Gdzie obowiązuje RODO i jakie prawa z niego wynikają?

RODO obowiązuje we wszystkich 27 państwach UE oraz obejmuje także podmioty spoza UE, jeżeli kierują ofertę do osób znajdujących się w UE lub monitorują ich zachowanie na terytorium UE. Prawa wynikające z RODO obejmują dostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw, wycofanie zgody oraz ochronę przed decyzją wyłącznie zautomatyzowaną.

Czym jest RODO?

RODO to ogólne rozporządzenie o ochronie danych, które zaczęto stosować 25 maja 2018 r. Reguluje przetwarzanie danych osobowych w sposób jednolity w UE i ustanawia zasady oraz obowiązki dotyczące legalnego, bezpiecznego i przejrzystego postępowania z informacjami o osobach fizycznych.

Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, modyfikowanie, wykorzystywanie, udostępnianie i usuwanie danych. Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej i obejmują identyfikatory, informacje kontaktowe, dane lokalizacyjne oraz identyfikatory internetowe.

Gdzie obowiązuje RODO?

Pytanie gdzie obowiązuje RODO ma trzy odpowiedzi. Po pierwsze, rozporządzenie stosuje się do organizacji mających siedzibę lub zakład w UE, także wtedy gdy przetwarzanie odbywa się technicznie poza UE, o ile odbywa się w ramach działalności tego zakładu. Po drugie, dotyczy podmiotów spoza UE, które oferują towary lub usługi osobom znajdującym się w UE, również wtedy gdy nie pobierają płatności. Po trzecie, obejmuje podmioty spoza UE monitorujące zachowanie osób na terytorium UE.

Sam fakt dostępności strony internetowej z terytorium UE nie przesądza o stosowaniu rozporządzenia. Znaczenie ma rzeczywiste kierowanie oferty do osób w UE lub prowadzenie monitorowania ich zachowania.

Rozporządzenie jest stosowane we wszystkich 27 państwach członkowskich UE. Chroni osoby fizyczne niezależnie od obywatelstwa i miejsca zamieszkania. Nie reguluje zasadniczo danych dotyczących osób prawnych.

Kogo i jakie dane obejmuje ochrona?

Ochrona obejmuje osoby fizyczne, których dane identyfikują lub umożliwiają identyfikację. Nie obejmuje danych osób prawnych, z zastrzeżeniem przypadków, gdy dane te jednocześnie stanowią dane osoby fizycznej.

Do wyjątków od stosowania rozporządzenia należą działania związane z bezpieczeństwem narodowym oraz wybrane obszary wspólnej polityki zagranicznej i bezpieczeństwa.

Na jakich zasadach i podstawach prawnych odbywa się przetwarzanie?

Przetwarzanie danych musi być zgodne z zasadami zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności i poufności oraz rozliczalności. Zasady te obowiązują łącznie i determinują sposób planowania, realizacji i dokumentowania każdego procesu przetwarzania.

Wymagana jest podstawa prawna. Może nią być zgoda, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym lub prawnie uzasadniony interes administratora. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz możliwa do wycofania bez trudności.

Jakie prawa z RODO przysługują osobom?

Prawa wynikające z RODO przysługują każdej osobie, której dane dotyczą. Obejmują one prawo do informacji o przetwarzaniu danych, prawo dostępu, prawo do uzyskania kopii, prawo do sprostowania, prawo do usunięcia danych, prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo sprzeciwu, prawo do wycofania zgody oraz prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli wywołuje skutki prawne lub w podobny sposób istotnie wpływa na osobę.

Prawo do przenoszenia dotyczy danych przetwarzanych automatycznie na podstawie zgody lub umowy. Prawo sprzeciwu ma szczególne znaczenie w działaniach marketingu bezpośredniego.

Jak przebiega realizacja tych praw?

Proces rozpoczyna się od złożenia żądania do administratora. Administrator weryfikuje tożsamość w zakresie niezbędnym do ochrony danych, analizuje zakres żądania i podstawę prawną przetwarzania, a następnie realizuje prawo poprzez udostępnienie, poprawienie, usunięcie lub przeniesienie danych albo ograniczenie przetwarzania.

Administrator dokumentuje wykonanie czynności. W przypadku odmowy wyjaśnia przyczynę i informuje o możliwości złożenia skargi do organu nadzorczego lub dochodzenia roszczeń przed sądem.

