W 2019 roku zmieniono zapisy prawie 170 polskich aktów prawnych, żeby dostosować je do unijnego rozporządzenia o ochronie danych. Rok 2020 nie przyniesie już tak szerokich nowelizacji, ale kilka procesów legislacyjnych wciąż jest w toku: rozporządzenie ePrivacy, krajowe zasady certyfikacji oraz kodeksy branżowe. Co z tego zostało wdrożone, a co dopiero się szykuje?
Rozporządzenie Parlamentu Europejskiego i Rady z 2016 roku oraz krajowa ustawa o ochronie danych osobowych wymusiły zmiany w dziesiątkach innych aktów prawnych. Administratorzy danych musieli zmienić sposób dokumentowania procesów przetwarzania, wprowadzić procedury reakcji na incydenty oraz zapewnić realizację praw osób, których dane dotyczą, w tym prawa do bycia zapomnianym i przenoszenia danych. Przedsiębiorcy przeprowadzili audyty bezpieczeństwa, zweryfikowali umowy z podmiotami przetwarzającymi i wdrożyli mechanizmy raportowania naruszeń w określonych terminach.
Ustawa o zmianie niektórych ustaw w związku z zapewnieniem stosowania ogólnego rozporządzenia o ochronie danych zmieniła zapisy prawie 170 polskich aktów prawnych z zakresu prawa pracy, prawa bankowego, oświaty, ubezpieczeń i telekomunikacji. Większość zmian weszła w życie natychmiastowo, co wymusiło szybką reakcję przedsiębiorców i instytucji przetwarzających dane. Szerzej o tej nowelizacji pisaliśmy w artykule o zmianach w RODO w 2019 roku.
Zredukowano katalog danych, których pracodawca może zażądać od kandydata podczas rekrutacji. Część danych osób ubiegających się o zatrudnienie oraz pracowników można przetwarzać wyłącznie za ich zgodą. Pracodawcy muszą określić okres przechowywania dokumentów rekrutacyjnych i informować kandydatów o podstawach prawnych przetwarzania ich danych. Jeśli w rekrutacji uczestniczą zewnętrzne agencje lub platformy pośrednictwa pracy, konieczne jest też poinformowanie kandydata o współadministratorach danych.
Organ administracji przy pierwszej czynności z udziałem strony musi poinformować ją o zakresie, celu i okresie przetwarzania danych oraz o prawie do sprostowania, usunięcia lub ograniczenia przetwarzania. Wprowadzono też wymóg wskazania administratora danych i możliwość kontaktu z inspektorem ochrony danych, jeśli został wyznaczony. Urzędy musiały dostosować wzory dokumentów, klauzule informacyjne oraz procedury archiwizacji wniosków składanych elektronicznie.
Po zmianach z 2019 roku kolejny rok nie przyniesie już tak szeroko zakrojonych prac legislacyjnych, ale kilka procesów trwa równolegle: regulacja ochrony danych w łączności elektronicznej, krajowe kryteria certyfikacji i akredytacji oraz kodeksy branżowe. Planowane jest też dostosowanie procedur zgłaszania naruszeń, zwłaszcza obowiązków powiadamiania osób, których dane dotyczą, i zgłaszania incydentów do organu nadzorczego. Nacisk kładzie się na ujednolicenie formularzy zgłoszeniowych i skrócenie czasu reakcji administratorów na wykryte incydenty.
Przedsiębiorcy prowadzący sklepy internetowe powinni zwrócić uwagę na aktualizację dokumentów, szczegółowe wymagania dotyczące regulaminów i polityk prywatności opisano w artykule o wdrażaniu ochrony danych w e-commerce.
ePrivacy ma chronić użytkowników telefonów, smartfonów i komputerów przed nadmiernym wkraczaniem w ich prywatność. Regulacja ma zwiększyć poufność informacji dostępnych dla podmiotów świadczących usługi internetowe i telekomunikacyjne, co wpłynie bezpośrednio na działanie całej branży internetowej.
