Deregulacja RODO – jak uprościć przepisy?

Deregulacja RODO to temat, który regularnie wraca w debacie publicznej. Biznes narzeka na formalności, administratorzy danych na zbyt dużą liczbę obowiązków, a prawnicy i IOD-owie na niejasności interpretacyjne. Pytanie brzmi jednak: czy RODO rzeczywiście trzeba deregulować, czy wystarczy sama skuteczna działalności interpretacyjna Organów Nadzorczych?

Odpowiedź nie jest tak prosta, jak mogłoby się wydawać. RODO od początku było zaprojektowane jako regulacja oparta na ryzyku, a więc z założenia daje administratorom znaczną elastyczność. Problem polega na tym, że ta elastyczność często zamienia się w niepewność: firmy nie wiedzą, jak daleko mogą uprościć dokumentację, jak głęboka analiza ryzyka jest wystarczająca, jak prowadzić rejestry, kiedy wykonywać DPIA, a kiedy dane działanie jest już nadmiarowe.

Dyskusję dodatkowo komplikuje tzw. Digital Omnibus, czyli unijny pakiet uproszczeń regulacji cyfrowych. W założeniu ma on zmniejszyć obciążenia administracyjne, w praktyce jednak sam generuje ogromną ilość pracy interpretacyjnej: projekt się zmienia, wymaga opiniowania, budzi spory i angażuje czas instytucji unijnych oraz organów ochrony danych. To szczególnie istotne w kontekście Europejskiej Rady Ochrony Danych, która mogłaby wykorzystać część swoich zasobów na bardziej praktyczne i natychmiast użyteczne działania: harmonizację interpretacji, doprecyzowanie zadań IOD, uproszczenie obowiązków informacyjnych czy przygotowanie wspólnych standardów audytu RODO.

Innymi słowy: zanim zaczniemy pisać RODO od nowa, warto zapytać, czy większego efektu nie da uporządkowanie tych obszarów, które od lat generują najwięcej niepewności w codziennej praktyce.

Najpierw policzmy, co naprawdę kosztuje

Większość dyskusji o deregulacji RODO zaczyna się od emocji. „Jest za dużo dokumentów”, „firmy są przeciążone”, „RODO zabija biznes”. Tylko że z punktu widzenia rozsądnej legislacji to za mało. Żeby nie wpaść z deszczu pod rynnę, ustawodawca musi wiedzieć, co konkretnie nie działa i czym to można zastąpić.

Jeżeli chcemy deregulować skutecznie, najpierw trzeba ustalić, które obszary RODO faktycznie pochłaniają najwięcej czasu i zasobów. Inaczej będziemy zmieniać przepisy intuicyjnie, a nie na podstawie danych.

Przykład? W jednej organizacji największym kosztem może być obsługa umów powierzenia. Dla innej, wysokie koszty może generować prowadzenie rejestru czynności przetwarzania. W jeszcze innej, obsługa żądań osób albo analiza naruszeń. Bez danych nie wiemy, gdzie znajduje się największy potencjał uproszczeń.

Dlatego dobrym punktem wyjścia byłoby podzielenie RODO na praktyczne filary, (tak jak my robimy to już od wielu lat: RODO w praktyce – czyli zrozum RODO w 15 minut) np.:

• legalność przetwarzania,
• świadomość i szkolenia,
• zabezpieczenia i dokumentacja,
• relacja z organem nadzorczym,
• prawa osób, których dane dotyczą.

Dopiero wtedy można zapytać administratorów, IOD-ów i działy compliance: ile czasu miesięcznie poświęcacie na każdy z tych obszarów? Jeżeli okaże się, że jakiś obowiązek generuje dużo pracy, a daje niewielki efekt ochronny, to właśnie tam warto szukać deregulacji.

Pamiętaj: dobra deregulacja zaczyna się od pomiaru, a nie od hasła politycznego.

