Czego UODO oczekuje od kodeksów branżowych

Przypomnijmy, że kodeks postępowania (kodeks branżowy) to przewidziane w RODO dobrowolne narzędzie, mające na celu uszczegółowienie stosowania przepisów o ochronie danych osobowych przez administratorów i podmioty przetwarzające z konkretnego sektora, np.:

• jak mają postępować przy zbieraniu danych,
• jak podchodzić do realizacji obowiązków informacyjnych i praw osób, których dane przetwarzają,
• jakie środki techniczne i organizacyjne powinny w ich branży zastosowane, by zapewnić odpowiedni poziom ochrony danych.

Aby taki kodeks został zatwierdzony przez Prezesa UODO, musi on zostać przedłożony przez zrzeszenie lub inny podmiot reprezentujący określone kategorie administratorów lub podmioty przetwarzające. Projekt kodeksu jest następnie oceniany przez organ nadzorczy, który przedstawia opinię dotyczącą zgodności projektu kodeksu z RODO.

Dotychczas do UODO wpłynęło 8 wniosków o zatwierdzenie kodeksów postępowania. Jak wskazuje UODO, prace oceniające szczegółowe rozwiązania w tych projektach są dość czasochłonne, dlatego właśnie żaden z kodeksów nie został jeszcze zatwierdzony. Poza tym trwają też prace nad kolejnymi kodeksami, które jeszcze nie zostały przedstawione UODO. Eksperci Urzędu na bieżąco wyjaśniają wątpliwości, które pojawiły się w trakcie tych prac. W niektórych przypadkach po wyjaśnieniu, czego UODO oczekuje od takich kodeksów, doszło do rezygnacji z dalszych prac lub ich wydłużenia. Jak wskazano, zdarzały się też przypadki, gdy w projektach były przepisy regulujące poszczególne kwestie ochrony danych osobowych w danym sektorze dość pobieżnie lub wręcz powtarzające regulacje RODO. W efekcie projekty takie nie spełniałyby podstawowego celu, jakim jest uszczegółowienie przepisów z zakresu ochrony danych osobowych. Zdarzało się też, że przyjęte w projektach mechanizmy monitorowania przestrzegania kodeksów nie były dostosowane do wymogów wynikających z Wytycznych EROD.