Twój przewodnik po zgodności z RODO w 2024 r.

Co łączy TikToka, Amazon, Meta i Google z H&M, British Airways i Marriott International?

Nie martw się. To nie jest łamigłówka. Odpowiedź jest taka, że wszystkie te domowe marki płacą wysokie grzywny za naruszenia zgodności z GDPR po niewłaściwym obchodzeniu się z danymi osobowymi.

W przypadku Meta zliczyliśmy prawie 2,5 miliarda dolarów (2,277 mld euro) kar od początku 2022 r., w tym jedno naruszenie o rekordowej wysokości 1,3 mld dolarów (1,2 mld euro).

Amazon zajął drugie miejsce z przychodami rzędu 807 mln USD (746 mln EUR).

Niżej na liście znalazły się marki takie jak Vodafone i Telenor, a także kilka banków, uniwersytetów, restauracji, a nawet osoby prywatne, które otrzymały pięciocyfrowe kary za niezgodność z RODO.

To nie jest klub, do którego chcesz dołączyć. Nawet drobne naruszenia GDPR wiążą się z poważnymi karami.

Aby Ci w tym pomóc, przygotowaliśmy ten przewodnik, który ułatwi wdrożenie najlepszych praktyk w zakresie strategii zapewnienia zgodności z rozporządzeniem RODO w Twojej organizacji.

Spis treści

Rozporządzenie ogólne o ochronie danych (RODO) to kompleksowe prawo dotyczące ochrony danych, które reguluje sposób, w jaki organizacje gromadzą, wykorzystują i chronią dane osobowe osób fizycznych w Unii Europejskiej (UE).

Rozporządzenie RODO, które weszło w życie 25 maja 2018 r., ma na celu zapewnienie osobom fizycznym („podmiotom danych”) większej kontroli nad swoimi danymi osobowymi oraz ujednolicenie przepisów dotyczących ochrony danych w całej UE.

Zgodność z RODO oznacza stosowanie się do przepisów i zasad określonych w przepisach podczas gromadzenia, przechowywania, przetwarzania i zarządzania danymi osobowymi.

Są to:

Legalność, uczciwość i przejrzystość: Organizacje muszą mieć podstawę prawną do przetwarzania danych i jasno określić, w jaki sposób zbierają, wykorzystują i udostępniają dane osobowe.
Ograniczenie celu: Dane powinny być gromadzone w uzasadnionych celach i nie mogą być przetwarzane w sposób sprzeczny z tymi celami.
Minimalizacja danych: Zbieraj wyłącznie dane adekwatne i istotne dla zamierzonego celu.
Dokładność: Dane osobowe muszą być dokładne i aktualne. Organizacje muszą podjąć wszelkie rozsądne kroki w celu usunięcia lub sprostowania niedokładnych danych osobowych.
Ograniczenie przechowywania: Dane powinny być przechowywane w formie umożliwiającej identyfikację wyłącznie tak długo, jak jest to konieczne.
Integralność i poufność: Dane muszą być przetwarzane w sposób bezpieczny, aby zapobiec nieautoryzowanemu dostępowi, utracie lub uszkodzeniu.
Odpowiedzialność: Organizacje muszą wykazać zgodność z przepisami i ponosić za nie odpowiedzialność.

Przepisy te nie dotyczą tylko danych klientów. Pracownicy, potencjalni pracownicy, osoby odwiedzające strony internetowe, dostawcy, dostawcy oprogramowania – GDPR obejmuje każdą „osobę fizyczną lub prawną”, której dane trafiają do systemów Twojej organizacji.

Podmiotom danych przysługują jasno określone prawa na mocy RODO, w tym prawo do:

Bądź poinformowany o tym, w jaki sposób przetwarzane są ich dane osobowe, w tym o celach, podstawach prawnych i okresach przechowywania danych.
Dostęp ich danych osobowych i uzyskać potwierdzenie, czy przetwarzane są dane osobowe ich dotyczące.
Prostować niezwłocznego usunięcia dotyczących jej nieprawidłowych danych osobowych.
Być zapomnianymco oznacza, że ich dane zostaną usunięte bez zbędnej zwłoki.
Ogranicz przetwarzanie swoich danych osobowych w pewnych okolicznościach.
Otrzymaj dane osobowe dostarczyli i przekazali te dane innemu administratorowi (spółce).
Obiekt do firm przetwarzających ich dane osobowe.
Nie podlegać do decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli wynik ten ich dotyczy, np. targetowanie reklam.

