Przez wiele lat przedsiębiorcy koncentrowali się przede wszystkim na wdrożeniu dokumentacji wymaganej przez RODO. Samo posiadanie procedur, klauzul informacyjnych czy rejestrów przetwarzania nie wystarcza jednak do zapewnienia zgodności z przepisami. Coraz większe znaczenie ma bowiem możliwość wykazania, że przyjęte rozwiązania rzeczywiście funkcjonują w praktyce i odpowiadają aktualnym sposobom przetwarzania danych.
Rozwój nowych technologii, upowszechnienie pracy zdalnej oraz coraz szersze wykorzystanie narzędzi opartych na sztucznej inteligencji powodują, że organizacje powinny regularnie weryfikować swoje podejście do ochrony danych osobowych. Warto zatem sprawdzić, na jakie obszary zwracają obecnie uwagę organy nadzorcze oraz jakie działania warto podjąć, aby utrzymać zgodność z RODO.
1. Czy RODO rzeczywiście się zmieniło?
Choć w ostatnim czasie coraz częściej można spotkać się z określeniami takimi jak „RODO 2.0” czy „rewolucja w ochronie danych osobowych”, warto podkreślić, że podstawowe zasady wynikające z rozporządzenia pozostają niezmienione. Administratorzy nadal są zobowiązani do zapewnienia legalności przetwarzania, minimalizacjidanych oraz integralności i poufności.
Nie oznacza to jednak, że przedsiębiorcy mogą poprzestać na dokumentacji wdrożonej kilka lat temu. Zmieniły się zarówno realia prowadzenia działalności gospodarczej, jak i oczekiwania organów nadzorczych. Coraz większe znaczenie mają cyberbezpieczeństwo, wykorzystywanie narzędzi sztucznej inteligencji, praca zdalna oraz skuteczne zarządzanie incydentami związanymi z naruszeniem ochrony danych.
Dla wielu firm największym wyzwaniem nie jest już samo wdrożenie RODO, lecz utrzymanie jego zgodności z jego wymogami. Dokumentacja, procedury i zabezpieczenia powinny odpowiadać rzeczywistym procesom zachodzącym w organizacji. Dotyczy to zarówno dużych podmiotów, jak i mikro- oraz małych przedsiębiorców, którzy często błędnie zakładają, że ryzyko kontroli lub naruszenia odnosi się wyłącznie do największych uczestników rynku.
2. Aktualne priorytety UODO – na co organy zwracają szczególną uwagę?
Podstawowe obowiązki wynikające z RODO pozostają niezmienne, jednak w ostatnich latach można zauważyć wyraźną zmianę podejścia organów nadzorczych do oceny zgodności organizacji z przepisami. Coraz większy nacisk kładziony jest nie na samo posiadanie dokumentacji, lecz na możliwość wykazania, że wdrożone procedury rzeczywiście działają w praktyce.
Jednym z kluczowych obszarów kontroli pozostaje realizacja zasady rozliczalności. Administrator powinien być w stanie udowodnić zgodność przetwarzania danych osobowych z wymogami prawnymi oraz adekwatność zastosowanych środków technicznych i organizacyjnych do zidentyfikowanych ryzyk.
Istotne znaczenie mają również obowiązki informacyjne. Ocenie podlegają zarówno treść klauzul, jak i ich przejrzystość, dostępność oraz sposób przekazania osobom, których dane dotyczą. W praktyce oznacza to, że dokumenty przygotowane kilka lat temu mogą wymagać aktualizacji, jeżeli nie odzwierciedlają obecnych procesów lub wykorzystywanych narzędzi.
Coraz większą uwagę poświęca się także zasadzie ograniczenia przechowywania danych. W wielu organizacjach nadal gromadzone są informacje o klientach, kandydatach do pracy czy byłych pracownikach, pomimo braku podstaw do ich dalszego przetwarzania.
Kolejnym ważnym obszarem jest prawidłowa obsługa naruszeń ochrony danych osobowych oraz gotowość do sprawnego reagowania na incydenty bezpieczeństwa. Przyjęte procedury powinny umożliwiać szybką ocenę zdarzenia, analizę jego skutków oraz podjęcie decyzji o ewentualnym zgłoszeniu naruszenia Prezesowi UODO w terminie określonym w RODO.
Uwagę zwraca również wykorzystywanie narzędzi opartych na sztucznej inteligencji. Przedsiębiorcy korzystający z rozwiązań wspierających analizę dokumentów, tworzenie treści czy obsługę klientów powinni zweryfikować, jakie dane są przekazywane do takich systemów oraz czy ich wykorzystanie pozostaje zgodne z obowiązującymi przepisami o dotyczącymi prywatności.
