Kodeks postępowań RODO

Trwają prace nad tworzeniem kodeksów postępowań!

  • Co to jest kodeks postępowania?

Kodeks postępowania to publikacja, która powstaje na mocy artykuły 40 RODO. Ma on na celu wyszczególnienie precyzyjnych zasad i reguł związanych z przetwarzaniem danych osobowych oraz dbaniem o ich bezpieczeństwo w ramach określonych kategorii administratorów lub podmiotów przetwarzających. Można powiedzieć, że kodeks postępowania jest aktem trochę podobnym do kodeksu dobrych praktyk tworzonego przez członków danej branży. Istnieje jednak bardzo ważna różnica pomiędzy tymi dokumentami. Projekt kodeksu postępowania musi być bowiem przedłożony do akceptacji organowi nadzorczemu z zakresu danych osobowych (w Polsce Prezes UODO). Organ ten wydaje opinię o zgodności i zatwierdza kodeks jeśli uzna, że jest poprawnie skonstruowany. W takim przypadku kodeks postepowania staje się aktem o wyższej randze od kodeksu dobrych praktyk i zaczyna być instrumentem o charakterze prawnym.

  • Kto go może utworzyć?

Przepisy RODO zachęcają do tworzenia kodeksów w ramach sektorów o podobnej specyfikacji. Ideą jest dostosowanie zakresu przepisów kodeksu do tematyki przetwarzania związanej z konkretna branżą. Zapisy mają koncentrować się na interpretacji przepisów RODO, ewentualnie, gdy to niezbędne, na ich doprecyzowaniu dla konkretnej branży. Dlatego właśnie kodeks postępowania mogą utworzyć zrzeszenia lub inne podmioty reprezentujące określone kręgi tematyczne.

  • Jaki jest cel kodeksu?

Podstawowym celem kodeksu postępowania jest pomoc we właściwej interpretacji i stosowaniu przepisów o ochronie danych osobowych. Wiąże się to z uwzględnieniem specyfikacji branży oraz wyjściem naprzeciw najbardziej powszechnym potrzebom przedsiębiorców. Co więcej obowiązujące przepisy mogą wymagać doprecyzowania w związku z charakterem przetwarzania w konkretnej dziedzinie. Należy jednak podkreślić, że kodeks postepowania ma ustalać sposoby wdrożenia i realizacji przetwarzania zgodnie z przepisami a nie powielać treść przepisów RODO.

Prezesa Urzędu Ochrony Danych Osobowych komentując zastosowanie kodeksu przyznała, że stosowanie zatwierdzonych kodeksów postępowania będzie istotnym elementem, na podstawie którego będzie można stwierdzić, że administrator danych wywiązuje się z ciążących na nim obowiązków.  Przyjęcie kodeksu postępowania będzie mogło być również uznane za okoliczność łagodzącą w przypadku kontroli administratora lub podmiotu przetwarzającego oraz podjęciu decyzji o nałożeniu i wysokości administracyjnej kary pieniężnej.

  • Prace nad kodeksami postepowania w Polsce

Zagadnienie tworzenia kodeksów postępowań zostało poruszone w Polsce jeszcze przed wejściem w życie RODO. Dnia 11 stycznia bieżącego roku miało miejsce spotkanie zorganizowane przez Generalnego Inspektora Ochrony Danych Osobowych ( obecnie przekształcony w Prezesa Urzędu Ochrony Danych Osobowych) dotyczące właśnie tej tematyki. Zaproszenie otrzymali przedstawiciele środowisk, które już zaczęły prace nad tworzeniem kodeksu dla swojej branży. Celem była wymiana opinii i doświadczeń, a także wypracowanie praktycznych wniosków dla twórców kodeksów.

Nie był to jednak koniec współpracy Prezes UODO z różnymi środowiskami w zakresie tworzenia kodeksów. Kolejne wspólne spotkanie miało miejsce 19 września. Podczas niego przedstawiciele UODO podkreślali konieczność przeprowadzenia szerokich konsultacji w toku prac nad kodeksem. Warto podkreślić, że nie mieli oni na myśli konsultacji wewnętrznych między organizacjami jednej branży ale zapoznanie się z opiniami interesariuszy danej grupy np. ich kontrahentami i klientami. Ponadto wskazywano na konieczność precyzyjnego i niespiesznego tworzenia kodeksów z uwagi na fakt, że staną się one po zatwierdzeniu standardami postępowania.

Kolejne spotkanie dla różnych środowisk planowane jest na koniec roku. Do tego czasu ma być przeprowadzony szereg indywidualnych spotkań z konkretnymi zrzeszeniami, które pracują nad stworzeniem kodeksu postępowania. Warte zauważenia jest, że część środowisk jest już bardzo zaawansowana w prowadzonych pracach.