Patrząc na tę listę, widać wyraźnie, że zapewnienie zgodności z RODO jest skomplikowane i wymaga dużych zasobów.

Zgodność z RODO ma wpływ na rekrutację, dokumentację pracowniczą, politykę pracy zdalnej, kampanie marketingowe i wiele innych działań biznesowych.

Dlaczego więc liczba naruszeń jest tak niska?

Pomimo miliardów wydanych w formie kar, mniej niż 2100 przypadków zostały sfinalizowane w 2018 roku.

Jedna z analiz Europejskiego Centrum Praw Cyfrowych – kto tworzy własną markę noc Do nie twoja sprawa – sugeruje, że nie wynika to z faktu, że większość organizacji stosuje się do przepisów.

Ponieważ organy regulacyjne nie znalazły przyczyn problemu.

Gdy noyb przeprowadził ankietę wśród ponad 1000 starszych specjalistów ds. danychodpowiedzi wskazywały na „kulturę nieprzestrzegania przepisów”:

74,4% zgodziło się ze stwierdzeniem, że przeciętna firma naruszyłaby przepisy RODO, gdyby jutro zapukały do jej drzwi organy regulacyjne.
56% respondentów z działów sprzedaży i marketingu (38,5% ogółem) stwierdziło, że trudno jest przekonać kadrę zarządzającą wyższego szczebla, że zgodność z rozporządzeniem RODO jest ważna.
51,3% stwierdziło, że dostawcy spoza UE/EOG byli niechętni wdrażaniu środków zgodnych z RODO, w porównaniu do 22,3% dostawców z UE/EOG

Co najbardziej niepokojące, jedna trzecia respondentów (32,3%) stwierdziła, że odczuwa presję ze strony wyższej kadry kierowniczej, aby ograniczyć zgodność z RODO.

Co to wszystko oznacza dla Twojej organizacji?

Niestety, dowody wskazują, że jeśli masz wątpliwości, czy Twoja firma przestrzega przepisów, to prawdopodobnie tak nie jest.

Nawet organizacje mające dobre intencje narażają się na ryzyko nieprzestrzegania przepisów z uwagi na sposób, w jaki działają na co dzień.

1. Słabe protokoły bezpieczeństwa

Niewystarczające środki bezpieczeństwa, takie jak przechowywanie danych osobowych w niezabezpieczonych lokalizacjach, mogą doprowadzić do wycieku danych, który ujawni poufne informacje.

2. Brak zgody

Zbieranie i przetwarzanie danych osobowych bez wyraźnej zgody jest częstym naruszeniem. To właśnie zrobił Amazon, aby ściągnąć na siebie karę 807 milionów dolarów, chociaż szczegóły są skąpe, a firma się odwołuje.

3. Nie ma dobrego powodu

Dane są dobre, ale zbieranie ich więcej niż potrzebujesz do określonego celu jest sprzeczne z RODO. Na przykład oprogramowanie marketingowe, które zbiera zbyt dużo danych lub platformy HR, które przechowują niepotrzebne dane osobowe.

4. Prawa podmiotu danych

Nieprzestrzeganie praw osób fizycznych do dostępu, sprostowania lub usunięcia ich danych lub utrudnianie wykonywania tych praw jest naruszeniem RODO.

5. Szkolenie pracowników

Niewłaściwe obchodzenie się pracowników z danymi z powodu braku świadomości GDPR może prowadzić do nieumyślnych naruszeń. Obejmuje to dostęp zespołu do danych osobowych bez zgody lub utratę danych z powodu nieostrożności.

