Praktyczny przewodnik

Unijna regulacja ochrony danych osobowych dotyczy wszystkich podmiotów, które w swojej działalności zajmują się ich przetwarzaniem. Zgodnie z definicją „dane osobowe” oznaczają cechy osoby fizycznej, które umożliwiają jej zidentyfikowanie, np. imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy oraz szczególne czynniki określające fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Przepisy RODO dotyczą więc zarówno wielkich korporacji, jak i osób prowadzących jednoosobową działalność gospodarczą – jeśli w swojej działalności mają do czynienia z przetwarzaniem danych osobowych. Samo zaś przetwarzanie rozumie się jako zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych osobowych.

Zapisy unijnego rozporządzenia są dość uniwersalne. Delegują część uprawnień oraz obowiązków na administratorów danych osobowych, czyli osoby fizyczne lub prawne, organy publiczne jednostki lub inne podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych.

Administrator danych osobowych będzie zobowiązany:

Administrator wybiera własne środki decyzyjne, techniczne i organizacyjne, w tym wdrożenie własnej polityki ochrony danych, aby przetwarzanie odbywało się zgodnie z przepisami. Powinien tu uwzględnić charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

Podmiot przetwarzający dane osobowe w imieniu administratora (np. inna firma, która ma dostęp do danych osobowych administratora i je przetwarza) może to robić wyłącznie na podstawie umowy lub innego instrumentu prawnego.

Elementy, które muszą znaleźć się w tym dokumencie:

Podmiot przetwarzający jest również zobowiązany do:

W celu zapewnienia należytej ochrony danych, podmiot przetwarzający może korzystać z usług innego podmiotu przetwarzającego (podpowierzenie danych), ale tylko na podstawie pisemnej zgody administratora.

W przypadku ogólnej pisemnej zgody, podmiot przetwarzający informuje administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian.

W relacji do osób, których dane są przetwarzane, administrator musi podjąć odpowiednie środki, aby w przejrzystej i zrozumiałej formie, bez zbędnej zwłoki (do miesiąca od żądania), udzielać informacji oraz prowadzić wszelką komunikację z daną osobą. Dopuszcza się tu formę pisemną, elektroniczną lub ustną, o ile uda się potwierdzić tożsamość osoby, której dane dotyczą. W większości przypadków informacje podawane osobie oraz prowadzona z nią komunikacja są bezpłatne. Możliwość pobierania rozsądnej opłaty manipulacyjnej za udzielanie informacji czy komunikację z osobą, dopuszczona jest wyłącznie w przypadku nieuzasadnionych bądź notorycznych żądań osoby. Administrator musi jednak pamiętać, że to na nim spoczywać będzie obowiązek wykazania braku zasadności żądania bądź jego notoryczności.

Zbierając dane od osoby administrator musi podać swoją tożsamość i dane kontaktowe. Jeżeli organizacja posiada stanowisko inspektora ochrony danych, w takiej sytuacji podaje się jego dane kontaktowe, cel, podstawę prawną oraz okres przetwarzania, a także informację o odbiorcach danych. Równocześnie należy także poinformować osobę o przysługujących jej prawach dostępu do danych, ich modyfikacji i usuwania, ograniczania przetwarzania, wnoszenia sprzeciwu, cofnięcia zgody lub wniesienia skargi do organu nadzorczego.

Obligatoryjne jest także poinformowanie czy podanie danych osobowych jest wymogiem ustawowym, umownym czy niezbędnym warunkiem zawarcia umowy oraz czy osoba jest zobowiązana do ich podania i jakie będą ewentualne konsekwencje niepodania danych. W odrębnym punkcie powinna być zawarta informacja o fakcie, zasadach i celu, a także konsekwencjach profilowania.

O wszelkich dalszych przetwarzaniach – czyli zmianie bądź innym celu przetwarzania niż ten w jakim dane były pierwotnie zbierane należy poinformować osobę, która może skorzystać z prawa odmowy.

Jeżeli przetwarzanie danych osobowych odbywa się na podstawie zgody:

Zasadniczym celem wdrożenia zunifikowanego rozporządzenia dotyczącego ochrony danych osobowych było zwiększenie kontroli nad danymi, które osoby przekazują instytucjom. RODO precyzuje prawo dostępu do danych, a zainteresowanej osobie daje możliwość uzyskania od administratora potwierdzenia czy dany podmiot przetwarza jej dane, a jeśli tak, do otrzymania kopii samych danych, wraz z danymi o celu, okresie przechowywania i ich odbiorcach.

