Czy powinniśmy się bać RODO?

RODO – czy jest się czego bać?

- To bardzo duża zmiana. Organizacyjna. Mentalnościowa. I to nie tylko przedsiębiorców, ale także ich pracowników – tak o wejściu w życie RODO mówi nam Sylwia Templin-Świtała – inspektor ochrony danych. Ekspertka wyjaśnia też, jak się przygotować do zmian i na co koniecznie zwrócić uwagę!

Termin „RODO” elektryzuje przedsiębiorców co najmniej od kilku miesięcy. Czy mogłaby Pani w kilku słowach wyjaśnić, co to właściwie jest RODO?

RODO to skrót od ogólnego rozporządzenia o ochronie danych, które zostało przyjęte przez Unię Europejską w 2016 r. Rozporządzenie niesie za sobą reformę ochrony danych, zmianę podejścia do zasad bezpieczeństwa. Będzie obowiązywało każdy podmiot, który przetwarza dane osobowe, czyli w praktyce większość przedsiębiorców. Na co dzień mają oni bowiem do czynienia z danymi osobowymi swoich pracowników, klientów czy pacjentów. Obecnie trwa 2-letni okres przejściowy na dostosowanie się do nowych przepisów, który kończy się dokładnie 25 maja 2018 r.Od tego dnia wymagania RODO będą bezpośrednio stosowane we wszystkich państwach członkowskich. To oznacza, że przedsiębiorcy, którzy nie zdążą się przygotować, nie będą mogli liczyć na łagodniejsze potraktowanie przez organ nadzorczy ochrony danych.

Polecamy: Multipakiet RODO 2018 dla kadrowych i HR

Czy powinniśmy się bać RODO?

To zależy od tego, czy wcześniej przedsiębiorca dbał o ochronę danych osobowych, czy przywiązywał wagę do ich właściwego zabezpieczenia. Jeśli tak, to moim zdaniem nie ma się czego bać, a jedynie należy przyjrzeć się ponownie tym czynnościom, które wykonywane są na danych osobowych, sprawdzić, jak mają się do tego nowo nałożone przepisy, zaktualizować zabezpieczenia, jeśli okaże się to niezbędne, zweryfikować obecnie stosowane procedury. Jeśli jednak takie działania nie były nigdy wcześniej w firmie prowadzone, to może się to okazać dla przedsiębiorcy dużym wyzwaniem. I trzeba to szybko nadrobić.

Na czym będą polegały zmiany, które zaczną obowiązywać w maju? Czy mogłaby Pani powiedzieć przynajmniej o tych najważniejszych?

To, jakie zmiany będą dotyczyły przedsiębiorcy, jest uzależnione od tego, jakiego rodzaju dane osobowe przetwarza i na jaką skalę. W nowych przepisach pojawia się np. obowiązek powołania osoby do nadzorowania przestrzegania przepisów i procedur wewnętrznych, dotyczących danych osobowych. To inspektor ochrony danych. Wcześniej taka osoba była znana pod nazwą administratora bezpieczeństwa informacji, a jej wyznaczenie było dobrowolne. Teraz wszystkie podmioty publiczne, a także niektórzy przedsiębiorcy, będą musieli wyznaczyć u siebie taką osobę. Jej powołanie będzie obowiązkowe w firmach, których główna działalność polega na regularnym i systematycznym monitorowaniu osób lub przetwarzaniu danych wrażliwych, np. danych o stanie zdrowia, jeśli odbywa się to na dużą skalę. Pojęcie dużej skali nie jest przy tym precyzyjnie wyjaśnione. Firma sama powinna oszacować, czy jej działanie odbywa się na dużą skalę. Należy wziąć pod uwagę to, jakie konkretnie dane są przetwarzane, przez jaki czas, liczbę osób, których to dotyczy, jak i zakres geograficzny. Jako przykład może posłużyć nam gabinet lekarski. Jeśli przetwarzania dokonuje jeden lekarz, specjalista to możemy uznać, że odbywa się to na małą skalę. Jednak, gdy w ramach tego samego przedsiębiorstwa pojawiają się kolejne specjalizacje, gabinety, powstaje przychodnia lub szpital, to tutaj mamy już do czynienia z dużą skalą. W pozostałych przypadkach powołanie inspektora może nastąpić dobrowolnie.