Nie wymyślajmy koła od nowa

Dyskusja o uproszczeniu ochrony danych osobowych nie zaczęła się dzisiaj. Podobne spory toczyły się już przy wcześniejszych regulacjach, jeszcze przed wejściem w życie RODO. Przedsiębiorcy od lat postulowali zmniejszenie formalności, a organizacje praw człowieka ostrzegały przed osłabieniem ochrony prywatności.

Warto o tym pamiętać, bo wiele współczesnych pomysłów deregulacyjnych było już analizowanych.

Przykład: zwolnienie części przedsiębiorców z obowiązków RODO ze względu na liczbę pracowników. Brzmi prosto, ale w praktyce jest bardzo ryzykowne.

Mała firma technologiczna może przetwarzać dane setek tysięcy użytkowników. Duży zakład produkcyjny może przetwarzać głównie dane pracowników i kontrahentów. Liczba zatrudnionych nie mówi więc wiele o realnym ryzyku dla prywatności.

Podobnie problematyczne jest kryterium liczby rekordów. Co to znaczy „dużo danych”? Czy tysiąc rekordów medycznych to mniej ryzykowne przetwarzanie niż sto tysięcy adresów e-mail? Oczywiście nie.

Dlatego najrozsądniejsze pozostaje już odkryte przez twórców RODO podejście oparte na ryzyku. Nie pytamy tylko, jak duża jest firma. Pytamy:

• jakie dane przetwarza,
• w jakiej skali,
• w jakim celu,
• wobec jakich osób,
• z jakimi konsekwencjami dla ich praw i wolności.

To podejście nie jest idealne, ale jest znacznie bardziej sensowne niż sztywne progi administracyjne.

Trzy drogi uproszczenia RODO

Uproszczenie stosowania RODO nie musi oznaczać natychmiastowej zmiany samego Rozporządzenia. W praktyce mamy trzy możliwe ścieżki.

Pierwsza to zmiana treści RODO. To najtrudniejsza droga, bo wymaga uruchomienia unijnej procedury legislacyjnej: projektu Komisji Europejskiej, prac Parlamentu Europejskiego, Rady, negocjacji i kompromisu politycznego. Takie zmiany są możliwe, ale powolne i kosztowne.

Druga to zmiany w prawie krajowym. Państwa członkowskie mogą w pewnych obszarach doprecyzowywać lub ograniczać stosowanie wybranych obowiązków, ale tylko w granicach wyznaczonych przez RODO, Kartę Praw Podstawowych UE i zasadę proporcjonalności. To oznacza, że Polska nie może po prostu „wyłączyć” części RODO dla wygody lokalnego biznesu.

Trzecia, najbardziej elastyczna, to wytyczne oraz interpretacje organów nadzorczych, w szczególności UODO i Europejskiej Rady Ochrony Danych. W wielu przypadkach firmy nie potrzebują zmiany przepisu. Potrzebują jasnej odpowiedzi: czy można zrobić coś elektronicznie, jak dokumentować dany proces, kiedy DPIA jest konieczna, jak poprawnie prowadzić rejestr albo jak rozumieć obowiązek informacyjny.

Zwróć uwagę: obecna dyskusja wokół Digital Omnibus dobrze pokazuje, że nawet „uproszczenie prawa” może stać się kolejnym skomplikowanym projektem regulacyjnym. EROD i EDPS zasadniczo popierają cel uproszczenia i zwiększania konkurencyjności, ale ich wspólna opinia do Digital Omnibus pokazuje jednocześnie, że szeroki pakiet zmian wymaga wielowątkowej, szczegółowej analizy prawnej.

To oznacza, że proces deregulacyjny sam w sobie zużywa zasoby. Im bardziej zmienny i szeroki jest pakiet zmian, tym więcej czasu rynek poświęca nie na wdrażanie prostszych zasad, ale na śledzenie kolejnych wersji, komentarzy, opinii i ryzyk.