Administrator zobowiązany jest także do podania informacji o:

Jednym z najczęściej podejmowanych i komentowanych zagadnień związanych z RODO jest prawo osoby do żądania usunięcia swoich danych, powszechnie zwane „prawem do bycia zapomnianym”. Zgodnie z zapisami rozporządzenia osoba, która nie chce, aby dany podmiot w dalszym ciągu przetwarzał jej dane osobowe, może zwrócić się do administratora o usunięcie danych osobowych nie tylko z baz produkcyjnych, ale także wszystkich backupów bazy danych.

Powyższe prawo możliwe jest wówczas, gdy spełniony jest m. in. jeden z warunków:

Równocześnie to samo rozporządzenie określa, że prawo to nie przysługuje w przypadku:

Przepis wymusza więc na administratorach przygotowanie procedur oraz narzędzi, które sprostałyby oczekiwaniom osób chcących skorzystać z tego prawa.

O ile w przypadku przechowywania danych osobowych w bazie administratora ten ma nad nimi kontrolę i może sprostać oczekiwaniom osoby, o tyle w przypadku danych upublicznionych innym podmiotom, ich usunięcie może być bardzo utrudnione.

Zapisy rozporządzenia sugerują jednak, by w takiej sytuacji, biorąc pod uwagę dostępną technologię i koszt realizacji, podjąć rozsądne działania, w tym środki techniczne, celem poinformowania administratorów przetwarzających te dane osobowe o żądaniu osoby. Usunięciu podlegać powinny zarówno łącza do danych, ich kopie i replikacje.

Jeżeli przetwarzanie danych osobowych odbywa się w sposób zautomatyzowany, na podstawie zgody lub umowy, to osoba, której dane dotyczą ma prawo:

Rozporządzenie RODO definiuje termin „profilowania” jako zautomatyzowanej formy przetwarzania danych osobowych, polegającej na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Osoba, której dane dotyczą ma prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, co wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Jednak i od tych przepisów jest wyjątek.

Prawo sprzeciwu nie ma zastosowania jeśli:

Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Nawet jeżeli dane osobowe mogą być przetwarzane zgodnie z prawem, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub ze względu na prawnie uzasadnione interesy administratora lub strony trzeciej, każdej osobie, której dane dotyczą, powinno przysługiwać prawo sprzeciwu wobec przetwarzania danych osobowych dotyczących jej szczególnej sytuacji. Za wykazanie, że ważne, prawnie uzasadnione interesy administratora mają nadrzędny charakter wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą, powinien odpowiadać administrator.

Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw, w tym także odmówić w tym zakresie profilowania. Od tego czasu nie wolno już przetwarzać w tym celu jej danych.

Zobowiązany do prowadzenia rejestru czynności przetwarzania jest administrator danych osobowych oraz procesor, który:

Dokument ten, na bieżąco aktualizowany, powinien zawierać poniższe dane:

Wspomniany rejestr prowadzić też powinien podmiot przetwarzający w imieniu administratora dane osobowe, jednak w tym przypadku katalog informacji nieco się różni i obejmuje następujące elementy:

Na administratorach oraz podmiotach przetwarzających dane spoczywa również obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, w celu zapewniania należytego stopnia bezpieczeństwa przetwarzanych przez nich danych osobowych.

Przede wszystkim zaznajomieni z aktualną wiedzą techniczną oraz charakterem, zakresem i celami danych powinni oszacować ewentualne ryzyko naruszenia praw i wolności osób. Równocześnie w swoich systemach zobowiązani są do minimalizowania zagrożeń poprzez wprowadzanie: pseudonimizacji, szyfrowania, zapewniania poufności i odporności systemów na zagrożenia zewnętrzne, a w razie jakiegokolwiek incydentu fizycznego lub technicznego do szybkiego przywrócenia dostępności danych osobowych.

Szacowanie ryzyka, regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania, to zadania, które trzeba będzie wykazać na żądanie organu nadzorczego, stąd dla ułatwienia realizacji tych działań, rozporządzenie zaleca wdrożenie zatwierdzonego, wewnętrznego kodeksu postępowania lub zatwierdzonego mechanizmu certyfikacji.

W przypadku naruszenia ochrony danych dotyczących praw lub wolności osób fizycznych administrator zobowiązany jest do:

1) zgłoszenia tego faktu organowi nadzorczemu do 72 godzin od zaistniałego problemu. W zgłoszeniu należy: