Witaj, jestem Marta, Twoja przewodniczka po świecie RODO
Usiądź wygodnie, bo właśnie rozpoczynamy przygodę pełną prawnych zawiłości, ale postaram się wyjaśnić wszystko w prosty i zrozumiały sposób. Jako właścicielka agencji interaktywnej, wiem, jak ważne jest odpowiednie postępowanie z danymi osobowymi klientów i pracowników. Dlatego dziś podzielę się z Tobą moją wiedzą na temat przetwarzania danych osobowych zgodnie z RODO.
Czym jest RODO?
Zacznijmy od podstaw. RODO to potoczna nazwa Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). To długa i skomplikowana nazwa, dlatego powszechnie używa się skrótu RODO.
RODO to unijne rozporządzenie, które weszło w życie 25 maja 2018 roku i zastąpiło wcześniejszą dyrektywę 95/46/WE. Jego celem jest zapewnienie ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych.
Podstawowe zasady RODO
Zanim zagłębimy się w szczegóły, warto zrozumieć kluczowe zasady, na których opiera się RODO:
1. Legalność, rzetelność i przejrzystość
Przetwarzanie danych osobowych musi odbywać się zgodnie z prawem, w sposób rzetelny i przejrzysty dla osoby, której dane dotyczą.
2. Ograniczenie celu
Dane osobowe mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami.
3. Minimalizacja danych
Przetwarzane dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do osiągnięcia celów, dla których są przetwarzane.
4. Prawidłowość
Dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane. Należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.
5. Ograniczenie przechowywania
Dane osobowe powinny być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.
6. Integralność i poufność
Dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.
Kluczowe pojęcia w RODO
Zanim przejdziemy do omawiania konkretnych zasad przetwarzania danych, musimy zrozumieć kilka kluczowych pojęć:
1. Dane osobowe
Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Może to być imię i nazwisko, adres e-mail, numer telefonu, adres IP, lokalizacja GPS, a nawet informacje o stanie zdrowia lub życiu seksualnym.
2. Przetwarzanie danych
Przetwarzanie danych to wszelkie operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie, rozpowszechnianie, usuwanie lub niszczenie.
3. Administrator danych
Administrator danych to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W naszym przypadku to Ty, jako właściciel agencji interaktywnej.
4. Podmiot przetwarzający
Podmiot przetwarzający to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Może to być na przykład zewnętrzna firma hostingowa lub księgowa.
Teraz, gdy mamy już solidne podstawy, możemy przejść do omawiania konkretnych zasad przetwarzania danych zgodnie z RODO.
Podstawy prawne przetwarzania danych osobowych
Zgodnie z RODO, przetwarzanie danych osobowych jest zgodne z prawem tylko wtedy, gdy spełniony jest co najmniej jeden z poniższych warunków:
- Zgoda osoby, której dane dotyczą
- Niezbędność do wykonania umowy, której stroną jest osoba, której dane dotyczą
- Niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze
- Niezbędność do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej
- Niezbędność do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi
- Niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych
Zgoda jest często pierwszą przesłanką, która przychodzi nam na myśl, gdy mówimy o przetwarzaniu danych osobowych. Jednak warto pamiętać, że nie zawsze jest to najwygodniejsze i najlepsze rozwiązanie. Często można znaleźć inną podstawę prawną, np. konieczność przetwarzania danych wynikającą z obowiązujących przepisów.
Kiedy już ustaliliśmy podstawę prawną przetwarzania danych, musimy pamiętać o spełnieniu innych wymogów RODO, takich jak informowanie osób, których dane dotyczą, o przetwarzaniu oraz zapewnienie im określonych praw.
Prawa osób, których dane są przetwarzane
RODO przyznaje osobom, których dane są przetwarzane, szereg praw:
- Prawo dostępu do danych – możliwość uzyskania informacji, jakie dane są przetwarzane, w jakim celu, przez kogo, itp.
- Prawo do sprostowania danych – możliwość żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
- Prawo do usunięcia danych (prawo do bycia zapomnianym) – możliwość żądania usunięcia danych, gdy np. cele przetwarzania zostały zrealizowane.
- Prawo do ograniczenia przetwarzania – możliwość żądania ograniczenia przetwarzania danych, np. na czas weryfikacji ich prawidłowości.
- Prawo do przenoszenia danych – możliwość otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie i przesłania ich innemu administratorowi.
- Prawo do sprzeciwu – możliwość sprzeciwienia się przetwarzaniu danych w określonych celach, np. w celach marketingowych.
- Prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu – ochrona przed podejmowaniem decyzji, które mogą mieć dla osoby znaczące skutki, wyłącznie na podstawie zautomatyzowanego przetwarzania.
