Firmy niegotowe na RODO, głównie z braku czasu

Od 25 maja tego roku zacznie obowiązywać Ogólne Rozporządzenie o Ochronie Danych (tzw. RODO). Dotyczy ono wszystkich, którzy przetwarzają dane osobowe w związku z prowadzoną działalnością gospodarczą.

Raport Deloitte pokazuje, że podejście do RODO i wydatki organizacji na ten cel w krajach EMEA są bardzo zróżnicowane. W badaniu brały udział zarówno organizacje zatrudniające mniej niż 10 000 pracowników, których wydatki na osiągnięcie zgodności z RODO sięgają ponad 2,5 mln euro, jak i te, które zatrudniają ponad 50 000 pracowników, a na wdrożenie jego przepisów wydadzą mniej niż 250 000 euro.

Ponad jedna trzecia respondentów (39 proc.) na dostosowanie się do nowych przepisów wydała lub zamierza wydać poniżej 100 tys. euro, a 15 proc. deklaruje wydatki przekraczające 5 mln euro. Nie ma zależności między wielkością organizacji (pod względem liczby zatrudnionych lub przychodów) a poziomem wydatków.

Jedynie 15 proc. firm szacuje, że będzie dostosowana do wymagań RODO do maja 2018 r. Większość organizacji wskazuje na brak wystarczającej ilości czasu na podjęcie niezbędnych ku temu działań. Jedna trzecia respondentów nie określiła jeszcze, ilu dodatkowych pracowników będzie musiała zatrudnić do zarządzania danymi zgodnie z przepisami RODO, a 45 proc. nie zweryfikowało podstaw prawnych do przetwarzania danych. Z drugiej strony 38 proc. firm poważnie podchodzi do przygotowań i spodziewa się, że dokona przeglądu wszystkich umów dotyczących przetwarzania danych przed wejściem regulacji w życie.

– Z odpowiedzi respondentów wynika, że z uwagi na niejednoznaczność tekstu rozporządzenia oraz złożoność jego wymogów, wiele organizacji jest gotowa narazić się na ryzyko otrzymania kary lub utraty klientów. Ponad połowa ankietowanych (54 proc.) przyjrzała się uważniej wymogom RODO dopiero, gdy dowiedziała się o możliwości otrzymania kary w wysokości do 4 proc. globalnego obrotu firmy - komentuje Agata Jankowska-Galińska, radca prawny w kancelarii Deloitte Legal.

Co ze zgodami klientów?

Zgoda na przetwarzanie danych jest jednym z wymogów, który może mieć bezpośredni wpływ na kontakty z klientami. Zaledwie jeden na dziesięciu respondentów uważa, że ​​ich aktualne zgody są wystarczające. Aż 57 proc. nie zdecydowało jeszcze w jaki sposób zapewnić, by były dostosowane do RODO.

– Ponowne zebranie zgód będzie konieczne, jeżeli nie będą spełniały one standardu RODO lub jeżeli firma nie będzie w stanie wykazać, że osoba, której dane dotyczą wyraziła zgodę na ich przetwarzanie. W praktyce oznacza to, że organizacje mogą stanąć przed zadaniem ponownego uzyskania zgód klientów. Nie dziwi więc fakt, że wielu firmom to się nie podoba. Taka procedura wiąże się z ryzykiem, że osoby fizyczne nie wyrażą nowej zgody, co uniemożliwi prowadzenie działalności względem tych klientów w dotychczasowym kształcie – mówi Agata Jankowska-Galińska.

Możliwe scenariusze

Zdaniem ekspertów z Deloitte, kluczowym wyzwaniem stojącym przed firmami w kwestii RODO, jest oszacowanie liczby osób fizycznych, które będą chciały skorzystać np. z nowego prawa do bycia zapomnianym.

Większość organizacji uważa, że mniej problematyczny będzie dla nich obowiązek przenoszenia danych niż prawo klientów do bycia zapomnianym. 64 proc. respondentów nie przygotowało jeszcze szacunków dotyczących liczby wniosków o usunięcie danych, które prawdopodobnie otrzyma po wprowadzeniu RODO. Wynika to głównie z trudności w przewidywaniu, w jaki sposób poszczególne osoby będą korzystać z tego prawa. Z kolei 59 proc. ankietowanych nie oszacowało jeszcze liczby wniosków o przeniesienie danych, które mogą otrzymać po wejściu w życie przepisów. Ponad jedna piąta (21 proc.) nie planuje odnosić się do tego wymogu, a 26 proc. zareaguje na nie doraźnie. 42 proc. zamierza przenosić dane ręcznie, a pozostałe 11 proc. automatycznie.

– Jedno z największych wyzwań stanowi realizacja prawa do bycia zapomnianym. Bezpowrotnie minęły czasy, gdy dane klientów mieliśmy poukładane w centralnych systemach i bazach danych. Obecnie dane są wszędzie – na komputerach użytkowników, poczcie elektronicznej, na urządzeniach mobilnych, czy w chmurze. Wyzwaniem nie jest więc kwestia samego usuwania danych, ale wręcz zrozumienia, gdzie i jakie dane posiadamy – komentuje Marcin Lisiecki, menedżer w dziale cyberbezpieczeństwa Deloitte.

Mimo trudności z właściwym dostosowaniem prowadzonej działalności do wymogów rozporządzenia, 61 proc. respondentów widzi korzyści płynące z działań podejmowanych w celu zapewnienia zgodności z RODO.

– Wdrożenie RODO pozwala organizacjom inteligentnie wykorzystywać dane osobowe w celu wzmocnienia swojej wartości. Zastosowanie innowacyjnych rozwiązań do spełnienia wymagań RODO może pomóc firmom dostrzec duży wpływ ochrony danych na działalność całej organizacji. Kluczem jest inteligentna implementacja zmian, aby zgodność z RODO rzeczywiście przyniosła wartość dodaną firmie. Organizacje powinny koncentrować się nie tylko na tym, co należy zrobić, by spełnić wszystkie wymogi prawne, ale także na tym, jak zapewnić długoterminowe korzyści dla swojego biznesu dzięki nowym przepisom – mówi Agata Jankowska- Galińska.

Respondentami badania “The time is now. The Deloitte General Data Protection Regulation Benchmarking Survey” byli przedstawiciele firm z różnorodnych branż w regionie EMEA, które są odpowiedzialne za zarządzanie danymi, aspekty prawne oraz bezpieczeństwo IT.