Kiedy system IT staje się „zgodny z RODO”?

Rewo­lu­cja w ochro­nie danych, koniecz­ność dosto­so­wa­nia sys­te­mów IT do wymo­gów ogól­ne­go roz­po­rzą­dze­nia o ochro­nie danych potocz­nie nazy­wa­ne­go RODO czy wresz­cie strach przed poten­cjal­na moż­li­wo­ścią nało­że­nia sank­cji w posta­ci kar finan­so­wych mogą­cych wynieść do 4% ogól­ne­go świa­to­we­go obro­tu czy 20 mln €. Te i nie tyl­ko te nagłów­ki pra­so­we napę­dza­ją dotych­czas niszo­wy rynek usług praw­nych oraz kon­sul­tin­go­wych doty­czą­cych usług z zakre­su ochro­ny danych oso­bo­wych. Moż­na spo­tkać się z wie­lo­ma opra­co­wa­nia­mi (lub będąc nie­co bar­dziej kry­tycz­nym: nie do koń­ca udol­ny­mi pró­ba­mi stwo­rze­nia takich opra­co­wań) doty­czą­cych tego jak RODO prze­kła­da się na wymo­gi sta­wia­ne sys­te­mom IT. Dzi­siej­szy wpis zosta­nie poświę­co­ny wła­śnie temu zagadnieniu.

Dotychczasowa regulacja…

W funk­cjo­nu­ją­cym od 1997 roku reżi­mie pra­wa ochro­ny danych kwe­stia wymo­gów wzglę­dem sys­te­mów IT zosta­ła okre­ślo­na dość pre­cy­zyj­nie. Na mocy roz­po­rzą­dze­nia Mini­stra Spraw Wewnętrz­nych i Admi­ni­stra­cji z dnia 29 kwiet­nia 2004 r. w spra­wie doku­men­ta­cji prze­twa­rza­nia danych oso­bo­wych oraz warun­ków tech­nicz­nych i orga­ni­za­cyj­nych, jakim powin­ny odpo­wia­dać urzą­dze­nia i sys­te­my infor­ma­tycz­ne słu­żą­ce do prze­twa­rza­nia danych oso­bo­wych kwe­stia ta zosta­ła dość pre­cy­zyj­nie usta­lo­na. Z jed­nej stro­ny mogli­by­śmy powie­dzieć, że to bar­dzo korzyst­na sytu­acja – wie­my w jaki spo­sób kon­stru­ować sys­te­my IT, w jakie funk­cjo­nal­no­ści je wypo­sa­żać, aby były zgod­ne z pra­wem ochro­ny danych. Z dru­giej stro­ny… przy­ję­ta w 2004 roku regu­la­cja nie zosta­ła zmie­nio­na przez ostat­nie 14 lat ani razu. Zmie­ni­ła się nato­miast rze­czy­wi­stość w któ­rej żyje­my (korzy­sta­nie z sys­te­mów IT spo­wsze­dnia­ło i trud­no zna­leźć przed­się­bior­cę nie­wy­ko­rzy­stu­ją­ce­go choć­by pocz­ty e‑mail). Zmie­ni­ły się też sys­te­my. Prze­twa­rza­my w nich nie­wy­obra­żal­ne dla realiów z 2004 roku rodza­je i ilo­ści danych. Eks­plo­atu­je­my te dane spo­so­ba­mi, któ­re w 2004 r. moż­na było uwa­żać za fan­ta­sty­kę – inte­li­gent­ne pom­py insu­li­no­we czy roz­rusz­ni­ki ser­ca. Minia­tu­ro­we urzą­dze­nia wypo­sa­żo­ne w mikro­sys­te­my ope­ra­cyj­ne zarzą­dza­ją­ce ich pra­cą oraz syn­chro­ni­zu­ją­ce się z więk­szy­mi sys­te­ma­mi e‑zdrowia. To codzien­ność nie tyl­ko w zaawan­so­wa­nych pla­ców­kach medycz­nych, ale tak­że i w prze­cięt­nych szpi­ta­lach powiatowych.

…i jej problemy

Spo­glą­da­jąc na wyżej opi­sa­ną sytu­ację nor­ma­tyw­ną nie­co kry­tycz­nie może­my stwier­dzić, że pol­ski usta­wo­daw­ca jak­by zapo­mniał dosto­so­wać wymo­gi sta­wia­ne przez pra­wo ochro­ny danych sys­te­mom IT. Funk­cjo­nu­ją­ce w 2018 r. obo­wiąz­ki zamia­ny hasła co 30 dni nijak mają się do rze­czy­wi­sto­ści, w któ­rej wymia­na danych czy uwie­rzy­tel­nia­nie odby­wa się po API lub spe­cjal­nych toke­nach utwo­rzo­nych w tych celach. W roz­wią­za­niach tych po pro­stu nie ma żad­nych logi­nów i haseł. A zatem para­dok­sal­nie – choć roz­wią­za­nia te są dużo bar­dziej tech­nicz­nie bez­piecz­ne i dopra­co­wa­ne to jed­no­cze­śnie… nie mogą speł­nić pod­sta­wo­wych wymo­gów roz­po­rzą­dze­nia z 2004 roku! Sytu­acja for­mal­nej zgod­no­ści z pra­wem powo­du­je zatem jed­no­cze­śnie sytu­ację kształ­to­wa­nia praw pod­mio­tów danych w spo­sób nie­zgo­dy z prze­pi­sa­mi pra­wa ochro­ny danych osobowych.