Projekt przewiduje zakaz wysyłania wiadomości w jakiejkolwiek formie bez zgody użytkownika. Wszystkie dane mają być traktowane jako poufne, zmienią się też zasady korzystania z plików cookie. Mechanizmy śledzenia będą wymagały wyraźnej, dobrowolnej zgody, a domyślne ustawienia przeglądarek mają chronić prywatność, nie ułatwiać profilowanie. Planowane są również przepisy dotyczące tzw. ścianek cookieowych, które muszą umożliwiać rzeczywisty wybór, a nie wymuszać akceptację poprzez blokowanie dostępu do treści.
Prace nad rozporządzeniem w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej trwają od lat, spowolnione krytyką branży internetowej. Jej przedstawiciele argumentują, że restrykcyjne przepisy ograniczą konkurencyjność, zmniejszą efektywność targetowania reklam i utrudnią dostęp do usług. Część ekspertów odpowiada, że model reklamowy oparty na szerokim śledzeniu zachowań użytkowników wymaga rewizji ze względu na rosnące ryzyko wykorzystywania danych bez wiedzy zainteresowanych.
Certyfikat ma potwierdzać zgodne z prawem zarządzanie danymi osobowymi. Kryteria certyfikacji ustala i nadaje ją Prezes Urzędu Ochrony Danych Osobowych. Uzyskując certyfikat, administrator wykazuje właściwe wywiązywanie się z obowiązków przetwarzania danych określonych w unijnym rozporządzeniu.
Ważne: do tej pory nie powstała lista dokumentów wymaganych do certyfikacji. Urząd Ochrony Danych Osobowych informuje, że trwają prace nad tłumaczeniem na język polski wytycznych Europejskiej Rady Ochrony Danych.
Certyfikacja ma być dobrowolna, ale może służyć jako dowód w postępowaniach przed organem nadzorczym, administrator z certyfikatem wykaże stosowanie odpowiednich środków technicznych i organizacyjnych. Procedura obejmie audyt procesów, dokumentacji oraz zgodności z zasadami przetwarzania danych osobowych. Przewiduje się kilka poziomów certyfikacji, dostosowanych do wielkości organizacji i stopnia ryzyka związanego z prowadzonymi operacjami przetwarzania.
Przepisy pozwalają organizacjom reprezentującym administratorów lub podmioty przetwarzające dane tworzyć kodeksy postępowania, które doprecyzowują zasady ochrony danych dla konkretnej branży. Obecnie trwają prace nad 14 kodeksami różnych sektorów, w 2020 roku część z nich powinna zostać zatwierdzona przez Prezesa Urzędu Ochrony Danych Osobowych.
Kodeksy obejmą między innymi branżę medyczną, ubezpieczeniową, telekomunikacyjną, e-commerce oraz sektor finansowy. Opracowują je stowarzyszenia branżowe znające specyfikę przetwarzania danych w swoich obszarach. Dokumenty określą procedury realizacji praw osób, których dane dotyczą, zasady przechowywania danych oraz schematy dokumentowania procesów przetwarzania. Przyjęcie kodeksu będzie dobrowolne, ale administrator, który go stosuje, będzie mógł powołać się na niego jako dowód zgodności z przepisami. Największą wartość kodeksy będą miały dla małych i średnich przedsiębiorstw bez rozbudowanych działów compliance, które potrzebują gotowych wzorców dokumentacji i procedur dostosowanych do realiów swojej branży.
jedna odpowiedź do “RODO 2020 - jakie zmiany w RODO w roku 2020, co już się zmieniło a co nas czeka w RODO?”
To brzmi super: „Zostanie wprowadzony zakaz wysyłania wiadomości w jakiejkolwiek formie, jeżeli użytkownik nie wyraził na to zgody. Zgodnie z założeniami projektu przepisów wszystkie dane będą traktowane jako poufne, zmianie ulegną również zasady korzystania z plików cookie.” Mam nadzieję, że to faktycznie będzie tak działać.