6. Transfery danych

Niewłaściwe przesyłanie danych poza UE (w celu przetwarzania, analizy lub przechowywania) narusza zasady ochrony danych, nawet jeśli dane nigdy nie opuszczą Twojego ekosystemu. W ten sposób Meta ściągnęła rekordowe grzywny w 2023 r.

7. Ryzyko osób trzecich

Poleganie na dostawcach usług bez odpowiednich zabezpieczeń umownych lub niedopełnienie obowiązku należytej staranności naraża Twoją organizację na ryzyko.

8. Brak współpracy z władzami

Utrudnianie pracy regulatorom lub niezgłaszanie naruszeń ochrony danych w ciągu 72 godzin doprowadziło w ostatnich latach do nałożenia setek kar pieniężnych na mocy RODO.

Kary finansowe

Niedostosowanie się do przepisów może skutkować karami finansowymi w wysokości do 2% rocznego globalnego obrotu lub 10,8 mln USD (10 mln EUR), w zależności od tego, która kwota jest wyższa.

Oczywiście, większość grzywien nie jest tak wysoka. Jednak powtarzające się naruszenia pociągają za sobą powtarzające się grzywny, które gromadzą ogromne sumy.

Koszty prawne

Poszkodowani mogą wnieść pozwy o odszkodowanie za szkody spowodowane naruszeniem danych lub innymi naruszeniami. Organy ścigania i grupy aktywistów prawnych, takie jak noyb, mogą również wszcząć postępowanie sądowe.

Koszty tych dochodzeń, honorariów prawnych i potencjalnych szkód szybko rosną. Ponadto będziesz musiał szybko naprawić problemy ze zgodnością, co nie będzie tanie.

Uszkodzenie reputacji

Nieprzestrzeganie przepisów podważa zaufanie klientów. Klienci mogą zdecydować się na współpracę z firmami, które priorytetowo traktują ochronę danych.

Widzieliśmy to zarówno w przypadku organizacji o dużym znaczeniu, jak i małych firm.

Naruszenia danych i incydenty dotyczące prywatności również negatywnie wpływają na morale i produktywność pracowników. Ludziom trudno zaufać pracodawcy, który oszczędza na kosztach.

Zakłócenie działalności gospodarczej

Naruszenia RODO i wynikające z nich dochodzenia zakłócają działalność firmy, prowadząc do strat produktywności.

Nieprzestrzeganie przepisów może również utrudniać ekspansję do UE lub regionów o rygorystycznych przepisach dotyczących ochrony danych. Kilka firm spoza Europy zostało zmuszonych do zmiany sposobu działania, aby uniknąć ponownego popełnienia przestępstwa.

Nie próbujemy Cię przestraszyć. Rozumiemy, że GDPR jest skomplikowane, a wiele małych i średnich firm nie ma zasobów, aby grać w whack-a-mole z problemami zgodności.

Jednak nie ma lepszego momentu niż teraz, aby zacząć zajmować się tymi problemami.

Uczyń strategię zgodności jednym ze swoich priorytetów na nadchodzący kwartał. Na początek skorzystaj z naszego przewodnika.

Oto kilka strategii zgodności z RODO, które ochronią Twoją organizację, zwiększą zaufanie klientów i pewność pracowników w kwestii danych.

Podzieliliśmy strategie na „projekty”, aby pomóc Ci przyspieszyć realizację planu.

Mapowanie i ocena danych

Zidentyfikuj dane osobowe: Określ rodzaje danych osobowych, które Twoja organizacja zbiera, przetwarza i przechowuje.
Oceń działania przetwarzania: Oceń, w jaki sposób dane są wykorzystywane, udostępniane i chronione przez cały cykl ich życia.
Ocena ryzyka: Zidentyfikuj potencjalne ryzyka związane z brakiem zgodności, ustal priorytety pilnych zagrożeń i wdróż odpowiednie zabezpieczenia.
Przemyśl procesy pracy zdalnej: Organizacje globalne ryzykują naruszenia, jeśli wysyłają dane osobowe poza Europę bez pozwolenia. Obejmuje to pozornie niewinne działania, takie jak wysyłanie arkuszy kalkulacyjnych lub udostępnianie loginów do systemów bez funkcji GDPR.

