Pierwsze miesiące obowiązywania RODO – i co dalej?

Rosnąca świadomość nowych regulacji w zakresie ochrony danych osobowych i praw przysługujących podmiotom danych jest wyraźna. Wskazuje na to chociażby ilość skarg, jakie wpływają do Prezesa Urzędu Ochrony Danych Osobowych (nowy organ nadzorczy w miejsce GIODO). Jak wynika z informacji Prezesa UODO, w pierwszych trzech miesiącach obowiązywania ogólnego rozporządzenia o ochronie danych osobowych (RODO) do Urzędu wpłynęło około 2400 indywidualnych skarg obywateli dotyczących przetwarzania ich danych osobowych. Dla porównania, w całym 2017 roku do urzędującego GIODO wpłynęło łącznie 2950 skarg.

Działania kontrolne

Poza planowanymi kontrolami sektorowymi, Prezes UODO prowadzi również kontrole doraźne, podejmowane na podstawie uzyskanych informacji, których źródłem mogą być wspomniane powyżej skargi. Jeżeli na podstawie informacji zgromadzonych w toku kontroli Prezes UODO stwierdzi, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, ma wówczas obowiązek wszcząć postępowanie administracyjne w sprawie naruszenia przepisów o ochronie danych osobowych, które może zakończyć się decyzją w sprawie nałożenia kary pieniężnej.

Pomimo tego, że Prezes UODO zapewnia, iż wprowadzone przez RODO kary finansowe za naruszenie danych osobowych (mogące sięgać 20 mln euro lub 4 % rocznego obrotu), są jedynie jednym z narzędzi, jakie może wykorzystać względem przedsiębiorców, to jednak ryzyko kary finansowej należy traktować realnie. Prezes UODO Edyta Bielak-Jomaa podkreśla, że do kar podchodzi odpowiedzialnie, jeżeli jednak okaże się to konieczne, nie będzie się wahała je zastosować.

Zasady kontroli

Zasady prowadzenia kontroli przetwarzania danych osobowych reguluje szczegółowo ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. W każdym przypadku, przed przystąpieniem do czynności kontrolnych osoba kontrolująca ma obowiązek okazania legitymacji służbowej oraz imiennego upoważnienia do przeprowadzenia kontroli, które powinno określać w szczególności podstawę prawną prowadzonej kontroli, określenie zakresu przedmiotowego kontroli oraz przewidywany termin zakończenia czynności kontrolnych. Warto również pamiętać, że łączny czas trwania kontroli nie powinien przekraczać 30 dni, a w trakcie czynności kontrolnych kontrolowany ma prawo występować z profesjonalnym pełnomocnikiem – radcą prawnym lub adwokatem.

Zgłoszenie IOD

Warto również zwrócić uwagę, że z początkiem września upłynął termin na zgłoszenie do Prezesa UODO informacji, iż dotychczasowy Administrator Bezpieczeństwa Informacji (ABI) będzie pełnił funkcję Inspektora Ochrony Danych Osobowych (IOD). Przypomnijmy, że zgodnie z przepisami przejściowymi ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, osoby, które przed dniem 25 maja 2018 r. pełniły funkcję ABI, z tym dniem stały się z mocy prawa IOD, pełniąc jednak tę funkcję wyłącznie do dnia 1 września 2018 r. Aby dotychczasowy ABI był inspektorem ochrony osobowych danych także po dniu 1 września, najpóźniej do tego dnia należało zawiadomić o tym Prezesa UODO. Jeżeli administrator tego nie uczynił, a zgodnie z przepisami RODO ma obwiązek wyznaczenia IOD, powinien wyznaczyć osobę na stanowisko IOD oraz w terminie dwóch tygodni zawiadomić o tym Prezesa UODO.