Tak zwane "wdrożenie RODO" to proces, który wymaga od wszystkich podmiotów przetwarzających dane osobowe (administratorów danych i podmiotów przetwarzających dane na zlecenie procesorów) dostosowanie się do ogólnego rozporządzenia o ochronie danych osobowych (Rozporządzenie   Parlamentu   Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE) oraz innych przepisów z zakresu ochrony danych osobowych, w tym Ustawy o ochronie danych osobowych z 10 maja 2018 roku.

Wdrożenie RODO i utrzymanie systemu ochrony danych osobowych w organizacji musi odbywać się z uwzględnieniem jej specyfiki, wielkości, obszaru, na którym działa, ilości klientów, rodzaju i zakresu przetwarzanych danych osobowych, kategorii osób, których dane są przetwarzane, stosowanych systemów do przetwarzania danych, rodzaju świadczonych usług/sprzedawanych produktów, skali działania, itd.

Etapy wdrożenia RODO i procesów z zakresu ochrony danych osobowych

Ocena sytuacji

Na tym etapie konieczne jest podjęcie następujących działań:

• przeprowadzenie "audytu RODO" pozwalającego dokonać oceny stanu faktycznego poziomu zgodności systemu ochrony danych osobowych z przepisami prawa;
• zidentyfikowaniu i opisaniu wszystkich procesów w organizacji w których dochodzi do przetwarzania danych osobowych (w tym wskazanie, czy mamy do czynienia z danymi osobowymi szczególnej kategorii, czy dochodzi do systematycznego monitorowania osób itd).

Stworzenie procedur i dokumentacji

To kolejny etap polegający na:

• opracowaniu metodyki analizy ryzyka dla czynności przetwarzania danych osobowych i przeprowadzeniu tej analizy ryzyka, a jeżeli na jej podstawie konieczne okaże się przeprowadzenie oceny skutków dla ochrony danych — wykonanie takiej oceny. Należy przy tym pamiętać, że analiza ryzyka to proces, który należy przeprowadzać regularnie, a także w przypadku zmian w przebiegu procesu przetwarzania danych lub pojawieniu się nowych procesów związanych z przetwarzaniem danych osobowych;
• opracowaniu dokumentacji systemu ochrony danych, czyli zestawu dokumentów regulujących zasady przetwarzania danych osobowych w organizacji (w tym rejestr czynności przetwarzania danych osobowych, rejestr kategorii czynności przetwarzania - jeżeli występujemy w roli procesora, polityka prywatności - jeżeli prowadzimy serwis www, zasad postępowania z incydentami (w tym rejestr naruszeń ochrony danych) i innych w zależności od rodzaju, celów, skali prowadzonego biznesu). Dokumentację ochrony danych osobowych należy opracować w oparciu o rzeczywiste potrzeby organizacji w zakresie ochrony danych osobowych. Jednym z najczęściej stosowanych dokumentów w dziedzinie ochrony danych jest polityka ochrony danych osobowych opisująca zasady postępowania przy przetwarzaniu danych osobowych w organizacji.

Wdrożenie RODO powinno być adekwatne do rodzaju prowadzonego biznesu, jego skali, zasięgu itd. Prawidłowo wdrożone RODO nie tylko nie zakłóca działań firmy, ale i pozytywnie wpływa na realizację poszczególnych celów biznesowych. Warto, aby dokumentację ochrony danych opracowywał zespół, który ma doświadczenie w tym zakresie. Starannie przygotowana dokumentacja może uchronić Twoją firmę przed nałożeniem kary przez UODO.

Prowadzenie rejestru czynności przetwarzania wzbudza w tobie lęk? Nie wiesz, z której strony podejść do rejestru kategorii czynności przetwarzania? Albo może potrzebna jest Tobie Analiza ryzyka? Specjalnie dla Ciebie przygotowaliśmy dokumenty zaprojektowane dla różnych rodzajów przedsiębiorstw. Znajdziesz je tutaj.

