GDPR/RODO – Czym są „kodeksy postępowania” i w jaki sposób mają one pomóc w implementacji rozporządzenia GDPR ?

W poprzednich częściach cyklu możecie poczytać ogólnie o nowych wymogach dotyczących przetwarzania danych osobowych (zachęcam też do spojrzenia na zażartą dyskusję pod tym artykułem), o karach za naruszenia czy o przejrzystości procesu przetwarzania danych osobowych; odnieśliśmy się także do roli “Inspektora Ochrony Danych” mającego czuwać nad bezpieczeństwem naszych danych osobowych.

Wstęp

W piątym z kolei artykule z naszej serii poświęconej rozporządzeniu GDPR postaramy się bliżej omówić zagadnienia związane z tzw. „kodeksami postępowania”, które są nowym mechanizmem wniesionym przez rozporządzenie. Tematyka „kodeksów postępowania” budzi ogromne zainteresowanie wśród osób, które będą objęte nową regulacją. Zainteresowanie to wynika głownie z faktu, iż na bazie owych „kodeksów” mogą zostać zdeterminowane konkretne działania, jakie będzie należało podjąć w ochronie danych osobowych, co może się przekładać na czas oraz środki potrzebne w celu implementacji wskazanych zabezpieczeń . Wciąż bardzo „mgliste” jest określnie tego, czym będą kodeksy postępowania i czy wniosą szczegółowe uregulowania, czy też tylko wysokopoziomowe zalecenia w zakresie tzw. „dobrych praktyk”.

Obserwując toczące się dyskusje nie sposób nie zauważyć pewnego aspektu potęgującego niejasności, otóż – regulacja GDPR/RODO wymaga od podmiotów przetwarzających dane osobowe, aby systemy je zabezpieczające były wdrażane na bazie podejścia opartego o wyniki „analizy ryzyka” z kolei stosowanie strategii opartej na „analizie ryzyka” w swej naturze wymaga dość dużej swobody w zakresie wyboru konkretnych rozwiązań zabezpieczających oraz działań ich wdrażania, co pozostaje w pewnej niezgodności z sytuacją, w której wskażemy konkretny (skodyfikowany) proces wdrażania zabezpieczeń.

Wydawałoby się, iż powinno tu zostać zaimplementowane rozwiązanie, które z jednej strony kodyfikuje i standaryzuje sposób ochrony danych osobowych, z drugiej zaś pozostawia swobodę pozwalającą na zróżnicowanie działań zabezpieczających w kontekście wyników uprzednio przeprowadzonej „analizy ryzyka”. Można także wyobrazić sobie rozwiązanie w którym „kodeksy postepowania” będą definiowały swoistą „linię bazową” wskazującą „minimalny poziom” zabezpieczeń, które należy wdrożyć bez względu na wyniki przeprowadzonej analizy ryzyka, natomiast zabezpieczenia o charakterze rozszerzonym byłyby stosowane wówczas, gdy poziom ryzyka w danym specyficznym obszarze przetwarzania danych osobowych przekroczyłby określony próg. Często spotyka się także wskazanie, aby stosowanie kodeksów postępowania miało charakter „fakultatywny” (nieobowiązkowy); ale czy wówczas nie będą nieco „wirtualnym” tworem? Czy ktokolwiek będzie je stosował (skoro nie będzie musiał)? czy wystarczy nam dobrej woli, samoświadomości w zakresie bezpieczeństwa i oczywiście środków finansowych?

Czym w świetle GDPR są kodeksy postępowania?

Najprościej mówiąc kodeksy postępowania są mechanizmami wskazanymi przez GDPR, pozwalającym na zdefiniowanie przez grupy instytucji (np. małe i średnie przedsiębiorstwa) lub pewne specyficzne sektory (np. instytucje zajmujące się ochroną zdrowia) list dobrych praktyk/referencji/poradników mówiących o tym, jak  w najlepszy sposób w danym środowisku biznesowo – organizacyjnym wykonywać zadania związane z ochroną danych osobowych.

