Raport specjalny Horyzonty Bankowości 2018: Dostawcy IT a wymogi RODO

Bohdan Szafrański

Problem w tym, że nie wszystko jeszcze wiadomo, zwłaszcza jeśli chodzi o konkretne rozstrzygnięcia dotyczące polskiej implementacji przepisów. Banki np. z jednej strony mają przechowywać informacje o swoich klientach, a z drugiej – klienci nabywają prawa do zapomnienia. Wokół RODO, nazywanego także GDPR, powstał cały rynek usług szkoleniowych i doradczych. Tym prężniej się rozwijających, im bliżej do 25 maja 2018 r., kiedy to nowe regulacje zaczną obowiązywać.

Rozporządzenie będzie dotyczyć wszystkich, którzy przetwarzają dane osobowe w związku z prowadzoną działalnością gospodarczą. Dodatkowym straszakiem jest maksymalny poziom kar za naruszenia przepisów w wysokości 20 mln euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorcy z roku obrotowego poprzedzającego naruszenie. Nowe przepisy to duże wyzwanie dla firm. PwC wymienia 10 najważniejszych zmian, takich jak: bezpośrednia odpowiedzialność przetwarzającego dane, zgłaszanie naruszeń, nowe i rozszerzone prawa obywateli np. do bycia „zapomnianym”, ograniczenia profilowania, wyznaczenie inspektora ochrony danych osobowych, obowiązkowa inwentaryzacja danych i wymagania związane z dokumentacją, zgody, rozbudowanie obowiązku informacyjnego, ocena wpływu ochrony danych i transfer danych poza Unię Europejską.

W lutym Ministerstwo Cyfryzacji opublikowało nową wersję projektu ustawy o ochronie danych osobowych, w którym zaproponowano wyłączenie czterech przepisów RODO dla małych i średnich przedsiębiorstw. Zawarto w nim m.in. zapisy, dzięki którym firmy zatrudniających nie więcej niż 250 osób i niegromadzące wrażliwych danych osobowych oraz nieudostępniające ich innym podmiotom na podstawie innej niż zgoda osoby, której dotyczą, nie musiałyby podawać niektórych informacji. Choćby o tym, jak długo będą przetwarzać dane, o prawie żądania dostępu do tych danych, ich sprostowania lub usunięcia. Zapisy te budzą wiele kontrowersji. Rząd planuje przekazanie projektu ustawy do parlamentu w kwietniu.

Klienci jeszcze nie gotowi?

W czerwcu 2017 r. Spiceworks przeprowadziła ankietę, która objęła 779 respondentów ze Stanów Zjednoczonych, Wielkiej Brytanii i z pozostałych krajów Unii Europejskiej. Jak podaje Peter Tsai, procent specjalistów IT częściowo lub dobrze poinformowanych o wpływie nowych przepisów na funkcjonowanie biznesowe firmy wynosił – w USA 9%, w Wielkiej Brytanii 43%, a w pozostałych krajach UE 36%. Przy czym, na niecały rok do wprowadzenia przepisów, tylko 2% specjalistów IT w USA, 5% w Wielkiej Brytanii i 2% w pozostałej części UE było przekonanych, że ich organizacje są w pełni przygotowane do RODO. Jednak 40% specjalistów IT w Wielkiej Brytanii zaczęło się już przygotowywać do zgodności z rozporządzeniem, w pozostałych krajach Wspólnoty – 28% i tylko 5% w USA. Jak wynika z tego badania, około 15% specjalistów IT w Wielkiej Brytanii i pozostałej części UE oraz 21% informatyków w USA zadeklarowało, że ich organizacje nie mają planów przygotowania się do implementacji przepisów ...