Coraz więcej organizacji, chcąc uporządkować RODO w różnych gałęziach biznesu tworzy tak zwane kodeksy branżowe. Podlegają one akceptacji przez organ nadzorczy. Występujące braki oraz błędy podczas składania wniosku o zatwierdzenie kodeksu branżowego znacznie wydłużają całą procedurę. W związku z tym Prezes Urzędu Ochrony Danych Osobowych postanowił wskazać podmiotom, które zamierzają stworzyć kodeks branżowy najczęściej popełniane błędy podczas prac nad projektami kodeksów postępowania.

Brak odpowiedniego uzasadnienia projektu kodeksu branżowego

W ocenie organu nadzorczego uzasadnienie projektu kodeksu powinno w sposób jasny i precyzyjny określać cel, zakres oraz sposób w jaki ułatwi on skuteczne stosowanie RODO. Uzasadnienie to powinno stanowić wstęp do kodeksu, lub być jego osobnym rozdziałem. Brak właściwego uzasadnienia, to pierwszy błąd, z którym spotykają się organy badające treść projektów kodeksów branżowych.

Konieczność wykazania przez wnioskodawcę, że reprezentuje większość środowiska, którego ma dotyczyć kodeks

Jak wskazuje Prezes Urzędu Ochrony Danych Osobowych, dochodzi do przypadków, w których podmiot wnioskujący o zatwierdzenie kodeksu nie reprezentuje większości sektora. Twórcy kodeksów obowiązani są do wykazania, że są faktycznym organem przedstawicielskim i że potrafią zrozumieć potrzeby swoich członków. Tak więc wnioskodawca musi udowodnić, że stanowi rzeczywistą reprezentację środowiska, w imieniu którego składa wniosek o zatwierdzenie kodeksu.

Brak wskazania podmiotu, który jest wnioskodawcą

Często dochodzi do sytuacji, w której żaden z uprawnionych podmiotów nie podejmuje się przyjęcia roli wnioskodawcy w postępowaniu o zatwierdzenie kodeksu. W przypadku braku konkretnego wnioskodawcy projekt nie może zostać rozpatrzony.

Nieprawidłowości podczas przeprowadzania konsultacji

Kolejnym problemem, który często występuje podczas składania wniosku o zatwierdzenie kodeksu postępowania jest sposób przeprowadzenia konsultacji. Jak wskazuje organ nadzorczy w tej kwestii występują skrajne nurty- zbyt wąski zakres przeprowadzonych konsultacji, którym nie obejmuje się np. osób, których dane dotyczą oraz przedstawianie zbyt szczegółowego sprawozdania z konsultacji. Jak wskazuje natomiast Prezes Urzędu Ochrony Danych Osobowych wnioskodawca powinien przedstawić „syntetyczne sprawozdanie z przeprowadzonych konsultacji, zawierające kluczowe kwestie z nimi związane. Należy podkreślić, że rolą Prezesa Urzędu nie jest analiza obszernej dokumentacji, stanowiącej odzwierciedlenie całego przebiegu przeprowadzonych konsultacji, a jedynie ocena, czy konsultacje zostały przeprowadzone w odpowiednim zakresie, jak również to, czy oraz jakie przepisy projektu kodeksu postępowania zostały zmodyfikowane w efekcie przeprowadzonych konsultacji.”.

Przepisanie do kodeksu przepisów RODO

Równie często spotykanym błędem popełnianym przez twórców kodeksów postępowania jest przepisywanie regulacji zawartych w Rozporządzeniu RODO lub w ustawie o ochronie danych osobowych bez ich późniejszego wytłumaczenia w sposób konkretny, praktyczny i precyzyjny. Kodeksy postępowania mają bowiem na celu pomoc we właściwym stosowaniu przepisów RODO w określonej branży, a nie być bezrefleksyjnym powieleniem istniejących już regulacji.

Pomijanie przepisów sektorowych, opinii, stanowisk EROD oraz orzecznictwa

Jak wskazuje Prezes Urzędu Ochrony Danych Osobowych twórcy kodeksów postępowania zazwyczaj bazują na przepisach samego Rozporządzenia RODO oraz ustawy o ochronie danych osobowych. Przy redagowaniu kodeksów pomijają przepisy sektorowe, wytyczne, opinie i stanowiska EROD. Ponadto nie powołują się oni na istniejące orzecznictwo rozstrzygające zagadnienia regulowane w kodeksie. W ocenie Prezesa UODO, wszystkie przepisy prawa i dokumenty wyjaśniające mające wpływ na procesy przetwarzania powinny zostać przez twórców kodeksów uwzględnione w przygotowaniu jego treści.