W bezpiecznym kierunku – bieżące wsparcie w zakresie RODO

Jak z nowymi obowiązkami radzą sobie przedsiębiorcy?

Wdrożenie przepisów RODO w strukturze organizacji to jedno, natomiast utrzymanie stworzonego systemu ochrony danych osobowych to drugie (proces wdrożenia i utrzymania RODO w formie infografiki opisaliśmy tu: Wdrożenie RODO jak produkcja auta). Na wiele podmiotów został również nałożony obowiązek powołania inspektora ochrony danych (IOD), obwarowany sankcją do 10 000 000 euro lub 2% całkowitego rocznego światowego obrotu (dla podmiotów publicznych jest to kwota niższa – maksymalnie 100 000 złotych, zgodnie z ograniczeniem zawartym w art. 102 ustawy o ochronie danych osobowych). Nawet w razie braku takiego obowiązku Grupa Robocza Art. 29 rekomenduje ocenę przydatności wyznaczenia osoby do pełnienia danej funkcji w organizacji, przy czym zalecane jest, aby w ramach dobrych praktyk IOD został powołany przez jednostki realizujące zadania w interesie publicznym lub sprawujące władzę publiczną.

Z obserwacji praktyki rynkowej wynika, że organizacje nie zbagatelizowały rekomendacji Grupy Roboczej – ciężko powiedzieć, czy w trosce o bezpieczeństwo przetwarzanych danych, czy z obawy przed wysokimi karami administracyjnymi, ale wiele podmiotów decyduje się na powołanie IOD-a, mimo że RODO nie nakłada na nie takiego obowiązku. W doktrynie zwraca się uwagę, że wyznaczenie osoby pełniącej taką funkcję w organizacji może zostać wzięte pod uwagę przez organ nadzorczy (Prezesa UODO) przy ustalaniu wysokości ewentualnej kary administracyjnej jako oznaka podejmowania przez organizację działań mających na celu minimalizację ryzyka naruszenia przepisów prawa.

Trudno również nie odnotować tendencji, zgodnie z którą organizacje wyznaczają „koordynatora ds. ochrony danych osobowych”, tj. nieformalnego IOD-a, który nadzoruje i monitoruje przestrzeganie przepisów RODO w organizacji, odpowiada na kierowane żądania realizacji praw osób fizycznych, a gdy nastąpi taka potrzeba - dopilnuje procedury przewidzianej w razie wystąpienia incydentu ochrony danych.

Dostępne modele współpracy

Zapotrzebowanie na specjalistów z tej dziedziny jest olbrzymie, a organizacje stają przed dylematem, czy wykonywanie zadań związanych z ochroną danych osobowych – zarówno w charakterze IOD-a, jak i „nieformalnego” koordynatora ds. ochrony danych powierzyć szeregowemu pracownikowi, który obowiązki w tym zakresie będzie wykonywał równolegle do reszty zadań związanych z piastowanym stanowiskiem, czy outsourcować je doświadczonemu ekspertowi ds. ochrony danych osobowych.

Wielu – nie dysponując odpowiednim zapleczem w postaci wykwalifikowanych specjalistów z zakresu ochrony danych osobowych – powierzyło ten aspekt do prowadzenia zewnętrznej organizacji. Takie rozwiązanie z pewnością niesie za sobą poczucie bezpieczeństwa, jednak wiele organizacji postrzega taki model za nie do końca wydajny, a jednocześnie generujący dodatkowe nakłady pieniężne – zewnętrzni eksperci nie znają organizacji „od środka”, przez co wymagają ciągłych konsultacji z personelem, co generuje dodatkowy czas pracy, a co za tym idzie - koszty. O wadach i zaletach obu rozwiązań pisaliśmy tu.

Natomiast wydaje się, że rynek dostrzegł tu problem, z którym muszą zmierzyć się organizacje i obok oferowanych do tej pory opcji w postaci szkoleń dla pracowników, którzy mają być namaszczeni na pełnienie funkcji IOD-a w swoich organizacjach, obok oferty dot. outsourcingu funkcji IOD, gdzie zewnętrzne firmy specjalizujące się w ochronie danych osobowych obejmują funkcję IOD-a w organizacji, pojawił się wariant trzeci: wsparcie IOD (lub ogólne wsparcie administratora danych osobowych, gdy organizacja nie powołała inspektora), czyli świadczenie bieżącej, doraźnej pomocy prawnej w zakresie związanym z ochroną danych osobowych.

„Wsparcie” – dla kogo?

Takie rozwiązanie zyskuje na popularności, ponieważ stanowi pewien kompromis pomiędzy zachowawczym podejściem do tematu ochrony danych osobowych i niejakim „zabezpieczeniem” przed konsekwencjami niezgodnego z prawem przetwarzania takich danych a zbilansowanym budżetem i możliwością ograniczenia wydatków do minimum, przy jednoczesnym zachowaniu poczucia bezpieczeństwa organizacji. Przedsiębiorcy nie są postawieni przed wyborem typu „wszystko albo nic”, ale niewielkim kosztem comiesięcznego pakietu godzin – który w zależności od potrzeb w poszczególnych miesiącach mogą poszerzać – zyskują kontrolę nad przetwarzanymi w ich organizacjach danymi osobowymi.