Wytyczne EROD i UODO jako praktyczna droga do deregulacji

Dlatego w wielu obszarach szybszym i tańszym narzędziem mogą być bardziej precyzyjne wytyczne EROD i UODO, a nie od razu zmiana przepisów. Szczególnie tam, gdzie problemem nie jest samo brzmienie RODO, lecz rozbieżna praktyka. W szczególności różnie interpretowane bywają: zadania IOD, prowadzenie RCP przez IOD, standard audytu RODO, uproszczone obowiązki informacyjne, kwalifikacja powierzenia i udostępnienia danych czy praktyka DPIA.

A jeśli mowa o upraszczaniu... Skorzystaj z aplikacji SODO

Dzięki aplikacji SODO możesz "ogarnąć" całe RODO w jednym miejscu. Od prowadzenia rejestrów, poprzez szkolenie zespołu, nadawanie upoważnień, zarządzanie ryzykiem i wiele innych. Dołącz do ponad 50 tys. użytkowników SODO - ułatw sobie życie i zautomatyzuj RODO-procesy. Dowiedz się więcej o SODO Sprawdź

Najdroższy jest nie dokument, ale profesjonalny osąd

W debacie o RODO często przeceniamy koszt samej dokumentacji. Oczywiście przygotowanie polityk, klauzul, rejestrów i procedur wymaga czasu. Ale w praktyce największy koszt pojawia się gdzie indziej: tam, gdzie organizacja musi uruchomić professional judgement, czyli profesjonalny osąd.

To jest moment, w którym nie wystarczy wpisać danych do formularza. Trzeba podjąć decyzję w sytuacji nieoczywistej. Przykładowo zastanawiamy się, czy:

• mamy do czynienia z powierzeniem, czy udostępnieniem?
• trzeba wykonać DPIA, czy wystarczy preDPIA?
• naruszenie wymaga zgłoszenia do UODO?
• uzasadniony interes wystarczy, czy potrzebna jest zgoda?
• dane są jeszcze danymi osobowymi, czy już wystarczająco zanonimizowanym zbiorem?
• IOD może wykonać daną czynność, czy naruszy swoją niezależność?

Każde takie pytanie uruchamia lawinę rozmów, analiz, konsultacji, maili, spotkań i zabezpieczania stanowiska „na przyszłość”. To właśnie ten element, a nie samo wypełnienie wzoru dokumentu, najczęściej przepala najwięcej czasu biznesu, prawników, IOD-ów, IT i zarządu.

Dobra deregulacja powinna więc redukować liczbę sytuacji, w których organizacja musi od nowa przeprowadzać kosztowny profesjonalny osąd. Nie przez obniżenie standardu ochrony danych, ale przez tworzenie jasnych progów, bezpiecznych wzorców, praktycznych wytycznych i standardów rynkowych.

Im mniej decyzji w szarej strefie, tym mniej kosztów. I paradoksalnie, tym większa przewidywalność ochrony danych osobowych.

Duża deregulacja może paradoksalnie zwiększyć koszty

W debacie publicznej często zakłada się, że deregulacja automatycznie oznacza niższe koszty dla biznesu. To uproszczenie. Każda większa zmiana prawa generuje okres przejściowy, niepewność, konieczność aktualizacji dokumentacji, przeszkolenia zespołów i ponownej oceny procesów.

RODO ma swoje wady, ale ma też jedną dużą zaletę: porządkuje sposób myślenia o danych osobowych. Firmy wiedzą, że muszą mieć podstawę prawną, obowiązek informacyjny, ocenę ryzyka, procedurę naruszeń, retencję, umowy z procesorami i mechanizmy realizacji praw osób.

Gdyby nagle znacząco ograniczyć lub usunąć część tych obowiązków, wiele organizacji musiałoby odpowiedzieć na pytanie: czy na pewno łapiemy się na ten wyjątek? Czy nadal informujemy osoby? Jak dokumentujemy zgodność? Jak więc teraz reagujemy na wyciek danych? Czy wystarczy prawo cywilne, dobra osobiste, kodeks pracy, prawo konsumenckie, przepisy sektorowe?

