Rozporządzenie ogólne o ochronie danych (UE 2016/679) weszło w życie 25 maja 2018 r., wprowadzając nowe elementy i istotne udoskonalenia do obowiązującego systemu ochrony danych.
Role i obowiązki
W okresie poprzedzającym wprowadzenie RODO zastanawiałeś się zapewne, czy musisz formalnie wyznaczyć inspektora ochrony danych (IOD) – jest to konieczne, jeżeli:
- Jesteś organem lub podmiotem publicznym; lub
- Twoje główne działania wymagają regularnego i systematycznego monitorowania jednostek na dużą skalę; lub
- Twoja główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i przestępstw.
Wiele organizacji zdecydowało się na przypisanie konkretnej osoby lub działu odpowiedzialności za działania związane z ochroną prywatności bez konieczności formalnego powołania inspektora ochrony danych (IOD). Kluczowym wymogiem zgodności jest zapewnienie, że role i obowiązki w zakresie ochrony danych są dobrze znane i udokumentowane w organizacji.
ROPA – Rejestr czynności przetwarzania
Dokumentowanie działań przetwarzania realizowanych przez organizację jest wymogiem artykułu 30 RODO (zarówno w Wielkiej Brytanii, jak i UE), jeśli Twoja organizacja zatrudnia ponad 250 pracowników. Jest to również wymóg dla mniejszych firm, jeśli przetwarzane przez Ciebie dane:
- nie są okazjonalne
- mogą mieć wpływ na prawa i wolności jednostek; oraz
- obejmują dane szczególnej kategorii lub dane dotyczące wyroków skazujących i przestępstw.
Twój ROPA powinien zawierać mapę danych Twoich systemów, w których znajdują się dane osobowe, a także informacje o podstawie prawnej przetwarzania, celach i metodach przetwarzania danych, zasadach i procedurach udostępniania danych oraz ich przechowywania.
Ważne jest, aby zapewnić regularne przeglądanie tej dokumentacji, ponieważ z czasem prawdopodobnie pojawią się aktualizacje.
ICO przedstawiło dalsze wytyczne
Zasady i procedury
Twoje zasady i procedury powinny jasno określać role i obowiązki w Twojej organizacji, obejmujące szereg obszarów związanych z prywatnością:
- Ochrona danych i zarządzanie dokumentacją
- Bezpieczeństwo informacji, w tym naruszenia i zarządzanie incydentami
- Udostępnianie informacji w odpowiedzi na indywidualne wnioski o prawa – takie jak wnioski o dostęp do danych osobowych i powiadomienia informacyjne
- Ochrona danych w fazie projektowania i domyślnie, aby zapewnić uwzględnienie i udokumentowanie problemów (ocena wpływu na prywatność) w przypadku wdrażania nowych systemów, usług, produktów i procesów lub zmiany istniejących systemów
- Politykę prywatności na swojej stronie internetowej należy regularnie przeglądać, a datę ostatniej aktualizacji wyraźnie wyświetlać.
Zarządzanie dostawcami
Istotne jest podpisanie umów z organizacjami przetwarzającymi dane w Twoim imieniu. Umowy powinny określać szczegóły przetwarzania, w tym:
- Przedmiot przetwarzania
- Czas trwania przetwarzania
- Charakter i cel przetwarzania
- Rodzaj danych osobowych i kategorie osób, których dane dotyczą
- Jeśli korzysta się z usług podprocesorów.
Konieczne jest wprowadzenie ramowych kontroli należytej staranności, które pozwolą upewnić się, że organizacje te spełniają odpowiednie wymogi techniczne i organizacyjne niezbędne do spełnienia wymogów RODO.
Zaleca się regularne przeglądanie umów i porozumień o udostępnianiu danych zawartych z innymi organizacjami.
Szkolenie
Kluczowe jest upewnienie się, że pracownicy są świadomi swoich obowiązków związanych z przetwarzaniem danych osobowych. Szkolenia wprowadzające i uzupełniające powinny obejmować informacje na temat ochrony danych, potencjalnych zagrożeń bezpieczeństwa oraz polityk i struktur zarządzania informacjami w organizacji. Monitorowanie i dokumentowanie ukończenia szkoleń jest ważnym elementem, który pozwala wykazać zgodność z przepisami.
Inne prawa i przepisy
W Wielkiej Brytanii obowiązują również inne ustawy i rozporządzenia, które mają wpływ na bezpieczeństwo danych. Należą do nich:
- Przepisy dotyczące prywatności i komunikacji elektronicznej (PECR) z 2003 r. – które obejmują „spam” i masowe wysyłki marketingowe. Przepisy na podstawie PECR są również okresowo wydawane. Na przykład przepisy dotyczące stosowania plików cookie na stronach internetowych, a w 2016 r. nakazujące każdemu dzwoniącemu w celach marketingowych wyświetlanie swojego numeru telefonu.
- Ustawa o prawie autorskim, wzornictwie i patentach – zmieniona w 2002 r. w celu uwzględnienia kradzieży oprogramowania
- Mogą obowiązywać inne normy i przepisy IT: na przykład firmy przetwarzające transakcje kartami kredytowymi muszą zapewnić zgodność ze standardami bezpieczeństwa danych branży kart płatniczych (PCI DSS) .
Źródła i linki
Strona główna ICO dla organizacji
Portal UE RODO – www.gdpreu.org
