Jeśli chcesz dowiedzieć się, czym jest privacy by design i dlaczego może być opłacalnym obowiązkiem, przeczytaj wpis Privacy by design. Chroń dane osobowe, zanim je pozyskasz.
Kogo zaangażować do pracy nad privacy by design?
Nie wystarczy doraźnie konsultować się ze specjalistą ds. ochrony danych osobowych. Efektywne wdrożenie zasady privacy by design to wyzwanie dla całego zespołu, który będzie pracował nad usługą, aplikacją czy stroną internetową.
W modelowym scenariuszu będą to:
- Inspektor ochrony danych (IOD),
- przedstawiciele Działu Prawnego i Działu Compliance,
- przedstawiciele Działu PR i Marketingu,
- zespół UX,
- zespół deweloperski,
- specjaliści ds. bezpieczeństwa systemów informatycznych.
Inspektor Ochrony Danych (IOD)
Rola IOD w zakresie privacy by design będzie polegała na szeroko pojętym opiniowaniu nowych projektów/procesów/zmian pod kątem zgodności z przepisami prawa dotyczącymi ochrony danych osobowych. Dlatego pamiętaj – IOD powinien uczestniczyć już we wczesnych etapach wdrażania nowych projektów. Jeśli firma tworzy produkt korzystając z usług podwykonawcy, IOD powinien zaangażować się już przy wyborze najlepszego zleceniobiorcy. Informuj go o wszystkich planowanych przedsięwzięciach, które związane są z przetwarzaniem danych osobowych.
Oto przykład, który ilustruje, dlaczego w tej kwestii obowiązuje zasada “im wcześniej, tym lepiej”:
Nasz zespół dołączył do projektu, który rozpoczął się 2 miesiące wcześniej. W tym przypadku założeniem biznesowym klienta było ograniczenie widoczności wybranych elementów aplikacji z uwagi na położenie geolokalizacyjne.
Szybko stało się jasne, że to rozwiązanie, którego nie sposób pogodzić z obowiązującym prawem, istnieje bowiem rozporządzenie zabraniające dyskryminacji z uwagi na położenie geolokalizacyjne. Strata? “Jedynie” 2 miesiące pracy. Wyobraź sobie jednak, co by było, gdyby klient zaangażował nas np. na etapie developmentu.
Do zadań IOD należy m.in.:
- Ustalenie zakresu informacji, które będą pobierane od klientów/użytkowników projektowanej usługi. Kluczowe będzie tu zastosowanie zasady minimalizacji danych, zgodnie z którą dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.Oprócz zasady minimalizacji danych IOD będzie odpowiedzialny za wydanie właściwych rekomendacji dotyczących spełnienia zasady ograniczenia celu czy zasady prawidłowości, które nierozerwalnie wiążą się z celami, w których dane osobowe mają być przetwarzane.
- Określenie dopuszczalnego okresu przechowania danych, zwanego retencją danych. Na przykład w ramach projektowania rozwiązań dla sklepu internetowego wskazówką dla wyznaczania okresu może być okres przedawnienia zobowiązań podatkowych oraz okres przedawnienia roszczeń.
- Ustalenie, co powinien zapewnić system/aplikacja/oprogramowanie w zakresie realizacji praw osób. Będzie on zatem odpowiedzialny za określenie zasad dotyczących dostępu do danych, sprostowania, usuwania, przygotowywania kopii danych itp. Warto od razu ustalić, jak dokładnie użytkownik będzie mógł zmieniać swoje dane osobowe, np. wskazać konkretną funkcję serwisu.
- Przygotowanie treści zgód dla osób, których dane będą przetwarzane w projektowanym rozwiązaniu oraz przygotowanie obowiązków informacyjnych (tzw. klauzul informacyjnych). Ponadto w niektórych przypadkach to IOD przygotuje treść polityki prywatności, w której może opisać sposób, w jaki będziesz chronić prywatność swoich użytkowników.
Jeśli w Twojej organizacji nie powołano IOD, to zawsze możesz skorzystać z usług zewnętrznego konsultanta. Może być on niezbędny również w przedsięwzięciach na mniejszą skalę.
Dział Prawny i Dział Compliance
Głównym zadaniem Działu Prawnego oraz Compliance będzie badanie kwestii zgodności projektu z regulacjami prawnymi przez cały okres jego projektowania i wytwarzania. Jeśli projektowana aplikacja czy program będzie wymagał opracowania regulaminu dla użytkowników, to właśnie Dział Prawny będzie odpowiedzialny za ich przygotowanie. Regulamin to właściwe miejsce do określenia i opisania:
- obowiązków informacyjnych wynikających z RODO,
- ustawy o ochronie danych osobowych,
- ustawy Prawo telekomunikacyjne,
- ustawy o świadczeniu usług drogą elektroniczną,
- innych przepisów prawa w zależności od kontekstu projektu.
Pamiętaj, że IOD powinien ściśle współpracować z Działem Prawnym i Compliance. Zdarza się, że przedstawiciele działów prawnych są świadomi swoich braków wiedzy w zakresie ochrony danych osobowych i proszą o wsparcie IOD z firmy zewnętrznej. Praktyka rynkowa pokazuje, że organizacje często obsadzają na tym stanowisku pracownika mało doświadczonego w tej materii. Robią to tylko po to, aby spełnić wymóg formalny. W praktyce i tak finalnie angażują zewnętrznego eksperta, który sprosta wyzwaniom projektowym.
Jeśli w Twojej organizacji nie ma takich jednostek organizacyjnych, skorzystaj z usług firm zewnętrznych. W zależności od projektu może się okazać, że pomoc Kancelarii Prawnej nie będzie konieczna i być może wystarczy tylko wsparcie IOD.