Forma kodeksów postępowania może być skrajnie różna, od wysokopoziomowych opisów nie zawierających detalicznych szczegółów wykonywania czynności, aż do ściślej określonych procesów i ścieżek postępowania. Jeśli chodzi o zakres obejmowania danych kodeksów postępowania, to może on obejmować organizacje znajdujące się na teranie jednego kraju EU, ale także (jeśli opisane w nim praktyki obejmują podmioty ulokowane w innych krajach Unii Europejskiej) większego obszaru Europejskiej Wspólnoty Gospodarczej, co bardzo ważne, o ile pozostawiono dość sporą swobodę w definiowaniu kodeksów, to określono ściśle proces postępowania związany z ich rejestracją i zatwierdzaniem. Kodeksy postępowania muszą być zrewidowane i formalnie zaakceptowane, jeżeli kodeks obejmuje swym zakresem jedynie instytucje znajdujące się na ternie jednego z krajów wspólnoty, wówczas podmiotem odpowiedzialnym za jego akceptacje jest krajowy organ nadzorujący (odpowiednik dzisiejszego GIODO).

Mówi o tym Art.40.Par.5 i 6 GDPR:

Art.40.Par.5  Zrzeszenia i inne podmioty, o których mowa w ust. 2 niniejszego artykułu, chcące opracować kodeks postępowania lub zmienić lub rozszerzyć zakres kodeksu już obowiązującego przedkładają projekt kodeksu, zmiany lub rozszerzenia organowi nadzorczemu właściwemu na mocy art. 55. Organ nadzorczy wydaje opinię o zgodności projektu kodeksu, zmiany lub rozszerzenia z niniejszym rozporządzeniem i zatwierdza taki projekt kodeksu, zmiany lub rozszerzenia, jeżeli uzna, że stanowią one odpowiednie zabezpieczenia.

Art.40.Par.6 W przypadku zatwierdzenia zgodnie z ust. 5 projektu kodeksu, zmiany lub rozszerzenia, organ nadzorczy rejestruje i publikuje ten kodeks, o ile nie dotyczy on czynności przetwarzania prowadzonych w kilku państwach członkowskich.

Jeżeli natomiast kodeks obejmuje swym zasięgiem większą ilość krajów Unii Europejskiej, wówczas za jego zaakceptowanie jest odpowiedzialna Europejska Rada Ochrony Danych, co zostało określone przez Art.40.Par.7 – 9.

Art.40.Par.7 „Jeżeli projekt kodeksu postępowania dotyczy czynności przetwarzania prowadzonych w kilku państwach członkowskich, organ nadzorczy właściwy na mocy art. 55 przed zatwierdzeniem projektu kodeksu, zmiany lub rozszerzenia przedkłada go zgodnie z procedurą, o której mowa w art. 63, Europejskiej Radzie Ochrony Danych, która wydaje opinię o zgodności projektu kodeksu, zmiany lub rozszerzenia z niniejszym rozporządzeniem lub w sytuacji określonej w ust. 3 niniejszego artykułu opinię o tym, czy stanowią one odpowiednie zabezpieczenia.”

Art.40.Par.8 „Jeżeli opinia, o której mowa w ust. 7, potwierdza, że projekt kodeksu, zmiany lub rozszerzenia jest zgodny z niniejszym rozporządzeniem lub w sytuacji określonej w ust. 3 stanowią odpowiednie zabezpieczenia, Europejska Rada Ochrony Danych przedkłada tę opinię Komisji.”

Art.40.Par.9   „Komisja może, w drodze aktów wykonawczych, stwierdzić, że zatwierdzony kodeks postępowania, zmiana lub rozszerzenie przedłożone jej na mocy ust. 8 niniejszego artykułu są powszechnie obowiązujące w Unii. Te akty wykonawcze są przyjmowane zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.”

