Wicepremier i minister cyfryzacji Krzysztof Gawkowski zapowiada kontrole rodo w firmach, które dopuściły do wycieków danych, oraz publiczne wskazywanie przedsiębiorstw zaniedbujących cyberbezpieczeństwo. Rząd przyjął projekt ustawy wdrażającej unijny Data Act, a w przygotowaniu jest pakiet „Cyber Piątka”. Dla branży outsourcingowej, która na co dzień przetwarza dane w imieniu klientów, to sygnał, iż margines błędu się kurczy.
W kontekście bezpieczeństwa danych, kontrole rodo będą miały najważniejsze znaczenie dla ochrony prywatności użytkowników.
13 października rząd przyjął projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu, która wdraża unijny akt w sprawie danych (Data Act). Nowe przepisy dają użytkownikom urządzeń podłączonych do internetu, takich jak sprzęt smart home czy samochody, prawo dostępu do generowanych przez nie danych i możliwość przekazania ich innym firmom, np. serwisom naprawczym. Nadzór nad przestrzeganiem zasad obejmie Prezes UKE.
Drugim filarem ma być pakiet „Cyber Piątka”, skierowany głównie do podmiotów masowo przetwarzających wrażliwe dane. Przewiduje m.in. certyfikację firm przetwarzających dane medyczne, minimalne wymagania technologiczne oraz nowe obowiązki dla organizacji operujących na dużych zbiorach danych.
Kontrole już trwają
Jak zapowiada minister cyfryzacji w rozmowie z agencją Newseria, kontrole w firmach, w których doszło do wycieków, już się toczą. Jednym z największych tegorocznych incydentów był sierpniowy nieuprawniony dostęp do bazy danych systemu MyDr, z którego korzystają przychodnie i gabinety lekarskie.
Jeżeli potwierdzą się nasze przypuszczenia, iż nie było odpowiednich zabezpieczeń, kary już będą, zapowiada Krzysztof Gawkowski.
Za naruszenia RODO Prezes UODO może nałożyć karę do 20 mln euro lub do 4 proc. całkowitego rocznego światowego obrotu firmy. Resort cyfryzacji zapowiada też zmianę podejścia: w najbliższych miesiącach ma publicznie wskazywać firmy, które nie inwestują w cyberbezpieczeństwo. Według ministra odpowiedzialność za ten obszar muszą wziąć zarządy, rady nadzorcze i właściciele.
Co to oznacza dla outsourcingu
Przypadek MyDr pokazuje, iż wyciek u dostawcy systemu lub usługi uderza w setki jego klientów jednocześnie. Firmy świadczące usługi BPO, IT, obsługi klienta czy kadrowo-płacowe działają najczęściej jako podmioty przetwarzające dane na podstawie umów powierzenia. RODO przewiduje kary także dla nich, nie tylko dla administratorów danych.
Dla zlecających to argument za dokładniejszą weryfikacją partnerów: audytami bezpieczeństwa, sprawdzaniem certyfikacji i precyzyjnymi zapisami umownymi o odpowiedzialności. Dla dostawców to coraz częściej element przewagi konkurencyjnej. Zgodnie z Eurobarometrem dotyczącym cyberbezpieczeństwa w miejscu pracy 41 proc. Polaków zetknęło się w ostatnim półroczu w swojej organizacji z phishingiem, a 20 proc. z próbami kradzieży danych osobowych.
Według ministerstwa w ostatnich dwóch latach rząd przeznaczył 2,8 mld zł na cyberbezpieczeństwo i transformację cyfrową firm, jednak część przedsiębiorstw nie skorzystała z tych środków.
Źródło: Newseria, oprac. własne
FAQ – najczęstsze pytania
Kto przeprowadza kontrolę RODO?
Kontrolę przeprowadza upoważniony pracownik Urzędu Ochrony Danych Osobowych działający z ramienia Prezesa UODO, a w szczególnych przypadkach także członek lub pracownik organu nadzorczego innego państwa UE. Zasady i przebieg kontroli określają przepisy ustawy o ochronie danych osobowych (art. 78–91).
Kiedy UODO może przeprowadzić kontrolę w firmie?
Kontrola może być planowa – wynikająca z zatwierdzonego przez Prezesa UODO planu kontroli na dany rok, obejmującego wybrane sektory – albo doraźna, np. po skardze osoby, której dane dotyczą, lub po zgłoszonym naruszeniu ochrony danych, takim jak wyciek.
Czy UODO uprzedza o kontroli?
Tak. Według informacji UODO, zanim pojawi się kontroler, urząd zawiadamia o kontroli pisemnie i telefonicznie. jeżeli ktoś zjawia się bez wcześniejszej zapowiedzi, warto zachować ostrożność – UODO ostrzegało przed osobami podszywającymi się pod kontrolerów.
Jakie dokumenty musi okazać kontroler?
Kontroler przed rozpoczęciem czynności musi okazać legitymację służbową oraz imienne upoważnienie do przeprowadzenia kontroli. Upoważnienie powinno zawierać m.in. podstawę prawną, oznaczenie podmiotu kontrolowanego, zakres kontroli, datę rozpoczęcia i przewidywanego zakończenia oraz pouczenie o prawach i obowiązkach kontrolowanego.
Co sprawdzają kontrolerzy?
Kontrolerzy mogą wejść do pomieszczeń, przeglądać i kopiować dokumenty oraz nośniki, a także przesłuchiwać pracowników. Czynności realizowane są w obecności kontrolowanego lub osoby przez niego upoważnionej, np. inspektora ochrony danych. Najczęściej weryfikowane są m.in. podstawy przetwarzania danych, zasady powierzenia przetwarzania, upoważnienia pracowników, polityki i procedury ochrony danych oraz przeszkolenie personelu.
Jak długo trwa kontrola UODO?
Przewidywany termin zakończenia kontroli jest wskazany w upoważnieniu, które okazuje kontroler. Czas trwania zależy od zakresu kontroli i wielkości organizacji.
Co dzieje się po zakończeniu kontroli?
Kontrolujący sporządza protokół kontroli z ustaleniami. Przedsiębiorca ma 7 dni na podpisanie protokołu albo złożenie pisemnych zastrzeżeń. Kontrolujący może je uwzględnić i zmienić protokół, przeprowadzić dodatkowe czynności albo odmówić ich uwzględnienia.
Czy kontrola zawsze kończy się karą?
Nie. Sama kontrola służy ustaleniu stanu faktycznego. jeżeli wykaże naruszenia, Prezes UODO może wszcząć postępowanie administracyjne, w którym firma może składać wyjaśnienia i ma dostęp do akt. Dopiero decyzja kończąca to postępowanie może nałożyć karę – do 20 mln euro lub do 4 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa.
Czy od decyzji UODO można się odwołać?
Tak. Decyzję Prezesa UODO można zaskarżyć do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od jej doręczenia.
Czy kontrola może objąć firmę outsourcingową?
Tak. Dostawcy usług BPO, IT, obsługi klienta czy kadrowo-płacowych zwykle przetwarzają dane w imieniu klientów na podstawie umów powierzenia. RODO nakłada obowiązki i przewiduje kary także dla podmiotów przetwarzających, nie tylko dla administratorów danych. Kontrolerzy często badają też same umowy powierzenia, więc zarówno zlecający, jak i dostawca powinni mieć je w porządku.
