Można sobie wyobrazić branże, którym zatwierdzony kodeks branżowy da niewiele. Z drugiej strony w wielu branżach tego typu kodeks zdecydowanie ułatwiłby funkcjonowanie administratorom danych osobowych jak i podmiotom danych. Dlatego wiedza jak przygotować i doprowadzić do zatwierdzenia takiego kodeksu jest niezwykle istotna. W artykule przedstawiamy cały proces – od utworzenia kodeksu do jego zatwierdzenia. Sprawdź, jak wdrożyć kodeks branżowy w 5 krokach.
Kodeks postępowania (inaczej branżowy) to zbiór norm, instrukcji, regulujących określony sposób zachowania danej grupy adresatów w zakresie przetwarzania danych osobowych i ich ochrony prawnej w danym sektorze. Jak wskazuje Prezes UODO, jest to dobrowolne
narzędzie uszczegóławiające stosowanie przepisów o ochronie danych osobowych przez administratorów i podmioty przetwarzające z konkretnego sektora.
Kodeks branżowy w założeniu ma być szczegółową instrukcją, zbiorem zasad, które sprawią, że administrator przystępujący do takiej inicjatywy i stosujący się do postanowień takiego dokumentu będzie miał większą pewność działania zgodnie z RODO.
Te kwestie należy wziąć pod uwagę, oceniając czy kodeks branżowy jest potrzebny.
Z pewnością zastanawiacie się, jak wdrożyć kodeks branżowy i kto powinien go sporządzić. Z projektem kodeksu mogą wystąpić zrzeszenia i inne podmioty reprezentujące określone kategorie administratorów lub podmiotów przetwarzających.
Najwygodniej wystąpić z inicjatywą kodeksową grupie administratorów lub podmiotów przetwarzających z branży, która posiada wewnętrzną strukturę organizacyjną. Dotyczy to także struktury zorganizowanej według modelu pionowego. Chodzi tu w szczególności o stowarzyszenia, fundacje czy związki zawodowe.
Z kolei podmioty z branż zorganizowanych według struktury rozproszonej mogą mieć realną trudność w podjęciu skutecznej pracy nad projektem kodeksu, jak również jego przeprowadzeniem przez etapy zatwierdzania. Wszak proces projektowania zatwierdzania kodeksu wymaga nadzorowania przez projektodawców.
Kodeks postępowania nie zastępuje przepisów dotyczących ochrony danych osobowych i ich przetwarzania. Ma on bowiem doprecyzować zastosowanie tych przepisów, wskazując m.in.:
Doprecyzowanie ma oczywiście dotyczyć konkretnej branży.
Należy przy tym odnieść się do reguł:
Kodeks branżowy powinien również odnosić się do kwestii analizy ryzyka związanego z przetwarzaniem danych osobowych, w tym jego oceny pod kątem źródła, charakteru, prawdopodobieństwa i wagi zagrożenia, a także najlepszych praktyk pozwalających zminimalizować to ryzyko.
Nie dotyczy to kodeksów mających mieć zastosowanie wyłącznie do przetwarzania danych przez organy publiczne. Monitorowaniem w tych organach zajmuje się inny podmiot sprawujący nadzór nad takim podmiotem publicznym.
W kodeksie branżowym należy także wyznaczyć podmiot monitorujący przestrzeganie kodeksu. Musi on spełniać określone wymagania, w szczególności:
Jak wdrożyć kodeks branżowy? 13 aspektów, które powinien regulować dobrze sporządzony dokument:
1) jakie dane osobowe przetwarza dany sektor,
2) skąd je pozyskuje i w jakiej formie to czyni,
3) retencja danych,
4) przechowywanie dokumentacji tradycyjnej papierowej i zdigitalizowanej,
5) zabezpieczenia dokumentów zawierających dane osobowe,
6) określenie ryzyka – szacowanie ryzyka dla ochrony danych,
7) analiza ryzyka z identyfikacją podatności i prawdopodobieństwa wystąpienia określonego ryzyka w procesie przetwarzania danych osobowych,
8) ocena dla ochrony praw osób,
9) minimalne środki ochrony danych osobowych,
10) przesłanki powołania bądź nie inspektora ochrony danych,
11) transfery danych – w tym udostępnienia oraz powierzenia,
12) wykaz potencjalnych naruszeń ochrony danych osobowych oraz środków zaradczych,
13) sposoby realizowania praw osób, których dane dotyczą.
W toku prac nad kodeksem należy także prowadzić konsultacje. Prowadzi się je:
Tylko w ten sposób zapewnimy, by przepisy kodeksu miały realny wpływ na ochronę procesów przetwarzania danych osobowych.
Do projektu kodeksu należy dołączyć także wnioski wyprowadzone z uwag zgłoszonych w toku konsultacji.
Następnie należy złożyć kompletny wniosek obejmujący projekt kodeksu wraz z wynikiem konsultacji do Prezesa UODO. Ma to na celu uzyskanie opinii o zgodności oraz zatwierdzenia dla wnioskującego zrzeszenia
Jak wskazuje organ nadzorczy „UODO wychodzi naprzeciw każdej inicjatywie, angażując się w wyjaśnianie wszelkich wątpliwości związanych z przepisami i wytycznymi dotyczącymi kodeksu jeszcze przed złożeniem formalnego wniosku o zatwierdzenie. Najczęściej przybiera to formę spotkań z autorami projektów w celu uzyskania wyjaśnień, jak i przekazania ewentualnych wątpliwości czy wskazania problematycznych kwestii, które w danym przypadku będą powodowały kolizje z przepisami o ochronie danych osobowych”
Po zatwierdzeniu kodeks zyskuje moc prawną i może posłużyć do wykazania wywiązywania się z obowiązków wynikających z RODO, w szczególności z art. 32 ust. 3.
W ostatnim kroku Prezes UODO ewidencjonuje kodeks w rejestrze zatwierdzonych kodeksów postępowania. Jeśli zaś kodeks dotyczy czynności przetwarzania w kilku państwach członkowskich UE, rejestr będzie prowadziła Europejska Rada Ochrony Danych.
Przechowywanie danych w chmurze polega na zapisywaniu i zarządzaniu danymi na zdalnych serwerach, które są dostępne przez internet. Zamiast przechowywać pliki na lokalnych dyskach twardych lub serwerach, użytkownicy mogą korzystać z infrastruktury dostarczanej przez dostawców usług chmurowych. Jest to wygodne i efektywne rozwiązanie, które zapewnia dostęp do danych z dowolnego miejsca, elastyczność, skalowalność oraz wysoki poziom bezpieczeństwa i niezawodności.
© Portal Poradyodo.pl