Dlaczego GDPR zachęca do stosowania kodeksów postępowania?

W swych założeniach koncepcja i konieczność tworzenia kodeksów postępowania jest zrozumiała i akceptowalna, ponieważ mają one wprowadzić możliwość doprecyzowania sposobu ochrony danych osobowych z uwzględnieniem specyfiki różnych sektorów, jakie dokonują przetwarzania. W swym głównym założeniu kodeksy mają pozwolić np. na zróżnicowanie sposobu ochrony danych osobowych w zależności od wielkości organizacji przetwarzającej tego rodzaju dane tj. mikroprzedsiębiorstwa, małe i średnie przedsiębiorstwa. Mówi o tym Art.40.Par.1:

„Państwa członkowskie, organy nadzorcze, Europejska Rada Ochrony Danych oraz Komisja zachęcają do sporządzania kodeksów postępowania mających pomóc we właściwym stosowaniu niniejszego rozporządzenia – z uwzględnieniem specyfiki różnych sektorów dokonujących przetwarzania oraz szczególnych potrzeb mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw.”

Dodatkowo Art.40.Par.2 wspomina o tym, iż zrzeszenia i inne podmioty reprezentujące określone kategorie podmiotów przetwarzających dane osobowe mogą wprowadzać zmiany oraz rozszerzać zakres obejmowania kodeksów postępowania, celem doprecyzowania rozporządzenia GDPR w odniesieniu do:

1. rzetelnego i przejrzystego przetwarzania,
2. prawnie uzasadnionych interesów realizowanych przez administratorów w określonych kontekstach,
3. zbierania danych osobowych,
4. pseudonimizacji danych osobowych,
5. informowania opinii publicznej i osób, których dane dotyczą,
6. wykonywania przez osoby, których dane dotyczą, przysługujących im praw,
7. informowania i ochrony dzieci oraz sposobu pozyskiwania zgody osoby sprawującej władzę rodzicielską lub opiekę nad dzieckiem;
8. środków i procedur, o których mowa w art. 24 i 25, oraz środków zapewniających bezpieczeństwo przetwarzania, o których mowa w art. 32,
9. zgłaszania organowi nadzorczemu naruszeń ochrony danych osobowych oraz zawiadamiania o takich naruszeniach osób, których dane dotyczą,
10. przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych, lub
11. postępowań pozasądowych oraz innych trybów rozstrzygania sporów w celu rozstrzygania sporów między administratorami a osobami, których dane dotyczą, w zakresie przetwarzania, bez uszczerbku dla praw osób, których dane dotyczą, na mocy art. 77 i 79.

Z powyższego wynika, iż właściwie każdy rodzaj kodeksu postępowania, którego celem byłoby podwyższenie „jakości” i skuteczności działań podejmowanych w ochronie danych osobowych uzasadnia jego powstanie.

W mojej ocenie dopracowany i doprecyzowany zestaw „kodeksów postępowania” napewno mógłby wnieść zupełnie nową jakość w porównaniu z dotychczasowymi przepisami. Wynika to z kilku kwestii, po pierwsze dość dużego stopnia ujednolicenia/uogólnienia przepisów, jaki występuje w chwili obecnej (bez względu czy chronimy mały zbiór wykorzystywany na potrzeby małej organizacji, czy też duży zbiór korporacyjny, zakres mechanizmów ochronnych, jakie musimy wdrożyć jest zbliżony).

Powyższa sytuacja doprowadza albo do „przeszacowania”, albo do „niedoszacowania” siły i typu stosowanych zabezpieczeń. Kolejną kwestią jest możliwość „urealnienia” rodzajów stosowanych zabezpieczeń i dopasowanie ich do charakteru i specyfiki konkretnej branży. Może się to odbywać np. przez określenie „katalogu dobrach praktyk”, z którego mogą korzystać podmioty przetwarzające dane osobowe. Finalnie działania w obszarze definiowania kodeksów postępowania mogą przełożyć się bezpośrednio na uproszczenie, ujednolicenie i łatwiejsze zrozumienie przez administratorów zakresu zadań przed nimi stojących. Wszystko to może z kolei przełożyć się na wyższą efektywność aktywności podejmowanych w ochronie danych osobowych.

