Rok 2018 upłynął pod hasłem ochrony danych osobowych. Rozpoczęcie stosowania RODO, czyli Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) wywołało w państwach członkowskich UE gorączkę ochrony danych osobowych. Nie było chyba przedsiębiorcy, który nie usłyszał o gigantycznych karach sięgających 20 mln EUR, których nałożeniem RODO złowieszczo groziło za nieprzestrzeganie standardów w zakresie przetwarzania danych osobowych pracowników, klientów, czy kontrahentów.
O ile 2018 był rokiem wdrażania RODO – pełnym spekulacji, niewiadomych, ale również niestety mitów i przekłamań dotyczących tej regulacji, to w 2019 mieliśmy już do czynienia z bardziej świadomym jej stosowaniem przez administratorów danych osobowych oraz początkiem procesu weryfikacji tego stosowania przez europejskie organy nadzorcze, w tym polskiego Prezesa Urzędu Ochrony Danych Osobowych.
Czytaj też: RODO: zmiana w ochronie danych osobowych od 4 maja 2019 r.
2019 – kolejne przepisy
W maju 2019 r. polski ustawodawca uzupełnił RODO o polski pierwiastek czyli ustawę o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Dla wielu administratorów danych osobowych oznaczało to kolejność dokonania przeglądu rozwiązań przyjętych rok wcześniej, zwłaszcza, że ustawa nowelizowała szereg ustaw branżowych, przede wszystkim Kodeks pracy, ustawę o ZFŚS, prawo bankowe, prawo telekomunikacyjne, ustawę o świadczeniu usług drogą elektroniczną, ustawę o prawach konsumenta, czy ustawę o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych. Zakres zmian objął również przetwarzanie danych osobowych przez adwokatów, radców prawnych, czy notariuszy – w ustawach samorządowych wprowadzono szczegółowe obowiązki związane przetwarzaniem przez nich danych osobowych, zwłaszcza w zakresie okresu ich przechowywania. Utrwaliła się również praktyka uznawania prawników za samodzielnych administratorów danych osobowych ujawnianych im przez klientów w związku ze świadczeniem obsługi prawnej.
i pierwsze kary
Dużo emocji wywołała również pierwsza administracyjna kara pieniężna nałożona przez PUODO. Kontrowersje związane były z tym, ze ukarana karą w wysokości 943 tys. zł spółka Bisnode dołożyła pewnej staranności w zakresie wypełniania jej obowiązków informacyjnych z art. 14 RODO. Zdaniem organu nadzorczego stopień tej staranności był niewystarczający, a spółka jako przedsiębiorca prowadzący działalność gospodarczą polegającą na pozyskiwaniu informacji, w tym danych osobowych osób prowadzących działalność gospodarczą, z ogólnodostępnych rejestrów publicznych (np. KRS, CEIDG, REGON) oraz analizowaniu, interpretowaniu a następnie udostępnianiu tych informacji zainteresowanym klientom, musi spełnić obowiązek informacyjny wobec tych osób. Wysoki koszt spełnienia tego obowiązku nie może być traktowany jako nadmierny wysiłek, który uzasadniałby odstąpienie od tego obowiązku zgodnie z art. 14 ust. 5 RODO.
