Pod koniec maja tego roku wiele firm i specjalistów zajmujących się ochroną danych osobowych publikowało sporo ciekawych podsumowań i felietonów dotyczących 4 lat obecności RODO w naszym życiu. Czy rzeczywiście tak wiele się zmieniło, że warto o tym pisać?
Wydaje się, że 4 lata to naprawdę sporo, by przedsiębiorcy na dobre zapoznali się z RODO. A jakby tak sięgnąć jeszcze do początków 2018 r., gdzie wspomniane unijne rozporządzenie (a nie dyrektywa albo ustawa jak niektórzy sądzą i piszą 🙂 czaiło się gdzieś za rogiem tj. świadome tego firmy już wtedy zaczęły na poważnie zajmować się tematem wdrażania wymogów wynikających z tych przepisów, to dziś powinniśmy być w zupełnie innym miejscu. Czy jednak tak właśnie się stało? Moim zdaniem jest z tym bardzo różnie.
Informacje o karach finansowych nakładanych przez UODO robią wrażenie, ale pytanie czy komunikaty te docierają do decydentów odpowiedzialnych za bezpieczeństwo oraz finanse w przedsiębiorstwie. Wskazuję na jedno i drugie, ponieważ nie da się zbudować sensownego systemu bezpieczeństwa danych bez nakładów finansowych. Te ostatnie są potrzebne choćby po to, by zakupić stosowne oprogramowanie, które zabezpieczy infrastrukturę IT w firmie, ale nie tylko. Fachowa wiedza też kosztuje, a jest niezbędna, by budować świadomość personelu mającego dostęp do danych osobowych.
Sporym wyzwaniem w związku z obowiązywaniem RODO był (jest?) okres pandemii. Niestety do tej pory nie doczekaliśmy się ani konkretnych, jasnych wytycznych ze strony organu nadzorczego ani zmian w obecnych przepisach prawa, które zwiększyłyby poczucie bezpieczeństwa przedsiębiorców, którzy z jednej strony chcieli prowadzić swój biznes w zgodzie z ograniczeniami wynikającymi z obostrzeń COVID-19, z drugiej zaś byli świadomi, że przepisy w zakresie ochrony danych osobowych nie są w tym względnie zbyt precyzyjne (delikatnie rzecz ujmując). A przecież nie mamy pewności, czy te wszystkie, doskonale nam znane, obostrzenia nie wrócą z całą mocą na przełomie 2022 / 2023 r.
Na koniec może coś pozytywnego – uważam, że RODO całkiem nieźle sprawdza się na gruncie dbania o to, by zapewniać bezpieczeństwo stosowne do tego co aktualnie wynika z wiedzy technicznej. Za strzał w przysłowiową dziesiątkę można pewnie uznać to w jaki sposób unijne rozporządzenie ujęło tę tematykę – dopasowujemy nasz system ochrony danych do tego co wynika z oceny ryzyka. Jest to zdecydowanie dużo lepsze rozwiązanie niż to co mieliśmy w czasach obowiązywania ustawy z 1997 r. i pamiętnego rozporządzenia wykonawczego do niej (z 2004 r.), gdzie wskazywano pewne „sztywne” rozwiązania, które należało wdrożyć (choć oczywiście i tam była mowa o tym, że niezbędna jest adekwatność zabezpieczeń w stosunku do potencjalnych zagrożeń dla danych).
