrony nie tylko fizycznej, czyli zamykanych szaf, ale także ochrony systemów internetowych, w których przechowujemy ogromną liczbę danych osobowych pracowników.

Jak w takim razie przygotować się do RODO?

Nie będzie to nic odkrywczego jeśli powiem, że nie ma jednego, złotego środka, czy jednego rozwiązania, które pozwoli pracodawcom wdrożyć odpowiednie zastosowania a następnie przestać przejmować się ochroną danych osobowych. Można jednak przygotować się do tematu najlepiej, jak to możliwe.

Jako pierwszy krok w tym kierunku polecam przygotować Politykę Bezpieczeństwa, czyli dokument który ułatwi nie tylko pracodawcy, ale i zatrudnionym pracownikom zrozumieć m.in. jakie procesy zachodzą w danym zakładzie pracy, jakie istnieją zbiory danych osobowych oraz w jakich miejscach dochodzi do przetwarzania danych.

Zgodnie z art. 12 rozporządzenia, Administrator, czyli w naszym przypadku pracodawca, jest zobowiązany podejmować wszelkie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i przejrzystym językiem udzielać wszelkich informacji dotyczących zbierania danych osobowych osobom, których te dane dotyczą. Osobiście uważam, że wywiązanie się z tego obowiązku może odbyć się poprzez przygotowanie odpowiednich dokumentów informacyjnych.

Dodatkowo w przypadku pracodawców zatrudniających 250 lub więcej pracowników konieczne jest przygotowanie rejestru czynności przetwarzania. W rejestrze tym zamieszcza się takie informacje jak: imię i nazwisko administratora oraz dane kontaktowe, a gdy ma to zastosowanie również przedstawiciela administratora oraz inspektora ochrony danych, cele przetwarzania, opis kategorii osób, których dane dotyczą, kategorie odbiorców itd.

Cel przetwarzania: zatrudnienie pracownika
Opis kategorii osób: pracownicy
Kategorie danych osobowych: imię i nazwisko, dane adresowe, data urodzenia, numer PESEL, itd., itd.

W kontekście zatrudniania pracowników, RODO - podobnie jak w przypadku funkcjonującej ustawy o ochronie danych osobowych - pozwala nam pracodawcom, jako Administratorom na przetwarzanie danych osobowych w przypadku konieczności wypełnienia obowiązku prawnego, jakim jest zgodne z przepisami zatrudnienie pracownika poprzez zebranie jego danych, w celu właściwego zgłoszenia do ZUS, przygotowania dokumentacji pracowniczej, takiej jak umowa o pracę i innych dokumentów związanych z zatrudnieniem.

Warto jednak mieć na uwadze art. 7 rozporządzenia, który określa warunki wyrażenia zgody na przetwarzanie danych osobowych. Jeżeli przetwarzanie odbywa się na podstawie zgody, Administrator musi być w stanie wskazać, ze osoba której dane dotyczą, wyraziła zgodę na przetwarzanie danych osobowych – to jest ważna informacja w kontekście pozyskiwania przez pracodawców życiorysów potencjalnych kandydatów do pracy.

Polityka Bezpieczeństwa i rejestr czynności przetwarzania to nie wszystko. Niemniej ważna jest instrukcja zarządzania systemami informatycznymi. Co to takiego? Stosownie do postanowień § 3 i § 5 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, należy ustalić treść Instrukcji zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych. Taki obowiązek ciąży na Administratorze do 25 maja 2018, nie mniej jednak uważam, że warto taką instrukcję posiadać, a w niej opisać wszystkie procesy związane z systemem informatycznym, systemem operacyjnym, komputerami, nośnikami danych osobowych.

Po ludzku mówiąc, chodzi o to, aby regularnie zmieniać hasło w komputerze, dbać aby hasła były skomplikowane i trudne do rozszyfrowania, aby przesyłane pliki zawierające dane osobowe były hasłowane, a hasło było przesyłane drugiej stronie inną drogą komunikacji. Używanie niepowtarzalnych, indywidualnych danych logowania, zabezpieczenie systemów odpowiednimi programami antywirusowymi, stosowanie certyfikatów SSL i wiele innych metod sprzyja zabezpieczeniu administrowanych przez siebie danych.

Warto zwrócić uwagę na stosowanie odpowiednich środków ochrony danych, czyli oprócz tego o czym już wspominałam dodatkowo np. poprzez stosowanie wygaszaczy na ekranie, przechowywanie kopii na innym serwerze niż dane, oraz nie na komputerze, który wykorzystywany jest do przetwarzania danych na co dzień.

Kolejną kwestią, na którą wskazuje RODO jest ocena skutków dla ochrony danych, czyli jeżeli dany rodzaj przetwarzania, w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator jest zobowiązany dokonać oceny skutków planowanych operacji przetwarzania danych osobowych. Mało tego, Administrator konsultuje się z inspektorem ochrony danych, jeżeli został on wyznaczony.

Kiedy konieczne jest wyznaczenie inspektora ochrony danych?  Zgodnie z art. 37 rozporządzenia, konieczne jest to zawsze gdy:

- przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,

- główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę, lub

- główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Czy to wszystko? Pozostaje jeszcze kwestia wykazu powierzeń, np. jeśli pracodawca współpracuje z biurem rachunkowym, któremu przekazuje dane osobowe zatrudnionych pracowników.

Najważniejsze jest usystematyzowanie sobie tej wiedzy i przygotowanie w minimalnym zakresie podstawowej dokumentacji, aby wiedzieć w jaki sposób faktycznie ochronić dane osobowe zatrudnionych pracowników.