Jakie zmiany wprowadza RODO?

Zgodnie z wcześniejszymi ustaleniami już 25 maja tego roku wejdzie w życie nowe europejskie rozporządzenie dotyczące zasad przetwarzania i przechowywania danych osobowych – RODO. Nowe przepisy nie są wprawdzie szczególnie mocno skonkretyzowane, jednak wyznaczają wyraźną drogę postępowania dla wszystkich podmiotów, jakie zostaną nimi objęte. Na czym polegają najważniejsze zmiany wprowadzane prze RODO?

Z całą pewnością do najpoważniejszych zmian wynikających z wejścia w życie przepisów Rozporządzenia Ogólnego o Ochronie Danych Osobowych należy obowiązek prowadzenia rejestru naruszeń będącego w istocie uzupełnianym na bieżąco spisem wszystkich przypadków naruszenia bezpieczeństwa przechowywanych i przetwarzanych danych osobowych. Jednak sam rejestr to nie wszystko. Jeśli dojdzie do naruszenia bezpieczeństwa danych w konkretnej firmie, przedsiębiorca będzie zobowiązany poinformować o tym Generalnego Inspektora Ochrony Danych Osobowych (GIODO) i to nie później niż 72 godziny od feralnego incydentu. Co więcej, informacja o naruszeniu bezpieczeństwa danych w tym samym czasie trafić musi również do osób, których dane zostały narażone (np. wykradzione).

Rejestr obejmujący zagrożenia wobec przechowywanych danych to nie jedyny tego typu dokument, jaki od 25 maja będzie musiał utworzyć każdy przedsiębiorca. Kolejnym będzie tzw. rejestr czynności przetwarzania, będący w istocie spisem informacji dotyczących celu gromadzenia i przetwarzania poszczególnych danych poszerzonym o listę podmiotów, którym dane te zostaną przekazane oraz o konkretne środki bezpieczeństwa mające zapewnić poufność posiadanym informacjom.

Prywatność na etapie projektu i realizacji

Jak wynika z publikacji naukowych dotyczących RODO 2018 i dostępnych w Profinfo.pl, każdy projekt wymagający zbierania i przetwarzania danych osobowych zgodnie z zaleceniami nowego rozporządzenia będzie musiał być przeanalizowany pod kątem bezpieczeństwa tychże danych w celu stworzenia systemu, który bezpieczeństwo to będzie w stanie zapewnić.

Działania tego typu noszą nazwę „privecy by design” i różnią się w dość istotny sposób od procedury również wprowadzanej przez RODO, a określanej jako „privecy by default”.

Pomysł wprowadzenia „privecy by default” wziął się bezpośrednio z chęci ograniczenia ilości gromadzonych i przetwarzanych danych osobowych, które częstokroć pobierane były od konsumentów bez wyraźnego uzasadnienia. Doprowadzało to do sytuacji, w których w zasobach przedsiębiorstw znajdowały się takie informacje o ich klientach, które nie były wykorzystywane przez samą firmę, za to mogły stanowić pewne zagrożenie dla prawa do prywatności samych zainteresowanych. „Privecy by default” zobowiązuje administratora do tego, aby wdrożył takie rozwiązania techniczne i organizacyjne, które przetwarzanie informacji o klientach ograniczą wyłącznie do danych niezbędnych dla osiągnięcia wyznaczonego celu.