Rodo jakie dane podlegają ochronie i na co zwrócić uwagę?

RODO chroni dane osobowe, czyli wszelkie informacje pozwalające zidentyfikować osobę bezpośrednio lub pośrednio, a organizacje muszą zwrócić uwagę na jakie dane podlegają ochronie, właściwą podstawę prawną, cel i zakres przetwarzania, okres przechowywania, bezpieczeństwo, realizację praw osób i reagowanie na incydenty w terminie 72 godzin.

Co RODO chroni i od kiedy obowiązuje?

RODO to rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu tych danych. Obowiązuje w całej Unii Europejskiej od 25 maja 2018 roku.

Przepisy RODO chronią przede wszystkim osoby fizyczne. Same dane przedsiębiorstw lub organizacji jako podmiotów prawnych nie są celem ochrony, choć dane identyfikujące osoby reprezentujące lub prowadzące działalność gospodarczą już tak.

Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie, także przy wykorzystaniu pośrednich wskaźników identyfikacyjnych, w tym zestawień informacji. Dane te występują w dokumentach, systemach informatycznych, wiadomościach, nagraniach, zdjęciach i bazach danych.

Ochrona obejmuje dane klientów, pracowników, kandydatów do pracy, kontrahentów będących osobami fizycznymi, użytkowników stron internetowych i osób odwiedzających obiekty.

Jak rozpoznać, które informacje są danymi osobowymi?

Dane osobowe obejmują między innymi identyfikatory bezpośrednie i pośrednie, takie jak imię i nazwisko, adres, numer telefonu, adres e mail zawierający imię lub nazwisko, numer identyfikacyjny, dane lokalizacyjne, identyfikator internetowy, wizerunek, nagranie głosu, identyfikatory urządzeń i plików cookie, a także dane biometryczne, informacje o sytuacji ekonomicznej oraz dane dotyczące zatrudnienia i zdrowia, jeżeli umożliwiają identyfikację osoby.

Nie każda informacja będzie daną osobową. Zanonimizowane informacje, których nie można powiązać z osobą przy użyciu rozsądnych środków, nie są danymi osobowymi. Dane przedsiębiorstwa jako takiego nie podlegają RODO, ale dane osoby prowadzącej jednoosobową działalność mogą stanowić dane osobowe.

Czym jest przetwarzanie danych i kto za nie odpowiada?

Przetwarzanie danych to każdy operacyjny krok na danych, w tym zbieranie, utrwalanie, przechowywanie, modyfikowanie, przeglądanie, wykorzystywanie, udostępnianie i usuwanie.

Administrator danych określa cele i sposoby przetwarzania, natomiast podmiot przetwarzający działa w jego imieniu. Powierzenie danych usługodawcy, np. hostingowi, dostawcy CRM czy biuru rachunkowemu, nie zwalnia administratora z odpowiedzialności za dobór wykonawcy, treść umowy powierzenia i nadzór nad przetwarzaniem.

Jakie dane podlegają szczególnej ochronie?

Dane szczególnych kategorii to informacje o pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej, zdrowiu, życiu seksualnym lub orientacji seksualnej, a także dane genetyczne i biometryczne wykorzystywane do jednoznacznej identyfikacji. Co do zasady ich przetwarzanie jest zakazane, chyba że zachodzi jedna z wyjątkowych podstaw wskazanych w RODO, w tym wyraźna zgoda, obowiązek wynikający z prawa pracy, ochrona żywotnych interesów lub ważny interes publiczny.

Jakie zasady przetwarzania trzeba spełnić?

RODO opiera się na zasadach: zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności i poufności oraz rozliczalności. Administrator musi wykazać realizację tych zasad w praktyce.

Każde przetwarzanie wymaga podstawy prawnej. Do najczęstszych należą zgoda, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym oraz prawnie uzasadniony interes administratora.

Czy zgoda jest zawsze potrzebna?

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może być dorozumiana ani wymuszana jako warunek świadczenia usługi, jeżeli dane nie są niezbędne do jej wykonania.

Zgoda nie jest potrzebna w każdej sytuacji. W wielu przypadkach właściwą podstawą będzie wykonanie umowy lub obowiązek prawny, na przykład w relacjach pracodawca pracownik, gdy zakres danych wynika z prawa pracy lub niezbędności do realizacji stosunku pracy.

Jak długo wolno przechowywać dane?

RODO nie wymaga usunięcia wszystkich danych po arbitralnie wyznaczonym czasie. Wymaga ustalenia uzasadnionego okresu przechowywania i usuwania danych, gdy nie są już potrzebne do celów, dla których zostały zebrane, z poszanowaniem obowiązków prawnych i terminów przedawnienia.

Jakie prawa mają osoby, których dane dotyczą?

Osobom przysługuje prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu, a w określonych przypadkach prawo do niepodlegania decyzji opierającej się wyłącznie na automatycznym przetwarzaniu. Prawo do usunięcia danych, nazywane prawem do bycia zapomnianym, nie jest bezwzględne i może nie mieć zastosowania, gdy dalsze przechowywanie wynika z obowiązku prawnego, ważnego interesu publicznego lub konieczności dochodzenia roszczeń.