3. Nowe obowiązki mikro i małych firm
Ochrona danych osobowych nie dotyczy wyłącznie dużych przedsiębiorstw. RODO znajduje zastosowanie również do mikro- i małych firm, jeżeli przetwarzają informacje o klientach, kontrahentach lub pracownikach.
W przypadku mniejszych organizacji szczególne znaczenie mają podstawowe dokumenty pozwalające wykazać zgodność z przepisami, w tym:
- rejestr czynności przetwarzania, zawierający informacje o realizowanych procesach i sposobach wykorzystywania danych osobowych w organizacji,
- polityka ochrony danych, określająca podstawowe zasady i procedury ich zabezpieczenia,
- procedura obsługi incydentów, wskazująca sposób postępowania w przypadku naruszenia poufności, integralności lub dostępności informacji, cyberataku lub utraty urządzenia służącego do ich przechowywania.
Dokumenty te nie wyczerpują wszystkich wymogów, lecz najczęściej tworzą podstawę systemu ochrony danych w mniejszych podmiotach.
Choć przepisy są stosowane z uwzględnieniem zasady proporcjonalności, podstawowe obowiązki pozostają takie same dla wszystkich przedsiębiorców. Każda organizacja powinna działać zgodnie z zasadami legalności, przejrzystości iminimalizacji oraz zapewniać odpowiedni poziom bezpieczeństwa przetwarzania.
Warto również pamiętać, że naruszenie przepisów RODO może skutkować nie tylko administracyjnymi karami pieniężnymi, ale także utratą zaufania klientów oraz roszczeniami cywilnymi osób, które poniosły z tego powodu szkodę dane.
Planowane ułatwienia dla MŚP
Na poziomie Unii Europejskiej trwają prace i dyskusje nad ograniczeniem części obciążeń administracyjnych dla mikro-, małych i średnich przedsiębiorców. Rozważane rozwiązania mają uprościć formalności przy zachowaniupodstawowych standardów ochrony danych. Nie oznacza to jednak zwolnienia mniejszych podmiotów z przestrzegania RODO, lecz raczej dostosowanie wymagań do skali prowadzonej działalności.
4. AI Act a RODO – o czym powinni pamiêtaæ przedsiêbiorcy?
Dynamiczny rozwój narzędzi opartych na sztucznej inteligencji powoduje, że przedsiębiorcy coraz częściej wykorzystują AI do tworzenia treści, analizy dokumentów, obsługi klientów czy prowadzenia rekrutacji. W wielu przypadkach wiąże się to z przetwarzaniem danych osobowych, co oznacza konieczność uwzględnienia wymogów wynikających z RODO.
Dodatkowo organizacje powinny zwrócić uwagę na obowiązki przewidziane w AI Act, który ustanawia ramy prawne dotyczące projektowania, wdrażania i wykorzystywania systemów sztucznej inteligencji. Celem RODO jest przede wszystkim ochrona danych osobowych i prywatności osób fizycznych, natomiast nowe rozporządzenie koncentruje się na bezpieczeństwie, przejrzystości i odpowiedzialnym stosowaniu tej technologii.
W praktyce należy zatem uwzględnić wymagania obu regulacji, odpowiednio do sposobu korzystania z AI i jego roli danego podmiotu. Dotyczy to w szczególności odpowiedniego zarządzania ryzykiem, zapewnienia nadzoru nad działaniem systemów oraz wdrożenia rozwiązań zwiększających ich bezpieczeństwo i wiarygodność.
Istotne jest przy tym, że AI Act nie zastępuje RODO. Obie regulacje funkcjonują równolegle i w wielu przypadkach powinny być stosowane łącznie.
Spełnienie wymogów jednej z nich nie przesądza więc o zgodności z drugą.
Podsumowanie
Podstawowe zasady RODO pozostają niezmienne, jednak zmienia się otoczenie, w którym przedsiębiorcy przetwarzają dane osobowe. Coraz większe znaczenie mają rozliczalność, aktualność dokumentacji, prawidłowe zarządzanie incydentami oraz bezpieczne korzystanie z nowych technologii.
Szczególną uwagę warto zwrócić na wykorzystywanie narzędzi sztucznej inteligencji oraz dostosowanie wewnętrznych procedur do związanych z nimi zagrożeń. Dotyczy to nie tylko dużych organizacji, ale również mikro- i małych przedsiębiorców, którzy coraz częściej stają przed podobnymi wyzwaniami jak większe podmioty.
Zapewnienie zgodności z RODO nie jest jednorazowym działaniem, lecz procesem, który powinien uwzględnić zmiany organizacyjne i technologiczne zachodzące w firmie oraz nowe wymagania prawne. Regularny przegląd dokumentacji i przyjętych rozwiązań pozwala nie tylko ograniczyć ryzyko naruszeń i sankcji, ale również budować zaufanie klientów, pracowników oraz partnerów biznesowych.
