RODO (ang. GDPR - General Data Protection Regulation, rozporządzenie UE 2016/679) to unijne rozporządzenie o ochronie danych osobowych. Reguluje podstawy prawne przetwarzania, prawa osób (dostęp, sprostowanie, usunięcie, przenoszenie), obowiązki administratora i procesora oraz sankcje - do 20 mln EUR lub 4% światowego obrotu rocznego. W Polsce organem nadzorczym jest PUODO.
Analityka RODO dotyczy bezpośrednio: każde wymaganie dotykające danych osobowych musi uwzględniać zasady minimalizacji (zbieramy tylko to, co niezbędne), celowości, retencji i privacy by design - ochrona danych ma być wbudowana w projekt od początku, nie doklejona na końcu przez prawnika.
Przykład (MediFlow). E-rejestracja sieci przychodni przetwarza dane o zdrowiu - szczególną kategorię z art. 9 RODO. Konsekwencje w wymaganiach, spisane przez analityka: obowiązkowa ocena skutków dla ochrony danych (DPIA) przed wdrożeniem; pytanie o minimalizację - czy do rezerwacji naprawdę potrzebny jest PESEL, czy wystarczy numer telefonu i data urodzenia; retencja - po jakim czasie konto nieaktywnego pacjenta jest anonimizowane; realizacja prawa dostępu i usunięcia; środowiska testowe wyłącznie z danymi syntetycznymi. Każdy z tych punktów to konkretne wymaganie z kryteriami akceptacji, nie akapit w polityce prywatności.
Częsta pomyłka. Traktowanie RODO jako checklisty na koniec projektu - wtedy odkrycie, że formularz zbiera za dużo danych albo że nie da się zrealizować prawa do usunięcia, oznacza przebudowę gotowego systemu. Druga pomyłka: przekonanie, że podstawą przetwarzania jest zawsze zgoda. W ochronie zdrowia podstawą jest zwykle art. 9 ust. 2 lit. h (profilaktyka i opieka zdrowotna), nie zgoda pacjenta - a checkbox "wyrażam zgodę" wstawiony bez potrzeby tworzy zobowiązanie, którego potem nie można dotrzymać, bo zgodę można wycofać.