Innym wydającym się dość istotnym w świetle GDPR obszarem, w którym zastosowanie kodeksów postępowania mogłoby przynieść wymierny skutek, jest określenie zasad wymiany danych osobowych z „państwami trzecimi” oraz „instytucjami międzynarodowymi”. Także autorzy rozporządzenia wskazali ten obszar jako jeden z kluczowych w Art.40.Par.3:

„Poza administratorami lub podmiotami przetwarzającymi, którzy podlegają niniejszemu rozporządzeniu, kodeksów postępowania zatwierdzonych na mocy ust. 5 niniejszego artykułu i powszechnie obowiązujących zgodnie z ust. 9 niniejszego artykułu, mogą przestrzegać także administratorzy lub podmioty przetwarzające, którzy zgodnie z art. 3 nie podlegają niniejszemu rozporządzeniu, w celu zapewnienia odpowiednich zabezpieczeń w ramach przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych na warunkach określonych w art. 46 ust. 2 lit. e). Tacy administratorzy lub takie podmioty przetwarzające podejmują wiążące i egzekwowalne zobowiązanie – w drodze umowy lub poprzez inne prawnie wiążące instrumenty – do stosowania tych odpowiednich zabezpieczeń, w tym w odniesieniu do praw osób, których dane dotyczą.”

Wątpliwości związane z monitorowaniem przestrzegania kodeksów postępowania

Wartą uwagi jest kwestia zapisów prezentowanych w Art.40.Par.4. GDPR, który mówi:

„Kodeks postępowania, o którym mowa w ust. 2 niniejszego artykułu, przewiduje mechanizmy pozwalające podmiotowi, o którym mowa w art. 41 ust. 1, prowadzić obowiązkowe monitorowanie przestrzegania przepisów kodeksu przez administratorów lub podmioty przetwarzające, którzy podjęli się jego stosowania, bez uszczerbku dla zadań i uprawnień organów nadzorczych właściwych na mocy art. 55 lub 56.”

W powyższym zapisie nieco niepokojącym jest stwierdzenie mówiące o prawie przysługującym organowi nadzorczemu do „obowiązkowego” monitorowania przestrzegania przepisów kodeksu postępowania. To stwierdzenie może pozostawać w ogólnej niezgodności z określaniem „dobrowolności stosowania kodeksów postępowania”.

Pytanie jakie się rodzi to: Czy monitorowaniu będą podlegać instytucje i organizacje, które w sposób dobrowolny zobligują się do stosowania danego kodeksu postępowania, czy też wszystkie organizacje danego sektora objętego kodeksem?

Bardzo ciężko jest na chwilę obecną doszukać się odpowiedzi na to pytanie; zakładam, że może ona być silnie uzależniona od tego, jaki poziom szczegółowości będą miały powstające kodeksy postępowania. Jeżeli zalecenia kodeksów będą bardzo ogólnikowe, wówczas dość łatwo będzie organizacjom wpisać się w wymagania przez nie stawiane i więcej organizacji będzie skłonne się do nich stosować; jeśli natomiast kodeksy będą bardzo szczegółowe i nie będą zawierać warunków różnicujących poziom ich stosowalności, wówczas jednolite dopasowanie się do ich wymagań może sprawić poważne problemy organizacjom objętym ich zakresem.