W jakich terminach i z jakimi ograniczeniami realizuje się prawa?

Administrator powinien odpowiedzieć bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W sprawach skomplikowanych termin może zostać przedłużony maksymalnie o kolejne dwa miesiące z obowiązkiem poinformowania zainteresowanego o przyczynach i planowanym terminie.

Realizacja praw może zostać ograniczona, jeżeli wynika to z przepisów prawa, w szczególności z obowiązków archiwizacyjnych lub konieczności dochodzenia roszczeń. Prawo do usunięcia danych jest równoważone obowiązkami przechowywania określonych kategorii informacji przez wymagany okres.

Jakie obowiązki mają administrator i podmiot przetwarzający?

Administrator decyduje o celach i sposobach przetwarzania i odpowiada za zgodność całego procesu z rozporządzeniem. Podmiot przetwarzający działa w imieniu administratora na podstawie udokumentowanych instrukcji. Strony regulują relację umową powierzenia. Współadministrowanie powstaje, gdy podmioty wspólnie ustalają cele i sposoby przetwarzania.

Administrator wdraża ochronę danych już na etapie projektowania produktu lub usługi, czyli privacy by design, oraz domyślnie stosuje ustawienia zapewniające wysoki poziom prywatności, czyli privacy by default. Organizacje stosują odpowiednie środki techniczne i organizacyjne, w tym kontrolę dostępu, szyfrowanie, kopie zapasowe, wieloskładnikowe uwierzytelnianie, testy bezpieczeństwa oraz procedury reagowania na incydenty.

Zasada rozliczalności wymaga nie tylko przestrzegania przepisów, lecz także zdolności wykazania zgodności. Służą temu rejestr czynności przetwarzania, oceny skutków dla ochrony danych, konsultacje z organem nadzorczym w razie wysokiego ryzyka, audyty, szkolenia oraz regularne przeglądy uprawnień.

Kiedy trzeba wyznaczyć inspektora ochrony danych?

Wyznaczenie inspektora ochrony danych jest konieczne w określonych przypadkach, w szczególności gdy podstawowa działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę lub gdy przetwarzanie obejmuje szczególne kategorie danych na dużą skalę. Do szczególnych kategorii należą dane o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej, życiu seksualnym oraz dane biometryczne służące jednoznacznej identyfikacji.

Na czym polega zgłaszanie naruszeń i informowanie osób?

Naruszenie ochrony danych należy zgłosić organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli może ono powodować ryzyko naruszenia praw lub wolności osób. Jeżeli ryzyko jest wysokie, administrator informuje również osoby, których dane dotyczą.

W przypadku decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę, należy zapewnić gwarancje obejmujące możliwość uzyskania interwencji człowieka, wyrażenia własnego stanowiska oraz zakwestionowania decyzji.

Na czym polega przekazywanie danych poza EOG?

Przekazywanie danych poza Europejski Obszar Gospodarczy wymaga mechanizmu legalizującego transfer. Stosuje się decyzje stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne lub wiążące reguły korporacyjne. Administrator ocenia ryzyko transferu i wdraża środki zapewniające ciągłość ochrony danych na poziomie wymaganym przez rozporządzenie.

Kto nadzoruje zgodność z RODO w Polsce i w UE?

Nadzór nad przestrzeganiem przepisów w Polsce sprawuje Prezes Urzędu Ochrony Danych Osobowych. W innych państwach UE działają krajowe organy ochrony danych, które współpracują w ramach Europejskiej Rady Ochrony Danych w celu zapewnienia spójnego stosowania przepisów w całej Unii.

Podsumowanie

RODO działa w całej UE i obejmuje również podmioty spoza Unii, które kierują ofertę do osób w UE lub monitorują ich zachowanie. Odpowiada za to szeroki zakres terytorialny oraz jasne zasady przetwarzania. Najważniejsze prawa wynikające z RODO to dostęp do danych, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, wycofanie zgody i ochrona przed decyzjami w pełni zautomatyzowanymi. Skuteczna realizacja tych praw wymaga właściwej roli administratora i podmiotu przetwarzającego, stosowania privacy by design i privacy by default, właściwych środków bezpieczeństwa oraz gotowości do zgłaszania naruszeń i współpracy z organami nadzorczymi.