Wdrażanie RODO w małych i dużych przedsiębiorstwach

Rozporządzenie o Ochronie Danych Osobowych (RODO) to wprowadzony przez Unię istotny akt prawny. Nowe przepisy, nowe obowiązki, ale też szereg sankcji finansowych i różne rodzaje odpowiedzialności stają się fundamentem do wdrożenia RODO w przedsiębiorstwach. Różnice we wprowadzeniu RODO wiążą się ze specyfikacją firmy, rzadziej z jej wielkością. Najważniejsza w procesie wdrożenia RODO jest analiza ryzyka, podczas której należy zidentyfikować i zbadać potencjalne zagrożenia. Analiza ta ma za zadanie obniżyć negatywny wpływ ryzyka na to, jak funkcjonuje dany podmiot, co służy również ograniczaniu i przeciwdziałaniu ryzyka. Istotą RODO jest zmiana podejścia do ochrony danych osobowych tzw. risk-based approach czyli podejście oparte na ryzyku – jest to pewien mechanizm, który ma na celu różnicowanie ryzyka związanego z przetwarzaniem danych przez administratorów. Zgodnie z art. 32 Rozporządzenia o Ochronie Danych Osobowych administrator i podmiot przetwarzający (procesor) są zobligowani do zapewnienia odpowiednich środków organizacyjnych i technicznych. Środki te mają być odpowiednie w stosunku do stanu wiedzy technicznej, kosztu wdrożenia oraz charakteru, zakresu, kontekstu i celu przetwarzania, a także ryzyka naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Aby zatem dokonać odpowiedniego doboru środków organizacyjnych i technicznych  administrator i procesor muszą najpierw ustalić, jakie ryzyka dla poufności istnieją w ich organizacji, integralności i dostępności danych. Inne zagrożenia będą zatem dotyczyć sklepu stacjonarnego, a inne internetowego. Oczywiście duże przedsiębiorstwa mają z reguły bardziej skomplikowaną strukturę zarówno organizacyjną, jak i techniczną, stąd proces wdrażania RODO jest w nich bardziej kosztowny i czasochłonny. Ponadto, wciąż nie jest wykluczone, że małe i średnie przedsiębiorstwa (MŚP) zostaną zwolnione z obowiązku poinformowania o zaistnieniu incydentu osoby, której dane dotyczą bądź obowiązku wydania kopii danych. Będą one jednak zobligowane do spełnienia ograniczonego obowiązku informacyjnego. Żeby jednak móc skorzystać z powołanych ograniczeń dane przedsiębiorstwo będzie musiało spełnić następujące kryteria:

• zatrudniać do 250 osób
• nie przetwarzać danych szczególnych kategorii, np. danych o stanie zdrowia (a takie znajdują się w zwolnieniach lekarskich)
• a także nie będzie udostępniać danych

Decyzja odnośnie utrzymania wskazanych wyżej zwolnień dla MŚP zostanie ostatecznie podjęta przez Komisję Europejską, dlatego też aby mieć pewność co do tej kwestii, trzeba poczekać na ostateczną treść zmienianej w związku z RODO polskiej ustawy o ochronie danych osobowych. Ryzyko, jakie niesie za sobą nieprzestrzeganie postanowień RODO W związku z nową regulacją prawną Rozporządzenia o Ochronie Danych Osobowych, zarówno osobie, której dane dotyczą, jak również organom  nadzorczym przyznano szereg uprawnień, które pozwalają na ukaranie podmiotu, który przetwarza dane osobowe niezgodnie z RODO. Uprawnienia osoby, której dane dotyczą to:         a) każda osoba, której dane dotyczą, ma prawo wnieść skargę do jednego organu nadzorczego (w szczególności w państwie członkowskim, w którym znajduje się m.in. miejsce jej zwykłego pobytu),  jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczących nie jest zgodne z RODO. W związku z powyższym uprawnieniem, organ nadzorczy wydaje decyzję administracyjną dotyczącą naruszenia praw osoby, której te prawa dotyczą, a która podlega zaskarżeniu na drodze sądowej;         b) każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku przetwarzania danych niezgodnego z RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego na zlecenie odszkodowania za poniesioną szkodę; Uwolnienie się przez administratora lub podmiot przetwarzający od winy jest możliwe pod warunkiem, iż podmioty te wykażą brak ich winy w zdarzeniu, które doprowadziło do powstania szkody. Kary pieniężne i inne sankcje RODO zakłada zarówno kary pieniężne, jak i inne sankcje za nieprzestrzeganie zasad przetwarzanie danych osobowych. Kary pieniężne mogą być nakładane obok lub zamiast środków, takich jak m. in.: ostrzeżenia, upomnienia, nakazanie administratorowi lub podmiotowi przetwarzającemu wykonania lub powstrzymania się od dokonywania określonych czynności, mające na celu przetwarzanie danych zgodnie z RODO. Organ nadzorczy ma obowiązek zapewnić, aby nakładanie kar pieniężnych za naruszenia RODO było w każdym przypadku skuteczne, proporcjonalne i odstraszające. W zależności od kategorii naruszenia organ nadzorczy może nałożyć karę w wysokości do 10 000 000 albo 20 000 000 euro, a w przypadku przedsiębiorstwa, do 2% albo 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (zastosowanie ma kwota wyższa) – za naruszenie określonych w RODO obowiązków. Ponadto, nieprzestrzeganie przez administratora lub podmiot przetwarzający nakazu podjęcia określonych czynności, mających na celu przywrócenie przetwarzania danych zgodnie z RODO orzeczonego przez organ nadzorczy na podstawie art 58 RODO, podlega karze pieniężnej sięgającej 20 000 000 euro, a w przypadku przedsiębiorstwa – sięgającej 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (zastosowanie ma kwota wyższa).  

Anna Żmijewska

Ekspert RODO, prowadząca szkolenia w ApexNet.pl

  WYBIERZ SZKOLENIE Z ZAMÓWIEŃ PUBLICZNYCH