Pamiętaj, aby informować osoby, których dane przetwarzasz, o przysługujących im prawach i umożliwiać im ich realizację.
Obowiązek informacyjny
Jednym z kluczowych obowiązków administratora danych osobowych jest realizacja obowiązku informacyjnego. Oznacza to, że musisz poinformować osoby, których dane przetwarzasz, o:
- Tożsamości i danych kontaktowych administratora
- Celach przetwarzania oraz podstawie prawnej
- Odbiorcach lub kategoriach odbiorców danych
- Okresie, przez który dane będą przechowywane
- Prawach przysługujących osobom, których dane są przetwarzane
- Źródle danych (jeśli nie zostały zebrane bezpośrednio od osoby)
- Zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu
Te informacje powinieneś przekazać w momencie zbierania danych, a w przypadku danych uzyskanych z innego źródła – w ciągu miesiąca od ich otrzymania.
Pamiętaj, aby klauzula informacyjna była przejrzysta, napisana prostym językiem i łatwo dostępna dla osób, których dane dotyczą.
Zgoda na przetwarzanie danych
Jak wspomniałam wcześniej, zgoda osoby, której dane dotyczą, jest jedną z podstaw prawnych przetwarzania danych. Jednak nie zawsze jest to najlepsze rozwiązanie. Przed pozyskaniem zgody warto rozważyć, czy nie ma innej, bardziej adekwatnej podstawy prawnej.
Jeśli jednak zdecydujesz się na pozyskanie zgody, pamiętaj, że musi ona spełniać określone warunki, aby była skuteczna:
- Musi być dobrowolna – osoba, której dane dotyczą, nie może być do niej w żaden sposób zmuszana.
- Musi być jednoznaczna – osoba musi w jasny sposób wyrazić zgodę, np. poprzez zaznaczenie checkboxa.
- Musi być poinformowana – osoba musi otrzymać kompletne informacje o przetwarzaniu danych.
- Musi być możliwa do wycofania – osoba musi mieć możliwość łatwego wycofania zgody w dowolnym momencie.
Pamiętaj, aby zgoda była wyrażana odrębnie dla każdego celu przetwarzania i nie łączyć jej z innymi postanowieniami umownymi.
Bezpieczeństwo przetwarzania danych
Jednym z kluczowych obowiązków administratora danych jest zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanych danych. Oznacza to, że musisz wdrożyć środki techniczne i organizacyjne zapewniające ochronę danych przed:
- Przypadkowym lub niezgodnym z prawem zniszczeniem
- Utratą, modyfikacją, nieupoważnionym ujawnieniem lub dostępem do danych
Jakie to mogą być konkretne środki? Np. szyfrowanie danych, pseudonimizacja, zabezpieczenia systemów IT, ograniczenie dostępu do danych, szkolenie pracowników, prowadzenie logów, kopie zapasowe, itp.
Odpowiedzialność za bezpieczeństwo danych spoczywa na Tobie jako administratorze. Dlatego musisz systematycznie analizować ryzyka i wdrażać adekwatne środki ochrony.
Powiadomienia o naruszeniu ochrony danych
Jeśli pomimo Twoich starań dojdzie do naruszenia ochrony danych osobowych, np. do wycieku lub utraty danych, masz obowiązek niezwłocznie to zgłosić Prezesowi Urzędu Ochrony Danych Osobowych.
Zgłoszenie należy wysłać nie później niż 72 godziny po stwierdzeniu naruszenia. Musisz w nim zawrzeć informacje takie jak:
- Opis charakteru naruszenia
- Kategorie i przybliżoną liczbę osób, których dane zostały naruszone
- Kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie
- Imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innej osoby do kontaktu
- Opis możliwych konsekwencji naruszenia
- Opis zastosowanych lub proponowanych środków w celu zaradzenia naruszeniu
Pamiętaj także o poinformowaniu osób, których dane zostały naruszone, jeśli może to powodować wysokie ryzyko naruszenia ich praw i wolności.
Inspektor ochrony danych
RODO nakłada na niektórych administratorów obowiązek powołania inspektora ochrony danych (IOD). IOD to osoba, która nadzoruje przestrzeganie przepisów o ochronie danych osobowych w danej organizacji.
Musisz powołać IOD, jeśli:
- Jesteś organem lub podmiotem publicznym
- Twoja podstawowa działalność polega na operacjach przetwarzania, które z uwagi na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę
- Twoja podstawowa działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa
Inspektor ochrony danych pełni ważną rolę w organizacji – doradza, monitoruje compliance, szkoli pracowników i współpracuje z organem nadzorczym.
Sankcje za naruszenie RODO
Pamiętaj, że **nieprzestrzeganie przepisów