Wdrożenie środków bezpieczeństwa

Na tym etapie skupiaj się na:

• wdrożeniu środków technicznych i organizacyjnych adekwatnych do oszacowanego ryzyka, takich jak np. szkolenia w zakresie ochrony danych osobowych, szyfrowanie danych, stosowanie haseł i uwierzytelniania wielopoziomowego, tworzenie kopii zapasowych, ograniczanie dostępu do danych osobowych tylko dla uprawnionych osób, wdrożenie procedur postępowania z incydentami, realizacji praw osób, których dane dotyczą i inne. Środki bezpieczeństwa powinny być dobrane na podstawie wyników przeprowadzonej wcześniej analizy ryzyka,
• powołaniu inspektora ochrony danych (IOD), jeśli organizacja ma taki obowiązek lub, mimo jego braku, zdecyduje się na wyznaczenie inspektora. Posiadający odpowiednią wiedzę i kompetencje inspektor ochrony danych wzmocni bezpieczeństwo przetwarzanych danych osobowych i może znacząco zmniejszyć ryzyko naruszenia praw i wolności osób fizycznych. Jest punktem kontaktowym dla organu nadzorczego (organem nadzorczym w Polsce jest Urząd Ochrony Danych Osobowych). Powołanie inspektora ochrony danych osobowych może zatem być bardzo dobrą decyzją, mimo braku takiego obowiązku.

Poniżej szerzej opisano kwestie związane z wyznaczaniem Inspektora ochrony danych osobowych, który może być kluczową postacią we wdrożeniu RODO i utrzymaniu systemu ochrony danych osobowych.

RODO w art. 37 ust. 1 stanowi, że administrator i podmiot przetwarzający wyznaczają Inspektora Ochrony Danych (dalej: IOD), zawsze, gdy:

-      przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,

-      główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę,

-      główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO.

Zgodnie z art. 37 ust. 4 RODO administrator i podmiot przetwarzający mogą wyznaczyć Inspektora Ochrony Danych w każdym przypadku, jednak gdy wymaga tego prawo Unii lub prawo państwa członkowskiego, w szczególności, w sytuacji, gdy zaktualizowała się którakolwiek wskazane w art. 37 ust. 1 RODO podstawa, mają obowiązek wyznaczenia Inspektora Ochrony Danych.

Obowiązek powołania Inspektora Ochrony Danych stanowi przedmiot przyjętych w dniu 13 grudnia 2016 r., zmienionych dnia 5 kwietnia 2017 r. „Wytycznych dotyczących inspektorów ochrony danych (‘DPO’)” wydanych przez Grupę Roboczą Art. 29 ds. Ochrony Danych. Wytyczne wskazują, że nawet jeżeli wyznaczenie IOD nie jest obowiązkowe dla danego podmiotu, to może on zrobić to na zasadzie pełnej dobrowolności. IOD może być również wspólny dla grupy powiązanych ze sobą przedsiębiorstw, o ile zapewniony jest bezpośredni kontakt z nim.

W przypadku, gdy przedsiębiorca nie jest zobligowany do wyznaczenia IOD, może on fakultatywnie skorzystać z tego uprawnienia, aby np. podnieść poziom bezpieczeństwa danych w swojej organizacji. IOD powołany bez obowiązku prawnego będzie podlegał tym samym prawom i obowiązkom, co inspektorzy wyznaczeni obligatoryjnie.

Art. 37 ust. 1 lit. b i c RODO odwołują się do pojęć, które nie zostały zdefiniowane w treści RODO, a mianowicie do „głównej działalności administratora lub podmiotu przetwarzającego”, „przetwarzania na dużą skalę” i „regularnego i systematycznego monitorowania osób, których dane dotyczą”.

Zasadniczą kwestią jest dokonanie oceny, co oznaczają pojęcia „główna działalność" oraz „duża skala", które nie zostały doprecyzowane w RODO.

Brak dokładnej definicji tych pojęć sugeruje, że podmioty przetwarzające dane niejako same mogą zdecydować o tym, czy podlegają obowiązkowi wyznaczenia IOD. Rozporządzenie nie określa bowiem kategorii podmiotów ani ilości przetwarzanych rekordów, które wskazywałyby dokładniej, kogo mogą dotyczyć wymogi art. 37 ust. 1 lit. b i c RODO.

