Uwaga na oferty i wymuszenia związane z RODO

Im bliżej do 25 maja 2018 r., czyli dnia rozpoczęcia stosowania ogólnego rozporządzenia o ochronie danych (RODO), tym częściej do firm i instytucji kierowane są oferty skorzystania z różnego rodzaju usług, przygotowujących je do osiągnięcia zgodności z RODO.

Część tych ofert konstruowana w sposób, który może wprowadzać adresatów w błąd. Z jednej strony usiłuje się bowiem nakłonić ich do skorzystania z pomocy czy wsparcia, bez którego narażają się np. na wysokie kary finansowe. Z drugiej zaś próbuje się wywołać wrażenie, że np. udział w szkoleniu czy kupno dokumentacji bądź przeprowadzenie audytu da gwarancję, że podmiot, który skorzystał z takiej oferty, działa w sposób zgodny z RODO i nie grożą mu żadne sankcje ze strony organu nadzorczego, czyli GIODO.

Dlatego Generalny Inspektor Ochrony Danych Osobowych (GIODO) przestrzega, by decydując się na usługi lub pomoc podmiotu zewnętrznego oraz dokonując wyboru oferty, zachować dużą ostrożność. Dotyczy to zwłaszcza przypadków, w których:

• proponuje się kupno certyfikatów, zwłaszcza tych, które mają gwarantować, że legitymujący się nimi podmiot postępuje zgodnie z RODO, co uchroni go np. przed kontrolą ze strony urzędu,
• żąda się przedstawienia określonych informacji lub dokumentów pod groźbą „oddania sprawy do GIODO, sądu i prokuratury”, a jednocześnie oferuje kupno produktów lub usług.

GIODO radzi, by firmy i instytucje, przygotowując się do osiągnięcia zgodności z nowymi przepisami, przed podjęciem decyzji o skorzystaniu z ofert podmiotów trzecich:

• samodzielnie dokonały przeglądu swoich działań i zdefiniowały swoje potrzeby w zakresie ochrony danych osobowych – m.in. określiły, jakiego wsparcia potrzebują, jaką wiedzę chciałyby zdobyć podczas szkoleń czy warsztatów,
• skrupulatnie weryfikowały firmy, które oferują swoje wsparcie i pomoc; sprawdzały, czy w ogóle istnieją, jaką mają wiarygodność i doświadczenie w problematyce ochrony danych osobowych,
• dokładnie analizowały wszystkie informacje zawarte w otrzymywanych ofertach i nie podejmowały żadnych decyzji pochopnie, pod wpływem emocji.

Jednocześnie GIODO przypomina, że na razie żaden podmiot nie wydaje certyfikatów, znaków jakości oraz oznaczeń w zakresie ochrony danych osobowych mających świadczyć o osiągnięciu zgodności z RODO. Certyfikacja taka będzie mogła być prowadzona jedynie przez podmioty akredytowane, lecz by mogło to nastąpić potrzebne jest przeprowadzenie jeszcze wielu działań przygotowawczych o charakterze proceduralnym i organizacyjnym. Mogą one jednak zostać rozpoczęte dopiero po 25 maja 2018 r.

Warto też pamiętać, że żadne kursy, szkolenia, warsztaty nie są obowiązkowe, a udział w nich nie gwarantuje osiągnięcia zgodności funkcjonowania firmy z RODO, jeżeli nie przeprowadzi się solidnej inwentaryzacji wykonywanych czynności przetwarzania danych osobowych i samodzielnie nie oceni ich zgodności z zasadami określonymi w RODO i w przepisach prawa regulujących dany proces przetwarzania w określonej dziedzinie, np. szkolnictwie, służbie zdrowia, bankowości, handlu itp.

GIODO wskazuje też, by w sytuacjach, kiedy działania konkretnych firm noszą znamiona przestępstwa, zgłaszać takie przypadki organom ścigania.