Ochrona danych osobowych

W dniu 24 maja 2016 roku weszło w życie rozporządzenie Parlamentu Europejskiego i Rady Unii Europejskiej nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ( RODO) które znajdzie zastosowanie od dnia 25 maja 2018 roku, po trwającym dwa lata vacatio legis.

Przepisy RODO znajdują zastosowanie dla wszystkich podmiotów gromadzących i wykorzystujących dane osobowe, a termin na wdrożenie nowych przepisów upływa z dniem 25 maja bieżącego roku.

Pozostało niewiele czasu na dostosowanie się do przepisów RODO, a skala zmian jest ogromna. Nowe zasady wynikające z rozporządzenia dotykają zarówno dużych korporacji, jak i niewielkich przedsiębiorstw, organów administracji publicznej, spółek, działalności gospodarczych osób fizycznych i wszystkich, którzy w związku z prowadzoną działalnością przetwarzają dane osobowe, niezależnie od wielkość i obrotów oraz bez względu na formę. Bardzo istotną zmianą z punktu widzenia interesów przedsiębiorstw, wynikającą z nowych przepisów RODO jest wprowadzenie do katalogu sankcji z tytułu naruszenia przepisów RODO administracyjnej kary pieniężnej, nakładanej przez organ nadzorczy państwa członkowskiego.

Wysokość sankcji pieniężnej uzależniona została od rodzaju naruszenia oraz charakteru podmiotu wobec którego ma być ona zastosowana. RODO przewiduje możliwość nakładania kar pieniężnych w wysokości nawet do 20 mln euro lub do 4% obrotu przedsiębiorstwa z roku poprzedniego. Co istotne, administracyjna kara pieniężna może być nałożona tak na administratora, jak i na podmiot przetwarzający.

Przepisy RODO wprowadzają wymóg wdrożenia odpowiednich do skali, celów, charakteru, zakresu i kontekstu przetwarzania danych rozwiązań związanych z ochroną danych osobowych, które powinny zostać rzeczywiście wdrożone i stosowane, tak by dane osobowe były chronione w sposób należyty i rzetelny.
W związku ze wzmocnieniem ochrony danych osobowych, RODO powierza szereg istotnych obowiązków Administratorowi Danych, który to pełnić ma obowiązki zarówno wewnętrzne, tj. m. in. wdrożenie środków ochrony, procedur postępowania i polityk, jak również obowiązki zewnętrzne, znacznie rozszerzone niż dotychczas, a polegające na konieczności przekazania użytkownikowi określonych informacji związanych z przetwarzaniem jego danych osobowych. Zgodnie z przepisami RODO, Administrator Danych zobowiązany jest wypracować odpowiednią procedurę monitorowania, ewidencjonowania i zgłaszania naruszeń. Jak stanowi art. 33 ust. 1 rozporządzenia, na administratorze spoczywa obowiązek zgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych. Co istotne, zgłoszenie to powinno nastąpić niezwłocznie, nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Administrator zobowiązany jest również do informowania podmiotów danych o naruszeniu ochrony danych osobowych, które może powodować wysokie ryzyko naruszenia jego praw lub wolności. Kolejną ważną zmianą, wprowadzoną przez RODO jest zastąpienie dotychczasowego Administratora Bezpieczeństwa Informatycznego ( ABI) Inspektorem Ochrony Danych Osobowych (IODO). Rozporządzenie wymienia szereg obowiązków IODO, a jego głównym zadaniem jest wsparcie Administratora Danych Osobowych w bieżącej dbałości o przestrzeganie przepisów o
ochronie danych osobowych. Warto przy tym wspomnieć, iż RODO wymienia enumeratywnie przypadki, w których IODO musi być obligatoryjnie powołany.
Administrator, zgodnie z RODO ma obowiązek prowadzić rejestr czynności przetwarzania danych osobowych, który to powinien odzwierciedlać procesy przetwarzania danych i związanych z tym obowiązków administratora, co więcej powinien on wyodrębniać zbiory danych osobowych funkcjonujących w danym przedsiębiorstwie. Ponadto, obowiązkiem administratora jest również analiza zakresu i celu przetwarzania są poszczególnych danych.

Co istotne, RODO wprowadza szereg uprawnień dla osób fizycznych, których dane podlegają gromadzeniu i przetwarzaniu. Przede wszystkim RODO powołuje nową instytucję „prawa do bycia zapomnianym”, tj. prawa do żądania usunięcia danych osobowych w przypadkach enumeratywnie wskazanych w rozporządzeniu. Ponadto, RODO przyznaje prawo do żądania przeniesienia danych, jak również prawo dostępu i wglądu w dane osobowe oraz, co istotne z punktu widzenia przedsiębiorców, RODO przyznaje roszczenia odszkodowawcze z tytułu szkód poniesionych wskutek niewłaściwego przetwarzania danych.

Mając na uwadze okoliczność, iż RODO zacznie obowiązywać już od 25 maja bieżącego roku, każdy podmiot gromadzący i przetwarzający dane osobowe osób fizycznych zobowiązany będzie do wdrożenia nowych przepisów, do opracowania i wdrożenia procedur i środków zapewniających bezpieczeństwo przetwarzania danych, jak również do przygotowania systemu monitorowania i testowania skuteczności ochrony oraz sformułowania nowych klauzul informacyjnych. Dostosowanie organizacyjne i formalne każdego przedsiębiorstwa powinno rozpocząć się niezwłocznie, tak by w dniu 25 maja 2018 roku, wszystkie niezbędne czynności zostały już
wdrożone.

Jeśli potrzebujesz profesjonalnej konsultacji w zakresie RODO i pomocy we wdrożeniu nowych przepisów, nie czekaj i już dziś zgłoś się do nas.