Do wejścia w życie RODO, przepisów o ochronie danych osobowych, został już nieco ponad miesiąc. Dla firm nie będzie już okresu przejściowego na dostosowanie się do wymagań rozporządzenia – od 25 maja nowe przepisy mają być w pełni respektowane. Wciąż budzą one jednak sporo wątpliwości. Nie określają minimalnych standardów technicznych, które mają na celu zabezpieczenie danych. To administratorzy danych muszą dobrać odpowiednie środki i procedury. Na nich też będzie spoczywał obowiązek wykazania, że przy przetwarzaniu danych osobowych firma spełnia wymagania RODO.

Generalny Inspektor Ochrony Danych Osobowych (GIODO) przygotował propozycję wykazu rodzajów przetwarzania, dla których wymagane jest przeprowadzenie oceny skutków dla ochrony danych. Regulator zachęca też do konsultacji nad dokumentem, który ma pomóc przedsiębiorcom w dostosowaniu się do planowanych przepisów RODO.

RODO, czyli nowe prawo o ochronie danych osobowych, które wejdzie w życie za pięć miesięcy, znacznie rozszerza obowiązki informacyjne firm wobec klientów. To oznacza konieczność wymiany wszystkich klauzul, zgód i papierowych formularzy dotyczących zgód na ich gromadzenie i przetwarzanie. Z perspektywy konsumentów główną zmianą ma być sposób przedstawiania takich informacji: prosty, rzetelny i bardziej zrozumiały niż dotychczas.

Przepisy o ochronie danych osobowych, które zaczną obowiązywać od maja przyszłego roku, przewidują stworzenie branżowych kodeksów postępowania w tym zakresie. Mają ułatwić administratorom wdrażanie i stosowanie się do nowej regulacji, która na poziomie przyjętej dyrektywy jest dość ogólna. Kodeksy nie będą obowiązkowe, ale w razie kontroli lub incydentów naruszenia bezpieczeństwa mogą zapewnić przychylność GIODO. Część branż już przesłała je do zaopiniowania.
 

Zmiana przepisów ma stworzyć grunt pod unijne rozporządzenie RODO, które w Polsce zacznie obowiązywać w maju 2018 roku. Jego założeniem jest ujednoliceniem przepisów dotyczących ochrony danych we wszystkich 28 państwach członkowskich UE. Konsultacje dotyczące projektu potrwają do połowy października. Część propozycji Ministerstwa Cyfryzacji budzi jednak wątpliwości Generalnego Inspektora Ochrony Danych Osobowych.

Planowana ustawa abonamentowa ma pozwolić na przekazanie informacji o użytkownikach platform kablowych i satelitarnych Poczcie Polskiej. To jednak według UOKiK i prawników nie wystarczy by zerwać umowę z dostawcą telewizji bez ponoszenia kar umownych - ustalił serwis Wirtualnemedia.pl. Wątpliwości w tym zakresie wyraża jedynie Generalny Inspektor Ochrony Danych Osobowych. Ratunkiem dla użytkowników pozostaje perspektywa wycofania przez operatorów gwarantowanych kanałów lub interwencja Unii Europejskiej.

W maju 2018 roku zacznie obowiązywać GDPR/RODO – unijne przepisy o ochronie danych osobowych przyjęte w kwietniu 2016 roku. Nakładają one na firmy zbierające i analizujące dane obowiązek ochrony większej liczby danych konsumentów, a także udostępniania ich osobom, których dotyczą i kasowania na ich żądanie. Mimo że prace nad nowymi przepisami toczyły się od 2011 roku, jeszcze pod koniec ubiegłego roku większość polskich firm nie wiedziała nawet, że taka regulacja wejdzie w życie.

W najbliższych miesiącach Generalny Inspektor Ochrony Danych Osobowych skontroluje sklepy oraz podmioty lecznicze, takie jak poradnie lekarskie oraz przychodnie. Inspektorzy GIODO przyjrzą się, czy przetwarzanie danych osobowych odbywa się w tych miejscach zgodnie z obowiązującymi przepisami. Kontrola obejmie także podmioty korzystające z systemów SIS i VIS, takie jak policja i służby graniczne.

Generalny Inspektor Ochrony Danych Osobowych uważa, że mało uzasadnione jest wprowadzanie przejściowej nowelizacji ustawy abonamentowej zakładającej uszczelnienie poboru tej opłaty od klientów płatnej telewizji, skoro na przyszły rok zapowiedziano zupełnie nową ustawę o abonamencie. Zwraca też uwagę, że pozyskiwanie danych użytkowników wiąże się ze zmianą ich umów z operatorami telewizyjnymi.

Przedstawiciele GIODO i IAB Polska podpisali list intencyjny o wspólnym działaniu na rzecz podnoszenia poziomu ochrony danych osobowych w komunikacji interaktywnej i na rynku internetowym oraz utworzeniu Branżowego Kodeksu Postępowania. Porozumienie stanowi odpowiedź m.in. na wydane przez Parlament i Radę Europejską ogólne rozporządzenie o ochronie danych.

