2 lata z RODO. Czy naprawdę jest się czego bać?
W maju 2020 r. minęły 2 lata, od kiedy obowiązują nowe regulacje dotyczące ochrony danych osobowych (RODO). To świetna okazja do tego, aby podsumować funkcjonowanie nowych przepisów i wyciągnąć praktyczne wnioski dla codziennego funkcjonowania firm, zwłaszcza małych i średnich przedsiębiorstw. W artykule pokazuję obszary funkcjonowania małego i średniego biznesu, które mogą generować największe ryzyko konsekwencji prawnych za naruszenie RODO. Ponadto, pokazuję, dlaczego RODO nie musi być czysto formalnym i przykrym obowiązkiem. Można je wykorzystać do wzniesienia firmy na wyższy poziom funkcjonowania – zarówno w relacji z klientami, jak i wewnętrznie. W obecnych czasach prywatność jest zagadnieniem, które klienci cenią sobie coraz bardziej. Przejrzysta komunikacja na temat tego, co dzieje się z danymi naszych klientów, powoduje, że nabierają oni coraz większego zaufania do marki. Co pokazały 2 lata obowiązywania RODO? Jakie wnioski można z tego wyciągnąć? Ponad 2 lata temu rynek był pełen obaw dotyczących rozpoczęcia stosowania nowych przepisów o ochronie danych osobowych, czyli unijnego ogólnego Rozporządzenia o Ochronie Danych (w skrócie „RODO”). Wątpliwości budziło, jak w praktyce stosować nowe przepisy oraz jak będą one egzekwowane przez Urząd Ochrony Danych Osobowych. Widmo wysokich kar (mityczne 20 milionów euro) tylko potęgowało niepewność. Sytuacja ta zrodziła również wiele tzw. RODO-absurdów, jak choćby niesławne nazywanie pacjentów w jednej z przychodni imionami postaci z bajek. Po ponad 2 latach można powiedzieć, że sytuacja wokół RODO w znacznym stopniu się uspokoiła. Nie doszło do żadnych rewolucyjnych zmian. Przeciwnie, po początkowym okresie pełnym niepewności i absurdów, obecnie można zaobserwować spokojną ewolucję i dostosowywanie działalności do nowych regulacji. Z perspektywy osoby, która w codziennej pracy zajmuje się tematyką ochrony danych, mogę powiedzieć, że rzeczywistość nie okazała się tak straszna, jak niektórzy malowali ją w pierwszej połowie 2018 r. Wbrew temu, czego wielu się obawiało, Urząd Ochrony Danych Osobowych wcale nie kontroluje tak intensywnie, ani nie nakłada wielu kar pieniężnych. Przez pierwszy półroczny okres obowiązywania RODO (od 25 maja 2018 r. do 31 grudnia 2018 r.) UODO przeprowadził 32 kontrole przestrzegania RODO*, a łącznie w 2018 r. – 71 kontroli. Z kolei w 2019 r. Urząd przeprowadził łącznie więcej kontroli – 98**. Co jednak istotne, jedynie 20 z nich dotyczyło podmiotów z sektora prywatnego. Warto również zwrócić uwagę na to, że Prezes UODO w planie kontroli na 2019 r. określił 15 zagadnień dziedzin (obszarów) działalności, które miały podlegać kontroli***. Z kolei w analogicznym planie na 2020 r. jest to już mniej dziedzin (obszarów) – jedynie trzy****. W swoim oficjalnym sprawozdaniu za 2019 r. Urząd sam przyznaje, że zmaga się z problemem ograniczonych zasobów ludzkich i dużą rotacją pracowników*****. Jak dotąd, przez ponad 2 lata obowiązywania RODO, nałożono łącznie 14 kar pieniężnych, co jest liczbą stosunkowo niewielką. W porównaniu z analogicznymi instytucjami w innych państwach UE, polski UODO jest w dolnej części rankingu w zakresie liczby nałożonych kar. Najwyższe kary, jakie nałożył Urząd to 2,8 mln zł w sektorze prywatnym (dla sklepu internetowego Morele.net za niewystarczające zabezpieczenie danych klientów, z powodu czego doszło do wycieku) oraz dwukrotnie 100 tys. zł w sektorze publicznym (maksymalna możliwa kara dla instytucji publicznej – Głównego Geodety Kraju za utrudnianie przeprowadzenia kontroli oraz za udostępnianie bez podstawy prawnej