RODO ochrona danych osobowych

[:pl]

[:]

SPIS TREŚCI

• Co to jest RODO?
• Kogo dotyczą przepisy o ochronie danych osobowych?
• Co kryje się pod hasłem przetwarzanie danych osobowych?
• Co to jest przetwarzanie danych osobowych?
• Na czym polega RODO?
• Gdzie zgłosić naruszenie RODO
• Kary za nieprzestrzeganie RODO
• Klauzula RODO – ochrona danych osobowych

Co to jest RODO ochrona danych osobowych?

RODO, czyli Rozporządzenie o Ochronie Danych Osobowych (z języka angielskiego GDPR) reguluje ustawa z 10 maja 2018 r. Ochrona danych osobowych to coraz popularniejsze zagadnienie. Wraz z postępem internetu, mediów społecznościowych, e-handlu i usług online, nasze dane osobowe przetwarzane są i udostępniane na niespotykaną dotąd skalę. Jednak wraz z tym wzrostem wykorzystania danych pojawiają się także wyzwania związane z prywatnością i bezpieczeństwem.

Dokument ten reguluje szeroko określoną ochronę danych osobowych, która swoim zakresem obejmuje:

• zasady ochrony, praw osób, których rozporządzenie dotyczy,
• konkretyzuje, kim jest administrator danych oraz podmiot przetwarzający,
• reguluje przekazywanie danych do państw trzecich i organów międzynarodowych
• reguluje ochronę prawną, odpowiedzialność i sankcje za nieprzestrzeganie przepisów tego aktu prawnego.

Najważniejszym celem rozporządzenia jest ochrona danych osobowych.

RODO wprowadzono, by zapewnić swobodny przepływ danych pomiędzy wszystkimi państwami członkowskimi Unii Europejskiej. Jego głównym zadaniem jest ochrona osób fizycznych przed wykorzystywaniem ich danych bez ich wiedzy. Warto pamiętać, iż RODO nie jest jedynym przepisem, który dotyczy przetwarzania danych osobowych przez administratorów danych. Istnieje jeszcze zbiór zasad, poprzez które ta ochrona staje się o wiele skuteczniejsza. Ani RODO ani Ustawa o ochronie danych osobowych nie wskazują precyzyjnie, w jaki sposób administrator powinien zapewnić bezpieczeństwo danych osobowych.

Kogo dotyczą przepisy o ochronie danych osobowych?

W Polsce kwestie ochrony danych osobowych reguluje ustawa z dnia 10 maja 2018 r. Ustawa o ochronie danych dokładnie nie precyzują kogo dotyczą regulacje. Zgodnie z art.2 i art.3 RODO ustawa dotyczy każdego przedsiębiorcy, niezależnie od wielkości jego firmy, czy ilości zatrudnionych osób.

Co kryje się pod hasłem przetwarzanie danych osobowych?

Dane osobowe to wszystkie informacje, które pozwalają nam zidentyfikować osobę fizyczną. Zaliczamy do nich:

• imię i nazwisko,
• numer PESEL,
• numer NIP,
• numer telefonu,
• adres IP,
• adres e-mail
• wszystkie cechy charakterystyczne dla konkretnego człowieka umożliwiającego jego identyfikację.

RODO wyróżnia także dane, które podlegają szczególnej ochronie, czyli są to “dane wrażliwe”.

Należą do nich dane:

• dotyczące pochodzenia rasowego lub etnicznego,
• ujawniające poglądy polityczne, przekonania religijne lub światopoglądowe,
• ujawniające przynależność do związków zawodowych,
• genetyczne, biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej,
• dotyczące zdrowia, seksualności lub orientacji seksualnej.

Wykorzystywanie i przetwarzanie powyższych danych jest prawnie zabronione. Jedynym wyjątkiem jest sytuacja, kiedy osoba której dotyczą, wyrazi na to zgodę i innych, wskazanych w ustawie, sytuacjach. Przetwarzanie danych osobowych szczególnych kategorii, czyli danych wrażliwych jest surowo zabronione. Jedynym wyjątkiem jest spełnienie jednej z przesłanek zawartych w art. 9 ust. 1 RODO (np. cele zdrowotne, ubezpieczenia społecznego, zapobiegania pandemiom, prowadzenie fundacji i stowarzyszeń, obrona roszczeń), np. osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych.

 Warto także wspomnieć o administratorze danych osobowych. Tak zwany ADO to osoba fizyczna, osoba prawna lub instytucja, która ustala oraz kontroluje sposób przetwarzania danych osobowych. Administrator ma prawo powołać inspektora ochrony danych (IOD), który będzie wspomagał go w przestrzeganiu przepisów ochrony danych osobowych.

