O zasadach ochrony prywatności w erze smartfonów, życia w wirtualnej rzeczywistości i fenomenu big data decydowały warunki prawa z roku, w którym nie istniał jeszcze Google, a Yahoo dopiero założono. Do sieci jedynego wówczas właściciela telefonii komórkowej w Polsce podłączonych było 35 tys. abonentów korzystających z Nokii 150. Podczas gdy rzeczywistość galopowała, prawo tkwiło w miejscu. RODO musiało się zdarzyć – oceniają Małgorzata Jankowska-Blank i Jacek Grabowski, eksperci Gemiusa.
RODO jest odpowiedzią na pytanie, jak chronić prywatność w obliczu postępu technologicznego. Jest także próbą znalezienia złotego środka pomiędzy zabezpieczaniem interesów Kowalskiego przy jednoczesnym braku szkody dla rozwoju biznesu. Osiągniecie konsensusu w sytuacji, w której próbuje się równoważyć często sprzeczne interesy, stanowiło poważne wyzwanie dla autorów rozporządzenia. Teraz, z nie mniejszym wyzwaniem muszą zmierzyć się firmy gromadzące i przetwarzające dane osobowe. Jak zatem na nadchodzące zmiany powinni przygotować się przedsiębiorcy?
Przedsiębiorcy wobec RODO
Zadaniem firmy w ramach przygotowania się do wejścia w życie RODO jest przede wszystkim zbudowanie świadomości, że nowe rozporządzenie jest sprawą ważną, która będzie miała wpływ na wiele obszarów działalności firmy. Nowe regulacje odnoszą się zarówno do danych osobowych pracowników firmy, jak i jej klientów. Należy więc przede wszystkim zidentyfikować miejsca i procesy, gdzie w organizacji znajdują się dane osobowe i na jakich zasadach są przetwarzane. Od kogo otrzymujemy dane i komu je udostępniamy? Czy przesyłamy je poza obszar Unii Europejskiej? Jak zabezpieczamy dane od strony technicznej, organizacyjnej czy prawnej? To pytania, które ułatwią weryfikację dotychczasowych procesów w firmie. Kolejnym krokiem będzie zbadanie podstaw prawnych pozwalających na przetwarzanie danych i odpowiednie poprawienie polityk prywatności udostępnianych osobom, których dane dotyczą.
RODO nadaje obywatelom nie tylko nowe prawa, ale wyposaża każdego człowieka w instrumenty kontroli i zarządzania przetwarzaniem jego danych osobowych. Na podmioty przetwarzające dane nakłada jednocześnie obowiązek realizacji życzeń obywateli w odniesieniu do wykorzystywania tych danych. Do nowych przywilejów należą na przykład prawo do zapomnienia, prawo dostępu do danych czy prawo do ich usunięcia. Dlatego przedsiębiorstwa, równolegle do innych czynności, muszą zatroszczyć się o zaplanowanie i opisanie procesów, które zrealizują te prawa. Należy tak zaprojektować system ochrony danych, aby uwzględniał on aktualną wiedzę z dziedziny bezpieczeństwa, a także procedurę informowania o naruszeniu ochrony danych – niektóre naruszenia będą wymagały powiadomienia Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od momentu ich stwierdzenia. Organizacja powinna przemyśleć powołanie Inspektora Ochrony Danych, czyli osoby, która dysponuje specjalistyczną wiedzą w tym zakresie. Nie zawsze jest to wymagane, ale przy pomocy kompetentnej osoby łatwiej zarządza się zadaniami, z którymi wcześniej firma nie miała do czynienia. Ponadto, poszanowanie prywatności i zasad dotyczących danych osobowych powinno znaleźć odzwierciedlenie w całym sposobie postępowania firmy. Stąd wskazane są okresowe kontrole, sprawdzające czy we wszystkich procesach przebiegających w organizacji przestrzegane są prawa prywatności.
Google i Facebook podlegają RODO
Firmy, które nie mają siedziby na obszarze państwa członkowskiego Unii Europejskiej, a przechowują i przetwarzają dane obywateli UE albo dostarczają w UE swoje towary czy usługi, podlegają przepisom RODO. Dotyczy to również gigantów zza oceanów, czy to z USA, czy z Chin. Gdy zatem mówimy o wymogach, na które mają się przygotować polscy przedsiębiorcy, mówimy jednocześnie o wymogach dla Google’a czy Facebooka, którzy gromadzą dane o użytkownikach internetu i monitorują ich zachowania w sieci. Z perspektywy użytkowników bardzo istotne jest prawo do bycia zapomnianym sprowadzające się do obowiązku usunięcia przez firmy internetowe danych użytkownika, gdy wyrazi on takie życzenie. Prawo do żądania przeniesienia danych to kolejna nowość istotna z perspektywy osób korzystających z popularnych serwisów społecznościowych czy wyszukiwarek, gdyż będą oni mogli otrzymać od administratora swoje dane w ustrukturyzowanej formie, a także nakazać przesłanie ich innemu administratorowi.
Taryfa ulgowa dla małych i średnich przedsiębiorstw?
Według niedawnej propozycji Ministerstwa Rozwoju niektóre podmioty mogłyby być zwolnione z części obowiązków nałożonych przez RODO. Podmioty z taryfą ulgową to według tej propozycji te, które zatrudniają mniej niż 250 pracowników, nie przetwarzają danych wrażliwych i nie przekazują danych osobowych podmiotom trzecim. Takie firmy na przykład nie musiałyby wypełniać obowiązku informacyjnego przy zbieraniu danych osobowych. Tego typu propozycja częściowo ma sens. Jest bowiem część firm, które do prowadzenia własnej działalności zbierają dane kontaktowe swoich klientów, na przykład z wizytówek. Wydaje się, że oczekiwanie, aby przy odbieraniu wizytówki pracownik firmy informował klienta o możliwości wykorzystania jego danych, mija się z celem reformy.
Kontrowersje w propozycji ministerstwa mogą budzić również inne rzeczy. Przede wszystkim wskazanie na liczbę pracowników. Więksi gracze mogą się czuć pokrzywdzeni, zakładając, że spełniają pozostałe przesłanki. Inną wątpliwością jest kryterium dotyczące rodzaju przetwarzanych danych. Nieprzetwarzanie przez firmę danych wrażliwych nie powinno zwalniać prawodawców z obowiązku zachowania czujności i kontrolowania jej działań. Przykładem może być sytuacja, w której firma zbiera lub otrzymuje dane, które nie powinny do niej trafić chociażby ze względu na to, że nie są one potrzebne do realizowania żadnych zadań. Wtedy otrzymanie informacji przez konsumenta o takim przetwarzaniu i roszczenie praw mogłoby być utrudnione. Być może odwołanie się do zasad adekwatności i minimalizacji danych oraz nieudostępniania danych dalej byłoby lepszym kierunkiem niż kryteria dotychczas zaproponowane.
Wchodzące w życie przepisy o ochronie danych osobowych dla jednych będą ewolucją, dla innych – istną rewolucją. Z pewnością otworzą one nowy rozdział w zasadach przetwarzania danych o osobach i niewątpliwie będą miały wpływ na prowadzone przez firmy aktywności marketingowe. W świetle nowych przepisów jeszcze większe znaczenie będzie miał dobór odpowiednich partnerów biznesowych, którzy zapewnią bezpieczne i zgodne z przepisami zarzadzanie danymi osobowymi.