na portalu GEOPORTAL2 danych osobowych w postaci numerów ksiąg wieczystych). Oczywiście, Urząd Ochrony Danych Osobowych obserwuje sytuacje występujące na rynku. To do niego obowiązkowo muszą bowiem być zgłaszane incydenty (naruszenia ochrony danych osobowych). Można jednak odnieść wrażenie, że UODO podejmuje dalej idące działania (np. kontrole) tylko przy poważnych naruszeniach ochrony danych (incydentach). Urząd reaguje zwłaszcza wtedy, gdy konkretnym incydentem zaczynają się interesować media (jak to miało miejsce np. przy wyciekach danych kandydatów na studia z powodu kradzieży komputera pracownika uczelni). Poważnie wzrosła jednak liczba skarg na przetwarzanie danych, jakie są składane do Urzędu. Rozpatrywanie tych skarg w formalnym trybie postępowania administracyjnego sprawia, że trwa to stosunkowo długo. Najczęściej ogranicza się do wymiany listownej korespondencji pomiędzy Urzędem a podmiotem, na który została złożona skarga. Pomimo jednak, że wzrosła liczba skarg na przedsiębiorców składanych przez ich klientów, to nie zauważyliśmy poważnego wzrostu liczby żądań dotyczących przetwarzania danych osobowych, jakie klienci kierowaliby wobec samych firm. Rzecz jasna, od 25 maja 2018 r. zaczęły wpływać do firm wnioski dotyczące np. usunięcia danych (realizacji prawa do bycia zapomnianym), zaprzestania działań marketingowych albo żądania dostępu do danych, czyli uzyskania potwierdzenia, że firma przetwarza dane wnioskującego i jeśli tak – jakie dokładnie są to dane. Co jednak warto podkreślić, z naszych obserwacji wynika, że w sektorze MŚP nie doszło do poważnego wzrostu takich żądań. Jakie wnioski można wyciągnąć z ww. informacji? Po pierwsze, Urząd Ochrony Danych Osobowych nie okazał się instytucją o takim potencjale kontrolowania i egzekwowania przepisów jak np. administracja skarbowa czy Zakład Ubezpieczeń Społecznych. Trzeba bowiem pamiętać, że UODO nie ma żadnej struktury terytorialnej, a tylko jeden centralny urząd w Warszawie. Prawdopodobieństwo, że firma z sektora MŚP zostanie objęta kontrolą planową jest zatem bardzo niskie. Po drugie, firmy, zwłaszcza z sektora MŚP, powinny skupić się przede wszystkim na rzeczywistym bezpieczeństwie danych, m.in. zapewnieniu ich poufności. Regularnie szkolić pracowników w zakresie reguł bezpieczeństwa danych w codziennej pracy (np. w formie e-learningowej). Zadbać również o odpowiedni poziom zabezpieczeń informatycznych. Najwyższa kara nie została nałożona za brak dokumentów, ale właśnie za brak odpowiednich zabezpieczeń. Należy zapobiegać naruszeniom ochrony danych, czyli incydentom. To one bowiem mogą przede wszystkim zwrócić uwagę Urzędu i spowodować wszczęcie kontroli. Zwłaszcza, jeśli informacja o incydencie trafi również do mediów. Po trzecie, firmy powinny zadbać o przejrzystą komunikację z klientami, czyli czytelne i zrozumiałe klauzule informacyjne (a nie szablonowe i generyczne informacje). Ponadto, trzeba zadbać o rzetelne realizowanie praw klientów, które wynikają z RODO. Niezadowolenie ze strony klientów może przekładać się na dużą liczbę skarg, jakie mogą być składane do Urzędu. Wysoka liczba takich skarg również może być przyczyną zainteresowania ze strony UODO. Po czwarte, trzeba być gotowym na współpracę z UODO i rzetelnie odpowiadać na ewentualne zapytania wywołane skargami. UODO w zdecydowanej większości znanych nam przypadków ogranicza się do wymiany pisemnej korespondencji. Jednak wśród kar pieniężnych, które jak dotąd Urząd nałożył, pojawiły się kary m.in. za brak współpracy i utrudnianie postępowania poprzez nieodpowiadanie na pisma z Urzędu. Jak wykorzystać RODO na swoją korzyść? Przez...