GDPR: Rewolucja w ochronie danych osobowych – co musisz wiedzieć?
Adres IP i pliki cookie uznane za dane osobowe, obowiązek oceny skutków dla ochrony danych, wysokie kary za naruszenia, ABI w każdej gminie – to tylko niektóre zmiany, jakie wprowadza General Data Protection Regulation (GDPR). Nowe rozporządzenie ujednolica przepisy o ochronie danych osobowych na terenie Unii Europejskiej, z wyjątkiem Wielkiej Brytanii. Co to oznacza dla firm i jak się do tego przygotować?
Autor: Redakcja CXO.pl
Data publikacji: 16 marca 2016
GDPR – ewolucja, nie rewolucja
Prace nad reformą ochrony danych osobowych w Unii Europejskiej trwają od 2012 roku. W grudniu 2015 roku projekt GDPR został skierowany do dalszych prac legislacyjnych, które mają zakończyć się w pierwszej połowie 2016 roku. Nowe przepisy wejdą w życie w 2018 roku. Zastąpią one dotychczasową dyrektywę i będą miały formę rozporządzenia, co oznacza, że będą bezpośrednio obowiązywać we wszystkich państwach członkowskich. Mimo to, polski ustawodawca będzie musiał dostosować krajowe przepisy do nowych regulacji.
Adres IP i cookie to dane osobowe
Definicja danych osobowych w GDPR nie różni się znacząco od tej, którą znamy z polskiej ustawy. Nowością jest jednak wyraźne wskazanie, że identyfikator sieciowy (online identifier) może służyć do identyfikacji osoby, a tym samym adres IP oraz identyfikatory w plikach cookie będą traktowane jako dane osobowe. To zmiana, która nie powinna dziwić, bo była szeroko dyskutowana w branży. Wprowadzenie GDPR może stać się impulsem do zmian w protokołach internetowych, włączając w nie dane osobowe użytkownika.
Dane wrażliwe – łatwiejszy dostęp, ale większa odpowiedzialność
GDPR wprowadza zmiany w zakresie przetwarzania danych wrażliwych. Dotychczasowa ustawa wymagała pisemnej zgody na ich przetwarzanie. Według GDPR wystarczy zgoda wyrażona w jakikolwiek wyraźny sposób. Dodatkowo, zakres danych wrażliwych rozszerzono o dane biometryczne. Organy publiczne nie będą musiały wykazywać prawnie usprawiedliwionego interesu w przetwarzaniu danych – wystarczy, że wynika to z ich zadań i obowiązków.
Administrator Bezpieczeństwa Informacji (ABI) – nowa rola w firmie
GDPR wprowadza obowiązek powołania Inspektora Ochrony Danych (Data Protection Officer), odpowiednika polskiego ABI, w określonych jednostkach. Będą to:
- podmioty publiczne (z wyjątkiem sądów),
- jednostki, których główna działalność polega na regularnym i automatycznym przetwarzaniu danych osobowych na dużą skalę,
- jednostki, których główna działalność polega na przetwarzaniu danych wrażliwych oraz danych dotyczących przestępstw i skazań.
Każdy urząd gminy, powiatu czy urząd skarbowy będzie musiał zatrudnić ABI. To istotna zmiana, która zwiększy nadzór nad przetwarzaniem danych w sektorze publicznym.
Nowe obowiązki informacyjne i surowe kary
GDPR nakłada na administratorów danych nowe obowiązki informacyjne. Konieczne będzie podanie danych kontaktowych Inspektora Ochrony Danych, podstawy prawnej i faktycznej przetwarzania danych oraz okresu ich przechowywania. W przypadku naruszenia ochrony danych (personal data breach), administrator będzie musiał zgłosić to do organu nadzorczego (w Polsce GIODO) w ciągu 72 godzin. Wprowadzono też obowiązek przeprowadzenia oceny skutków dla ochrony danych (data protection impact assessment) i wcześniejszych konsultacji z organem nadzorczym, jeśli przetwarzanie danych może powodować wysokie ryzyko dla praw i wolności osób.
Najbardziej kontrowersyjną zmianą są wysokie kary administracyjne za naruszenia. Za lżejsze przewinienia grozi kara do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu, a za cięższe – do 20 mln EUR lub 4% obrotu. Kary będą nakładane administracyjnie, bez konieczności badania winy.
Podsumowanie: GDPR – wyzwanie, ale i szansa
GDPR to ewolucja dotychczasowych przepisów, która kładzie duży nacisk na bezpieczeństwo danych osobowych. Ujednolicenie regulacji w UE to szansa dla dużych firm na optymalizację procesów i oszczędności. Nowe obowiązki i surowe kary wymuszą jednak na wszystkich podmiotach, niezależnie od ich wielkości, ostrożne podejście do ochrony danych. GDPR to wyzwanie, ale i szansa na budowanie zaufania i wzmocnienie ochrony prywatności w cyfrowym świecie.