25 RODO a obowiązki podmiotu zobowiązanego w praktyce prawnej

Artykuł 25 Ogólnego Rozporządzenia o Ochronie Danych (RODO) stanowi jeden z najbardziej kluczowych, a zarazem wymagających przepisów europejskiego prawa o ochronie danych osobowych. Wprowadza on dwie fundamentalne zasady, które zrewolucjonizowały podejście do projektowania systemów informatycznych i procesów biznesowych: ochronę danych w fazie projektowania (privacy by design) oraz domyślną ochronę danych (privacy by default). Choć pojęcia te brzmią teoretycznie, nakładają one na administratorów danych bardzo konkretny i egzekwowalny obowiązek prawny. W codziennej praktyce prawnej i biznesowej właściwa realizacja art. 25 RODO decyduje o tym, czy organizacja działa zgodnie z prawem, czy też naraża się na dotkliwe kary finansowe nakładane przez organ nadzorczy.

Istota art. 25 RODO: Privacy by Design oraz Privacy by Default

Zrozumienie obowiązków wynikających z art. 25 RODO wymaga dokładnej analizy obu pojęć, które stanowią fundament tego przepisu. Pierwsza z nich, czyli ochrona danych w fazie projektowania (privacy by design), wymaga od administratora, aby już na etapie planowania nowego procesu, usługi, aplikacji czy systemu informatycznego uwzględnił wymogi ochrony danych osobowych. Oznacza to, że ochrona prywatności nie może być traktowana jako element dodawany na samym końcu projektu, lecz jako jego integralna część od samego początku. Administrator musi wdrożyć odpowiednie środki techniczne i organizacyjne, takie jak m.in. pseudonimizacja, które mają na celu skuteczną realizację zasad ochrony danych.

Z kolei domyślna ochrona danych (privacy by default) nakłada na podmiot zobowiązany obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia konkretnego celu przetwarzania. Zasada ta odnosi się do ilości zbieranych danych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W praktyce oznacza to, że użytkownik końcowy nie powinien być zmuszany do samodzielnej zmiany ustawień prywatności na bardziej rygorystyczne – system musi być maksymalnie bezpieczny i chronić prywatność w sposób automatyczny, bez jakiejkolwiek ingerencji ze strony osoby, której dane dotyczą.

Kto jest podmiotem zobowiązanym i jaki jest zakres odpowiedzialności?

Głównym adresatem obowiązków określonych w art. 25 RODO jest administrator danych osobowych. To na nim spoczywa pełna odpowiedzialność za wykazanie, że projektowane i wdrażane rozwiązania są zgodne z zasadami ochrony prywatności. Warto jednak zauważyć, że w praktyce gospodarczej administratorzy rzadko samodzielnie tworzą oprogramowanie czy systemy IT. Najczęściej korzystają z usług zewnętrznych dostawców, czyli podmiotów przetwarzających (procesorów) lub producentów oprogramowania. Chociaż art. 25 RODO bezpośrednio obliguje administratora, to w praktyce rynkowej wymóg ten przekłada się na konieczność konstruowania odpowiednich umów powierzenia przetwarzania danych oraz specyfikacji zamówień publicznych i prywatnych.

Administrator, wybierając dostawcę oprogramowania lub usług, ma obowiązek zweryfikować, czy dany podmiot gwarantuje wdrożenie odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie spełniało wymogi RODO. W ten sposób obowiązek z art. 25 RODO pośrednio wpływa na cały łańcuch dostawców technologii informatycznych, zmuszając ich do oferowania produktów zgodnych z zasadami privacy by design i privacy by default.

