RODO w firmie – fakty i mity

Wprowadzenie przepisów o RODO sprawiło, że na wiele firm padł blady strach przed wielkimi karami, które przewidziane są za niestosowanie nowych przepisów. Czy ma to coś wspólnego z rzeczywistością? W tym tekście rozprawiamy się z mitami na temat RODO. 1. Zgoda na przetwarzanie danych osobowych Powyższe zdanie jest tylko częściowo prawdziwe, ponieważ RODO wprowadza tylko kilka przepisów, które pozwalają na przetwarzanie danych osobowych. Przepisy stanowią bowiem, że na pozyskiwanie danych nie potrzebna jest zgoda, ale najlepiej widać to na przykładzie. Prowadząc rekrutacje firma nie musi pytać się o zgodę na przetwarzanie CV, a także sprzedając produkty przez Internet. Jednakże musimy uzyskać zgodę na przechowywanie CV i danych oraz w szczególności na wysyłanie na ich podstawie treści marketingowych. 2. RODO, a certyfikat ISO/IEC 27001 Certyfkat ISO/IEC 27001 z pewnością może pomóc w przyswojeniu przepisów o RODO, ale w większości skupia się on na zupełnie innych obszarach działalności firmy. RODO i ISO nie są terminami zamiennymi więc nie można stosować ISO i założyć, że to już wystarczy. Wymagają one innych narzędzi i innych działań. Przy czym trzeba tutaj pamiętać, że prawo zawsze stoi ponad przepisami wewnętrznymi danej firmy. 3. RODO to surowy kary Same przepisy RODO dają możliwość nałożenia kary za niestosowanie się do nich, ale w RODO nie chodzi o karanie tylko przeciwdziałanie konkretnym nadużyciom. W rzeczywistości kary za niestosowanie przepisów RODO nie są częstsze niż na przykład te przewidziane przez Ustawę o Ochronie Danych Osobowych. Rzecz jasna RODO przewiduje niskie kary oraz te wysokie sięgające nawet 20 mln euro lub 4 proc. obrotów firmy, ale dotyczą one wielkich korporacji, które miewają luki w swoich systemach ochrony danych osobowych i nie spieszą się z ich załataniem. 4. Konieczne jest powołanie Inspektora Danych Osobowych To na szczęście dla wielu małych i średnich przedsiębiorców nie jest konieczne. Jeśli jednak ktoś prowadzi firmę, która zbiera i przetwarza dane klientów, to może zastanowić się nad zatrudnieniem osoby na takie stanowisko, ponieważ pomoże mu ona w przyszłości uniknąć ewentualnych problemów. Nadal jednak zatrudnienie takiej osoby nie wymagane przez jakikolwiek przepis. 5. RODO, a dane firmowe W Polsce dane firmowe są dostępne publiczne i można je sprawdzić w KRS. Jeśli ktoś posiada na przykład jednoosobową działalność gospodarczą, to wymóg jest taki, aby w nazwie firmy było jego imię i nazwisko. Jednak pracodawca zatrudniający kogoś na podstawie umowy B2B musi tak samo chronić te dane jak każde inne. Więc RODO częściowo chroni dane firmowe, ale każdy może je sprawdzić choćby w KRS. 6. RODO jest tylko w Europie Przepisy o RODO obejmują cały obszar Unii Europejskiej, a także poza nią. Duże międzynarodowe korporacje posiadające w obszarze swojego działania kraje UE także muszą stosować przepisy RODO. Nic więc nie da wynajęcie serwerów na końcu świata. 7. Kara za każdy wyciek danych Wyciek danych nie stanowi podstawy do nałożenia kary finansowej. Będzie on za to przesłanką do wszczęcia postępowania, które ma na celu sprawdzenie w jakich dokładnie okolicznościach doszło do wycieku. Jeśli administrator danych świadomie dopuścił do wycieku lub doszło do niego w wyniku jego zaniedbania, to wtedy jest podstawa do nałożenia kary.