Czym jest RODO?
RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, to nadrzędny akt prawny regulujący ochronę danych osobowych w Unii Europejskiej. Obowiązuje bezpośrednio we wszystkich państwach członkowskich od 25 maja 2018 roku, bez potrzeby implementacji do prawa krajowego.
Rozporządzenie opiera się na zasadach z art. 5: zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania oraz integralności i poufności. Klamrą spinającą jest zasada rozliczalności: organizacja musi nie tylko przestrzegać przepisów, ale również umieć to wykazać dokumentacją.
Kogo dotyczy?
RODO dotyczy każdej organizacji, niezależnie od wielkości i branży, która przetwarza dane osobowe osób w Unii Europejskiej: administratorów (podmiotów decydujących o celach i sposobach przetwarzania) oraz podmiotów przetwarzających (dostawców działających na zlecenie administratora).
Rozporządzenie ma zasięg eksterytorialny: obejmuje również firmy spoza UE, jeżeli oferują towary lub usługi osobom przebywającym w Unii albo monitorują ich zachowanie (na przykład przez pliki cookie i profilowanie). W praktyce już posiadanie listy klientów, danych pracowników czy newslettera oznacza, że organizacja podlega RODO.
Najważniejsze obowiązki
RODO nie narzuca jednej listy zabezpieczeń. Wymaga podejścia opartego na ryzyku, w którym organizacja sama dobiera środki adekwatne do charakteru i skali przetwarzania. Fundamentem są jednak konkretne, weryfikowalne obowiązki:
- Rejestr czynności przetwarzania (art. 30): udokumentowanie celów, kategorii danych, odbiorców, retencji i zabezpieczeń dla każdego procesu.
- Podstawy prawne (art. 6): każda operacja przetwarzania musi mieć określoną podstawę, czyli zgodę, umowę, obowiązek prawny, żywotne interesy, interes publiczny lub prawnie uzasadniony interes.
- Prawa osób (art. 12-22): obsługa żądań dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych i sprzeciwu, co do zasady w terminie miesiąca.
- Zgłaszanie naruszeń (art. 33-34): powiadomienie organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia, a przy wysokim ryzyku także zawiadomienie osób, których dane dotyczą.
- Ocena skutków dla ochrony danych (DPIA, art. 35): obowiązkowa przed rozpoczęciem przetwarzania mogącego powodować wysokie ryzyko, na przykład profilowania lub przetwarzania danych wrażliwych na dużą skalę.
- Inspektor ochrony danych (IOD, art. 37): wymagany dla organów publicznych oraz organizacji, których główna działalność polega na systematycznym monitorowaniu osób na dużą skalę lub przetwarzaniu na dużą skalę danych szczególnych kategorii.
- Umowy powierzenia (art. 28) i zabezpieczenia transferów poza EOG (rozdział V): kontrola nad dostawcami i przepływami danych do państw trzecich.
Kary i egzekwowanie
RODO przewiduje dwa progi administracyjnych kar pieniężnych. Za naruszenia obowiązków organizacyjnych (na przykład brak rejestru czynności, brak DPIA, niezgłoszenie naruszenia) grozi kara do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu z poprzedniego roku, zależnie od tego, która kwota jest wyższa. Za naruszenia zasad przetwarzania, podstaw prawnych, praw osób i przepisów o transferach próg rośnie do 20 mln EUR lub 4% obrotu.
W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO), który prowadzi kontrole, rozpatruje skargi osób i nakłada kary. Oprócz kar finansowych organ może nakazać ograniczenie lub całkowity zakaz przetwarzania, a osoby, których dane dotyczą, mogą dochodzić odszkodowań na drodze cywilnej. Naruszenia RODO to również wymierne ryzyko reputacyjne, bo decyzje o karach są publikowane.
Jak pomaga Guardiso?
Guardiso przekształca wymagania RODO w uporządkowany, mierzalny program ochrony danych. Zamiast rozproszonych arkuszy i dokumentów w wielu miejscach organizacja pracuje na jednej platformie z pełną rozliczalnością.
- Rejestry RODO w jednym miejscu: rejestr czynności przetwarzania (art. 30), rejestr zgód, rejestr umów powierzenia i transferów, zawsze aktualne i gotowe do okazania organowi nadzorczemu.
- Generator polityk i klauzul: polityka ochrony danych, klauzule informacyjne (art. 13-14) i wzory umów powierzenia dopasowane do profilu organizacji, po polsku i po angielsku.
- Obsługa praw osób: przyjmowanie i śledzenie żądań (dostęp, usunięcie, sprostowanie, sprzeciw) z pilnowaniem miesięcznego terminu i pełnym śladem audytowym.
- Rejestr naruszeń z licznikiem 72 godzin: ocena ryzyka naruszenia, dokumentacja wymagana przez art. 33 ust. 5 i wsparcie decyzji o zgłoszeniu do UODO oraz zawiadomieniu osób.
- Samoocena i mapowanie kontroli: pytania samooceny powiązane z artykułami RODO pokazują luki i priorytety wdrożenia, a mapowanie między standardami łączy RODO z ISO 27001 i innymi standardami, żeby jedna praca zaliczała wiele wymogów.