RODO weszło w życie. Na co będą teraz zwracać uwagę regulatorzy?

W styczniu 2018 r. brytyjski organ nadzoru w zakresie ochrony danych osobowych  Information Commissioner’s Office (ICO) wymierzył grzywny w wysokości 1,7 miliona funtów, co oznacza wzrost aż o 312 proc. w porównaniu z miesięczną średnią w 2017 r. Pokazuje to, że regulatorzy ostrzyli pazury przed wejściem w życie RODO, a ochrona danych przyciągnie znacznie większą uwagę mediów, rządów i opinii publicznej.

Wszystko to jest szczególnie istotne, jeśli rozważyć, jak pierwsze przypadki niezgodności z RODO wpłyną na dalszy przebieg wydarzeń. Organizacje na całym świecie będą przyglądać się tym, którzy pierwsi padną ofiarą nowych przepisów, i zastanawiać się, jak mogą uniknąć podobnych pomyłek i kar. Możemy więc oczekiwać dalszego napływu artykułów na temat RODO.

Nowe prawo nie musi to jednak oznaczać nadejścia najgorszego. W firmie Veeam panuje przekonanie, że nowe rozporządzenie należy traktować jako punkt wyjścia do bardziej kompleksowego zarządzania danymi osobowymi we współczesnym świecie. Dlatego właśnie działań zmierzających do osiągnięcia zgodności z RODO nie należy odkładać na ostatnią chwilę. Należy traktować je z tą samą atencją, jak każdą inną strategiczną decyzję biznesową, taką jak ekspansja albo inicjatywy podejmowane w ramach transformacji cyfrowej.

Aby to osiągnąć (i nie dać się przyłapać regulatorom), firmy muszą zabezpieczyć swoje procesy zgodnie z podejściem „privacy by design” (uwzględnianie prywatności danych w fazie projektowania). Można to zrobić na kilka sposobów. Wszystkie mają jeden cel: żeby firma nie znalazła się pod lupą regulatorów.

Zadbaj o transparentność i bezpieczeństwo

Kilka głośnych włamań w ciągu ostatnich lat sprawiło, że ludzie są znacznie bardziej świadomi i znacznie bardziej niepokoją się o bezpieczeństwo swoich danych niż kiedykolwiek przedtem. Na mocy RODO zgoda na gromadzenie danych będzie miała charakter aktywny – użytkownicy będą musieli jawnie na to zezwolić.

Podobnie użytkownicy zyskają szereg praw związanych z ich danymi osobowymi. Będą mogli ograniczyć używanie, gromadzenie oraz ujawnianie swoich danych osobowych. Administratorzy danych będą musieli spełnić te wymagania – nie tylko z przyczyn prawnych, lecz także z powodu dbałości o obsługę klienta i reputację marki.

Trzeba dysponować procesami i zasobami, które będą mogły wspierać tę ważną zmianę – klarowność i przejrzystość intencji to kluczowa sprawa. Należy jednak również zrównoważyć prywatność i bezpieczeństwo. Niedawny arykuł w magazynie CSO omawia ryzyko traktowania RODO jako nadrzędnego względem standardów bezpieczeństwa. Trzeba nieustannie monitorować bezpieczeństwo i dostępność danych, a także ich prywatność. Istnieje bardzo duże prawdopodobieństwo, że pierwsza grzywna wymierzona na mocy RODO będzie wynikiem tego podejścia.

Kompleksowe bezpieczeństwo

Jedną z pierwszych rad, jakie zaoferuje inspektor ochrony danych albo ekspert od RODO, będzie poświęcenie czasu i energii na stworzenie kompleksowej mapy danych. Powinna ona wyraźnie pokazywać, gdzie i w jaki sposób dane wchodzą do organizacji oraz jakie rozwiązania infrastrukturalne i pamięciowe wspierają ich istnienie.

Każda firma powinna była już to zrobić. Następnym krokiem jest zatem przyjęcie aktywnego, a nie pasywnego podejścia do zarządzania danymi, ich dostępności i bezpieczeństwa. 

Jak to będzie wyglądać w praktyce, to już zależy od konkretnej firmy. Ale bez względu na rozmiar i strukturę, każda organizacja będzie musiała przyjść plan monitorowania i ochrony, który obejmuje strategie dostępności i backupu na wypadek naruszenia ochrony danych. Plany te muszą być wystarczająco elastyczne, aby uwzględnić nieustannie zmieniający się krajobraz danych. Będą też wymagały zaangażowania ze strony każdej jednostki organizacyjnej – nie tylko działu IT.

Nowa era RODO

Koszt niezgodności jest wysoki. Przypomnijmy raz jeszcze, że poważne naruszenie przepisów może skutkować grzywną w wysokości nawet 20 milionów euro lub 4 proc. rocznego obrotu – w zależności od tego, która kwota jest wyższa. Pozostaje jednak pytanie: na kogo i na co będą patrzeć regulatorzy? Czy będą pobłażliwi, czy będą chcieli uczynić przykład z pierwszych, którym powinie się noga?

Czas pokaże. Możemy jednak pospekulować, jakiego typu organizacje mogą pójść na pierwszy ogień. Zapewne nie będzie to sektor publiczny, ponieważ grzywny mogłyby doprowadzić do bankructwa wielu kluczowych instytucji. Jednak inne sektory mogą mieć mniej szczęścia. Aby się zabezpieczyć, wszystkie organizacje muszą traktować RODO jako codzienny i stały obwiązek, a nie jednorazowe wydarzenie.