Czy RODO dotyczy osób fizycznych i jakie niesie to konsekwencje?

Czym jest RODO i kogo chroni?

RODO to unijne rozporządzenie regulujące zasady przetwarzania danych osobowych, ustanowione w celu ochrony praw i wolności osób fizycznych w odniesieniu do ich danych [1][2]. Chronionym podmiotem jest osoba, której dane dotyczą, czyli żyjący człowiek identyfikowalny bezpośrednio lub pośrednio [7][8][9][10]. Zakres terytorialny tej ochrony nie zależy od narodowości ani miejsca zamieszkania osoby, jeśli przetwarzanie dotyczy jej danych osobowych w rozumieniu rozporządzenia [1][2].

Co to są dane osobowe i kiedy identyfikują osobę?

Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, przy czym identyfikacja może następować bezpośrednio lub pośrednio na podstawie takich elementów jak imię i nazwisko, numer identyfikacyjny, dane lokalizacyjne, identyfikator internetowy lub inne czynniki określające tożsamość osoby [7][9]. Ochrona obejmuje również informacje, które same w sobie nie pozwalają na identyfikację, ale w połączeniu z innymi danymi prowadzą do ustalenia tożsamości [8][10]. Dane poddane zabiegom pseudonimizacji albo częściowej dezidentyfikacji mogą nadal być danymi osobowymi, jeśli istnieje realna możliwość ponownej identyfikacji osoby [8]. Im łatwiej dane prowadzą do identyfikacji jednostki, tym wyraźniej wchodzą w materialny zakres stosowania RODO [7][9].

Czy RODO obejmuje przetwarzanie przez firmy, organizacje i osoby prywatne?

RODO ma zastosowanie do przetwarzania danych osobowych osób fizycznych przez osobę, firmę lub organizację, o ile operacje te mieszczą się w kontekście zawodowym, komercyjnym lub organizacyjnym [8][10]. Przetwarzanie obejmuje bardzo szeroki katalog czynności, takich jak gromadzenie, utrwalanie, porządkowanie, przechowywanie, modyfikowanie, udostępnianie, analizowanie czy usuwanie danych, a każda z tych operacji uruchamia wymogi rozporządzenia [8][10]. Wyłączone z zakresu RODO jest natomiast przetwarzanie dokonywane przez osobę fizyczną wyłącznie w celach osobistych lub domowych, co nie obejmuje działań wykraczających poza taki prywatny kontekst. Mechanizm stosowania RODO jest prosty w założeniach jeśli dane dotyczą osoby fizycznej i umożliwiają jej identyfikację, przetwarzanie musi spełniać wymogi rozporządzenia [7][1][9].

Jakie obowiązki mają administratorzy wobec danych osób fizycznych?

Administratorzy i podmioty przetwarzające muszą wdrożyć odpowiednie środki organizacyjne i techniczne oraz przestrzegać zasad przetwarzania na każdym etapie operacji na danych, obejmujących gromadzenie, przechowywanie, udostępnianie i analizę, ponieważ każda z tych czynności podlega wymogom RODO [8][10]. Zakres obowiązków zależy od charakteru danych, celu przetwarzania i poziomu ryzyka dla praw oraz wolności osób fizycznych, co oznacza konieczność stosowania podejścia opartego na ryzyku [5]. Gdy przetwarzanie wiąże się z wysokim ryzykiem, rośnie wymóg adekwatnych zabezpieczeń i przeprowadzania oceny skutków dla ochrony danych [5]. Pseudonimizacja może zmniejszać ryzyko, ale nie znosi stosowania RODO, jeśli zachowana jest możliwość powiązania informacji z konkretną osobą [8]. Podstawową konsekwencją dla administratorów jest również obowiązek poszanowania i skutecznego realizowania praw osób, których dane dotyczą [3][4][6]. Kierunek ten wzmacnia literaturowe ujęcie systemowego i ryzykowego charakteru ochrony danych w ramach RODO.

Jakie prawa przysługują osobie fizycznej?

Osoba, której dane dotyczą, dysponuje ośmioma podstawowymi prawami gwarantującymi kontrolę nad przetwarzaniem jej danych informowaniem, dostępem, sprostowaniem, usunięciem, ograniczeniem przetwarzania, przenoszeniem danych, sprzeciwem oraz prawem do tego, by nie podlegać decyzji opartej wyłącznie na automatyzacji, w tym profilowaniu [3][4]. Realizując te uprawnienia, osoba fizyczna może żądać informacji o przetwarzaniu, korygować nieścisłości, żądać usunięcia lub ograniczenia, przenosić swoje dane do innego podmiotu, a także sprzeciwić się przetwarzaniu lub wnosić o interwencję ludzką w przypadku decyzji podejmowanych automatycznie [3][4]. W razie naruszenia praw możliwe jest złożenie skargi do Prezesa Urzędu Ochrony Danych Osobowych jako właściwego organu nadzorczego [6].

Jakie są konsekwencje dla osób fizycznych i jak egzekwować swoje prawa?

Dla osób fizycznych kluczową konsekwencją stosowania RODO jest realny wpływ na to, kto, w jakim celu i na jakiej podstawie przetwarza ich dane, przy jednoczesnym dostępie do środków ochrony, w tym prawa sprzeciwu, usunięcia i ograniczenia oraz ścieżki skargowej do Prezesa UODO [3][4][6]. Ochrona działa w szerokim wymiarze, ponieważ obejmuje każdą informację pozwalającą zidentyfikować osobę, w tym identyfikatory internetowe i dane lokalizacyjne, a także informacje, które dopiero w połączeniu z innymi elementami umożliwiają identyfikację [7][8][9][10].

Dla podmiotów przetwarzających konsekwencją jest konieczność podporządkowania się wymogom RODO we wszystkich operacjach na danych, łącznie z przechowywaniem, udostępnianiem i analizą, przy czym pseudonimizacja nie zwalnia z tych obowiązków, jeśli pozostaje możliwość ponownej identyfikacji osoby [8][10]. Zakres wymagań zależy od oceny ryzyka dla praw i wolności osób fizycznych, a w przypadku wysokiego ryzyka obejmuje wdrożenie dodatkowych zabezpieczeń oraz przeprowadzenie oceny skutków dla ochrony danych [5].

RODO stosuje się niezależnie od narodowości czy miejsca zamieszkania osoby, co wzmacnia ochronę transgraniczną i umożliwia egzekwowanie praw wobec podmiotów przetwarzających dane osób fizycznych w Unii Europejskiej [1][2]. Mechanizm egzekwowania przez jednostkę opiera się na kierowaniu żądań do administratora danych, a w razie potrzeby na skorzystaniu z nadzoru organu krajowego poprzez złożenie skargi [3][6].

Wykorzystane materiały

1. https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=celex:32016R0679&tid=[adsimpletextid
2. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32016R0679
3. https://commission.europa.eu/law/law-topic/data-protection/information-individuals_en
4. https://www.edpb.europa.eu/sme/be-compliant/respect-individuals-rights_en
5. https://europa.eu/youreurope/business/governance-and-sustainability/digital-and-data-compliance/data-protection-gdpr/index_pl.htm
6. https://uodo.gov.pl/pl/493/155
7. https://uodo.gov.pl/file/4248
8. https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_en
9. https://gdpr-info.eu/art-4-gdpr/
10. https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en

CyberThreat.pl

CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!