Tak naprawdę, co podkreśliła podczas swojego wystąpienia na konferencji Semafor 2017 Anna Kobylańska, adwokat PwC, jednolite dla całej Unii Europejskiej rozporządzenie już weszło w życie 24 maja 2016 roku. Te dwa lata, które ze względu na wagę rozporządzenia dostały europejskie przedsiębiorstwa, to okres, w którym nikt nie będzie karany za błędy w sposobie ochrony danych osobowych w usługach, które świadczą firmy. To czas na to, by organizacje zdążyły z procesem budżetowania, procesem zakupowym i analizą, czego w firmie brakuje w kontekście dostosowań do regulacji.

Po 25 maja 2018 roku jednostka kontrolująca, czy właściwie 28 jednostek kontrolujących (organy każdego kraju unijnego mogą prowadzić kontrolę np. na wniosek składany w danym kraju), nie będzie stosowała już taryfy ulgowej wobec firm. Kary będą dotkliwe, nawet do 20 mln euro lub do 4 proc rocznego światowego obrotu.

Co ciekawe, na co zwróciła uwagę Anna Kobylańska z PwC, część organów nadzoru będzie miało budżet uzależniony od wysokości kar, które uzbiera…

Szykują się duże zmiany (właściwie już trwają), które firmy chcąc nie chcąc musza zdążyć wprowadzić. Nawet, jeśli nie wiedzą, jak to zrobić. To kolejny wyróżnik nowego rozporządzenia, jak zauważył współprowadzący wystąpienie Łukasz Ślęzak, menedżer zespołu cybersecurity w PwC, rozporządzenie oznacza zmianę jakościowa przepisów – jest wyznaczony cel, a nie dokładna ścieżka postępowania.

Rozporządzenie GDPR/RODO zmierza do tego, by działania dotyczące odpowiedniego przetwarzania danych były zaszyte w DNA każdej firmy, by był to proces ciągły, powtarzalny, nie zaś jednorazowe działania przedkontolne.