Organizacje na całym świecie będą przyglądać się tym, którzy pierwsi padną ofiarą nowych przepisów i zastanawiać się, jak mogą uniknąć podobnych pomyłek i kar. Nowe prawo nie musi to jednak oznaczać nadejścia najgorszego. Jak możemy uchronić się przed konsekwencjami? Dzięki działaniom zmierzających do osiągnięcia zgodności z RODO, których nie będziemy odkładać na ostatnią chwilę. Należy traktować je z tą samą atencją, jak każdą inną strategiczną decyzję biznesową, taką jak ekspansja albo inicjatywy podejmowane w ramach transformacji cyfrowej.

Aby to osiągnąć (i nie dać się przyłapać regulatorom), firmy muszą zabezpieczyć swoje procesy zgodnie z podejściem „privacy by design” (uwzględnianie prywatności danych w fazie projektowania). Można to zrobić na kilka sposobów. Wszystkie mają jeden cel: żeby firma nie znalazła się pod lupą regulatorów.

Zadbaj o transparentność i bezpieczeństwo

Kilka głośnych włamań w ciągu ostatnich lat sprawiło, że ludzie są znacznie bardziej świadomi i znacznie bardziej niepokoją się o bezpieczeństwo swoich danych niż kiedykolwiek przedtem. Na mocy RODO zgoda na gromadzenie danych będzie miała charakter aktywny – użytkownicy będą musieli jawnie na to zezwolić.

Podobnie użytkownicy zyskają szereg praw związanych z ich danymi osobowymi. Będą mogli ograniczyć używanie, gromadzenie oraz ujawnianie swoich danych osobowych. Administratorzy danych będą musieli spełnić te wymagania – nie tylko z przyczyn prawnych, lecz także z powodu dbałości o obsługę klienta i reputację marki.

Czytaj także: RODO puka do drzwi. Akredytowany kurs inspektora ochrony danych (IOD). Recenzja oraz sprawdź zapisy na najbliższe akredytowane kursy IOD >>

Trzeba dysponować procesami i zasobami, które będą mogły wspierać tę ważną zmianę – klarowność i przejrzystość intencji to kluczowa sprawa. Trzeba nieustannie monitorować bezpieczeństwo i dostępność danych, a także ich prywatność.

Kompleksowe bezpieczeństwo

Jedną z pierwszych rad, jakie zaoferuje inspektor ochrony danych albo ekspert od RODO, będzie poświęcenie czasu i energii na stworzenie kompleksowej mapy danych. Powinna ona wyraźnie pokazywać, gdzie i w jaki sposób dane wchodzą do organizacji oraz jakie rozwiązania infrastrukturalne i pamięciowe wspierają ich istnienie.

Każda firma powinna była już to zrobić. Następnym krokiem jest zatem przyjęcie aktywnego, a nie pasywnego podejścia do zarządzania danymi, ich dostępności i bezpieczeństwa.

Jak to będzie wyglądać w praktyce, to już zależy od konkretnej firmy. Ale bez względu na rozmiar i strukturę, każda organizacja będzie musiała przyjść plan monitorowania i ochrony, który obejmuje strategie dostępności i backupu na wypadek naruszenia ochrony danych. Plany te muszą być wystarczająco elastyczne, aby uwzględnić nieustannie zmieniający się krajobraz danych. Będą też wymagały zaangażowania ze strony każdej jednostki organizacyjnej – nie tylko działu IT.

Nowa era RODO

Koszt niezgodności jest wysoki. Przypomnijmy raz jeszcze, że poważne naruszenie przepisów może skutkować grzywną w wysokości nawet 20 milionów euro lub 4% rocznego obrotu – w zależności od tego, która kwota jest wyższa. Pozostaje jednak pytanie: na kogo i na co będą patrzeć regulatorzy? Czy będą pobłażliwi, czy będą chcieli uczynić przykład z pierwszych, którym powinie się noga?

Czas pokaże. Możemy jednak pospekulować, jakiego typu organizacje mogą pójść na pierwszy ogień. Zapewne nie będzie to sektor publiczny, ponieważ grzywny mogłyby doprowadzić do bankructwa wielu kluczowych instytucji. Jednak inne sektory mogą mieć mniej szczęścia. Aby się zabezpieczyć, wszystkie organizacje muszą traktować RODO jako codzienny i stały obowiązek, a nie jednorazowe wydarzenie.

Autor: Andrzej Niziołek, starszy menedżer regionalny Veeam Software w północnej i południowej części Europy Wschodniej