Zalecenia co do wyznaczenia IOD w sektorze prywatnym wprowadza motyw 97 RODO, zgodnie z zapisami, którego IOD powinny wyznaczyć te podmioty, dla których przetwarzanie danych stanowi główną działalność, rozumianą zgodnie z wytycznymi Grupy Roboczej art. 29 jako fundamentalne operacje stanowiące nieodłączną jej część, bez której wykonania nie jest możliwe osiągnięcie zamierzonych celów strategicznych.

Należy jednak zwrócić uwagę, że czynności nierozerwalnie związane z działalnością główną administratora lub podmiotu przetwarzającego, nawet jeśli nie stanowią celu same w sobie, również będą wchodziły w zakres „głównej działalności”. Grupa Robocza Art. 29 podaje przykład spółki świadczącej usługi ochrony mienia, która prowadzi monitoring w szeregu nieruchomości. Działalnością główną tej spółki będzie ochrona mienia, jednak jest ona nierozerwalnie związana z prowadzeniem monitoringu ww. miejsc, zatem monitoring należy do zakresu głównej działalności spółki, co oznacza, że jest ona zobligowana do wyznaczenia IOD.

Przy określaniu, czy przetwarzanie następuje na dużą skalę, Grupa Robocza Art. 29 zaleca uwzględnienie następujących czynników: liczby osób, których dane dotyczą, rodzaje danych osobowych, okres, przez jaki dane są przechowywane, a także zakres geograficzny przetwarzania danych osobowych.

Polski Urząd Ochrony Danych Osobowych nie wydał precyzyjnych wytycznych, co do tego, jak rozumieć dużą skalę. Do zagadnienia odniosły się jednak inne europejskie organy nadzoru i tak np. czeski wskazał, że przetwarzanie danych powyżej 10 000 osób należy uznać za przetwarzanie na dużą skalę. Przekładając ten wskaźnik na liczbę ludności Polski, można przyjąć, że przetwarzanie danych powyżej 40 000 osób jest przetwarzaniem na dużą skalę.

„Regularne i systematyczne monitorowanie” — art. 37 ust. 1 lit. b RODO — jak w przypadku poprzednich pojęć, informacje o „regularnym i systematycznym monitorowaniu osób, których dane dotyczą” odnajdujemy w motywie RODO. Motyw 24 rozporządzenia stanowi: aby stwierdzić, czy czynność przetwarzania można uznać za „monitorowanie zachowania” osób, których dane dotyczą, należy ustalić, czy osoby fizyczne są obserwowane w Internecie, w tym także czy później potencjalnie stosowane są techniki przetwarzania danych polegające na profilowaniu osoby fizycznej, w szczególności w celu podjęcia decyzji jej dotyczącej lub przeanalizowania, lub prognozowania jej osobistych preferencji, zachowań i postaw. Powyższe oznacza, że monitorowanie to obejmuje wszelkie formy śledzenia i profilowania w sieci, w tym na potrzeby reklam behawioralnych. Grupa Robocza Art. 29 wskazuje również, że motyw ten jest tylko wskazówką w dekodowaniu pojęcia „monitorowania”, co oznacza, że nie musi być ono ograniczone do środowiska on-line, jest to tylko przykład zawarty w treści RODO.

Grupa Robocza Art. 29 definiuje „regularne” jako jedno lub więcej z następujących pojęć:

·       stałe albo występujące w określonych odstępach czasu przez ustalony okres;

·       cykliczne albo powtarzające się w określonym terminie;

·       odbywające się stale lub okresowo.

GR Art. 29 definiuje „systematyczne” jako jedno lub więcej z następujących pojęć:

·       występujące zgodnie z określonym systemem;

·       zaaranżowane, zorganizowane lub metodyczne;

·       odbywające się w ramach generalnego planu zbierania danych;

·       przeprowadzone w ramach określonej strategii.

