RODO 2018 - należyta staranność firmy

RODO zwiększa odpowiedzialność podmiotów gospodarczych za działania prowadzone w ramach „obrotu” danymi osobowymi. W przeciwieństwie do dotychczas obowiązujących przepisów, rozporządzenie nie daje gotowej recepty, jak chronić dane oraz nie sugeruje rozwiązań technologicznych. Biznes ma nowy obowiązek – wpisać ochronę danych osobowych w procesy funkcjonujące w firmach. Każda firma inaczej obchodzi się z tymi danymi, więc indywidualnie musi oszacować czy zachowuje bezpieczeństwo zgodne z rozporządzeniem.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Szacowanie ryzyka przetwarzania danych osobowych

 „Jedną ze zmian wynikających z RODO jest konieczność wypracowania w firmach podejścia do zarządzania danymi osobowymi bazującego na ryzyku, które jest indywidualnie określane przez przedsiębiorcę. Reguła ta jest wspierana zasadą rozliczalności. Mówi ona o przyjmowaniu przez firmy odpowiednich środków organizacyjnych i technicznych, które są adekwatne do zidentyfikowanego ryzyka oraz, co bardzo ważne, o zapewnieniu sobie możliwości wykazania przed organem kontrolnym, że przyjęte rozwiązania spełniają wymagania RODO” – zwraca uwagę Tomasz Mamys, Project Manager RODO w Sage.

W małej firmie, dla której praca z danych osobowymi nie jest istotną częścią działalności, wystarczy w pierwszej kolejności rzetelnie opisać drogę, jaką „przebywają” dane osobowe w firmie. Następnie należy zidentyfikować furtki, którymi dane mogą biznesowi uciec spod opieki (także czynnik ludzki). Spisanie zasad komunikowania z właścicielami danych (osobami fizycznymi) to ostatni krok w uproszczonej procedurze analizy ryzyka. Warto pamiętać, że RODO daje obywatelom unijnym władzę nadzoru nad danymi – prawo do zapomnienia, prawo do domagania się dowodów na uprzednie wyrażenie zgody, itp.

INFORAKADEMIA poleca: 10 przykazań RODO dla pracodawców

Przemyślany dobór środków bezpieczeństwa

Zastosowane przez przedsiębiorców środki techniczne i organizacyjne będą różne w zależności od rodzaju przetwarzanych danych (np. danych o stanie zdrowia, danych biometrycznych), jak i od branży oraz modelu, w jakim działa firma. Odmienne rozwiązania przyjmą instytucje finansowe, inne sklepy internetowe, przychodnie czy sklepy. W praktyce, małe firmy, których głównym obszarem działania nie jest przetwarzanie danych osobowych, mogą mieć dokumentację w bardzo uproszczonej formie.

„RODO w bardzo ogólny, przez co – elastyczny – sposób podpowiada administratorom, jak powinni działać, by poruszać się w bezpiecznych ramach i być w zgodzie z przepisami. Jednocześnie jednak należy umieć wykazać słuszność podjętych działań. Jedno z wyzwań RODO polega właśnie na tym, że firmy mają umieć merytorycznie uzasadnić stosowane przez siebie praktyki na gruncie organizacyjnym, technicznym i informatycznym” – dodaje Tomasz Mamys.

Zobacz: RODO w firmie