Minimalizacja i retencja danych

Zbieraj tylko niezbędne dane: Zbieraj tylko dane niezbędne do realizacji konkretnych celów.
Zasady przechowywania danych: Ustal jasne wytyczne i procedury dotyczące przechowywania, aktualizacji i usuwania danych.
Regularne audyty danych: Regularnie przeglądaj dane, aby mieć pewność, że są aktualne i dokładne.

Uzyskaj ważną zgodę: Przejrzyj zgodę na przetwarzanie danych, aby mieć pewność, że przekazywana przez Ciebie informacja jest konkretna i jednoznaczna.
Zgoda na dokument: Przechowuj dokumentację dotyczącą zgód.
Zarządzaj preferencjami zgody: Ułatw ludziom wycofanie lub zmianę zgody.

Szkolenie pracowników

Świadomość RODO: Edukuj pracowników na wszystkich szczeblach na temat zasad RODO i ich obowiązków.
Szkolenie z zakresu ochrony danych: Zapewnij specjalistyczne szkolenia dotyczące procedur przetwarzania danych i najlepszych praktyk bezpieczeństwa.
Regularne aktualizacje: Informuj pracowników o zmianach w przepisach i polityce organizacyjnej.

Bezpieczeństwo danych

Ocena ryzyka: Zidentyfikuj potencjalne luki w zabezpieczeniach danych.
Zabezpieczenia techniczne: Wprowadź szyfrowanie, kontrolę dostępu i środki zapobiegające utracie danych.
Plan reagowania na incydenty: Opracuj plan skutecznego i efektywnego reagowania na naruszenia danych.

Prawa podmiotu danych

Żądania dostępu: Ustanowić procedury obsługi wniosków o dostęp do danych.
Sprostowanie i usunięcie: Wdrożenie procesów korygowania lub usuwania nieprawidłowych lub niepotrzebnych danych.
Przenoszenie danych: Na żądanie udostępniamy mechanizmy umożliwiające transfer danych.

Zarządzanie przez osoby trzecie

Należyta staranność: Oceń zgodność z RODO zewnętrznych dostawców usług przetwarzających dane osobowe.
Zobowiązania umowne: Upewnij się, że umowy o świadczenie usług i kontrakty zawierają klauzule dotyczące ochrony danych.
Śledź transfery: Zmapuj miejsca, w których przetwarzane są dane, ponieważ niektórzy dostawcy oprogramowania mogą nie informować o korzystaniu z serwerów znajdujących się poza UE.
Regularne monitorowanie: Monitoruj wydajność i zgodność działań stron trzecich.

Analityka siły roboczej opiera się na danych osobowych. Wszystkie te wspaniałe spostrzeżenia, które uzyskujesz dzięki integracji analityki siły roboczej z systemami, zależą od tego.

Ważne jest, aby podchodzić do analizy siły roboczej z nastawieniem na prywatność. Upewnij się, że wszelkie dane zbierane lub przetwarzane w UE/EOG lub od obywateli regionu są zgodne z zasadami GDPR.

Gdy już będziesz zadowolony, możesz zbadać sposoby, w jakie analiza siły roboczej proaktywnie zapewnia zgodność z RODO.

Wprowadziliśmy więcej funkcji skoncentrowanych na zgodności, aby pomóc Ci monitorować ryzyko i zrozumieć skalę braku zgodności:

Dokładne śledzenie czasu
Szczegółowe raportowanie
Monitorowanie w czasie rzeczywistym
Automatyczne alerty
Wiodące w branży bezpieczeństwo danych

Przejrzystość i spostrzeżenia, jakie można uzyskać dzięki analizie siły roboczej, są kluczowe dla zachowania zgodności z przepisami, identyfikowania wzorców niepokojących zachowań i zapewniania ukierunkowanych szkoleń, aby zapobiec ich ponownemu wystąpieniu.

Jeśli masz jakiekolwiek pytania lub potrzebujesz wskazówek dotyczących ochrony prywatności w miejscu pracy, nie wahaj się skontaktować z naszym zespołem wsparcia.

Twój przewodnik po zgodności z RODO w 2024 r.