RODO, czyli ogólne rozporządzenie o ochronie danych, z założenia daje administratorom wiele swobody co do stosowanych rozwiązań. Dzięki temu mogą oni dopasować organizację swojego systemu ochrony danych do specyfiki prowadzonej działalności. Ta elastyczność powoduje jednocześnie, że przy zapewnianiu zgodności z RODO administratorzy muszą wykazać się kreatywnością i aktywnością. Nie zawsze jest to łatwe. Każda branża jest inna i pewne rozwiązania, które sprawdzą się np. w dużym sklepie internetowym, niekoniecznie będą odpowiednie dla placówki medycznej.
Czytaj w LEX: RODO w IT: wymogi RODO, a projektowanie rozwiązań IT >
Czytaj: Rośnie liczba naruszeń RODO i łączna wysokość kar>>
Kodeks pomoże dopasować zasady do specyfiki branży
Pomocny w wyborze właściwych i adekwatnych do specyfiki danej branży rozwiązań może być kodeks postępowania. Jest to dobrowolne narzędzie, przewidziane przez RODO, uszczegóławiające stosowanie przepisów o ochronie danych osobowych przez administratorów i podmioty przetwarzające z konkretnego sektora. Jak podkreśla UODO, mogą być one wręcz pewnego rodzaju szczegółową instrukcją, zbiorem zasad, które sprawią, że administrator przystępujący do takiej inicjatywy i stosujący się do postanowień takiego dokumentu będzie miał większą pewność działania zgodnie z RODO.
Czytaj w LEX: Procedura dobrowolnej certyfikacji w świetle RODO >
Kodeksy mają bowiem uszczegóławiać wiele kwestii i podpowiadać administratorom m.in.: jak mają postępować przy zbieraniu danych, jak podchodzić do realizacji obowiązków informacyjnych i praw osób, których dane przetwarzają, czy jakie środki techniczne i organizacyjne powinny w ich branży zastosowane, by zapewnić odpowiedni poziom ochrony danych.
Czytaj w LEX: Sankcje administracyjne za naruszenie przepisów RODO >
Projekt to zadanie zrzeszenia, albo administratora
Z inicjatywą opracowania kodeksu i przedłożenia go Prezesowi Urzędu Ochrony Danych Osobowych w celu jego zatwierdzenia mogą wystąpić zrzeszenia i inne podmioty reprezentujące określone kategorie administratorów lub podmioty przetwarzające. Do wniosku dołącza się informację o przeprowadzonych konsultacjach oraz ich wyniku.
UODO dokonuje oceny przedstawionego projektu. Podczas tej oceny może się on kontaktować z przedstawicielami organizacji, które przygotowały projekt kodeksu postępowania, w celu uzyskania wyjaśnień czy dodatkowych odpowiedzi.
Czytaj w LEX: Obowiązki małych i średnich firm w świetle RODO >
Urząd następnie przekazuje swoją opinię dotyczącą zgodności projektu kodeksu z RODO. UODO podkreśla, że jak wskazuje Europejska Rada Ochrony Danych w Wytycznych 1/2019 dotyczących kodeksów postępowania i podmiotów monitorujących zgodnie z rozporządzeniem 2016/679, do procedury zatwierdzania kodeksu należy podchodzić z pełnym zaangażowaniem i przygotowaniem.
Czytaj w LEX: Kodeksy postępowań. Opracowanie i zatwierdzanie >
W związku z tym że RODO nie określa, jak dokładnie ma wyglądać procedura zatwierdzania kodeksów, UODO twierdzi, że wychodzi naprzeciw każdej inicjatywie, angażując się w wyjaśnianie wszelkich wątpliwości związanych z przepisami i wytycznymi dotyczącymi kodeksu jeszcze przed złożeniem formalnego wniosku o zatwierdzenie. Najczęściej przybiera to formę spotkań z autorami projektów w celu uzyskania wyjaśnień, jak i przekazania ewentualnych wątpliwości czy wskazania problematycznych kwestii, które w danym przypadku będą powodowały kolizje z przepisami o ochronie danych osobowych.
