Już czas na dostosowanie się do nowej regulacji w zakresie ochrony danych osobowych

Aktualnie jeszcze obowiązują przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (dalej: Uodo), ale zostały już uchwalone nowe przepisy unijne w zakresie ochrony danych, tj. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony danych osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej też: RODO).

RODO będzie miało zastosowanie od dnia 25 maja 2018 r. i to bezpośrednio we wszystkich krajach Unii Europejskiej. W związku z tym trwają w Polsce prace nad nową ustawą dotyczącą ochrony danych osobowych, która będzie miała charakter uzupełniający wobec przepisów ww. rozporządzenia.

Co do czynności przetwarzania danych osobowych, które będą wykonywanie po ww. dniu 25 maja 2018 r., warto uwzględniać już teraz regulację RODO. Dotyczy to dopełnienia takich obowiązków, jak legalności (dotychczas uregulowanego w art. 23 i 27 Uodo), informacyjnego (dotychczas uregulowanego w art. 24 – 25 Uodo), czy w zakresie konstrukcji powierzenia przetwarzania danych (dotychczas uregulowanej w art. 31 Uodo).

Szczególnie bowiem ww. obowiązek informacyjny i konstrukcja powierzenia przetwarzania danych ulegną istotnym zmianom polegającym na rozszerzeniu zakresu pierwszego i uszczegółowieniu drugiego co wiązać się może z koniecznością uzupełnienia zakresu udzielonych informacji lub zmiany postanowień umów w tym zakresie o dodatkowe elementy lub zawarcia takowych.

Regulacja ww. rozporządzenia przewiduje także nowe obowiązki związane z przetwarzaniem danych osobowych, takie jak obowiązek: uwzględniania ochrony danych w  fazie projektowania oraz domyślnej ochrony danych, analizy celem ocena skutków dla ochrony danych, rejestrowania czynności przetwarzania, zgłaszania naruszenia ochrony danych organowi nadzorczemu czy zawiadamiania osób, których dane osobowe są przetwarzane o naruszeniu ochrony tych danych. Przeanalizowania i ustalenia wymaga również konieczność powołania Inspektora Ochrony Danych, który zastąpi instytucję dotychczasowego Administratora Bezpieczeństwa Informacji. RODO przewiduje przypadki, w których dany obowiązek nie ma zastosowania, jednakże należy je przeanalizować i udokumentować w odniesieniu do danego przedsiębiorcy i okoliczności, w których dane są przetwarzane.

Istotną kwestią jest też wprowadzenie nowych rozwiązań odnoszących się do naruszenia regulacji ww. rozporządzenia, a w tym środków ochrony prawnej przeciwko administratorom danych lub podmiotom przetwarzającym, w tym przedsiębiorcom, odszkodowań od tych podmiotów za poniesioną szkodę, czy możliwości nałożenia wobec tych podmiotów administracyjnych kar pieniężnych przy określeniu ich górnej wysokości nawet na 20 mln EUR, a w przypadku przedsiębiorstwa – na  4% jego całkowitego obrotu z poprzedniego roku.

Zgodnie z motywem 171 RODO, wszystkie czynności przetwarzania danych osobowych, które już teraz się toczą, powinny zostać dostosowane do przepisów RODO najpóźniej 25 maja 2018 r. Powyższe – co do czynności przetwarzania, które będą wykonywanie po ww. dacie – wiąże się w szczególności z koniecznością  opracowania i zastosowania odpowiedniej dokumentacji obejmującej te zmiany. Dlatego warto już teraz podjąć działania w tym przedmiocie.