28 Maja wchodzą w życie nowe regulacje prawne dotyczące ochrony danych osobowych
Obejmą one praktycznie wszystkie firmy i organy administracyjne działające na terenie kraju – gwałtownie zmieniając sposób przechowywania, przetwarzania oraz pozyskiwania tego typu danych.
Ten artykuł NIE STANOWI PORADY PRAWNEJ na temat wdrożenia procedur i mechanizmów RODO, lecz ma na celu jedynie uwrażliwienie na kluczowe problemy i wyzwania z jakimi będą musieli zmierzyć się posiadacze stron i sklepów internetowych.
Wielu z nich nie jest do dziś świadomych że takie zmiany zajdą już za kilka miesięcy.
RODO – co to jest?
Formalnie:
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
Będzie stosowane w Polsce od dnia 25 maja 2018 r.
Po ludzku:
To zbiór nowych obowiązków dla podmiotów przetwarzających szeroko rozumiane dane osobowe oraz praw dla osób fizycznych, które mogą skuteczniej dbać o ich bezpieczeństwo oraz swoją prywatność.
Ideą RODO jest “ucywilizowanie” sposobów przetwarzania naszych danych na przykład poprzez ograniczenie możliwości ich przekazywania podmiotom trzecim bez wyrażenia przez nas indywidualnej zgody na taką czynność.
Czym są dane osobowe według RODO?
Tu zaczynają się problemy, gdyż ustawodawca przyjął bardzo obszerną definicję danych osobowych.
Nie są to tylko tak klasyczne pozycje jak imię, nazwisko, wiek, adres itp. lecz “informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej“. Innymi słowy, jeśli posiadane przez nas dane mogą posłużyć do przypisania ich konkretnej osobie (jej identyfikację) – podlegają pod nowe przepisy o ochronie danych. Jak więc łatwo zauważyć – zakres jest bardzo pojemny.
Choćby zapis z monitoringu, który utrwala naszą sylwetkę, twarz itp. cechy pozwalające na identyfikację na materiale video. Technicznie zeszyt z imionami i telefonami w jakim fryzjer zapisuje swoich klientów – również stanowi zbiór danych osobowych i podlega RODO.
Problem nie tyczy się wyłącznie stron internetowych, ale istoty przetwarzania danych osobowych w ogóle – czy to klientów, pracowników firmy itd.
Nowe prawa i obowiązki – ogólnie
Prawo do bycia zapomnianym
Właściciel danych osobowych ma prawo zażądać całkowitego usunięcia jego danych osobowych z systemów administratora danych.
O ile forma tego przepisu funkcjonuje już dziś – nie jest należycie egzekwowana oraz równie często ignorowana przez podmioty, w których posiadaniu są wrażliwe informacje. Będziemy też mieć pełne prawo do wglądu oraz edycji naszych danych.
Privacy by design
Czyli przesłanka ku projektowaniu systemów i rozwiązań w firmie w taki sposób, aby zakładać maksymalny poziom poufności użytkownika. Brak sprzeciwu nie oznacza wyrażenia zgody na konkretne czynności, a sworznie konta w serwisie nie oznacza automatycznej zgody na otrzymywanie newslettera.
Obowiązek informacyjny
Jeśli dojdzie do cyberataku i wykradnięcia danych lub uzyskania do nich dostępu osoby nieupoważnianej – podmiot odpowiedzialny (administrator danych) musi bezzwłocznie poinformować o tym facie zainteresowane osoby.
Brak reakcji lub próby tuszowania zajścia będą wiązać się z surowymi karami.
Zgody po nowemu
Przede wszystkim otrzymując dane osobowe, musimy pozyskać również zgodę na ich przetwarzanie. Taka zgoda może zostać cofnięta w dowolnym momencie – co wyklucza automatycznie jakiekolwiek dalsze operacje na danym zbiorze.
Pozyskując zgodę np. od klienta musimy obowiązkowo wskazać:
- kto będzie administratorem danych (pełne dane firmy),
- w jakim celu są one gromadzone (np. realizacji zamówienia, odpowiedź ofertową),
- jakie prawa przysługują właścicielowi danych.
Jeśli dane będą przekazywane innym firmom lub podmiotom trzecim – zgoda musi być wyrażone indywidualnie dla każdego z tych podmiotów.
Zgoda na działania marketingowe również musi posiadać osobny “haczyk” – nie może być ukryta w regulaminie lub polityce prywatności.
RODO a moja strona internetowa
Jak widać RODO jest bardzo obszerną regulacja, której jedynie pewnym fragmentem jest kwestia danych osobowych na stronie www.
Jak wiele jest firm i ich sposobów prowadzenia biznesu – tak samo wiele jest typów stron internetowych oraz ich mechanizmów. Z tego względu niemożliwe jest przygotowanie kompleksowej listy elementów “do wdrożenia” – każda firma musi ten temat przepracować indywidualnie.
Postaraliśmy się jednak rozbić temat RODO w kwestii strony www, na kilka realnych i częstych scenariuszy.
Ogólnie o bezpieczeństwie www
Co trzeba powiedzieć – RODO daje firmom pełną swobodę we wdrażaniu mechanizmów bezpieczeństwa.
