OCHRONA DANYCH OSOBOWYCH – RODO

1. CELE RODO.

Celem RODO jest ujednolicenie zasad i mechanizmów ochrony danych osobowych w państwach członkowskich Unii Europejskiej.

Dla zapewnienia swojej skuteczności, RODO wprowadza do porządku prawnego nowe standardy w zakresie informowania osób fizycznych o przetwarzaniu dotyczących ich danych osobowych. Wśród zasad RODO mieści m.in. się zasada przejrzystości, zasada informowania warstwowego oraz zasada prostego języka.

Zamierzonym przez prawodawcę skutkiem wprowadzenia RODO jest zapewnienie danym osobowym:

• rzetelnego i przejrzystego przetwarzania;
• minimalizacji zakresu zbieranych danych osobowych;
• zbierania danych osobowych wyłącznie w ściśle oznaczonym celu;
• usunięcia nieprawidłowych danych osobowych;
• adekwatnego przechowywanie danych osobowych;
• bezpiecznego procesu przetwarzania.

Realizacja celów RODO wymaga dostosowania ochrony danych osobowych funkcjonującej w przedsiębiorstwie do wymagań stawianych przez unijne rozporządzenie. Z uwagi na zakres zmian wprowadzonych przez RODO jest to proces czasochłonny i skomplikowany. Wymaga więc doświadczenia i szerokiej znajomości materii ochrony danych osobowych.

2. Obowiązki wynikające z RODO.

Przed przedsiębiorcami stoi wyzwanie dostosowania dotychczasowej praktyki ochrony danych osobowych do wymagań RODO. Konieczne jest między innymi stworzenie polityki postępowania w razie naruszenia danych osobowych oraz informowania o przysługujących uprawnieniach w związku z przetwarzaniem danych.

Ochrona danych osobowych, do której zobligowani zostali wszyscy administratorzy, to między innymi:

• informowanie osób, których dane dotyczą o przysługujących im uprawnieniach;
• umożliwienie skorzystania z przysługujących uprawnień osobom, których dane osobowe są przetwarzane;
• informowanie organu nadzoru o naruszeniach danych osobowych;
• funkcjonowanie zabezpieczeń uniemożliwiających naruszenie danych osobowych.

Dostosowanie polityki ochrony danych osobowych do RODO jest istotne z uwagi na rozległe uprawnienia osób, których dane są przetwarzane oraz wysokie kary administracyjne, a także przepisy karne. Niemniej istotne jest stworzenie sprawnie funkcjonującego systemu reagowania w razie skorzystania z uprawień oraz wszczęcia postępowania przez Prezesa Urzędu Ochrony Danych Osobowych.

W procedurze dostosowania do wymagań RODO najistotniejsze jest jednak uwzględnienie charakteru prowadzonej działalności i potrzeb przedsiębiorstwa w zakresie procedury ochrony danych osobowych. RODO tworzy minimalne ramy ochrony. RODO zachęca do tworzenia szerszych mechanizmów ochrony danych osobowych, jak np. wprowadzenie do przedsiębiorstwa kodeksu postępowania z danymi osobowymi. Dobór odpowiednich rozwiązań wymaga doświadczenia w zakresie ochrony danych osobowych, warto w tym zakresie skorzystać z usług specjalistów.

3. Przetwarzanie danych osobowych.

W zasadzie RODO rozróżnia dwa podmioty dokonujące operacji przetwarzania danych osobowych. Są to administrator danych osobowych oraz podmiot przetwarzający. RODO wyróżnia również pojęcie odbiorcy danych osobowych.

Zgodnie z RODO administratorem danych osobowych jest zarówno osoba fizyczna, jak i osoba prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Natomiast podmiotem przetwarzającym jest podmiot, który przetwarza dane w imieniu administratora.

Na administratorze spoczywają najszersze obowiązki. Administrator zobligowany został do stworzenia sieci zabezpieczeń danych osobowych, które będą zgodne z RODO.

Przetwarzanie danych osobowych oznacza wszelkie działania na danych osobowych. Wśród podstawowych przykładów przetwarzania danych osobowych wymienić można:

• pozyskiwanie;
• utrwalanie;
• organizowanie;
• porządkowanie;
• przechowywanie;
• adaptowanie;
• modyfikowanie;
• pobieranie;
• przeglądanie;
• wykorzystywanie;
• przesłanie;
• ujawnienie;
• usuwanie;
• niszczenie.

Co jest potrzebne do przetwarzania danych osobowych? Najogólniej mówiąc, aby przetwarzać dane osobowe zgodnie z prawem każdy przedsiębiorca musi uzyskać zgodę osoby, której dane dotyczą. Jednakże RODO przewiduje wyjątki od ogólnej reguły. Dla ustalenia ziszczenia konkretnego typu wyłączenia, konieczne jest indywidualne zbadanie każdej sprawy.

