RODO to Rozporządzenie o Ochronie Danych Osobowych, przyjęte przez Parlament Europejski w kwietniu 2016 r., które weszło w życie 25 maja 2018 r.
Podstawowym zadaniem tego aktu prawnego jest ujednolicenie podejścia do ochrony danych osobowych w ramach całej Unii Europejskiej. Jest to związane z dynamicznym i ciągłym rozwojem technologii informatycznych. Obejmuje on swoim zakresem i wszystkie organizacje przetwarzające jakiekolwiek dane osobowe i określa zasady ochrony, które organizacje te mają obowiązek wprowadzić.
Jedną z najważniejszych zasad wprowadzenia ochrony jest określenie praw podmiotu danych – osoby fizycznej, której dane są przetwarzane (np. pracownik lub klient). Przetwarzanie danych osobowych wymaga wcześniejszego wyrażenia zgody. Zgoda ta nie jest jednak potrzebna w sytuacjach, gdy przetwarzanie jest niezbędne do realizacji podstawowych obowiązków pracodawcy, co określa kodeks pracy. We wszystkich pozostałych przypadkach warunkiem przetwarzania jest udokumentowana zgoda.
Istnieją dwie grupy związane z ochroną danych osobowych: administratorzy danych (są to podmioty, które określają cel i środki przetwarzania danych osobowych – np. lekarz, prowadzący dokumentację medyczną swoich pacjentów) oraz podmioty przetwarzające dane (czyli podmioty, które przetwarzają dane osobowe dla administratorów – np. firma, która pomaga lekarzowi w obsłudze komputera, na którym zapisano dokumentację medyczną).
Zarówno administratorzy i podmioty przetwarzające mają obowiązek, zgodnie z wytycznymi RODO, zapewnić niezbędny poziom ochrony danych osobowych i utrzymywać dokumentację dotyczącą celu ich przetwarzania, działań związanych z przetwarzaniem oraz podjętych środków technicznych i organizacyjnych w zakresie ochrony danych osobowych. Do dodatkowych zadań obu grup należą: zgłaszanie naruszenia bezpieczeństwa danych osobowych oraz wyznaczenie tzw. pełnomocnika ochrony danych osobowych.
Za naruszenie obowiązujących przepisów prawa grożą dotkliwe kary finansowe: 10 milionów euro lub 2% obrotu firmy – w przypadkach zaniedbania obowiązków administratora lub podmiotu przetwarzającego oraz 20 milionów euro i 4% wysokości obrotu – w sytuacjach naruszenia zasad ochrony, naruszenia praw podmiotu danych lub niewykonania poleceń organów nadzorujących.