Czytaj w LEX: Tworzenie Kodeksów postępowania ochrony danych osobowych >
Konieczność wskazania podmiotu monitorującego
Każdy kodeks postępowania musi wskazywać podmiot monitorujący przestrzeganie tego dokumentu przez organizacje, które do niego przystąpią. Nie dotyczy to kodeksów mających mieć zastosowanie wyłącznie do przetwarzania danych przez organy publiczne. Jednak nie oznacza to braku nadzoru – monitorowanie wykonuje wtedy inny podmiot sprawujący nadzór nad takim podmiotem publicznym.
Czytaj w LEX: Akredytacja podmiotów monitorujących z zakresu ochrony danych >
Podmiot monitorujący przestrzeganie danego kodeksu musi spełniać określone wymagania, jak np. posiadanie fachowej wiedzy w dziedzinie będącej przedmiotem kodeksu, zachowanie niezależności, dysponowanie procedurami pozwalającymi ocenić, czy administratorzy przestrzegają kodeksu oraz takimi, które pozwolą mu rozpatrywać skargi na naruszenia kodeksu.
Czytaj w LEX: Procedura certyfikacji w ochronie danych osobowych >
Cena promocyjna: 67.2 zł
Cena regularna: 84 zł
Najniższa cena w ostatnich 30 dniach: zł
![Nakładanie administracyjnych kar pieniężnych w rozporządzeniu o ochronie danych osobowych. Aspekty praktyczne [PRZEDSPRZEDAŻ] ebook](/gfx/prawopl/_thumbs/produkty_foto/22606/978-83-8223-352-0_,mXqL62OeqFTLkrXdmIyYmw.jpg)
Podmiot monitorujący musi też spełnić wymogi akredytacji, które są określone przez UODO i zaopiniowane przez Europejską Radę Ochrony Danych w celu zapewnienia spójności stosowania przepisów RODO we wszystkich państwach członkowskich.
Polskie wymogi akredytacji dla podmiotów monitorujących zostały niedawno zaopiniowanie przez EROD. Jednocześnie toczą się postępowania nad projektami kodeksów, które zostały przedstawione UODO do zatwierdzenia. Prace Urzędu oceniające szczegółowe rozwiązania mogą trwać, mimo że warunkiem pełnego obowiązywania kodeksu jest wyznaczenie podmiotu monitorującego jego przestrzeganie.
Czytaj w LEX: Postępowanie przed Prezesem Urzędu Ochrony Danych – podstawowe informacje i rodzaje postępowań >
Jest już osiem wniosków o zatwierdzenie
Urząd Ochrony Danych Osobowych zauważa, instytucja kodeksów postępowania spotkała się w Polsce z dużym zainteresowaniem. Do UODO wpłynęło dotąd osiem wniosków o zatwierdzenie kodeksów postępowania. Urząd wie także, że są też podejmowane inicjatywy, które nie zostały przedstawione UODO do zatwierdzenia, ale trwają nad nimi prace w poszczególnych sektorach. Z częścią przedstawicieli tych branż eksperci Urzędu spotkali się albo na bieżąco wyjaśniają wątpliwości związane z obowiązującym prawem.
Czytaj: RODO: Wkrótce ma być zatwierdzony pierwszy kodeks branżowy>>
Z informacji posiadanych przez UODO wynika, że w niektórych przypadkach po początkowym zainteresowaniu kodeksami rezygnowano z podjęcia prac lub wydłużono prace koncepcyjne nad projektami takich dokumentów. Działo się tak, gdy UODO wyjaśnił zainteresowanym, jakie wymagania RODO stawia kodeksom.