Warto podkreślić, że takie rozwiązanie znajdzie zastosowanie zarówno do nowo powołanych IOD-ów, którzy nie mają doświadczenia – co jest niestety pokłosiem wyznaczenia do pełnienia tej funkcji szeregowego pracownika, który z jednej strony zna organizację, a z drugiej najczęściej nie ma odpowiednich kompetencji w przedmiocie ochrony danych osobowych, jak i do organizacji, które - choć nie powołały IOD-a – chcą możliwie niskim kosztem mieć wsparcie wykwalifikowanego specjalisty i dysponować elastycznym i dopasowanym do potrzeb organizacji pakietem godzin. Ten model sprawdzi się też w sytuacji, gdy wyznaczony przez organizację IOD jest kompetentny i doświadczony, ale jego wiedza nie ma charakteru interdyscyplinarnego i ogranicza się wyłącznie do kwestii albo formalnoprawnych, albo IT.

Nowa usługa „Wsparcie ODO” - wychodzimy naprzeciw potrzebom rynku

Proponowana przez nas usługa dotyczy wsparcia IOD-a lub (w przypadku jego niepowołania) administratora danych - wsparcia, które jest elastyczne, dostosowane do Państwa organizacji i dopasowane do aktualnego zapotrzebowania – i co ważne, znajduje odzwierciedlenie w Państwa budżecie.

Dodatkowo nasi klienci w ramach wsparcia ODO otrzymują narzędzia pomocne w utrzymaniu systemu ochrony danych osobowych w ich organizacjach, w tym przede wszystkim dostęp do platformy e-learningowej, pozwalający na przeprowadzenie szkoleń pracowników w zakresie postanowień RODO oraz przyjętych polityk i procedur ochrony danych, a także comiesięczne oraz doraźne informacje dotyczące problematyki ochrony danych, służące doskonaleniu świadomości pracowników w tym zakresie.

Kiedy powołanie IOD jest obligatoryjne?

Przypominamy, iż zgodnie z art. 37 ust. 1 RODO wyznaczenie IOD-a jest obligatoryjne w 3 przypadkach, tj. gdy:

• przetwarzania dokonują organ lub podmiot publiczny (z wyjątkiem sądów, ale wyłącznie w zakresie sprawowania przez nie wymiaru sprawiedliwości);
  W praktyce do powołania IOD-a w organizacji zobowiązani będą przede wszystkim: każdy organ administracji publicznej, jednostki samorządu terytorialnego, jednostki budżetowe, publiczne uczelnie i  nstytucje kultury.
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, wymagających regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub Przykładowo: organizacje zajmujące się przetwarzaniem danych: przez dostawców usług klientów w ramach działalności ubezpieczeniowej lub banku, osób korzystających z miejskiego systemu transportu publicznego, geolokalizacyjnych klientów międzynarodowej firmy do celów statystycznych, za pomocą wyszukiwarki na potrzeby reklamy behawioralnej.
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych.
  Przykładowo: szpitale, prywatne centra medyczne i większe przechodnie lekarskie, przedsiębiorstwa z branży farmaceutycznej, firmy ubezpieczeniowe świadczące usługi w zakresie ubezpieczeń na życie lub zdrowotnych, podmiotów przetwarzających dane o skazaniach.

Rzetelne i przystępne źródła czerpania wiedzy dla IOD

Niezależnie od powyższego jednym z obowiązków administratora danych związanym z zagwarantowaniem IOD-owi odpowiedniego statusu jest zapewnienie mu zasobów niezbędnych do wypełniania zadań i utrzymania wiedzy fachowej (art. 38 RODO). Mimo że RODO to przepisy stosunkowo nowe i wiele kwestii zostanie rozstrzygniętych dopiero w momencie pojawienia się pierwszych orzeczeń sądów administracyjnych, decyzji i wytycznych organu nadzorczego, już teraz dostępnych jest wiele godnych polecenia narzędzi i wiarygodnych źródeł wiedzy.

Szczególnie polecamy:

• zapoznanie się z wytycznymi Grupy Roboczej Art. 29,
• bieżące śledzenie publikacji na stronie internetowej organu nadzorczego (w tym na bieżąco aktualizowana „Baza wiedzy”), a także doraźne przeglądanie strony archiwalnej GIODO – wiele rozwiązań funkcjonujących na gruncie poprzedniego porządku prawnego nie straciło na aktualności,
• wygodne narzędzie do poruszania się po RODO – publikacja treści rozporządzenia w kieszonkowej formie wraz z ułatwiającymi nawigację motywami preambuły przypisanymi do poszczególnych artykułów „RODO Nawigator”,
• systemy informacji prawnej - w tym Legalis - i dostępne tam bazy aktów prawnych, orzecznictwa, komentarze, monografie i czasopisma poświęcone problematyce ochrony danych osobowych,
• akredytowane kursy przygotowujące do pełnienia funkcji IOD, a także szkolenia ogólne z tematyki RODO i praktyczne warsztaty (na które serdecznie zapraszamy).

Zakończenie

Bez względu na to, czy organizacja zdecyduje się na wsparcie zewnętrznych specjalistów, czy postanowi powierzyć zadania związane z ochroną danych osobowych swym pracownikom, nie należy zapominać, że kryteriami wyboru IOD-a mają być jego kwalifikacje zawodowe oraz umiejętność wypełniania zadań wynikających z RODO (art. 37 ust. 5 RODO). Zagwarantowanie mu wsparcia w postaci doraźnej pomocy wykwalifikowanego specjalisty z zewnętrznej firmy oferującej usługi wdrażania i utrzymywania w organizacjach zgodnego z prawem (w tym zwłaszcza z RODO) systemu ochrony danych osobowych z pewnością powinno zostać uznane za zasób niezbędny do wykonywania zadań IOD-a.