Co to jest przetwarzanie danych osobowych?

Zgodnie z RODO za przetwarzanie danych osobowych uważa się wszystkie operacje i działania, jakie zachodzą na danych osobowych, czyli:

• zbieranie, utrwalanie, organizowanie danych
• porządkowanie, przechowywanie, wykorzystywanie czy modyfikowanie danych
• pobieranie i przeglądanie danych
• przesyłanie, rozpowszechnianie danych, łączenie, ograniczanie, usuwanie, niszczenie danych.

Niekiedy za przetwarzanie danych uważa się także publiczne przeglądanie danych lub ich zbieranie z ze źródeł, które są publicznie dostępne. Mowa tu głównie o rejestrach spółek i przedsiębiorców, social media, czy dane umieszczone na stronie internetowej.

Administrator ma obowiązek podjąć odpowiednie środki zarówno techniczne, jak i organizacyjne w celu zapewnienia bezpieczeństwa. Przykładowe środki techniczne mogą obejmować:

1. Wymaganie logowania użytkownika i hasła przy korzystaniu z komputerów.
2. Wykorzystanie oprogramowania antywirusowego i innych narzędzi ochronnych przed szkodliwym oprogramowaniem.
3. Zastosowanie środków zabezpieczających sieć komputerową, takich jak zapory ogniowe czy systemy wykrywania intruzów.
4. Szyfrowanie danych w celu zabezpieczenia ich przed nieuprawnionym dostępem.
5. Przechowywanie danych osobowych w fizycznej formie w specjalnie zabezpieczonych pomieszczeniach lub szafach.

Administrator powinien wdrożyć te środki w celu minimalizacji ryzyka naruszenia tożsamości i prywatności.

Na czym polega RODO ochrona danych osobowych?

Przepisy RODO w dokładny sposób regulują, jak prawidłowo zbierać, a następnie przetwarzać dane. Dzięki temu, osoby których dane dotyczą mogą na bieżąco kontrolować w jaki sposób ich dane są przetwarzane. Muszą one mieć:

• informację na temat sposobu przetwarzania ich danych osobowych
• prawo do przenoszenia danych, które ułatwiają przesyłanie danych osobowych pomiędzy dostawcami usług
• możliwość sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych
• prawo do bycia niezwłocznie poinformowanym w razie ataku hakerskiego na dane
• prawo do bycia zapomnianym (czyli usunięcia danych na żądanie — gdy nie są już potrzebne).

Ponadto, żeby instytucja albo przedsiębiorstwo mogło przetwarzać dane osobowe, osoba której dotyczą, musi wyrazić na to świadomą zgodę — pisemną, ustną lub przez zaznaczenie odpowiedniego pola w formularzu — oraz zostać poinformowaną, w jaki sposób te informacje będą przetwarzane.

Przetwarzający Twoje dane ma obowiązek dbać o to, aby dane osobowe były przetwarzane w sposób zgodny z prawem i bezpieczny, m.in. nie może dzielić się nimi z innymi podmiotami bez zgody osoby, której dotyczą.

A co dokładnie znaczy przetwarzanie danych osobowych? To dość szeroki termin — mówiąc najprościej, jest to każda operacja wykonywana na danych i zbiorach danych: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Ustawa i RODO nie reguluje, w jaki sposób dana firma albo osoba prawna ma chronić dane osobowe swoich klientów, ale oczywiście jest zobowiązana dbać o ich bezpieczeństwo i wprowadzenie odpowiednich procedur oraz przestrzeganie prawa. 

Gdzie zgłosić naruszenie RODO

Każda osoba, której dane osobowe są naruszone ma prawo złożyć skargę do właściwego organu. Skargę wnosi się zarówno do organu nadzorczego państwa, w którym stale mieszkamy (w Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych), jak i do organu unijnego (w którym być może pracujemy lub organu państwa, w którym doszło do naruszania ochrony naszych danych. W Polsce, skargę do Prezesa UODO można złożyć elektronicznie lub pocztą tradycyjną na adres Urzędu.

Czytaj również: Jak napisać list motywacyjny?

Przedsiębiorca musi mieć na uwadze, że w przypadku naruszenia danych osobowych, administrator danych ma obowiązek zgłosić ten incydent organowi nadzorczemu, czyli Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO). Zgłoszenie powinno nastąpić możliwie najpóźniej w ciągu 72 godzin od momentu wykrycia naruszenia.