Przykładami działań, które mogą być uznane za „regularne i systematyczne monitorowanie osób, których dane dotyczą” są: obsługa sieci telekomunikacyjnej, śledzenie lokalizacji przez aplikacje mobilne, reklama behawioralna, programy lojalnościowe, monitoring wizyjny, inteligentne samochody, automatyka domowa etc.

Status inspektora ochrony danych osobowych

Jednym ze szczegółowych rozwiązań służących niezależności IOD jest umieszczenie go w strukturze organizacyjnej pod najwyższym kierownictwem. Zgodnie z art. 38 ust. 3 RODO IOD podlega bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.

Podległość najwyższemu kierownictwu jest jedną z gwarancji niezależnej, wysokiej pozycji inspektora ochrony danych w strukturze administratora danych, a ponadto skraca drogę raportowania, co ma istotne znaczenie w razie konieczności podejmowania szybkich działań naprawczych w sytuacji naruszenia ochrony danych osobowych.

Bezpośrednia podległość oznacza, że w ramach podejmowanych przez siebie czynności IOD nie może podlegać żadnym innym osobom lub jednostkom organizacyjnym wchodzącym w skład struktury administratora danych (art. 38 ust. 3 RODO).

Sposób rozumienia terminu najwyższe kierownictwo zależy od typu podmiotu, jakim jest administrator lub podmiot przetwarzający.

Istotne jest również zapewnienie nakładanie na inspektora ochrony danych zadań i obowiązków, aby nie powodowało to konfliktu interesów. Oznacza to m.in., że IOD nie może zajmować w organizacji stanowiska związanego z określaniem sposobów i celów przetwarzania danych.

Belgijski organ właściwy do spraw ochrony danych osobowych nałożył karę na belgijskiego operatora telekomunikacyjnego – Proximus SA. za nieprawidłowości w zakresie powołania inspektora ochrony danych oraz braku jego niezależności.

W toku postępowania organ nadzorczy ustalił, że spółka powołała na stanowisko IOD swojego pracownika, który jednocześnie był odpowiedzialny za kierowanie trzema strategicznymi departamentami o charakterze doradczym – audytu wewnętrznego, zarządzania ryzykiem i zgodności. Sytuacja ta – zdaniem regulatora – spowodowała, że IOD nie miał możliwości sprawowania swojej funkcji w sposób niezależny, co prowadziło do konfliktu interesów (naruszenie art. 38 ust. 6 RODO).

Administrator danych zobowiązany jest do spełnienia szeregu obowiązków wynikających z przepisów o ochronie danych osobowych. Musi m.in. poinformować wszystkie osoby, których dane przetwarza o zasadach przetwarzania ich danych (spełnia w ten sposób tzw obowiązek informacyjny — opracowuje klauzule informacyjne zgodnie z art. 13 i 14 RODO).

W zakresie wdrożenia rodo musi kierować się podstawowymi zasadami prztwarzania określonymi w Rozporzadzeniu, czyli:

• zasadą legalności,
• zasadą celowości,
• zasadą minimalizacji danych,
• zasadą prawidłowości danych,
• zasadą ograniczenia przechowywania danych,
• zasadą integralności i poufności,
• zasadą rozliczalności.

Obowiązki wynikające z RODO dotyczą nie tylko administratorów, ale także podmiotów przetwarzających dane na zlecenie i w imieniu administratorów. Każdy podmiot przetwarzający, na podstawie stosownych umów powierzenia przetwarzania danych powinien zobowiązać się do stosowania odpowiednich środków zabezpieczających dane administratora. Tak więc np. systemy informatyczne, czy bazy danych, z których korzysta, powinny być odpowiednio zabezpieczone, a te zabezpieczenia regularnie monitorowane. Istotny jest zatem dobór partnerów biznesowych w taki sposób, aby mieć pewność, że oni również "są zgodni" z RODO. Umowy powierzenia przetwarzania danych powinny regulować możliwość przeprowadzenia przez administratora kontroli środków stosowanych przez podmioty przetwarzające. Wdrożenie RODO w firmie to również opracowanie wzorów takich umów.

