RODO / Informacje :: L-instruktor.pl

RODO / Informacje

Co to jest RODO?

Rozporządzenie Ogólne o Ochronie Danych Osobowych (RODO) to nowe rozporządzenie UE regulujące wykorzystywanie danych osobowych na terenie UE. Zastępuje ono istniejące przepisy o ochronie danych osobowych, które obowiązują od ponad 20 lat. Wchodzi w życie 25 maja 2018 r. RODO ma na celu zapewnienie konsumentom większej kontroli nad ich danymi osobowymi. Obowiązuje ono na terenie całej Unii Europejskiej. Rząd brytyjski zamierza wdrożyć te przepisy bez względu na Brexit. Unia Europejska opublikowała informacje na temat RODO na stronie https://www.eugdpr.org.

Pojęcia związane z RODO

Dane osobowe - wszelkie dane dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby. Obejmują one informacje identyfikujące, takie jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub każde spośród szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość danej osoby.

Administrator Danych Osobowych - osoba, podmiot lub organ publiczny, który ustala cele i sposoby przetwarzania danych osobowych.

Podmiot danych - osoba, której dane osobowe są przetwarzane przez lub w imieniu administratora.

Podmiot przetwarzający - osoba, podmiot lub organ publiczny, który przetwarza dane osobowe w imieniu administratora.

Kto podlega RODO

RODO podlega działalność gospodarcza prowadzona w Unii Europejskiej w jakiejkolwiek formie prawnej: spółka, jednoosobowa działalność gospodarcza czy nawet oddział w Unii Europejskiej przedsiębiorcy mającego siedzibę poza Unią: słowem – każdy przedsiębiorca. Nie ma znaczenia:

narodowość osób, których dane osobowe są przetwarzane,
to, gdzie przetwarzane są dane osobowe (czyli np.: gdzie znajdują się serwery).

RODO znajduje zastosowanie również, gdy podmioty spoza Unii Europejskiej oferują swoje towary i usług osobom przebywający w Unii.

Regulacje RODO nie znajdują zastosowania w odniesieniu do działalności osobistej lub domowej.
Oznacza to, że osoba fizyczna prowadząca działalność gospodarczą musi stosować RODO do danych osobowych swoich klientów czy pracowników, ale nie stosuje RODO do danych przetwarzanych w celach czysto prywatnych, np. do danych adresatów kartek świątecznych.

Kiedy można przetwarzać dane osobowe?

Dane osobowe przetwarzamy wyłącznie wtedy, gdy istnieje do tego podstawa prawna.

W przypadku podmiotów gospodarczych takimi typowymi podstawami przetwarzania danych zwykłych są:

zgoda osoby, której dane dotyczą,
umowa z osobą, której dane dotyczą, gdy przetwarzanie tych danych jest niezbędne
do jej wykonania lub do podjęcia działań poprzedzających zawarcie umowy, na żądanie tej osoby,
obowiązek prawny ciążący na administratorze, gdy przetwarzanie jest niezbędne do jego wypełnienia,
prawnie uzasadniony interes realizowanych przez administratora lub przez stronę trzecią, gdy przetwarzanie jest niezbędne do osiągnięcia wynikających z niego celów

W odniesieniu do szczególnych kategorii danych typowe podstawy przetwarzania danych to:

wyraźna zgoda osoby, której dane dotyczą,
przetwarzanie danych jest niezbędne do wykonania zadań związanych z zatrudnieniem, ubezpieczeniem społecznym pracowników,
przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy,
przetwarzanie danych jest niezbędne w celu dochodzenia praw przed sądem.

Obowiązek informacyjny

Rozporządzenie Unijne rozszerza katalog informacji, jakie administratorzy danych osobowych będą musieli udostępnić osobom, których dane pobierają i przetwarzają. Rozporządzenie nakazuje, aby obowiązek został przedstawiony w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie. Ważne, żeby został napisany jasnym i prostym językiem.

Osoba, której dane dotyczą będzie miała prawo uzyskać informacje na temat przetwarzania jej danych. Administrator danych będzie zobowiązany, bez zbędnej zwłoki, najpóźniej w ciągu miesiąca, odpowiedzieć wnioskodawcy.

Zgoda

Administrator danych osobowych musi wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie danych osobowych. Rozporządzenie nakazuje, iż zgoda musi być wyrażona konkretnemu podmiotowi. Oświadczenie zgody musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii. Ważne, aby było przygotowane w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Osoba, której dane dotyczą, musi mieć zapewnione prawo do wycofania zgody w tak samo łatwy sposób, jak doszło do jej wyrażenia.

Zgłoszenie naruszeń

Administrator danych będzie miał obowiązek zgłosić naruszenie ochrony danych osobowych do właściwego organu nadzorczego. Rozporządzenie o ochronie danych osobowych przewiduje na to 72 godziny od stwierdzenia naruszenia. Obowiązek nie powstaje w przypadku, kiedy istnieje małe prawdopodobieństwo, że incydent skutkował ryzykiem naruszenia praw lub wolności osób fizycznych. W przeciwnym razie, ADO będzie musiał powiadomić nie tylko organ nadzorczy, ale również wszystkie osoby, których dane dotyczą. Administrator danych samodzielnie będzie musiał ocenić, czy naruszenie powinno zostać zgłoszone.

Nowe prawa obywateli

Prawa osób, których dane dotyczą:

prawo dostępu przysługujące osobie, której dane dotyczą,
prawo do sprostowania danych,
prawo do usunięcia danych („prawo do bycia zapomnianym”),
prawo do ograniczenia przetwarzania,
prawo do przenoszenia danych,
prawo do sprzeciwu.

Na szczególną uwagę zasługuje prawo do bycia zapomnianym, które nakłada na administratora obowiązek usunięcia danych osobowych w całości z jego systemu. W przypadku Internetu, oznacza to, że usunięte muszą zostać również wszelkie linki, kopie i repliki danych, nawet jeśli są one w posiadaniu innych podmiotów przetwarzających te dane w jego imieniu.

Minimalizacji danych osobowych?

Zgodnie z nią, można przetwarzać wyłącznie takie dane osobowe, które są niezbędne do osiągnięcia celu przetwarzania danych. Na przykład: jeśli celem jest realizacja zamówienia klienta, sprzedający nie powinien pozyskiwać danych na przykład o jego sytuacji rodzinnej.

Kary

Konsekfencje Organizacjom, które nie podejmą odpowiednich działań, aby chronić dane osobowe zgodnie z RODO, grozi grzywna w wysokości do 20 milionów euro lub 4% ich łącznych rocznych obrotów generowanych na całym świecie. Ponadto, oprócz kary grzywny, osoby fizyczne mogą dochodzić od organizacji odszkodowania.Inne potencjalne konsekwencje mogą obejmować zawieszenie lub ograniczenie przepływu danych, publiczne upomnienie i nadszarpnięcie renomy.