Kryteria doboru środków technicznych i organizacyjnych

Artykuł 25 ust. 1 RODO wskazuje precyzyjnie, jakie czynniki administrator musi wziąć pod uwagę przy wdrażaniu odpowiednich środków. Nie ma jednego uniwersalnego szablonu zabezpieczeń – każdy podmiot zobowiązany musi dokonać indywidualnej oceny, uwzględniając następujące kryteria:

Stan wiedzy technicznej: Administrator powinien śledzić rozwój technologiczny i stosować nowoczesne, aktualne rozwiązania zabezpieczające. Stosowanie przestarzałych technologii może zostać uznane za naruszenie art. 25 RODO.
Koszt wdrożenia: Przepis ten racjonalizuje obowiązki administratora, pozwalając na uwzględnienie kosztów finansowych. Niemniej jednak, wysokie koszty nie mogą być prostym usprawiedliwieniem dla całkowitego zaniechania ochrony danych.
Charakter, zakres, kontekst i cele przetwarzania: Środki muszą być dopasowane do specyfiki działalności. Inne zabezpieczenia będą wymagane w małym sklepie internetowym, a inne w instytucji finansowej czy szpitalu przetwarzającym dane wrażliwe.
Ryzyko naruszenia praw lub wolności osób fizycznych: Administrator must ocenić prawdopodobieństwo i wagę zagrożeń dla prywatności użytkowników. Służy temu m.in. analiza ryzyka oraz ocena skutków dla ochrony danych (DPIA).

Procedura wdrożenia zasad art. 25 RODO krok po kroku

Aby skutecznie zrealizować obowiązek wynikający z art. 25 RODO, podmiot zobowiązany powinien postępować zgodnie z usystematyzowaną procedurą. Poniżej przedstawiamy praktyczny algorytm postępowania:

Inicjacja projektu i analiza wymagań: Na samym początku planowania nowego przedsięwzięcia (np. wdrożenia systemu CRM, aplikacji mobilnej czy programu lojalnościowego) należy powołać zespół projektowy, w skład którego wejdzie Inspektor Ochrony Danych (IOD) lub zewnętrzny doradca prawny.
Przeprowadzenie analizy ryzyka (i ewentualnie DPIA): Należy zidentyfikować potencjalne zagrożenia dla danych osobowych oraz ocenić ich wpływ na prywatność użytkowników. Jeśli planowane przetwarzanie wiąże się z wysokim ryzykiem, niezbędne jest przeprowadzenie pełnej oceny skutków dla ochrony danych.
Określenie minimalnego katalogu danych (Minimalizacja): Należy precyzyjnie ustalić, jakie dane są absolutnie niezbędne do realizacji celu biznesowego. Wszelkie dane nadmiarowe powinny zostać usunięte z projektu na tym etapie.
Zaprojektowanie domyślnych ustawień prywatności: System musi być skonfigurowany tak, aby domyślnie chronił użytkownika. Przykładowo, profile użytkowników w portalu społecznościowym powinny być domyślnie prywatne, a zgody marketingowe – niezaznaczone.
Wdrożenie środków technicznych: Należy zastosować odpowiednie technologie, takie jak szyfrowanie danych w spoczynku i w transmisji, pseudonimizacja, systemy kontroli dostępu oraz mechanizmy logowania operacji na danych.
Wdrożenie środków organizacyjnych: Obejmuje to przygotowanie odpowiednich procedur, polityk bezpieczeństwa, przeszkolenie personelu oraz podpisanie umów powierzenia przetwarzania danych z podwykonawcami.
Testowanie i audyt: Przed produkcyjnym uruchomieniem systemu należy przeprowadzić testy bezpieczeństwa (np. testy penetracyjne) oraz audyt zgodności z RODO, aby upewnić się, że wdrożone środki działają prawidłowo.

Rola organu nadzorczego i konsekwencje niedopełnienia obowiązków

Prezes Urzędu Ochrony Danych Osobowych (UODO) jako organ nadzorczy w Polsce kładzie ogromny nacisk na realizację obowiązków wynikających z art. 25 RODO. W przypadku kontroli lub po wpłynięciu skargi od osoby, której dane dotyczą, organ będzie badał nie tylko to, czy doszło do wycieku danych, ale również to, czy administrator dopełnił należytej staranności na etapie projektowania systemu. Brak odpowiedniej dokumentacji potwierdzającej przeprowadzenie analizy privacy by design może być samodzielną podstawą do nałożenia kary.

Konsekwencje naruszenia art. 25 RODO mogą być niezwykle dotkliwe. Zgodnie z przepisami rozporządzenia, organ nadzorczy może nałożyć administracyjną karę pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Ponadto organ może wydać nakaz dostosowania operacji przetwarzania do przepisów w określonym terminie, co w praktyce może oznaczać konieczność natychmiastowego wyłączenia niezgodnego z prawem systemu informatycznego i paraliż działalności operacyjnej firmy.

Najczęstsze błędy popełniane przez administratorów

W praktyce prawnej można zidentyfikować kilka powtarzających się błędów, które popełniają podmioty zobowiązane podczas realizacji wymogów art. 25 RODO. Pierwszym z nich jest traktowanie ochrony danych jako formalności realizowanej na samym końcu projektu, tuż przed jego wdrożeniem. Taka postawa często prowadzi do sytuacji, w której zmiana architektury systemu jest już niemożliwa lub niezwykle kosztowna, co skutkuje wdrożeniem rozwiązania niezgodnego z prawem.

Kolejnym błędem jest stosowanie domyślnie zaznaczonych zgód (tzw. opt-out) na przetwarzanie danych w celach marketingowych lub profilowanie. Jest to bezpośrednie naruszenie zasady privacy by default. Administratorzy często zapominają również o obowiązku regularnego przeglądu i aktualizacji wdrożonych środków. Technologia rozwija się w szybkim tempie, a zabezpieczenia, które były skuteczne dwa lata temu, dziś mogą okazać się niewystarczające. Brak okresowych audytów i testów podatności to prosta droga do incydentu bezpieczeństwa.

Praktyczny przykład zastosowania art. 25 RODO

Aby lepiej zobrazować, jak zasady te działają w praktyce, posłużmy się przykładem firmy handlowej, która planuje uruchomienie nowej aplikacji mobilnej dla swojego programu lojalnościowego. Zgodnie z art. 25 RODO, firma ta nie może po prostu zlecić agencji software house stworzenia aplikacji bez jasnych wytycznych dotyczących ochrony prywatności. Wniosek o rozpoczęcie prac projektowych powinien od razu uwzględniać wymagania prawne.

W fazie projektowania (privacy by design) zespół ustala, że aplikacja będzie zbierać jedynie imię, adres e-mail oraz historię zakupów. Rezygnuje się z pobierania numeru PESEL czy dokładnej lokalizacji GPS użytkownika, gdyż nie są one niezbędne do naliczania rabatów. Dane w bazie będą pseudonimizowane, a transmisja między aplikacją a serwerem – w pełni szyfrowana.

W zakresie domyślnej ochrony danych (privacy by default) aplikacja po zainstalowaniu ma automatycznie ustawione najwyższe opcje prywatności. Oznacza to, że domyślnie wyłączone jest śledzenie zachowań użytkownika w celu personalizacji reklam oraz przesyłanie powiadomień push o charakterze marketingowym. Jeśli użytkownik chce korzystać z tych funkcji, musi samodzielnie i świadomie wyrazić na to zgodę w ustawieniach aplikacji (zasada opt-in). Ponadto, w przypadku braku aktywności konta przez okres 12 miesięcy, dane użytkownika są automatycznie usuwane lub poddawane nieodwracalnej anonimizacji, co realizuje zasadę ograniczenia przechowywania.

Podsumowanie i rekomendacje dla praktyków

Artykuł 25 RODO to nie tylko biurokratyczny wymóg, ale przede wszystkim narzędzie budowania przewagi konkurencyjnej i zaufania klientów. Wdrożenie zasad privacy by design oraz privacy by default wymaga ścisłej współpracy pomiędzy działem prawnym, inspektorem ochrony danych a zespołem IT i biznesem. Kluczem do sukcesu jest odpowiednie dokumentowanie każdego etapu projektowania procesów przetwarzania danych. W razie kontroli ze strony organu nadzorczego, to właśnie ta dokumentacja – w tym przeprowadzona analiza ryzyka, protokoły z testów oraz specyfikacje techniczne – będzie stanowiła główny dowód na to, że podmiot zobowiązany dopełnił swoich obowiązków z należytą starannością. Inwestycja w poprawną architekturę ochrony danych na samym początku projektu jest zawsze znacznie tańsza i bezpieczniejsza niż późniejsze modyfikacje gotowych systemów czy płacenie wysokich kar administracyjnych.