Każdy wdrożony system ochrony danych osobowych musi być stale monitorowany i aktualizowany tak, aby był dostosowany do zmieniających się wymagań prawnych, warunków prowadzenia działalności i innych okoliczności wpływających na procesy związane z przetwarzaniem danych osobowych.

Kiedy należy obowiązkowo wdrożyć RODO?

Rozporządzeniu podlegają wszystkie podmioty na terenie Unii Europejskiej, które przetwarzają dane osobowe. Trudno dzisiaj wyobrazić sobie prowadzenie działalności gospodarczej bez przetwarzania danych osobowych. Zgodnie z art. 4 RODO przetwarzanie to operacje lub zestaw operacji wykonywanych na danych osobowych, lub zestawach danych osobowych w sposób zautomatyzowany, lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Z powyższego wynika, że sam nawet wgląd w dane osobowe stanowi ich przetwarzanie i podlega przepisom RODO.

Budowanie świadomości

Szkolenie pracowników w zakresie ochrony danych osobowych to jeden z podstawowych elementów budowania systemu ochrony danych osobowych w firmie. Osoby uczestniczące w operacjach przetwarzania danych są bowiem kluczowym elementem silnego, bądź, wręcz przeciwnie, słabego systemu. Wg 5 edycji Badania Stanu Bezpieczeństwa Informacji przeprowadzonego przez PWC to pracownik jest najczęstszym źródłem incydentu, zatem budowanie jego świadomości jest kluczowe we wdrażaniu RODO w organizacji.

Konsekwencje niestosowania się do przepisów o ochronie danych osobowych

Organem uprawnionym do wymierzenia kary administracyjnej za nieprzestrzeganie, złamanie lub naruszenie przepisów RODO jest Urząd Ochrony Danych Osobowych.

Wachlarz konsekwencji za brak systemu ochrony danych osobowych lub jego niewłaściwe funkcjonowanie jest dość szeroki. Organ nadzorczy może zastosować np. upomnienie czy wprowadzenie ograniczenie przetwarzania danych, jednak te najbardziej dotkliwe konsekwencje związane są z nałożeniem administracyjnych kar pieniężnych.

Urząd może nałożyć karę w wysokości do 10 lub 20 mln euro albo do 2% lub 4% całkowitego rocznego obrotu firmy z poprzedniego roku.

Podsumowanie

Wdrożenie systemu zarządzania danymi osobowymi to nie tylko obowiązek, ale też szereg korzyści.

Pierwszą kategorią korzyści jest:

• minimalizacja strat z powodu naruszenia bezpieczeństwa przetwarzanych informacji,
• minimalizacja ryzyka wystąpienia zdarzeń związanych z naruszeniem ochrony danych, w tym kar nakładanych przez UODO,
• przygotowanie organizacji na potencjalne wystąpienie incydentów związanych z bezpieczeństwem danych osobowych,
• opracowanie scenariuszy działań na wypadek naruszeń.

Drugą kategorią korzyści jest:

• podniesienie wiarygodności organizacji w oczach klientów, inwestorów i udziałowców,
• zwiększenie przewagi konkurencyjnej na rynku poprzez kreowanie pozytywnego wizerunku jako firmy dbającej o ochronę praw i wolności podmiotów danych.

Wiele organizacji decyduje się na samodzielne wdrożenie RODO. Efekty takich działań są mniej lub bardziej zadawalające, często pochłaniają wiele energii i czasu zaangażowanych w proces wdrożenia pracowników. na rynku funkcjonuje już wiele profesjonalnych podmiotów zajmujących się wdrożeniami w dziedzinie ochrony danych osobowych. Skorzystanie z ich usług może okazać się bardziej optymalne dla organizacji, zarówno pod względem nakładów, jak i osiągniętych celów.

Chcesz, aby Twoja firma działała zgodnie z prawem i obowiązującymi aktualnie przepisami? Potrzebujesz porady? Nasi eksperci służą Ci swoją pomocą! Napisz do nas maila: biuro@lexdigital.pl lub zadzwoń: +48 500 214 942.