RODO - o czym trzeba pamiętać po 2,5 roku?
Niedługo minie 2 lata i 6 miesięcy od kiedy obowiązuje RODO. W Polsce chronimy dane od ponad 20 lat - pierwsza ustawa o ochronie danych osobowych obowiązuje od 30 kwietnia 1998 r. Dlaczego mimo upływu czasu nadal powoduje ono problemy?
Dlaczego RODO powoduje nadal problemy?
W mojej ocenie główne powody to:
- niska kultura prawna - niestety to duży problem w Polsce. Wiele podmiotów nie zna lub nie rozumie prawa. Do tego, poprzednia ustawa o ochronie danych osobowych była lekceważona przez wiele podmiotów, a teraz wiele podmiotów lekceważy RODO,
- zmiana filozofii w ochronie danych osobowych - RODO opiera się bardziej na filozofii anglosaskiej (ucierania się standardów) a polska kultura prawna wywodzi się z prawa kontynentalnego i ma wielką słabość do kazuistyki. To powoduje problemy ze zrozumieniem przepisów RODO,
- brak jednoznacznych odpowiedzi - zgodnie z RODO rozwiązania muszą być adekwatne do ryzyk, a poprzednio była check lista i wzory. To powoduje, że ponad 20 lat doświadczenia może być obciążeniem a nie zaletą. Bo teraz nawet najlepsza dokumentacja nie załatwi problemu,
- Prawo ochrony danych osobowych cały czas ewoluuje. Pojawiają się nowe wytyczne PUODO i Grup roboczych. Rzeczywistość stawia cały czas nowe pytania - np. Czy można mierzyć temperaturę pracowników w pandemii. Ponadto cały czas mamy luki i sprzeczności prawne w ustawach,
- środki na wdrożenie i utrzymanie systemów bezpieczeństwa danych osobowych - wiele podmiotów traktuje to jako koszt a nie inwestycję w bezpieczeństwo. Co powoduje, że tnie te "koszty" zwłaszcza w czasie kryzysu. A potem są problemy i duże koszty.
Polecamy: Nowy JPK_VAT w praktyce jednostek sektora publicznego
O czym warto pamiętać, by RODO nie stanowiło problemów?
Każdy podmiot, nie ważne czy z sektora publicznego czy sektora prywatnego musi pamiętać, że:
- System bezpieczeństwa danych osobowych musi być integralną częścią Kultury organizacji
- tone from the top – przykład idzie z góry - to wyższe kierownictwo ma dawać przykład i zapewnić IOD`owi odpowiednia pozycję i zasobym,
- każdy jest odpowiedzialny za ochronę danych osobowych – na każdym szczeblu organizacji,
- wdrożenie i utrzymanie skutecznego systemu bezpieczeństwa danych osobowych odpowiada Administrator, czyli najwyższe kierownictwo,
- kluczowa w systemie ochrony danych osobowych jest KOMUNIKACJA,
- wdrożenie RODO to nie tylko praca prawnika, informatyka czy specjalisty od ryzyk. To przede wszystkim praca osób przetwarzających dane osobowe,
- dobry IOD ze wsparciem góry to skarb, zły to przekleństwo, dobry bez wsparcia góry mało może,
- system bezpieczeństwa danych osobowych musi działać w cyklu Deminga. Tak naprawdę proces doskonalenia systemu nigdy się nie kończy, bo zmienia się organizacja i zmienia się otoczenie organizacji.
Jakie pytania kontrolne warto sobie zadać?
Każdy podmiot powinien sobie zadać parę pytań:
- Kiedy był u mnie ostatni audyt systemu ochrony danych osobowych?
- Czy przeszkolono wszystkich pracowników? I kiedy mieli ostatnie szkolenie?
- Kiedy ostatnio aktualizowano dokumentację RODO?
- Masz IOD1a? A kiedy ostatnio wysłałeś go na szkolenie? Kiedy ostatnio z nim rozmawiałeś? Kiedy dostałeś od niego ostatni raport/sprawozdanie?
Jeżeli odpowiedź choć na jedno pytanie brzmi „nie” lub „minął ponad rok” to radzę szybko poszukać pomocy eksperta.
Oczywiście ekspert zada dużo innych pytań. Po to by móc zdiagnozować problemy a potem pomóc je rozwiązać.