Za niespełna półtora roku zaczną być stosowane nowe unijne przepisy dotyczące danych osobowych. Firmy muszą się liczyć z nowymi obowiązkami. Za niewywiązanie się z nich grożą duże kary finansowe. Zmiany odczują również konsumenci, którzy uzyskają prawo do przenoszenia danych, ograniczenia profilowania, prawo do bycia zapomniany i szerszej informacji o tym, jak przetwarzane są ich dane. Zgody na przetwarzanie danych osobowych w internecie będą mogły udzielać samodzielnie również dzieci, które ukończyły 16 rok życia. Tę granicę w krajowej ustawie można obniżyć do 13 lat.

Bezpieczeństwo chmur obliczeniowych zależy od samych jej użytkowników. Należy pilnować, by w umowach z dostawcą tej usługi znalazły się odpowiednie klauzule dotyczące ochrony danych oraz ich transparentności. Dobrym kryterium wyboru chmury są jej certyfikaty. Zarówno Komisja Europejska, jak i polscy regulatorzy nie chcą tworzyć osobnego prawa dla tego typu usług.

Od początku roku obowiązują przepisy, które nakładają na firmy nowe obowiązki w zakresie ochrony danych osobowych i ułatwiają ich przetwarzanie. Od teraz działający w strukturach firmy administrator bezpieczeństwa informacji (ABI) będzie miał większy zakres obowiązków. Ustawa wprowadza także istotne uproszczenia w zakresie rejestracji zbiorów danych. Zgodnie z ustawą zwolnienie z obowiązku zgłoszenia zbioru obejmie także te zbiory, które nie są prowadzone w wersji elektronicznej i nie zawierają danych wrażliwych. Przedsiębiorca, który nie powoła ABI, będzie musiał rejestrować zbiory na dotychczasowych zasadach.

W nowym roku firmy, w których dochodzi do przetwarzania danych osobowych, będą musiały uregulować status administratorów bezpieczeństwa informacji. ABI mają być wewnętrznymi inspektorami ochrony danych, którzy będą nadzorować proces przetwarzania danych w firmie i doradzać innym pracownikom w tym zakresie. Na mocy wchodzącej w życie 1 stycznia nowelizacji ustawy GIODO uzyska nowe uprawnienia i będzie mógł – poprzez takiego administratora – dokonać tzw. sprawdzenia w danej firmie. Dotyczy to de facto wszystkich firm zatrudniających więcej niż jednego pracownika.

Przekazywanie danych do państw trzecich, również do tych niezapewniających na swoim terytorium takiego poziomu ochrony danych osobowych jak w Polsce, będzie możliwe bez zgody Generalnego Inspektora Ochrony Danych Osobowych. Taką zmianę zakładają przepisy, które wejdą w życie od stycznia 2015 roku. Przekazywanie danych w ramach jednej grupy międzynarodowej będzie odbywać się zgodnie z tzw. wiążącymi regułami korporacyjnymi.

Polscy przedsiębiorcy słabo chronią dane osobowe klientów. Wypływają one nawet z bardzo dużych spółek, takich jak operatorzy teleinformatyczni. Niewiele podmiotów, które gromadzą dane osobowe ma wiedzę o sposobach ich zabezpieczenia lub szyfrowania. Generalny Inspektorat Ochrony Danych Osobowych z niepokojem czeka na wprowadzenie elektronicznego systemu informacji medycznej.

Główny Inspektor Ochrony Danych Osobowych Wojciech Wiewiórowski przekonuje, że uczniowie powinni być edukowani w kwestii ochrony danych osobowych, zwłaszcza w internecie. Jednak nie chodzi tu o tworzenie osobnego przedmiotu dotyczącego edukacji medialnej. Lepszym rozwiązaniem jest wplatanie treści związanych z ochroną prywatności w inne, z pozoru niezwiązane z nią zajęcia.

Polacy są coraz bardziej świadomi swoich praw do ochrony danych osobowych. Liczba skarg wzrosła w ostatnich czterech latach prawie czterokrotnie, choć samo prawo się nie zmieniło. Rosnącą świadomość klientów mogą wykorzystywać firmy do budowania swojej pozycji na rynku – zapewniając klientów, że ich dane są dobrze chronione, zdobywają ich zaufanie, a tym samym przewagę nad konkurencją.

W przyszłym roku ma zostać uchwalone unijne rozporządzenie o ochronie danych osobowych. Akt zastąpi 28 krajowych ustaw, w tym polską. Nowelizacja jest konieczna, bo obecne prawo zostało napisane w połowie lat 90. Mimo przestarzałych przepisów, świadomość Polaków dotycząca ochrony danych rośnie, o czym świadczy również rosnąca liczba skarg.

Zmiany w prawie o ochronie danych osobowych będą konieczne ze względu na rozporządzenie unijne ujednolicające zasady ochrony i zarządzania danymi osobowymi we wszystkich krajach Unii Europejskiej. Ma ono powstać w przyszłym roku. Zdaniem Głównego Inspektora Ochrony Danych Osobowych, jest to dokument potrzebny, bo obecnie kwestia ta jest regulowana indywidualnie przez każde z państw. Unijne przepisy będą wymagały dostosowania do nich polskiego prawa.