Bazując na dostępnych interpretacjach przepisów należy założyć, że samo wdrożenie, a co za tym idzie konieczność stania się przedmiotem monitorowania kodeksów postępowania, nie będzie obligatoryjne. Można natomiast założyć także, że wdrożenie danego kodeksu postępowania będzie czynnikiem różnicującym na tle organizacji funkcjonujących w konkretnym sektorze, co finalnie może się przełożyć z jednej strony na możliwość wykonywania pewnych działań niedostępnych dla organizacji nie deklarujących zgodności z danym kodeksem postępowania. Możemy sobie wyobrazić np. uwspólniony „federacyjny” dostęp do bazy danych o klientach, gdzie dostęp do tego zasobu może przysługiwać tylko tym podmiotom, które zadeklarowały i wdrożyły konkretny kodeks postępowania. Podobnie klienci organizacji, których dane osobowe mają być przez nie przetwarzane, mogą znacznie chętniej wybierać podmioty, które zadeklarowały swoją zgodność z kodeksem postępowania. Czy nie jest to zbyt dalece idący scenariusz pokaże przyszłość, aczkolwiek w moim mniemaniu sytuacja taka może zaistnieć w rzeczywistości.

Praktyczne spojrzenie na dostępne kodeksy postępowania

Niestety na chwile obecną jest jeszcze bardzo mało praktycznych przykładów kodeksów postępowania.

Jednym z najbardziej znaczących i rozpoznawalnych projektów jest przygotowany przez Cloud Infrastructure Services Providers operating in Europe – „The CISPE data protection Code of Conduct”. CISPE jest organizacją zrzeszającą największych dostawców rozwiązań „chmurowych” w Europie. Celem jej działania jest promowanie prawidłowego rozumienia rozwiązań nastawionych na „chmury obliczeniowe” oraz szerzenie wiedzy i praktyk dotyczących ich stosowania. Działalność CISPE ma bardzo ważny wymiar dla organizacji korzystających z tego rodzaju usług, gdyż poprzez popularyzację tematyki systematyzuje rozumienie tej nowej, a zarazem dość skomplikowanej (zwłaszcza w wymiarze bezpieczeństwa) dziedziny rozwiązań informatycznych.

Dokument „The CISPE data protection Code of Conduct” (dalej nazywany CISPE CoC) jest pierwszym znanym mi formalnym kodeksem postępowania GDPR, adresującym wymagania ochrony danych osobowych w odniesieniu do usług „chmurowych”. Głównym obszarem, na którym skupia się CISPE jest : Infrastructure-as-a-Service (IaaS) (infrastruktura jako serwis). Natomiast można się w nim doszukać także wielu odniesień do innych modeli dostarczania usług „chmurowych”. Kodeks ten może być dość szeroko wykorzystywany, jako niezależne źródło wiedzy eksperckiej w zakresie bazowego poziomu zabezpieczenia danych osobowych w serwisach „chmurowych”. Warto także podkreślić, że „CISPE CoC” jest kodeksem adresowanym do bardzo szerokiego gremium odbiorców, w chwili obecnej już ponad 30 dostawców tego rodzaju usług z obszaru UE zadeklarowało chęć wdrażania zgodności z CISPE, wśród nich są między innymi tacy operatorzy jak: „Amazon Web Services (AWS), Aruba, DADA, Daticum, Gigas Hosting, Ikoula, LeaseWeb, Outscale, OVH, Seeweb, SolidHost and UpCloud”  (szczegółowe informacje można znaleźć w notce prasowej dostępnej na stronie CISPE).

W świetle wymagań rozporządzenia GDPR – CISPE CoC wydaje się być dobrym przykładem prawidłowo konstruowanego kodeksu postępowania, który z jednej strony systematyzuje podejście do ochrony danych osobowych, przy jednoczesnym pozostawieniu dość sporej swobody w zakresie doboru konkretnych środków zabezpieczających. We wspomnianym kodeksie znajdziemy oczywiście wyłączenia mówiące o tym, że nie może on zastępować zarówno podejścia opartego na analizie ryzyka, jak i konieczności wprowadzenia stosownych zapisów w umowach zawieranych z klientami korzystającymi z usług „chmurowych”. Stosowanie kodeksu nie oznacza, iż organizacja zostaje zwolniona z monitorowania i prawidłowego wdrażania stosownych szczegółowych regulacji prawnych dotyczących przetwarzania danych osobowych – czytamy o tym w Cyt.CISPE CoC.str.6:

“The Code is not legal advice. Adherence to the Code will not guarantee a CISP’s or a customer’s compliance with applicable law. CISPs and customers are encouraged to obtain appropriate advice on the requirements of applicable law.

