RODO ma przede wszystkim zapewnić spójny stopień ochrony osób fizycznych a i przez to przeciwdziałać różnicom, istniejącym na rynku wewnętrznym. Warto zauważyć, iż właśnie te nierówności w głównej mierze doprowadziły do nowego rozporządzenia o ochronie danych osobowych. Ochrona nie była efektywna, bo musiała liczyć się z odmiennymi prawami i wyjątkami, panującymi w państwach członkowskich. Stąd też powstał zamysł stworzenia jednolitych, ścisłych zasad bezpieczeństwa.
Dwie podstawowe zasady stały się fundamentami pomysłu. Pewność prawa oraz przejrzystość. Dla każdego użytkownika ma być jasne, które jego dane są przetwarzane i w jakim celu. Równocześnie egzekwowalność i jakość tych praw ma być identyczna w każdym państwie należącym do Unii. Nie dotyczy to choćby tylko kar czy ewentualnych sankcji ale i współpracy poszczególnych organów nadzorczych. I dlatego też, w związku z przetwarzaniem danych osobowych, ich przepływ nie jest w żaden sposób ograniczany czy zakazywany.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Jak wpływa to na mniejsze przedsiębiorstwa?
Po pierwsze, rozporządzenie z uwagi na szczególną sytuację tych przedsiębiorstw, przewiduje odpowiednie odstępstwa od przyjętych zasad. W przypadku podmiotów, zatrudniających mniej niż 250 pracowników, raczej nie wymaga się rejestracji czynności przetwarzania ale istnieją tu pewne wyjątki. Gdyby takie dane były przetwarzane regularnie i na dużą skalę, występowałoby poważne ryzyko naruszenia praw, mogących prowadzić do uszczerbku bądź szkód majątkowych. Innym odstępstwem jest przetwarzanie szczegółowych kategorii danych osobowych („danych wrażliwych”) oraz tych, tyczących się wyroków skazujących.
Małe i średnie przedsiębiorstwa nie muszą, oprócz wymienionych wyjątków, powoływać Inspektora Ochrony Danych (IOD; zastąpi on Administratora Bezpieczeństwa Informacji).
Zobacz też: Postępowanie administracyjne
Kodeksy postępowania a mechanizmy certyfikacji
Ponadto, wprowadzenie kodeksów postępowania może ułatwić prowadzenie działalności takim przedsiębiorstwom. Zawiera się w nich choćby szczegółowo opisane obowiązki administratorów, tak aby zmniejszyć ryzyko naruszenia praw bądź wolności osób fizycznych, których dane są przetwarzane. Ułatwia to również wprowadzenie tego rozporządzenia, jak i jego przestrzeganie.
Kolejna możliwość to ustanowienie mechanizmów certyfikacji, znaków jakości bądź oznaczeń, które świadczyć będą o zgodności o RODO poszczególnych operacji przetwarzania. Dla przykładu, mogą też wykazywać jakość stosowanych zabezpieczeń. Taka certyfikacja jest oczywiście dobrowolna i udziela jej się maksymalnie na okres 3 lat (z opcją jej przedłużenia, jeśli nadal spełnione są wszelkie warunki jej uzyskania).
Jak duże koszty poniesiemy przy wprowadzaniu RODO?
Wbrew powszechnym obawom, nie aż tak poważne. Licząc się z strukturą organizacyjną i wielkością przedsiębiorstw, może zostać powołany jeden IOD dla danej grupy. Przeto nie musi on być pełnoetatowym pracownikiem, ale choćby konsultantem.
RODO wprowadza ujednolicenie przepisów na terenie całej Unii. Wcześniej, przedsiębiorstwo działające na terenie kilku krajów UE musiało zatrudniać prawników, żeby sprawdzić, czy podejmowane działania są w pełni legalne. Teraz, te pieniądze wykorzystać można na inne cele, np. marketing, co przyczyni się do dalszego rozwoju.
Zobacz też: Finanse
Kary finansowe
Co się dzieje jeśli wystąpi naruszenie? Często, choć nie zawsze, będzie wymagało to poinformowania organu nadzorczego, działającego w danym kraju (w Polsce obecnie: GIODO). Pod warunkiem, że skutkuje to lub istnieje obawa naruszenia wolności i praw osób. Wtedy, należy to zgłosić nie później niż 72 godziny po incydencie. Brak reakcji lub niepodjęcie przeciwdziałań daje nieprzyjemną konsekwencję w postaci administracyjnej kary pieniężnej.
Organ nadzorczy bierze pod uwagę wszystkie okoliczności zaistnienia tej sytuacji, w tym jej charakter, wagę, czas trwania a także podjęte środki, mające jej zaradzić i zmniejszyć ewentualne straty. Może jednak, jeśli szkoda ma nikłe efekty i sankcja stanowiłaby nieproporcjonalne obciążenie, udzielić zamiast tego upomnienia.
Inaczej, mamy do czynienia z poważnymi karami. Zależnie od tego, co konkretnie zostało naruszone odmienne są kary.
Gdy naruszenie tyczy się obowiązków administratora, podmiotu przetwarzającego, monitorującego bądź certyfikującego podlega się sankcji nawet rzędu 10 000 000 euro albo do wysokości 2% całkowitego rocznego światowego obrotu, przy czym zastosowanie ma kwota wyższa.
Jeśli zaś ów incydent odnosi się do zakłócenia podstawowych zasad przetwarzania, praw osób, których dotyczą te dane; przekazywania danych odbiorcy w państwie trzecim czy organizacji międzynarodowej lub nieprzestrzegania nakazu ograniczenia (tymczasowego bądź nie) przetwarzania albo zawieszenia przepływu danych, kwota ta podwaja się. Sięga wtedy 20 000 000 euro bądź aż 4% rocznego obrotu z poprzedniego roku obrotowego. Nadal zastosowanie ma wyższa kara.
Zatem, mimo pewnych ułatwień dla mniejszych przedsiębiorstw, występują i wady. Główna to duża restrykcyjność, jeśli chodzi o kary. Należy mieć jednak nadzieję, że przyczyni się to do bardziej efektywnego przestrzegania RODO, a i zatem zwiększenia ochrony naszych danych. Ponadto, zaoszczędzone dzięki temu rozporządzeniu pieniądze przeznaczy się na badania naukowe czy reklamę, co przełoży się na szybszy rozwój takich podmiotów.