RODO reguluje sposób gromadzenia i przetwarzania danych osobowych w Unii Europejskiej. Poniżej wyjaśniamy, czym dokładnie jest to rozporządzenie, od kiedy obowiązuje w Polsce, jakie zmiany wprowadziło oraz jakie kary grożą za jego naruszenie.
RODO to skrót od Rozporządzenia o Ochronie Danych Osobowych uchwalonego przez Unię Europejską. Celem przepisów jest ochrona osób fizycznych przy przetwarzaniu ich danych oraz zapewnienie swobodnego przepływu takich informacji na rynku wewnętrznym UE. Rozporządzenie określa zarówno sposób gromadzenia danych, jak i zasady zarządzania nimi.
Przepisy jednolicie regulują prawa osób, których dane dotyczą, oraz obowiązki podmiotów je przetwarzających. Dzięki wspólnym normom przedsiębiorstwa działające w całej Unii Europejskiej podlegają identycznym wymogom, co eliminuje różnice wynikające z wcześniejszych przepisów krajowych i ułatwia prowadzenie działalności transgranicznej.
Przed RODO każde państwo członkowskie stosowało własne regulacje dotyczące ochrony danych osobowych, co prowadziło do rozbieżności w standardach bezpieczeństwa i prawach obywateli. Rozporządzenie ujednoliciło te zasady we wszystkich krajach UE i ułatwiło egzekwowanie praw osób fizycznych niezależnie od siedziby administratora danych.
Rozporządzenie zostało uchwalone przez UE 25 kwietnia 2016 roku z dwuletnim okresem przejściowym, który dał państwom czas na dostosowanie prawa krajowego i przygotowanie przedsiębiorstw do nowych obowiązków. W Polsce nad regulacją pracowało Ministerstwo Cyfryzacji, a ustawa RODO weszła w życie 10 maja 2018 roku.
W tym okresie prowadzono kampanie informacyjne dla przedsiębiorców i obywateli. Organizacje musiały wprowadzić mechanizmy zgodności, przeszkolić personel oraz dostosować procesy biznesowe do wymogów dotyczących wdrożenia RODO w firmie.
Dwuletni okres vacatio legis pozwolił firmom zrewidować praktyki gromadzenia i przetwarzania danych. Wiele z nich przeprowadziło audyty zgodności, wdrożyło nowe procedury bezpieczeństwa informacji, zaktualizowało polityki prywatności i zweryfikowało umowy z podwykonawcami przetwarzającymi dane w ich imieniu.
RODO ułatwiło dostęp do danych osobowych oraz zwiększyło zakres informacji o sposobie ich zbierania i przetwarzania. Wprowadzono możliwość przenoszenia danych między dostawcami usług, co wzmacnia pozycję użytkownika na rynku cyfrowym, oraz prawo do bycia zapomnianym, dające możliwość żądania usunięcia danych w określonych przypadkach.
Administratorzy mają obowiązek niezwłocznego informowania użytkowników o naruszeniach bezpieczeństwa danych, na przykład w przypadku ataków hakerskich. Rozporządzenie precyzuje wymogi dotyczące szyfrowania i anonimizacji danych, a incydenty trzeba zgłaszać organowi nadzorczemu w ciągu 72 godzin od ich stwierdzenia.
W przedsiębiorstwach, w których przetwarzanie danych stanowi podstawę działalności, wprowadzono obowiązek powołania Inspektora Ochrony Danych. Inspektor pełni funkcję doradczą i kontrolną, dbając o zgodność procesów przetwarzania danych osobowych z wymogami prawnymi.
Prawo do usunięcia danych pozwala żądać ich usunięcia, jeśli nie są już potrzebne do celów, dla których zostały zebrane, lub gdy osoba wycofała zgodę na przetwarzanie. Administrator musi rozpatrzyć taki wniosek, chyba że istnieją przesłanki prawne do dalszego przechowywania danych, na przykład obowiązki wynikające z przepisów podatkowych lub księgowych. Firma musi wtedy uzasadnić odmowę usunięcia danych.