Co ważne, przyjęcie zgodności z CISPE ma charakter dobrowolny, co może być jednym z praktycznych przykładów wskazujących, że kodeksy będą posiadały formę fakultatywną.

Cyt.CISPE CoC.str.4.

„The Code is a voluntary instrument, allowing a CISP to evaluate and demonstrate its adherence to the Code Requirements for one or several of its services. This may be either (i) certification by an independent third party auditors, or (ii) self-assessment by the CISP and self-declaration of compliance.”

CISPE CoC też dość jasno mówi o tym, iż dostawcy deklarujący swoją zgodność z tym kodeksem są zobowiązani dostarczyć swoim klientom możliwość przechowywania danych osobowych na terenie Europejskiej Wspólnoty Gospodarczej. Zapis taki może mieć dość jasny wymiar praktyczny dla klientów rozwiązań „chmurowych”, ponieważ jeśli wybiorą oni usługę dostarczaną przez operatora legitymującego się zgodnością z CISPE CoC, mogą zdecydować o przechowaniu danych osobowych tylko na teranie Unii Europejskiej. Podobnie wygląda sytuacja z obligowaniem przez CISPE CoC dostawców do zaniechania wszelkich działań mających na celu wykorzystywanie informacji swoich klientów do celów inne niż niezbędne dla realizacji umowy. Dodatkowo kodeks ten mówi w sposób jasny, iż zakazuje się dostawcom rozwiązań „chmurowych” wykorzystywania danych należących do ich klientów w celu: profilowania, wykonywania działań marketingowych, czy prowadzenia masowej interpretacji zbiorów danych w sposób niezgodny z umową powierzenia przetwarzania.

Istotnym z punktu widzenia praktycznego aspektem CISPE CoC  jest usystematyzowanie obszarów tematycznych wymagań. Kodeks ten obejmuje zagadnienia pogrupowane w trzech kluczowych kategoriach:

• Wymagania dotyczące ochrony danych osobowych,
• Wymagania dotyczące jasności i przejrzystości podziału odpowiedzialności pomiędzy dostawcę usługi chmurowej, a jej klienta,
• Opis i definicje powiązane ze strukturą zarządzania kodeksem CISPE CoC.

Każde z wymagań odnoszących się wprost do stosowania mechanizmów zabezpieczających mówi dość jasno, zarówno o odpowiedzialności spoczywającej na przetwarzającym dane, jak i na podmiocie dostarczającym usługę przetwarzania „chmurowego”. Pamiętajmy, iż czasem większy poziom odpowiedzialności leży po stronie przetwarzającego niż dostawcy usługi; zwłaszcza, kiedy korzystamy tylko z elementów infrastrukturalnych „chmury obliczeniowej”, wówczas architektura logiki pracy aplikacji/systemów oraz ich prawidłowe zabezpieczenie może znajdować się w pełni po stronie klienta.

W moim odczuciu CISPE CoC jest dobrym przykładem na początek prawdopodobnie długiej drogi różnych sektorów i branż w budowaniu własnych kodeksów postępowania. Wydaje się, że w sposób zbalansowany ustala ramy postępowania, przy jednoczesnym pozostawieniu swobody w wyborze konkretnych środków zabezpieczających.

