O co chodzi  w  RODO?

Rozporządzenie o Ochronie Danych Osobowych, w skrócie RODO,  w przeciwieństwie do dotychczas obowiązującej w Polsce Ustawy o Ochronie Danych Osobowych, opisuje tylko cele jakie  trzeba osiągnąć, a nie mówi w jaki sposób. Zastosowane rozwiązania mają być adekwatne do poziomu ryzyka jakie występuje w danym podmiocie w związku z przetwarzaniem danych.

Takie podejście ma niewątpliwie kilka zalet. Nie wymusza wdrażania identycznych rozwiązań dla wszystkich podmiotów (niezależnie czy jest to mała przychodnia/apteka czy to wielki, międzynarodowy koncern). Nie narzucając konkretnych rozwiązań nie ma również obawy, że szybko się one zestarzeją i nie będą nadążać za zmianami rynkowymi i technicznymi tak jak to miało miejsce w przypadku dotychczasowej ustawy.

Jest również jedna, zasadnicza wada. Nie odpowiada jednoznacznie na pytanie: Kiedy i jakie rozwiązania należy uznać za wystarczające? RODO w odpowiedzi zachęca do tworzenia kodeksów branżowych, zestawów dobrych praktyk, które będzie można certyfikować w odpowiednich urzędach i które mają wskazywać organizacjom  jakie rozwiązania stosować. Powstało sporo tego typu inicjatyw w Polsce, między innymi opracowująca kodeks dla branży medycznej, ale jeszcze gotowych kodeksów  nie ma.

Czy w przychodni lub aptece muszę wdrażać RODO?

RODO dotyczy wszystkich podmiotów (publicznych, prywatnych, firm i organizacji), w których przetwarzane są jakiekolwiek dane osobowe, czyli w praktyce wszystkich. W szczególności dotyczy to podmiotów przetwarzających dane wrażliwe jakimi są dane medyczne. Warto wspomnieć, że samo gromadzenie danych jest już przetwarzaniem w myśl przepisów RODO.

Podsumowując, każdy podmiot musi dostosować się do RODO, a apteka, przychodnia, szpital i laboratorium w szczególności.

Kary w RODO?

O karach akurat najwięcej słychać w mediach i wysokość ich jest już wręcz przysłowiowa. Maksymalne kary to 20 mln euro lub 4% rocznego przychodu. Warto jednak wiedzieć , że potencjalne kary będą proporcjonalne do przewinienia i w uproszczeniu można powiedzieć, że będą zależały od dwóch głównych czynników:

1. Jak duże straty spowoduje wyciek danych – ilość i wrażliwość tych danych;
2. Jakie środki zapobiegawcze wcześniej zastosowaliśmy – istotne będzie tylko to co będziemy w stanie udowodnić – zasada rozliczalności.

Konkludując więc, im lepszym przygotowaniem do RODO będziemy w stanie się wykazać tym potencjalnie mniejsza kara nam grozi.

 Jak sensownie wdrożyć RODO?

Z jednej strony mamy przepisy, które mówią, że mamy odpowiednio chronić dane osobowe, bo jak nie to grożą wysokie kary, z drugiej strony nie mówią co to znaczy odpowiednio. Nasuwa się wiec pytanie jak żyć? 

Na początek warto uświadomić sobie, że dostosowanie się do RODO to nie jest działanie jednorazowe. To jest proces ciągły polegający na ciągłym monitorowaniu procesów przetwarzania danych osobowych, aktualizowaniu dokumentacji, procedur oraz infrastruktury technicznej adekwatnie do zmian w otoczeniu. To śledzenie zmian w wytycznych ogłaszanych przez stosowne urzędy oraz ogłaszanych w kodeksach branżowych.

RODO mówi, że zastosowane środki mają być adekwatne do poziomu ryzyka jakie jest w danym podmiocie. Wdrożenie należy więc rozpocząć od audytu i wykonania analizy ryzyka. Dopiero na podstawie takiego dokumentu można sensownie i ze zdrowym rozsądkiem zaplanować dalsze działania polegające na opracowaniu stosownej dokumentacji, wprowadzeniu zmian organizacyjnych i technicznych, przeszkoleniu odpowiednich osób, które dane przetwarzają oraz powołaniu, jeżeli będzie taka konieczność lub potrzeba, Inspektora Ochrony Danych, który będzie na bieżąco monitorował procesy przetwarzania danych.

Zobacz, jak wdrażamy RODO u naszych klientów.  Kliknij w link.