Istnieją jednak sytuacje, w których zgłoszenie nie jest konieczne. Dotyczy to przypadków, w których istnieje niewielkie prawdopodobieństwo, że naruszenie spowoduje ryzyko naruszenia praw lub wolności osób fizycznych. Należy zauważyć, że termin ten jest nieprecyzyjny, co może stanowić poważne wyzwanie dla administratora danych w przypadku rzeczywistego naruszenia.

Kary za nieprzestrzeganie RODO

Jedną z najsurowszych kar za naruszenie ochrony danych osobowych są kary pieniężne na mocy wcześniej wydanych decyzji administracyjnych wydanych przez Prezesa Urzędu Ochrony Danych Osobowych. Sankcja może wynosić nawet 20 000 0000 euro. Przedsiębiorstwo może zostać ukarane do 4% swojego całkowitego rocznego obrotu.

Poza finansowymi sankcjami administracyjnymi, polska ustawa z dnia 10 maja 2018 r. dotycząca ochrony danych osobowych przewiduje także sankcje karne w przypadku niedozwolonego przetwarzania lub przetwarzania danych osobowych bez upoważnienia. W takiej sytuacji kara może obejmować grzywnę, ograniczenie wolności lub nawet pozbawienie wolności na okres do dwóch lat.

Jeżeli w wyniku naruszenia ochrony danych osobowych osoba doznała szkody, zarówno materialnej, jak i niematerialnej, ma prawo żądać odszkodowania zarówno od administratora danych osobowych, jak i od podmiotu przetwarzającego na drodze cywilnej. Administrator będzie ponosił odpowiedzialność za wszelkie szkody wynikające z naruszenia przepisów RODO poprzez przetwarzanie, chyba że udowodni, że nie jest winny za zdarzenie, które spowodowało powstanie szkody.

Klauzula RODO – ochrona danych osobowych

Każda organizacja, która zdecyduje się na skorzystanie ze zgody przetwarzania danych osobowych powinna pamiętać o warunkach, jakie zachowuje się przy jej odbieraniu. Każda osoba, która wyrazi na to zgodę powinna zrobić to świadomie, jednoznacznie i dobrowolnie. Jeśli przetwarzanie informacji ma służyć różnym celom, zgoda powinna być udzielona na wszystkie wymienione cele. Pamiętajmy, że najbardziej powszechną podstawą przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą.

Zgodnie z wyjaśnieniami zawartymi w motywach RODO, jeśli osoba, której dotyczą dane, ma wyrazić zgodę na elektroniczne zapytanie, to musi być ono klarowne, zwięzłe i nie przeszkadzać w korzystaniu z usługi, na którą się odnosi. Zgodę można wyrazić na różne sposoby:

• pisemnie
• ustnie
• przez zaznaczenie pola wyboru na stronie internetowej.

Ważne jest jednak, że zgodnie z zasadą rozliczalności, o której mówi art. 5 ust. 2 RODO, oraz przepisami art. 7 ust. 1 RODO, administrator danych osobowych musi móc udowodnić, że osoba, której dane dotyczą, faktycznie wyraziła taką zgodę. Jeśli zatem zgoda została udzielona np. ustnie podczas rozmowy telefonicznej, można zapewnić rozliczalność poprzez nagrywanie takiej rozmowy.

Po udzieleniu zgody na piśmie, oświadczenia przechowuje organizacja w wyznaczonym miejscu. Warto, aby organizacja prowadziła rejestr udzielonych zgód. Do tego celu mogą być przydatne dostępne na rynku programy do prowadzenia ewidencji.

Klauzula RODO brzmi:

Wyrażam zgodę na przetwarzanie moich danych osobowych dla potrzeb niezbędnych do realizacji procesu rekrutacji (zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Najczęściej powyższa klauzula swoje zastosowanie znajduje w rekrutacjach pracowników. Każda osoba szukająca pracy powinna umieścić klauzulę w CV. Dzięki temu rekruter ma prawo przetwarzać dane jako kandydata ubiegającego się o stanowisko pracownicze. W naszych życiorysach podajemy dość sporo informacji o nas. Oprócz takich informacji jak imię i nazwisko, telefon, czy adres umieszczamy tam przebieg naszej kariery, nasze kwalifikacje, czy zainteresowania. Biorąc pod uwagę nowe przepisy każdą informację można przetworzyć tylko i wyłącznie za naszym zezwoleniem. W CV, osoba poszukująca pracy ma obowiązek umieścić formułę „Wyrażam zgodę”, by w ogóle zacząć proces rekrutacyjny. Po jej zawarciu dopiero rekruter zyska prawo do skorzystania z naszego CV i z zawartych w nich informacji.