Oczywiście w przypadku negatywnego zdarzenia lub pozwania firmy przez konsumenta – to na niej będzie spoczywał ciężar udowodnienia, że podjęte przez nią kroki były wystarczające w celu zapewnienia ochrony danych jej klientów.
Jeśli czynniki ryzyka będą jednak ignorowane, a dobre praktyki niestosowane – musimy liczyć się z nałożeniem kary lub koniecznością wypłaty odszkodowania poszkodowanym.
Formularz kontaktowy
W większości przypadków wystarczy nam wdrożenie jednej dodatkowej regułki ze zgodą na przetwarzanie danych – jeśli dane są wyłącznie do Państwa użytku i nie “wychodzą” poza firmę. Zgoda wyrażona musi być nawet w przypadku udzielenia odpowiedzi na zapytanie ofertowe.
Jeśli działają Państwo w sektorze B2B – teoretycznie nie jest ona wtedy wymagana (dane nie są danymi osoby fizycznej), lecz nie można wykluczyć scenariusza gdy osoba prywatna taki formularz wypełni – a Państwo wejdą w posiadane jej danych osobowych i zaczną podlegać pod ustawę oraz jej wymogi.
Newsletter
Tutaj również użytkownik musi wydać indywidualną zgodę na przetwarzanie jego danych – czy to w celach informacyjnych bądź czysto marketingowych.
Jeśli korzystają Państwo z usług zewnętrznych podmiotów/systemów do wysyłki masowej – najprawdopodobniej użytkownik musi wyrazić zgodę na przekazanie jego danych do takiego podmiotu trzeciego.
Co istotne – już pozyskane adresy email nie wymagają uzyskania nowej zgody. Jednak po wejściu w życie RODO – nowi użytkownicy muszą być zapisywani na nowych zasadach.
Rejestracja użytkowników
W tym momencie zaczynają się nieco większe problemy, gdyż rejestracja użytkownika wymaga gromadzenia i przechowywania przez nasz serwis/system danych osobowych.
To rodzi szereg problemów/wyzwań dla firmy:
- jak chronione są te dane w firmie,
- kto konkretnie ma do nich dostęp,
- do jakiego typu operacji są wykorzystywane,
- użytkownik musi mieć możliwość wglądu/edycji danych na żądanie,
- użytkownik musi mieć możliwość cofnięcia zgody na ich przetwarzanie,
- użytkownik musi mieć możliwość zażądania całkowitego usunięcia jego danych z serwisu – czy to konta, komentarzy, zdjęć itp. elementów przypisanych do danego identyfikatora.
Co ważne podkreślenia – nawet nick internetowy w stylu “mlody2018” może zostać uznany za element pozwalający na zidentyfikowanie danej osoby.
Konieczne wdrożenie jest poza regulaminem serwisu – samodzielnego dokumentu w postaci polityki prywatności, którą użytkownik musi osobno zaakceptować.
E-sklep
Sklepy internetowe siłą rzeczy gromadzą dane klientów – czy to sprzedając produkty wirtualne czy pozyskując fizyczny adres do wysyłki towaru.
Duża część kwestii związanych z RODO pokrywa się tutaj z rejestracją użytkownika – polityka prywatności, zgoda na przekazanie danych firmie kurierskiej itp.
W zależności od skali sprzedaży i ilości użytkowników, pewne kwestie mogą wymagać wdrożenia automatycznych mechanizmów, na przykład możliwości skasowania konta lub edycji danych przez samego klienta – bez konieczności ręcznej ingerencji pracownika firmy.
Ze względu na swój charakter, można się spodziewać iż organy kontrolne skupią się właśnie na e-handlu w pierwszych miesiącach po wdrożeniu nowych regulacji – jako sektorze narażonym na uchybienia i wrażliwym na ataki przestępców.
Certyfikat SSL
Pozwala na szyfrowanie danych wymienianych pomiędzy użytkownikiem a witryną – zwiększając poziom bezpieczeństwa oraz skutecznie uniemożliwiając łatwe przechwycenie danych przez osoby trzecie.
W świetle nowego prawa, można śmiało powiedzieć że stanie się on standardem bezpieczeństwa w sieci – wymaganym nawet od mikro podmiotów mających swoją stronę www a przesyłających dane np. przez formularz kontaktowy.
Wiąże się to jednak z dodatkowym, corocznym kosztem u większości dostawców usług web.
Podsumowując RODO przez pryzmat strony www
Jest to praca domowa, którą musi odrobić praktycznie każda firma w kraju – do maja 2018 roku.
Ze względu iż do tego terminu pozostało jeszcze kilka miesięcy – gorąco zachęcamy Państwa do konsultacji z radcą prawnym w kwestii wdrożenia mechanizmów bezpieczeństwa w Państwa firmach oraz w sposób naturalny – na Państwa stronach internetowych.
Sugerujemy nie pozostawiać tej sprawy na ostatnią chwilę, gdyż jak się się spodziewamy – gorączka i panika rozpocznie się w okolicach kwietnia-maja gdy duże media zaczną tę kwestię nagłaśniać. Z tego względu uzyskanie sensownego terminu konsultacji oraz wdrożenia zaleceń może nie być możliwe.
