Dzięki Ogólnemu Rozporządzeniu o Ochronie Danych Osobowych, w skrócie RODO, obywatele UE zyskają dużo większą kontrolę nad tym, jakie informacje na ich temat są zbierane, przez kogo i w jaki sposób są przetwarzane. Dla firm i instytucji oznacza to jednak nowe obowiązki oraz konieczność aktualizacji dotychczasowych procedur. 

Pierwszym krokiem powinien być przegląd sytuacji obecnej, czyli tego jak nasza firma zbiera dane, do czego ich używa oraz kto ma do nich dostęp. Następnie konieczne jest sprawdzenie zgodności tych procesów z nowymi przepisami.

Pierwszą istotną nowością w przepisach RODO jest obowiązek przetwarzania danych pozyskanych do celów marketingowych w oparciu o tzw. zasadę rozliczalności. W praktyce oznacza to, że firma musi udowodnić, że wszystko co robi z danymi osobowymi jest zgodne z RODO, np. dokumentować skąd pochodzą dane, jak wyrażono zgodę na ich przetwarzanie oraz komu są udostępniane. Co się z tym wiąże, najprawdopodobniej konieczna będzie kosztowna operacja przesłania klientom listownych informacji o nowym zakresie przetwarzania danych osobowych. To tzw. obowiązek informacyjny, który w przypadku RODO jest szerszy niż ten określony w obecnie obowiązującej ustawie.

Aktualizacja powinna także objąć klauzule w formularzach do zbierania danych dla celów marketingowych. Koniec z małym, nieczytelnym drukiem, trudnym technicznym albo prawniczym językiem. Komunikaty powinny być zwięzłe i zrozumiałe dla odbiorców, dotyczy to także dzieci, gdy to ich dane są zbierane. Ponadto dostawcy usług elektronicznych dla dzieci będą musieli pozyskać zgodę na przetwarzanie danych od opiekuna prawnego osoby poniżej 13 roku życia. Niezbędne będzie więc zarówno weryfikowanie wieku dziecka, jak i tego czy opiekun prawny rzeczywiście wyraził zgodę na przetwarzanie danych.

Duże wyzwanie stoi przed firmami, które świadczą darmowe usługi w zamian za zgodę na przetwarzanie danych osobowych w celach marketingowych, jak np. dostawcy darmowych skrzynek e-mail. Ocenie zacznie bowiem podlegać czy przetwarzanie danych rzeczywiście jest niezbędne do świadczenia usługi.

Ograniczeniu ulegną także możliwości zautomatyzowanego profilowania klientów. Będzie ono dopuszczalne tylko, gdy jest niezbędne do zawarcia lub wykonania umowy, pozwala na to przepis prawa lub osoba wyraziła na to wyraźną zgodę. Administrator danych osobowych będzie musiał dodatkowo poinformować osobę, której dane są przetwarzane o fakcie profilowania oraz konsekwencjach, czyli np. że informacja o zdolności kredytowej oparta będzie o scoringi przyznawane w poszczególnych kategoriach (zarobki, stan rodziny, itp.), a cały proces będzie miał charakter automatyczny – zdecyduje system a nie człowiek.

Spodziewam się, że w przyszłym roku wielu konsumentów zażąda od firm usunięcia swoich danych osobowych oraz wykorzysta zmiany przepisów do zerwania umów. Firmy czeka więc wiele pracy nie tylko nad procedurami wewnętrznymi, ale także umiejętną komunikacją z klientami. Czasu na to wszystko pozostało niewiele.