Czytaj w LEX: Omawianie i wdrażanie zaleceń z audytów RODO >
Konkretne rozwiązania, a nie powtarzanie RODO
W ocenie UODO, wśród części przedłożonych projektów kodeksów można zauważyć duże zrozumienie projektodawców dla zasad tworzenia oraz zatwierdzania kodeksów postępowania. Inicjatorzy są też mocno zaangażowani w konstruowanie przejrzystych rozwiązań, które będą użyteczne dla podmiotów stosujących dane rozwiązania.
Czytaj w LEX: Brexit a RODO - praktyczne wskazówki dla administratorów danych >
Są jednak i takie projekty kodeksów - stwierdza Urząd - które pobieżnie regulują poszczególne kwestie ochrony danych osobowych w danym sektorze lub stanowią bezrefleksyjne powtórzenie przepisów RODO. - W innych projektodawcy przedstawiali rozwiązania, które nie prowadziły do uszczegółowienia przepisów z zakresu ochrony danych osobowych, nie służyły zapewnieniu przejrzystości oraz rzetelności procesu przetwarzania danych osobowych. Również mechanizmy monitorowania przestrzegania kodeksów niekiedy nie były dostosowane do wymogów wynikających z Wytycznych EROD. Ten dokument, szeroko wyjaśniający przepisy art. 40 i 41 RODO i zawierający kryteria dopuszczalności projektu, powinien być szczegółowo stosowany przez autorów, by przyszłe postępowanie o zatwierdzenie kodeksu mogło zakończyć się pomyślnie - czytamy w analizie Urzędu.
Czytaj w LEX: Praktyczne przykłady RODO w budownictwie >
UODO przypomina, że w przypadku niektórych projektów kodeksów już kilka miesięcy temu przedstawił ich autorom swoje uwagi. Jeżeli twórcy tych kodeksów byli przez ten czas aktywnie zaangażowani w pracę nad tymi dokumentami, to należy spodziewać się, że niebawem zostanie przedłożony organowi nadzoru kodeks, który będzie można zatwierdzić.
Zobacz procedurę w LEX: Realizacja obowiązku informacyjnego przy gromadzeniu danych osobowych >
Kodeks daje branży korzyści
Według UODO, kodeks postępowania, który zostanie przygotowany zgodnie z przepisami o ochronie danych osobowych, będzie spełniał stawiane mu wymagania i nie będzie jedynie powtórzeniem RODO, a przede wszystkim doprecyzuje wiele kwestii z uwzględnieniem specyfiki danej branży, przyniesie jej wiele korzyści. Administratorom i podmiotom przetwarzającym będącym członkami kodeksu ułatwi stosowanie przepisów i wypełnianie szeregu obowiązków, wskaże właściwe rozwiązania, tam gdzie dziś istnieją dylematy. Pomoże też odpowiednio organizować cały system ochrony danych osobowych w danej branży. - Będzie to pozytywny aspekt nie tylko dla administratorów, podmiotów przetwarzających, ale i osób, których dane są przetwarzane, gdyż dodatkowo będą one mogły liczyć na zbliżony standard ochrony danych oraz obsługę w zakresie realizacji ich praw przez daną branżę - ocenia UODO.
Czytaj w LEX: RODO w ochronie zdrowia >
Według Urzędu zaletą odpowiednio przygotowanego kodeksu jest nie tylko gwarancja pewności stosowania określonych rozwiązań zatwierdzonych przez Prezesa UODO. Administratorzy mogą także liczyć na nadzór nad procesami przetwarzania danych osobowych przez niezależny podmiot monitorujący kodeks.
Czytaj w LEX: Nowoczesne formy marketingu w świetle przepisów RODO >
Dlatego Prezes UODO zachęca kolejne branże do podejmowania takich inicjatyw, a tych, którzy już to uczynili, do zaangażowania w dalszą pracę nad ostatecznym kształtem kodeksów postępowania. Szczegółowe informacje o kodeksach są dostępne w sekcji Kodeksy postępowania.
Zobacz procedurę w LEX: Czynności kontrolne wykonywane przez kontrolujących z Urzędu Ochrony Danych Osobowych >