W myśl obowiązującej wciąż ustawy firmy bazują na kulturze szablonów i wzorców wypracowanych w okresie ostatnich kilkunastu lat. Bardzo często nie są to jednak działania podejmowane w odniesieniu do faktycznego, czy możliwego, realnego ryzyka oszacowanego przez przedsiębiorcę. RODO zacznie obowiązywać od maja 2018 roku. Rozporządzenie zwiększa odpowiedzialność podmiotów gospodarczych za działania prowadzone w ramach „obrotu” danymi osobowymi. W przeciwieństwie do dotychczas obowiązujących przepisów, rozporządzenie nie daje gotowej recepty, jak chronić dane oraz nie sugeruje rozwiązań technologicznych. Biznes ma nowy obowiązek – wpisać ochronę danych osobowych w procesy funkcjonujące w firmach.

Każda firma inaczej obchodzi się z tymi danymi, więc indywidualnie musi oszacować czy zachowuje bezpieczeństwo zgodne z rozporządzeniem. Zastosowane przez przedsiębiorców środki techniczne i organizacyjne będą różne w zależności od rodzaju przetwarzanych danych (np. danych o stanie zdrowia, danych biometrycznych), jak i od branży oraz modelu, w jakim działa firma. Odmienne rozwiązania przyjmą instytucje finansowe, inne sklepy internetowe, przychodnie czy sklepy. W praktyce, małe firmy, których głównym obszarem działania nie jest przetwarzanie danych osobowych, mogą mieć dokumentację w bardzo uproszczonej formie. W małej firmie, dla której praca z danymi osobowymi nie jest istotną częścią działalności, wystarczy w pierwszej kolejności rzetelnie opisać drogę, jaką „przebywają” dane osobowe w organizacji. Następnie należy zidentyfikować furtki, którymi dane mogą biznesowi uciec spod opieki, w tym działanie czynnika ludzkiego. Spisanie zasad komunikowania z właścicielami danych to ostatni krok w uproszczonej procedurze analizy ryzyka.

Czytaj także: RODO puka do drzwi. Akredytowany kurs inspektora ochrony danych (IOD). Recenzja oraz sprawdź zapisy na najbliższe akredytowane kursy IOD >>

Warto pamiętać, że RODO daje obywatelom unijnym władzę nadzoru nad danymi – prawo do zapomnienia, prawo do domagania się dowodów na uprzednie wyrażenie zgody, itp. W najmniejszych firmach podstawową formą zabezpieczenia danych będzie np.: posiadanie legalnego, aktualnego oprogramowania – systemów operacyjnych, programów antywirusowych, czy programów wspierających prowadzenie biznesu. Warto jednak pamiętać, że żadne oprogramowanie nie stanowi bariery całkowicie zabezpieczającej firmę przed ryzykiem. Kluczowym ogniwem w systemie bezpieczeństwa jest człowiek.

Autor: Tomasz Mamys, ekspert Sage w zakresie RODO