Ogólne Rozporządzenie o Ochronie Danych (RODO)

Czym jest RODO?

Czym jest RODO?

Ogólne Rozporządzenie o Ochronie Danych (RODO) to zbiór przepisów mających zwiększać ochronę danych osobowych, ustanowiony przez Unię Europejską w 2016 roku, który w Polsce wszedł w życie 25 maja 2018 roku.

Pełna nazwa rozporządzenia brzmi: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Zawiera ono szczegółowe wymogi dla przedsiębiorstw oraz organizacji dotyczące gromadzenia danych osobowych, przechowywania i zarządzania nimi. Ma zastosowanie zarówno do europejskich organizacji przetwarzających dane osobowe osób fizycznych w UE, jak i do organizacji spoza UE przetwarzających dane osobowe mieszkańców Unii.

Dlaczego powstały przepisy RODO?

Przepisy RODO chronią podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. Powstały jako odpowiedź na rosnącą potrzebę ochrony danych użytkowników technologii cyfrowych, Internetu i mediów społecznościowych. Jednolite prawo na terenie państw członkowskich UE zapewnia wszystkim mieszkańcom Unii jednakowy poziom ochrony danych, transparentność oraz ułatwia dochodzenie sprawiedliwości, gdy dojdzie do naruszeń w zakresie bezpieczeństwa danych.

Wymagania RODO

Zgodnie z art. 5 rozporządzenia RODO, dane osobowe muszą być:

przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą;
zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;
adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane;
prawidłowe i w razie potrzeby uaktualniane lub usuwane bądź prostowane;
przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane;
przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Dane osobowe mogą być przechowywane przez okres dłuższy, niż wymagany, o ile będą służyć one celom archiwalnym, statystycznym lub naukowym, ale z zastrzeżeniem, że będą odpowiednio chronione.

Każdy administrator danych w organizacji, odpowiedzialny za przestrzeganie przepisów, musi być w stanie udowodnić ich przestrzeganie. Do jego obowiązków należy też zadbanie o udzielanie rzetelnych informacji o statusie danych oraz dokumentowanie zgód użytkowników. W przypadku wycofania lub wygaśnięcia zgody na przetwarzanie danych administrator dba o ich usunięcie z zasobów organizacji.

Jakie wyzwania stawia RODO przed firmami?

Oto niektóre z kluczowych wyzwań, które RODO stawia przed firmami:

Firmy muszą każdorazowo uzyskać wyraźną, świadomą i jednoznaczną zgodę na przetwarzanie danych osobowych swojego klienta, pracownika, kandydata lub użytkownika. Zgoda ta musi być łatwa do wycofania.
RODO daje osobom możliwość żądania usunięcia ich danych, co oznacza, że firmy powinny posiadać opracowane skuteczne metody identyfikacji i usuwania danych ze wszystkich swoich systemów. Podobnie rzecz ma się z prawem do dostępu do danych i ich edycji lub ograniczenia przetwarzania.
Firmy muszą wdrażać środki ochrony danych już na etapie projektowania systemów oraz domyślnie zapewniać wysoki poziom ochrony, np.: ustalić procedury umożliwiające reagowanie na incydenty bezpieczeństwa. Za naruszenia przepisów firmom grożą znaczące kary.
RODO wymaga od firm zapewnienia odpowiedniego poziomu ochrony danych przy przekazywaniu danych poza UE.
Firma jest zobligowana do mianowania Inspektorów Ochrony Danych, jeśli:
- regularnie lub systematycznie monitoruje osoby fizyczne, bądź przetwarza szczególne kategorie danych;
- przetwarzanie danych stanowi główny przedmiot jej działalności;
- przetwarza dane na dużą skalę.
Firmy muszą nieustannie monitorować, oceniać i aktualizować swoje praktyki ochrony danych, aby utrzymać zgodność z RODO.

Aby sprostać tym wszystkim wyzwaniom, organizacje powinny:

✔️ podejść do tematu całościowo i przeorganizować swoje procesy pod kątem przepisów;

✔️ wprowadzić stosowne polityki bezpieczeństwa danych i ustanowić inspektora ochrony danych, jeśli to konieczne;

✔️ korzystać z narzędzi, które zapewniają zgodność z przepisami, np. wybrać platformę HR, która posiada odpowiednie funkcjonalności lub oprogramowanie umożliwiające szyfrowanie i anonimizację danych itp.;

✔️ edukować swoich pracowników, aby rozumieli oni znaczenie ochrony danych osobowych i wiedzieli, jak postępować zgodnie z RODO w codziennych operacjach.