Czy można uniknąć kary z RODO?
Niniejszy artykuł jest kontynuacją wpisu pod tytułem „Czym grozi brak wdrożenia RODO w Twojej firmie?”.
Co wpływa na wysokość kary?
Unijne organy ochrony danych osobowych aktywnie przeprowadzają już kontrole stosowania i przestrzegania przepisów RODO. W poprzednim wpisie pisaliśmy o jednej z pierwszych poważnych kar nałożonych na administratora danych w UE.
Przypomnijmy, kara na gruncie RODO może zostać nałożona aż w wysokości 20 mln Euro, w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Obowiązkiem administratora danych jest wdrożenie zabezpieczeń technicznych, organizacyjnych i proceduralnych, które będą minimalizowały ryzyko naruszenia danych osobowych.
RODO z założenia jest neutralne technologicznie i nie narzuca konkretnych rozwiązań jakie muszą zostać wdrożone przez administratorów, żeby zapewnić zgodność przetwarzania danych z przepisami. Jak w takiej sytuacji administratorzy mają postępować żeby nie bać się sankcji i kontroli? RODO ma być stosowane przez przedsiębiorców w głównych procesach biznesowych. Należy zatem dokonać jego wdrożenia w sposób, który zapewni zgodność z przepisami a jednocześnie pozwoli skupić się na prowadzeniu głównego biznesu i zdobywania nowych klientów, a w konsekwencji zwiększania obrotów.
W praktyce istnieje wiele rozwiązań, które przedsiębiorcy mogą stosować. Przygotowanie odpowiedniej dokumentacji nie wystarcza jednak, żeby uznać RODO za skutecznie wdrożone. Potrzeba bowiem wprowadzenia rozwiązań organizacyjnych, z zakresu IT oraz systematycznego szkolenia i uświadamiania pracowników o zasadach związanych z bezpiecznym przetwarzaniem danych osobowych.
Jak zatem przygotować się do ewentualnej kontroli i co wpłynie na wysokość możliwej kary?
Podstawowy krok to podjęcie się wdrożenia RODO. Kary w przypadku kontroli będą bowiem miarkowane i indywidualizowane. Wpływ na wysokość kary będą miały z pewnością:
– podjęcie próby wdrożenia RODO oraz zachowanie należytej staranności, a także dowody na powyższe,
– charakter naruszenia, jego waga oraz czas trwania i liczbę ewentualnych osób poszkodowanych – w przypadku naruszenia ochrony danych osobowych,
– rozmiar poniesionej szkody,
– umyślność lub brak umyślności naruszenia,
– poprzednie naruszenia ADO lub postępowania przed GIODO.
Ostatni punkt wymaga krótkiego komentarza. Po 25 maja mamy w Polsce zamiast Generalnego Inspektora Ochrony Danych Osobowych (GIODO) Urząd Ochrony Danych Osobowych (UODO). Zmiana nazwy podmiotu nie oznacza, że przeszłe postępowania, czy informacje, które GIODO posiadał poszły w zapomnienie.
Należy pamiętać, że proces kontroli przez UODO regulowany jest przepisami o ochronie danych osobowych ale też kodeksem postępowania administracyjnego. Przedsiębiorca ma zatem prawo odwołać się od nałożonej na niego decyzji.
Zarówno w kwestii wdrożenia, audytu wprowadzonych zabezpieczeń jak i samych postepowań kontrolnych warto skontaktować się z naszymi pracownikami, którzy będą służyć pomocą w kontaktach z urzędem.
