W dyskusjach o RODO często koncentrujemy się na obowiązkach administratorów, wysokości kar administracyjnych czy kolejnych zmianach przepisów. Znacznie rzadziej zadajemy sobie pytanie, co jest impulsem do ich powstawania.
Tymczasem odpowiedź bardzo często jest zaskakująco prosta. Człowiek.
To właśnie zgłoszenia obywateli, skargi, petycje czy sygnalizowanie problemów przez organizacje i instytucje niejednokrotnie stają się początkiem szerszej dyskusji o potrzebie zmian. Organ nadzorczy analizuje konkretną sytuację, identyfikuje lukę systemową, a następnie przedstawia rekomendacje lub inicjuje dialog z ustawodawcą.
Dobrym przykładem jest ostatnia petycja przekazana przez Prezesa UODO do Ministra Zdrowia dotycząca potrzeby uregulowania zasad korzystania ze smartfonów przez pacjentów przebywających na zamkniętych oddziałach psychiatrycznych.
Co istotne, impulsem do podjęcia tego tematu nie była kontrola ani postępowanie administracyjne. Punktem wyjścia była petycja przygotowana przez rodzinę jednego z pacjentów.
Sprawa dotyczy niezwykle wrażliwego obszaru – ochrony danych dotyczących zdrowia oraz prawa pacjentów do prywatności. Dzisiejsze smartfony nie służą wyłącznie komunikacji. Umożliwiają nagrywanie obrazu i dźwięku, prowadzenie transmisji na żywo czy natychmiastową publikację materiałów w mediach społecznościowych. W przypadku oddziałów psychiatrycznych może to prowadzić do ujawnienia szczególnych kategorii danych osobowych oraz naruszenia praw innych pacjentów.
Prezes UODO, mimo że nie posiada inicjatywy ustawodawczej, zadeklarował gotowość wsparcia eksperckiego przy ewentualnych pracach legislacyjnych.
Ta sytuacja pokazuje coś znacznie szerszego.
W obszarze ochrony danych osobowych prawo nie funkcjonuje w oderwaniu od rzeczywistości. Ewoluuje wraz z pojawiającymi się wyzwaniami technologicznymi oraz problemami zgłaszanymi przez obywateli i organizacje.
To ważna lekcja również dla administratorów danych.
Czasmi można spotkać się z przekonaniem, że skoro określona praktyka od lat funkcjonuje w organizacji i nikt dotychczas jej nie zakwestionował, nie wymaga ona zmian. To ryzykowne założenie. Za każdym procesem przetwarzania danych stoi człowiek – pracownik, klient, pacjent, rodzic czy kontrahent. Każda z tych osób ma prawo zadać pytanie, złożyć skargę do organu nadzorczego, zwrócić uwagę na potencjalne naruszenie lub zakwestionować sposób przetwarzania swoich danych.
To właśnie pojedyncze zgłoszenia bardzo często stają się początkiem znacznie większych zmian. Dlatego zgodność z przepisami nie powinna być postrzegana jako działanie podejmowane wyłącznie z obawy przed kontrolą. To przede wszystkim budowanie organizacji, która rozumie, że ochrona danych osobowych zaczyna się od poszanowania praw człowieka. A tam, gdzie te prawa są traktowane poważnie, zgodność z przepisami staje się naturalną konsekwencją, a nie jedynie obowiązkiem.