Podmioty, które będą zobowiązane stosować RODO można podzielić, pod względem przygotowania, na parę kategorii:
- „Myślę, że jestem gotowy na RODO”:
- naprawdę są gotowi,
- myślą, ze są gotowi, a nie są (w mniejszym lub większym stopniu).
- „Będę gotowy na RODO na czas”:
- skończą wdrożenie systemu bezpieczeństwa danych osobowych i patrz pkt 1),
- nie będą.
- „Nie zdążę z RODO na czas”:
- zdążą z wdrożeniem systemu bezpieczeństwa danych osobowych i patrz pkt 1),
- nie zdążą wdrożyć systemu bezpieczeństwa danych osobowych do dnia 25 maja 2018 r. (pytanie jak duże będzie opóźnienie i z którymi elementami systemu nie zdążą).
- „Co to jest RODO?”:
- niestety istnieje spora grupa takich podmiotów. Niestety nieznajomość prawa szkodzi.
- „RODO mnie nie interesuje” lub „poczekam aż wyjdzie ustawa, będą już standardy itp.”:
- takim osobom polecam artykuł Co i za co grozi przy naruszeniu RODO?
Niestety jak pokazują ostatnie sondaże, bardzo duża grupa podmiotów nie będzie gotowa na RODO do dnia 25 maja br. – to ci co:
- nie zaczęli w ogóle przygotowań do RODO,
- zaczęli przygotowania do RODO za późno,
- wdrażają RODO za wolno,
- myślą, że wdrożyli (bo np. kupili dokumentację) a tak naprawdę do RODO nie są gotowi.
Należy też pamiętać, że po wejście w życie ustawy z przepisami wprowadzającymi RODO, trzeba będzie przejrzeć i ewentualnie poprawić procedury i dokumentację.
W tym momencie chciałbym powtórzyć po raz kolejny: wdrożenie system bezpieczeństwa danych osobowych to proces. Ale po zakończeniu wdrożenia, ten system musi być cały czas zarządzany i udoskonalany. Ostrzegam przed złudnym poczuciem bezpieczeństwa.
No ale co ma zrobić podmiot który nie będzie gotowy na RODO do dnia 25 maja br.?
WDROŻYĆ JAK NAJSZYBCIEJ SYSTEM BEZPIECZEŃSTWA DANYCH OSOBOWYCH ZGODNY Z RODO
A co ma zrobić podmiot, który uważa, że jest zgodny z RODO?
- ZARZĄDZAĆ SYSTEMEM BEZPIECZEŃSTWA DANYCH OSOBOWYCH ZGODNYM Z RODO I GO UDOSKONALAĆ.
- Ewentualnie, może zlecić niezależnemu audytorowi audyt wdrożonego systemu bezpieczeństwa danych osobowych.
Ponieważ za naruszenie przepisów o ochronie danych osobowych, w tym RODO grozić będą, już za parę dni, surowe sankcje, mam nadzieję, że Prezes Urzędu Ochrony Danych Osobowych będzie, w tym roku, uwzględniał iż:
- Polski ustawodawca nie zdąży do dnia 25 maja 2018 r. z przepisami wprowadzającymi,
- na chwilę obecną nie ma żadnych podmiotów certyfikujących,
- na chwilę obecną nie ma żadnych zatwierdzonych kodeksów postępowania,
- przepisy RODO budzą wątpliwości interpretacyjne (często spotykam sprzeczne interpretacje), które dopiero rozwiązują (lub nie) wytyczne grup roboczych. Sytuacji nie poprawiają błędy w tłumaczeniu RODO,
- PUODO nie zdąży opublikować przed dniem 25 maja br.:
- standardowych klauzuli umownych, o których mowa w art. 28 ust. 8 RODO,
- zatwierdzonych kodeksów postępowania, o których mowa w art. 40 RODO,
- przyjętych standardowych klauzul ochrony danych, o których mowa w art. 46 ust. 2 lit. d RODO,
- rekomendacji określających środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych.
Mam nadzieję, że w związku z powyższym PUODO na początku będzie raczej wydawał ostrzeżenia, udzielał upomnień, nakazywał dokonanie określonych czynności a nie nakładał wysokie administracyjne kary pieniężne.