To nie jest uproszczenie. To może być powrót do szarej strefy interpretacyjnej.

RODO daje organizacjom pewien operacyjny komfort: kiedy dochodzi do naruszenia, można działać według procedury. Oceniamy ryzyko, podejmujemy środki zaradcze, analizujemy obowiązek zgłoszenia do UODO i ewentualnie informujemy osoby. Bez takich ram każdy poważny incydent zaczynałby się od kosztownego pytania: „co właściwie powinniśmy teraz zrobić?”.

Ważne: największym kosztem RODO nie zawsze jest sama dokumentacja. Często największym kosztem jest analiza przypadków granicznych. Jeżeli deregulacja zwiększy liczbę takich przypadków, może podnieść koszty doradztwa, obsługi prawnej i wewnętrznych konsultacji.

Deregulacja krajowa ma granice

Lokalne uproszczenia mogą być kuszące, zwłaszcza gdy pojawia się polityczna presja na „cięcie regulacji”. Trzeba jednak pamiętać, że RODO jest rozporządzeniem unijnym i jednym z jego głównych celów było ujednolicenie zasad ochrony danych w całej Unii Europejskiej.

Jeżeli każde państwo członkowskie zacznie tworzyć własne wyjątki, uproszczenia i specjalne ścieżki, wrócimy do problemu, który RODO miało rozwiązać: fragmentacji przepisów.

Dla dużych firm, szczególnie działających międzynarodowo, może to oznaczać nie mniejsze, ale większe koszty. Zamiast jednego modelu compliance dla UE, trzeba będzie analizować lokalne odmienności w każdym państwie.

Dlatego lokalna deregulacja powinna być ostrożna. Można doprecyzowywać, upraszczać, tworzyć praktyczne standardy, ale nie warto rozbijać wspólnego europejskiego modelu ochrony danych.

Najlepszy kierunek? Presja na EROD, Komisję Europejską i krajowe organy nadzorcze, aby wydawały bardziej praktyczne, jednoznaczne i biznesowo użyteczne wytyczne.

Co już kiedyś zadziałało?

W Polsce mamy przykład deregulacji, która faktycznie przyniosła ulgę: ograniczenie obowiązku zgłaszania zbiorów danych osobowych do GIODO. Przed zmianami administratorzy musieli zgłaszać znaczną część zbiorów danych, co generowało dużą liczbę formalności, ale niekoniecznie realnie zwiększało poziom ochrony prywatności.

To dobry przykład mądrej deregulacji. Usunięto obowiązek, który był czasochłonny, formalny i mało efektywny ochronnie.

Jednocześnie warto zauważyć, że nawet ten obowiązek miał pewną funkcję edukacyjną. Składając zgłoszenie, organizacja musiała przynajmniej zastanowić się, jakie dane przetwarza i czy posiada podstawowe zabezpieczenia. Deregulacja była więc uzasadniona, ale nie dlatego, że obowiązek był całkowicie bez sensu. Była uzasadniona dlatego, że jego koszt był nieproporcjonalny do efektu.

To powinien być test dla kolejnych propozycji.

Pytanie nie brzmi: czy dany obowiązek jest uciążliwy?

Pytanie brzmi: czy jego uciążliwość jest proporcjonalna do wartości, którą daje dla ochrony danych?

RODO jest już częściowo ”zderegulowane”

To może brzmieć przewrotnie, ale RODO nie jest klasyczną regulacją opartą wyłącznie na sztywnych nakazach. W wielu miejscach posługuje się klauzulami generalnymi i podejściem opartym na ryzyku.

Administrator nie zawsze dostaje gotową odpowiedź. Ma ocenić ryzyko, dobrać środki, uzasadnić decyzję i wykazać rozliczalność. Z jednej strony to daje elastyczność. Z drugiej, wymaga kompetencji i odpowiedzialności.