Prawo do przenoszenia danych umożliwia łatwe przełączanie się między dostawcami usług bez utraty zgromadzonych informacji. Konsumenci nie są uzależnieni od jednego dostawcy i mogą zmienić usługodawcę bez obawy o utratę historii transakcji, ustawień czy zgromadzonych treści.
Jeśli naruszenie może spowodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator musi poinformować je o tym bez zbędnej zwłoki. Powiadomienie powinno zawierać opis naruszenia, dane kontaktowe inspektora ochrony danych, prawdopodobne konsekwencje oraz podjęte działania naprawcze. Dzięki temu użytkownicy mogą szybko zmienić hasła lub monitorować aktywność swoich kont.
Za niewypełnienie obowiązku informacyjnego, braki w systemach ochrony danych lub nieprawidłowe prowadzenie rejestrów czynności przetwarzania grozi kara do 10 mln euro lub 2% rocznego obrotu przedsiębiorstwa, w zależności od tego, która wartość jest wyższa.
Ważne: złamanie podstawowych zasad przetwarzania danych, naruszenie praw konsumenckich lub niedozwolone udostępnienie danych osobowych grozi karą do 20 mln euro lub 4% rocznego obrotu. Organy nadzorcze przy jej wymierzaniu biorą pod uwagę wagę naruszenia, stopień zawinienia, działania naprawcze i wcześniejszą historię naruszeń administratora.
Organy nadzorcze karzą nie tylko za masowe wycieki danych, ale też za brak odpowiedniej dokumentacji procesów przetwarzania, niewystarczające zabezpieczenia techniczne czy ignorowanie praw osób, których dane dotyczą. Firmy były karane za przechowywanie danych klientów dłużej niż to konieczne, brak dwuskładnikowego uwierzytelniania czy niedostarczenie użytkownikom przejrzystej informacji o wykorzystaniu ich danych. Więcej o możliwych konsekwencjach znajdziesz w materiale o zgłaszaniu naruszeń RODO i wysokości kar.
Regularne audyty zgodności z RODO, aktualizacja polityk prywatności, szkolenia pracowników oraz techniczne środki ochrony danych zmniejszają ryzyko naruszeń. Warto prowadzić rejestry czynności przetwarzania i dokumentować obsługę wniosków użytkowników, bo podczas kontroli taka dokumentacja świadczy o staranności administratora. Przy przetwarzaniu wiążącym się z wysokim ryzykiem dla praw i wolności osób fizycznych konieczna jest ocena skutków dla ochrony danych (DPIA).
Audyty wewnętrzne pozwalają wykryć luki w zabezpieczeniach i obszary wymagające poprawy. Ocena ryzyka powinna obejmować procesy biznesowe, systemy IT, procedury obsługi danych oraz kompetencje personelu. Regularne przeglądy procedur pozwalają nadążyć za zmianami technologicznymi i interpretacjami przepisów, a wyznaczenie zespołu odpowiedzialnego za zgodność z RODO przyspiesza reakcję na incydenty bezpieczeństwa.
2 komentarze do “Co to jest RODO, od kiedy obowiązuje RODO?”
RODO w praktyce? Gdzie się nie pójdzie, dostaje się dokument zapisany maczkiem – podpisz, bo inaczej brak usług. Zapewnienie o ochronie danych, a potem co? Telefony od niewiadomo kogo, ogłoszenie o wycieku danych. Jak dla mnie niestety wiele firm wciąż nie potrafi w RODO, a zwykły Kowalski jest tego ofiarą.
Uważam, że każdy Polak powinien być obowiązkowo przeszkolony z RODO przez rząd. Mało kto wie na czym tak na prawdę polega i później wychodzą z tego niezłe kwiatki… a taka edukacja obywateli powinna być priorytetem.