Co na to wszystko RODO?

W toku prac nad ogól­nym roz­po­rzą­dze­niem o ochro­nie danych dostrze­żo­no wyżej opi­sa­ne pro­ble­my. Nie wystę­pu­ją on tyl­ko w Pol­sce, ale tak­że w innych pań­stwach człon­kow­skich, któ­re har­mo­ni­zo­wa­ły swo­je pra­wo ochro­ny danych w opar­ciu o dyrek­ty­wę 95/46/WE Par­la­men­tu Euro­pej­skie­go i Rady z dnia 24 paź­dzier­ni­ka 1995 r. w spra­wie ochro­ny osób fizycz­nych w zakre­sie prze­twa­rza­nia danych oso­bo­wych i swo­bod­ne­go prze­pły­wu tych danych. Dyrek­ty­wa ta to oczy­wi­ście akt, któ­ry jest uchy­la­ny przez samo RODO (wyni­ka to nawet z tytu­łu RODO).

Twór­cy RODO for­mu­łu­jąc pew­ne myśli prze­wod­nie swo­ich prac kie­ro­wa­li się kil­ko­ma zało­że­nia­mi naczel­ny­mi. Jed­nym z takich zało­żeń było stwo­rze­nie neu­tral­ne­go tech­no­lo­gicz­nie pra­wa. Neu­tral­ność tech­no­lo­gicz­na w zamy­śle twór­ców RODO ma ozna­czać dąże­nie do sytu­acji, w któ­rej two­rząc pra­wo ochro­ny danych usta­wo­daw­cy będą korzy­sta­li z pew­nej naczel­nej regu­ły – two­rzo­ne przez nich pra­wo nie będzie w żaden spo­sób okre­śla­ło kon­kret­nych roz­wią­zań tech­no­lo­gicz­nych mają­cych stać na stra­ży danych oso­bo­wych. Prze­kła­da­jąc to na język RODO – nie będzie wska­zy­wa­ło na żad­ne kon­kret­ne środ­ki orga­ni­za­cyj­ne i techniczne.

Znaczenie neutralności technologicznej dla praktyki

Prze­cho­dząc do odpo­wie­dzi na naj­waż­niej­sze pyta­nie – jak zatem w świe­tle zasa­dy neu­tral­no­ści tech­no­lo­gicz­nej zbu­do­wać sys­tem IT zgod­ny z RODO? Odpo­wia­da­jąc w skró­cie: RODO nie wyma­ga aby sys­te­my IT były z RODO zgod­ne. Co wię­cej – wspo­mnia­na zasa­da neu­tral­no­ści tech­no­lo­gicz­nej zabra­nia przyj­mo­wa­nia prze­pi­sów, na pod­sta­wie któ­rych mogli­by­śmy pró­bo­wać stwier­dzić czy dany zestaw narzę­dzi IT jest zgo­dy z RODO. Slo­gan w posta­ci „sys­te­mu zgod­ne­go z RODO” – tak ocho­czo wyko­rzy­sty­wa­ny przez mar­ke­ting roz­mi­ja się zatem zupeł­nie z pod­sta­wo­wym zało­że­niem przy­świe­ca­ją­cym RODO – neu­tral­no­ści tech­no­lo­gicz­nej. RODO wyma­ga od twór­ców i użyt­kow­ni­ków sys­te­mów IT cze­goś inne­go – aby sys­te­my te potra­fi­ły speł­niać kon­kret­ne funk­cjo­nal­no­ści przez RODO wska­za­ne. Oraz by potra­fi­ły dzia­łać w okre­ślo­ny przez RODO spo­sób. To w jaki kon­kret­nie tech­nicz­ny spo­sób uda im się osią­gnąć ten cel nie jest już w żaden spo­sób przez RODO pre­cy­zo­wa­ne. Sam zaś spo­sób sfor­mu­ło­wa­nia tego, co powin­ny dane sys­te­my móc reali­zo­wać też nie jest do koń­ca jed­no­znacz­ny. Przy­czy­ną takie­go spo­so­bu sfor­mu­ło­wa­nia prze­pi­sów jest tak­że wspo­mnia­na już zasa­da neu­tral­no­ści tech­no­lo­gicz­nej. Cel? Aby prze­pi­sy RODO pozo­sta­ły aktu­al­ne przez wię­cej niż kil­ka lat w obli­czu galo­pu­ją­ce­go roz­wo­ju tech­no­lo­gii. Czy się uda? Nie­wąt­pli­wie, prę­dzej czy póź­niej prze­ko­na­my się o tym.