Komisja Europejska rozważa uproszczenia w ochronie danych osobowych, by zwiększyć konkurencyjność unijnego rynku. Choć czekamy jeszcze na konkretne propozycje legislacyjne, to temat wzbudza rosnące zainteresowanie i spekulacje wśród praktyków ochrony danych osobowych.

Jednym z głównych celów Komisji Europejskiej w ostatnim czasie jest zwiększenie konkurencyjności rynku Unii Europejskiej na arenie międzynarodowej. Jednym z obszarów tych działań jest upraszczanie przepisów – zbędnych, trudnych, a przede wszystkim uciążliwych dla biznesu, w szczególności sektora małych i średnich przedsiębiorstw.

Ogólne rozporządzenie o ochronie danych osobowych wskazywane jest dość powszechnie jako nadmiernie biurokratyczne i niezróżnicowane pod względem obowiązków, które nakłada na wszystkich przetwarzających dane osobowe. Pytanie tylko, czy i w jaki sposób „nożyczki” deregulacyjne dosięgną również RODO?

W jaki sposób deregulować RODO?

Formalnie najprościej, a w praktyce najtrudniej – RODO możemy zderegulować przede wszystkim przez zmianę przepisów samego rozporządzenia. Jeżeli nie będzie to możliwe, przynajmniej w niektórych aspektach, to poszczególne państwa członkowskie mogą podjąć decyzję o ograniczeniu zakresu obowiązków i praw, powołując się na art. 23 RODO.

Może to dotyczyć:

obowiązków informacyjnych i realizacji praw podmiotów danych
informowania osób o naruszeniu ochrony danych

Dotychczas państwa członkowskie nie były chętne na korzystanie z tego prawa. Być może jednak obecna popularność ruchów deregulacyjnych skłoni je do działania w tym zakresie, nawet jeśli nie doczekamy się oficjalnej propozycji Komisji Europejskiej.

Przechodząc do aspektu merytorycznego „jak” deregulować RODO, pojawiają się propozycje, by różnicować obowiązki w zależności od podmiotu, który przetwarza dane. Inaczej zatem MŚP, a inaczej wielkie przedsiębiorstwa. Znaczenie mogłoby mieć zarówno to, jakie dane są przetwarzane (np. dane szczególnych kategorii), jak i w jakiej skali – np. przez podmioty, które „żyją” z przetwarzania danych.

Gdzie deregulować RODO?

Ochrona prywatności danych jest jednym z filarów praw i wolności europejskich, dlatego do każdego działania potencjalnie naruszającego jakość jej ochrony należy podchodzić z ostrożnością.

Choć rzeczywiście nadmierna deregulacja przepisów może wzbudzać uzasadnioną obawę o utratę tej jakości, RODO ma takie obszary, które nadają się do odformalizowania.

Przede wszystkim, można rozważyć ograniczenie ilości informacji, które przekazywane są w rozbudowanych klauzulach informacyjnych. Obecnie administratorzy przekazują każdorazowo około 12 różnych informacji związanych z przetwarzaniem danych osobowych. Choć najczęściej da się je umieścić na jednej stronie, przy zwykłym przeglądaniu Internetu takich stron widzimy przeciętnie kilkanaście – każda strona ma swój obowiązek informacyjny.

Wpływa to na tzw. „przeładowanie informacyjne”, którym zajmowała się nawet EROD. Dzięki wytycznym Rady, już przy pierwszym kontakcie z witryną internetową, kiedy nasze dane są zbierane, otrzymujemy skróconą klauzulę informacyjną (informacje o administratorze danych, celach przetwarzania i naszych prawach oraz link do pozostałych informacji). Pytanie, czy tych „pozostałych informacji” musi być aż tak dużo?

Dokumentacja ochrony danych osobowych to kolejny obszar nadający się do odformalizowania. Przykładowo, sektor MŚP mógłby być zwolniony z obowiązku prowadzenia rejestru czynności przetwarzania, a politykę prywatności można by przygotowywać w oparciu o check-listę.

Wydaje się, że z takim podejściem zgadza się też EROD. Rada odpowiedziała na propozycję zmian przygotowanych przez KE w zakresie prowadzenia rejestrów czynności przetwarzania i rejestrów kategorii przetwarzania danych osobowych tj. art. 30 ust. 5 RODO.

Proponuje się, aby zwolnienie dotyczyło podmiotów, które zatrudniają mniej niż 500 pracowników i spełniają określony próg obrotów (obecnie wyłączenie dotyczy przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób).

Jednocześnie KE rozważa zmianę przesłanki z obecnego brzmienia „chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą” na wersję zakładającą, że przetwarzanie nie powoduje wysokiego ryzyka. Taka zmiana stanowiłaby zaostrzenie obowiązującego przepisu.

Co planuje Komisja Europejska?

Na ten moment wiadomo, że Komisja Europejska powinna przygotować propozycję deregulacji „do czerwca”. Z zainteresowaniem będziemy śledzić rozwój wydarzeń w najbliższych tygodniach.

Paulina Kleszcz