Podsumowanie

Fakt powołania przez GDPR mechanizmu „kodeksów postępowania” napewno należy uznać za właściwy. Wielokrotnie w przeszłości obserwowaliśmy przypadki, kiedy regulacje dotyczące ochrony danych osobowych nie mogły być skutecznie stosowane w praktyce, ponieważ poziom abstrakcji i braku elastyczności wskazywanych środków bezpieczeństwa nie pozwalał na ich prawidłową (taką, która w rzeczywistości chroni dane osobowe) implementację.

Oczywiście musimy mieć na uwadze fakt, że samo otwarcie możliwości tworzenia kodeksów nie rozwiązuje problemu, gdyż muszą pojawić się „oddolne” inicjatywy i chęć ich definiowania przez głównych zainteresowanych, czyli sektory zobligowane do posiadania zgodności z wymaganiami GDPR. W moim odczuciu, patrząc przez pryzmat tego, jak skrajnie różne mogą być ogólne wytyczne do ochrony danych osobowych oraz jaka ilość możliwych rozwiązań zabezpieczających występuje dziś na rynku, „kodeksy postępowania” spotkają się z zainteresowaniem różnego rodzaju zrzeszeń tematycznych i konsorcjów. Miejmy nadzieje, że podobnie jak rozwój standardów technologicznych, także i rozwijanie „kodeksów postępowania” będzie przebiegać w sposób synergiczny, kiedy to połączone siły wielu reprezentantów zainteresowanych stron doprowadzą do powstania produktów „doskonalszych” w swej naturze, niż rozwiązania przygotowane przez każdego z zainteresowanych osobno.  Niezaprzeczalnym jest to, że stosowanie „kodeksów postępowania” może doprowadzić do systematyzacji w następujących obszarach:

• Ustalenia zakresu odpowiedzialności stron biorących udział w przetwarzaniu danych osobowych,
• Wskazania podstawowych machizmów ochronnych, które mogą określać linie bazowe dla rozwiązań bezpieczeństwa (operacyjnego – systemowego i technicznego),
• Jasnego wyartykułowania działań mogących nieść ryzyko przetwarzania danych osobowych w specyficznym sektorze (ryzyka takie mogą być ciężkie do przewidzenia przez zainteresowane strony z osobna),
• Budowania ogólnej świadomości w kontekście stosowania środków zabezpieczających dane osobowe, zwłaszcza w środowisku małych i średnich przedsiębiorstw, które nie posiadają wyspecjalizowanej kadry zajmujących się bezpieczeństwem informacji,
• Motywowania do stosowania zabezpieczeń, które mogą stać się wyróżnikiem w budowaniu pozycji konkurencyjnej na danym obszarze rynku.

W komentarzach pod poprzednimi artykułami naszego cyklu możemy przeczytać wiele uwag mówiących o tym, iż bezpieczeństwo danych osobowych było do tej pory bytem dość enigmatycznym i mało rozumianym, a stosowane środki bezpieczeństwa rzadko dopasowane do realnych potrzeb. Wydaje mi się, że „kodeksy postępowania” (jeśli oczywiści przyjmą się na rynku i będą przedmiotem zainteresowania podmiotów, które mogą je tworzyć) staną się tym „brakującym ogniwem” spajającym świat nomenklatury prawnej i niskopoziomowych potrzeb w ochronie informacji.

Pamiętajmy także, iż mechanizm tworzenia „kodeksów postępowania” może być wykorzystany przez nas samych, jeśli mamy swoje przemyślenia i doświadczenia (zarówno te pozytywne, jak i negatywne) dotyczące ochrony danych osobowych, zwłaszcza w branżach, w których działamy; może sensownym będzie pomyślenie nad zrzeszeniem się i stworzenie własnego projektu „kodeksu postepowania”? Jest to napewno podejście wysoce proaktywne i nie łatwe, ale jak to mówią „Jeśli nie my to kto, jeśli nie teraz to kiedy” :-)… Pozostawiam Was z tą myślą i zachęcam oczywiście, jak zwykle do komentowania, każdy z Waszych komentarzy wnosi wartość dodaną do naszych artykułów.

–Maciej Pokorniecki