Dlatego wiele postulatów deregulacyjnych tak naprawdę dotyczy nie samego tekstu RODO, ale praktyki jego stosowania. Firmy niekoniecznie chcą mniej ochrony danych. Chcą mniej niepewności, mniej nadmiarowych formalności i więcej jasnych standardów.

W praktyce największy potencjał uproszczenia może dotyczyć:

• obowiązków informacyjnych,
• dokumentowania upoważnień,
• umów powierzenia,
• audytów,
• DPIA,
• prowadzenia rejestrów,
• obsługi powtarzalnych, niskiego ryzyka procesów.

Nie trzeba przy tym niszczyć całego systemu. Wystarczy punktowo uprościć te obszary, które stały się administracyjnie zbyt ciężkie. I niekoniecznie trzeba to robić poprzez zmianę treści RODO, w wielu przypadkach wystarczy UODO czy EROD.

Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji - przeszkól zespół

Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?

Sprawdź nasze interaktywne szkolenia e-learningowe.

Sprawdź

A może czasem trzeba doregulować, żeby było taniej?

Deregulacja nie zawsze oznacza mniej przepisów. Czasem realne obniżenie kosztów przynosi… lepsza regulacja.

Brzmi paradoksalnie, ale w usługach profesjonalnych działa to bardzo często. Tam, gdzie nie ma standardów, rośnie znaczenie profesjonalnego osądu. A profesjonalny osąd jest najdroższą częścią usługi doradczej.

Jeżeli każdy audyt RODO wygląda inaczej, każda firma doradcza stosuje własną metodologię, a klient nie wie, czym różni się audyt za 5 000 zł od audytu za 100 000 zł, rynek staje się nieprzejrzysty. Brak standardu zwiększa koszty, utrudnia porównywanie ofert i obniża zaufanie do branży.

Dlatego w wybranych obszarach warto rozważyć nie deregulację, lecz doregulowanie standardu.

Dobrym przykładem jest audyt RODO. Dzisiaj pojęcie „audyt RODO” może oznaczać wszystko: krótką ankietę, przegląd dokumentów, pełny audyt procesowy, testy techniczne, wywiady, próbki, analizę systemów albo raport strategiczny dla zarządu.

Ustandaryzowanie podstawowego zakresu audytu mogłoby przynieść kilka korzyści:

• łatwiejsze porównywanie ofert,
• większą konkurencyjność rynku,
• niższe koszty,
• lepszą jakość,
• większą przewidywalność dla klientów,
• możliwość porównywania wyników między spółkami w grupie.

To samo dotyczy DPIA, preDPIA czy oceny naruszeń. Jeżeli każda organizacja od nowa zastanawia się, jaką metodyką ocenić ryzyko, to płaci nie tylko za analizę, ale również za wymyślenie sposobu analizy. Jeżeli dostanie jasny standard, profesjonalny osąd nie zniknie, ale zostanie ograniczony do przypadków naprawdę trudnych.

Zwróć uwagę: dobra regulacja nie musi zwiększać obciążeń. Może zmniejszać niepewność i ograniczać koszty interpretacyjne.

Jawny rejestr IOD-ów jako praktyczne uproszczenie

Jednym z pomysłów, który zasługuje na poważną dyskusję, jest jawny rejestr Inspektorów Ochrony Danych. Nie jest to rewolucja, ale praktyczne rozwiązanie, które mogłoby poprawić transparentność rynku.

Taki rejestr ułatwi życie wszystkim stronom relacji.

Administrator mógłby łatwo wykazać, kto pełni funkcję IOD. Procesor mógłby potwierdzić dane IOD administratora przy zawieraniu umowy powierzenia. Były IOD mógłby sprawdzić, czy organizacja rzeczywiście wykreśliła go po zakończeniu współpracy. Organ nadzorczy miałby lepszą widoczność rynku i mógłby szybciej identyfikować potencjalne patologie, np. jednego IOD obsługującego kilkaset organizacji. Organizacja wybierająca IOD, od razu widziałaby czy współpraca nie będzie obarczona potencjalnym konfliktem interesów (bo np. IOD obsługuje większość jej klientów czy działa na ogromną skalę). UODO nie musiałby odbierać telefonów i korespondencji od organizacji nie mających pewności co do tego, czy IOD został prawidłowo zgłoszony.

