W RODO trzeba rozróżnić dwie kwestie: podstawę prawną przetwarzania oraz obowiązki bezpieczeństwa. Zgoda osoby, której dane dotyczą, jest jedną z możliwych podstaw legalizujących samo przetwarzanie, ale nie oznacza, że administrator może dowolnie obniżyć poziom ochrony.
Art. 32 RODO nakłada na administratora i podmiot przetwarzający obowiązek zastosowania odpowiednich środków technicznych i organizacyjnych, z uwzględnieniem m.in. stanu wiedzy technicznej, kosztów wdrożenia, charakteru i zakresu przetwarzania oraz ryzyka naruszenia praw i wolności osób fizycznych. W praktyce oznacza to m.in. stosowanie kontroli dostępu, szyfrowania/pseudonimizacji tam, gdzie to zasadne, zapewnienie ciągłej poufności i integralności systemów oraz regularne testowanie zabezpieczeń.
Dlatego prawdziwe jest stwierdzenie, że danych osobowych nie należy przechowywać na niezabezpieczonym serwerze nawet wtedy, gdy klient "wyrazi zgodę" na taki sposób przechowywania. Zgoda nie uchyla obowiązków administratora wynikających z RODO. Dodatkowo zasada integralności i poufności (art. 5 ust. 1 lit. f) wymaga, aby przetwarzanie odbywało się w sposób zapewniający odpowiednie bezpieczeństwo danych.
Dlaczego pozostałe odpowiedzi są błędne?
- "…jeśli klient wyraził zgodę" – to typowe nieporozumienie: zgoda nie jest "zwolnieniem" z zabezpieczeń, a administrator nadal odpowiada za naruszenia.
- "…jeśli jest to konieczne dla realizacji usług" – konieczność realizacji zadania nie usprawiedliwia wyboru niebezpiecznego rozwiązania; nadal trzeba dobrać zabezpieczenia adekwatne do ryzyka.
- "Żadne z powyższych…" – jest fałszywe, bo jedno stwierdzenie jest zgodne z obowiązkiem zapewnienia bezpieczeństwa.
W pracy technika administracji praktyczny wniosek jest prosty: nawet jeśli klient prosi o przetwarzanie w sposób ryzykowny, urząd musi stosować wymagane zabezpieczenia i może odmówić realizacji żądania sprzecznego z zasadami ochrony danych.