4. Czym są dane osobowe?

Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Definicja danych osobowych uniemożliwia przesądzenie z góry czy informacja, w której posiadanie weszliśmy stanowi chronione przez RODO dane osobowe. Ocena informacji dokonywana musi być zawsze w sposób indywidualny i konkretny.

Co zatem może stanowić chronione przez RODO dane osobowe? Odpowiedź jest następująca:

• imię i nazwisko;
• adres zamieszkania;
• wizerunek;
• dane medyczne;
• adres e-mail;
• numer telefonu;
• numer PESEL.

RODO rozróżnia dwa rodzaje danych osobowych, które skategoryzować można, jako dane osobowe zwykłe i jako dane osobowe wrażliwe.

Dane wrażliwe, są to dane o pochodzeniu rasowym lub etnicznym oraz dotyczące poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności związkowych. Są to również dane genetyczne, dane biometryczne, dane medyczne dotyczące zdrowia, seksualności lub orientacji seksualnej.

5. Uprawnienia konsumenta wynikające z RODO.

Nowe unijnie prawo wyposaża osoby fizyczne w nieznane dotąd prawne narzędzia:

• Prawo do wniesienia skargi. Osoba, której dane osobowe są przetwarzane ma prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych w sytuacji uzasadniającej domniemanie naruszenia RODO.
• Prawo do odszkodowania. Nie znana wcześniej instytucja, mająca charakter cywilny. Umożliwia wystąpienie z powództwem przeciwko administratorowi lub podmiotowi przetwarzającemu o odszkodowanie lub zadośćuczynienie za doznaną szkodę wynikającą z naruszenia postanowień RODO. Warto zauważyć, iż postępowanie w sprawie o odszkodowanie za naruszenie danych osobowych charakteryzuje się pewnymi odstępstwami.
• Prawo dostępu do danych osobowych. Administrator zobowiązany jest do udzielenia informacji o przetwarzanych danych osobowych.
• Prawo do zapomnienia. Daleko idące uprawnienie pozwalające na usunięcie danych osobowych.
• Prawo do ograniczenia. Umożliwia zatrzymanie przetwarzania danych osobowych.
• Prawo do przenoszenia danych osobowych.
• Prawo do sprzeciwu.

Niezasadne nadużywanie uprawień przysługujących na mocy RODO może skutecznie utrudnić funkcjonowanie przedsiębiorstwa. Zasadnym jest więc każdorazowe przeprowadzenie weryfikacji wniosku.

6. Kary administracyjne i przepisy karne.

Obok cywilnego obowiązku naprawienia szkody, RODO wprowadza surowe kary administracyjne, które w skrajnych przypadkach wynosić mogą do 4 % całkowitego rocznego światowego obrotu administratora lub do 20 000 000 EUR.

Do polskiego postępowania karnego wprowadzono obok kar administracyjnych, również przepisy karne typizujące przestępstwo niedopuszczalnego przetwarzania danych osobowych, które zagrożone jest karą pozbawienia wolności.

7. Zakres usług świadczonych przez Kancelarię Prawną ZKZ.

Wprowadzenie RODO do przedsiębiorstwa wymaga podjęcia szeregu czynności, przy których konieczne jest posiadanie wiedzy specjalistycznej w zakresie ochrony danych osobowych, dlatego procedurę dostosowawczą warto powierzyć specjalistom. W ramach świadczonych przez Kancelarię ZKZ usług, w zależności od konkretnego przypadku i rodzaju oferty, świadczymy pomoc prawną polegającą na:

1. przeprowadzeniu audytu obowiązujących w przedsiębiorstwie dotychcza­sowych zasad ochrony danych osobowych;
2. ocenie ryzyka naruszeń zasad ochrony danych osobowych;
3. przeprowadzeniu szkolenia kadry i personelu Klienta z zakresu RODO;
4. opracowaniu polityki ochrony danych osobowych;
5. opiniowaniu umów zawartych z podmiotami zewnętrznymi pod kątem zgodności z RODO;
6. przygotowaniu umowy o przetwarzanie danych;
7. opracowaniu kodeksu postępowania z danymi osobowymi;
8. opracowaniu polityki postępowania w razie stwierdzenia naruszenia danych osobowych;
9. opracowaniu procesu informowania;
10. opracowaniu wzorów dokumentacji wynikających z RODO;
11. przygotowaniu procesu informowania o przetwarzaniu danych osobowych;
12. reprezentacji w procesie certyfikacji;
13. reprezentacji w postępowaniu przed Prezesem Urzędu Ochrony Danych Osobowych;
14. reprezentacji w postępowaniach sądowych;
15. stałej obsłudze przedsiębiorstwa w materii ochrony danych osobowych;
16. obronie w postępowaniach karnych.