Co istotne, taki rejestr mógłby również ograniczyć inne obowiązki. Skoro dane IOD byłyby łatwo dostępne w jednym miejscu, można byłoby rozważyć rezygnację z obowiązku publikowania ich na stronach internetowych poszczególnych organizacji.

To dobry przykład zmiany, która nie obniża poziomu ochrony danych, a jednocześnie upraszcza praktykę, oszczędza czas.

Jak deregulować RODO mądrze?

Największym błędem byłoby potraktowanie deregulacji jako prostego hasła: „mniej RODO”. Ochrona danych osobowych nie zniknie, bo dane stały się jednym z najważniejszych aktywów gospodarki cyfrowej. Nawet gdyby formalnie ograniczyć część obowiązków, nadal pozostaną ryzyka: prywatnościowe, pracownicze, konsumenckie, cywilne, reputacyjne i cyberbezpieczeństwa.

Dlatego mądra deregulacja powinna spełniać kilka warunków:

1. Musi być oparta na danych o kosztach stosowania RODO.
2. Powinna koncentrować się na obowiązkach o niskiej efektywności ochronnej.
3. Nie może prowadzić do fragmentacji prawa w UE.
4. Powinna odróżniać obowiązki rzeczywiście zbędne od tych, które są po prostu niewygodne.
5. Powinna korzystać z wytycznych i standardów tam, gdzie zmiana Rozporządzenia nie jest konieczna.

W praktyce najlepszy kierunek to nie rewolucja, ale ewolucja:

• prostsze obowiązki informacyjne,
• jaśniejsze wytyczne UODO i EROD,
• standaryzacja audytów,
• jawny rejestr IOD,
• doprecyzowanie praktyki DPIA,
• uproszczenie powtarzalnych procesów niskiego ryzyka,
• lepsze wzory dokumentów i decyzji.

Największy potencjał uproszczenia nie leży w zmianie treści RODO. Leży w ograniczeniu liczby miejsc, w których administrator musi za każdym razem od nowa uruchamiać profesjonalny osąd. Jeżeli EROD i organy krajowe dostarczą więcej jednoznacznych standardów dla zadań IOD, audytów, DPIA, obowiązków informacyjnych i naruszeń, efekt dla biznesu może być szybszy i bardziej praktyczny niż po kolejnej wielkiej reformie przepisów.

Podsumowanie

RODO nie jest regulacją idealną, ale nie jest też wyłącznie biurokratycznym ciężarem. Daje biznesowi ramy działania, porządkuje procesy, ułatwia reagowanie na incydenty i pozwala zarządzać ryzykiem w sposób przewidywalny.

Skuteczna deregulacja powinna więc polegać nie na przypadkowym cięciu obowiązków, lecz na usuwaniu tych formalności, które kosztują dużo, a dają niewielką wartość ochronną. W wielu obszarach wystarczą lepsze wytyczne, standaryzacja i praktyczne interpretacje. Tam, gdzie potrzebna jest zmiana prawa, powinna być poprzedzona analizą kosztów, ryzyk i skutków dla całego rynku.

Najgorsze, co można zrobić, to uprościć RODO tak, że stanie się jeszcze trudniejsze w stosowaniu. Najlepsze, co można zrobić, to zmniejszyć niepewność, uprościć powtarzalne obowiązki i zostawić administratorom jasne reguły gry.

Linki:

1. EDPB | European Data Protection Board
2. Deregulacja a RODO- opinia Krzysztof Podolski
3. Zderegulujmy RODO!
4. RODO dla małych firm – mniej formalności, ta sama ochrona :: SprawdzaMY.com