Ministerstwo Cyfryzacji proponuje, by małe i średnie przedsiębiorstwa były zwolnione z części przepisów wprowadzanych wraz z RODO, czyli unijnym rozporządzeniem o ochronie danych osobowych. Z jakich i jak oceniają to eksperci?
Pod koniec maja we wszystkich krajach członkowskich Unii Europejskiej zaczną obowiązywać przepisy GDPR / RODO (rozporządzenie o ochronie danych osobowych). Pełną odpowiedzialność za przetwarzane dane będą musieli wziąć na siebie wszyscy przedsiębiorcy prowadzący działalność w tych krajach, a więc także w Polsce. Okazuje się jednak, że nie dla wszystkich firm zasady będą takie same.
Data wprowadzenia RODO coraz bliżej, a pytania się mnożą
Przypomnijmy na wstępie, że RODO to zbiór przepisów, wymuszających na przedsiębiorstwach wprowadzenie odpowiednich narzędzi do ochrony danych osobowych, zobowiązujących je do informowania o wyciekach i pozwalających karać je za naruszenia – i to dość surowo. (Przypominamy, że GIODO przygotował dokument, pozwalający sprawdzić swoją gotowość).
Choć do dnia wprowadzenia nowych przepisów zostało już tylko około trzech miesięcy, polska ustawa o ochronie danych osobowych nie jest jeszcze gotowa. Ministerstwo Cyfryzacji przygotowało projekt jej nowej wersji, który ma trafić do parlamentu na początku kwietnia. Mogłoby się wydawać, że to nie czas na propozycję zmian, ale o taką pokusili się przedstawiciele resortu. Otóż…
Propozycja dla mniejszych przedsiębiorstw: RODO w wersji „light”
Ze względu na trudności związane z realizacją pewnych przepisów zawartych w unijnym rozporządzeniu, Ministerstwo Cyfryzacji proponuje zwolnić z nich małe i średnie przedsiębiorstwa. Jak informuje PAP, firmy, w których zatrudnionych jest maksymalnie 250 osób, nie będą musiały podawać informacji między innymi:
- o planowanym okresie przetwarzania danych,
- o prawie do usuwania czy prostowania danych,
- o prawie do ograniczenia dostępu lub sprzeciwu wobec przetwarzania danych,
- o wykorzystaniu danych w systemach zautomatyzowanych i jego potencjalnych konsekwencjach,
- o wycieku (brak konieczności zawiadamiania ofiary).
Trzeba podkreślić dwie kwestie: po pierwsze, brak konieczności zawiadamiania ofiary wycieku nie zwalania przedsiębiorstwa z wymogu poinformowania o naruszeniu organu nadzorczego, którym w tym przypadku jest Urząd Ochrony Danych Osobowych; a po drugie, te „lżejsze” przepisy będą obowiązywać wyłącznie wtedy, gdy firma nie przetwarza wrażliwych danych.
Kontrowersyjne zmiany, mające liczne grono przeciwników
Mali i średni przedsiębiorcy mają powody do zadowolenia z proponowanych zmian, ponieważ oznaczają one dla nich spore ułatwienia. Eksperci zajmujący się ochroną danych osobowych twierdzą jednak, że propozycja Ministerstwa Cyfryzacji jest niebezpieczną próbą obniżenia unijnych standardów. Takiego zdania jest na przykład Katarzyna Szymielewicz.
Szefowa Fundacji Panoptykon w swoim komentarzu zwraca uwagę na to, że argument w postaci „trudnej realizacji” jest niewystarczający, szczególnie, że w grę wchodzi prywatność użytkowników. Gdy zaś dochodzi do wycieku, czas gra kluczową rolę, więc gdy osoba dowie się z mediów o tym, że jej dane są w rękach cyberprzestępców, może już być za późno.
Źródło: PAP, Gazeta Prawna, Fundacja Panoptykon. Ilustracja: mohamed_hassan/Pixabay (CC0)
Komentarze
3"Szefowa Fundacji Panoptykon" kto finansuje fundację ?