Administrator musi przekazać jasną klauzulę informacyjną obejmującą tożsamość administratora, cele i podstawy przetwarzania, okres przechowywania, kategorie odbiorców oraz przysługujące prawa, w tym sposób ich realizacji.

Jak zadbać o bezpieczeństwo danych w praktyce?

Zabezpieczenia należy dobrać do ryzyka. Obejmują one kontrolę dostępu, szyfrowanie, pseudonimizację, tworzenie kopii zapasowych, aktualizacje, monitoring, testy bezpieczeństwa oraz procedury reagowania na incydenty. Zasada adekwatności środków technicznych i organizacyjnych jest kluczowa dla integralności i poufności danych.

RODO wprowadza privacy by design i privacy by default, co oznacza włączanie ochrony danych już na etapie projektowania procesów i systemów oraz ograniczanie zakresu przetwarzania przez ustawienia domyślne.

Administrator powinien prowadzić dokumentację potwierdzającą zgodność, w tym rejestr czynności przetwarzania, upoważnienia, umowy powierzenia, analizy ryzyka i procedury obsługi praw osób.

Kiedy wykonać ocenę skutków dla ochrony danych?

Ocena skutków dla ochrony danych jest wymagana w określonych sytuacjach podwyższonego ryzyka, na przykład przy systematycznym monitorowaniu osób lub przetwarzaniu na dużą skalę danych szczególnych kategorii. DPIA pozwala zidentyfikować zagrożenia i dobrać adekwatne środki redukujące ryzyko.

Kiedy potrzebny jest inspektor ochrony danych?

Inspektora ochrony danych należy wyznaczyć między innymi w organach i podmiotach publicznych oraz tam, gdzie główna działalność wiąże się z regularnym i systematycznym monitorowaniem osób na dużą skalę albo z przetwarzaniem na dużą skalę danych szczególnych kategorii.

Co zrobić w razie naruszenia ochrony danych?

Naruszenie ochrony danych to przypadkowe lub bezprawne zniszczenie, utrata, zmiana, nieuprawnione ujawnienie lub dostęp do danych. Jeżeli naruszenie może powodować ryzyko dla praw i wolności osób, administrator powinien bez zbędnej zwłoki zgłosić je organowi nadzorczemu, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia.

W razie wysokiego ryzyka administrator komunikuje naruszenie także osobom, których dane dotyczą, chyba że zachodzą wyjątki przewidziane w RODO.

Jak wygląda zgodność RODO w chmurze i przy transferach danych?

Korzystanie z usług chmurowych i podwykonawców wymaga starannego wyboru dostawcy, zawarcia umów powierzenia i realnego nadzoru nad przetwarzaniem. Należy uwzględnić ewentualne przekazywanie danych poza Europejski Obszar Gospodarczy i zapewnić odpowiednie zabezpieczenia transferu zgodnie z RODO.

W praktyce trzeba uwzględniać podmioty łańcucha dostaw, w tym dalszych przetwarzających, oraz uregulować kwestie techniczne i organizacyjne gwarantujące bezpieczeństwo danych w całym cyklu życia.

Czy RODO zakazuje marketingu, monitoringu, rekrutacji i profilowania?

RODO nie zakazuje tych działań. Wymaga jednak precyzyjnego określenia celu, podstawy prawnej, zakresu, okresu przechowywania i odpowiednich zabezpieczeń. Szczególne znaczenie mają przejrzystość, minimalizacja danych i możliwość realizacji praw osób w procesach wykorzystujących profilowanie lub elementy automatycznego podejmowania decyzji.

Organy ochrony danych kładą nacisk na przejrzystość algorytmów, właściwe podstawy prawne trenowania modeli, minimalizację danych i realną wykonalność praw w systemach automatycznych, w tym w obszarze sztucznej inteligencji, analityki behawioralnej i biometrii.

Jakie są najnowsze kierunki i statystyki nadzoru?

W 2025 roku Europejska Rada Ochrony Danych odnotowała 414 transgranicznych spraw oraz 1299 procedur w ramach mechanizmu kompleksowej współpracy, z czego 572 zakończyły się decyzjami końcowymi. Wskazuje to na rosnącą intensywność koordynacji i egzekwowania przepisów w skali UE.

Aktualne kierunki rozwoju obejmują praktyczne stosowanie RODO do sztucznej inteligencji, profilowania, analityki behawioralnej, biometrii, usług chmurowych, transferów poza EOG oraz cyberbezpieczeństwa. W tych obszarach szczególnie istotne są podstawy prawne, przejrzystość i minimalizacja danych.

Na co zwrócić uwagę przed zebraniem danych?

Przed zebraniem danych warto odpowiedzieć na kluczowe pytania: jaki jest konkretny cel przetwarzania, jaka jest podstawa prawna, czy wszystkie planowane dane są niezbędne, jak długo będą przechowywane, kto będzie miał do nich dostęp, czy będą przekazane innemu podmiotowi lub poza EOG oraz jak osoby będą mogły skorzystać ze swoich praw.

Jakie błędy najczęściej prowadzą do naruszeń i kar?

Do najczęstszych błędów należą zbieranie zbyt wielu danych, wykorzystywanie danych do innego celu niż pierwotnie określony, brak przejrzystej klauzuli informacyjnej, traktowanie zgody jako uniwersalnej podstawy, przechowywanie danych bezterminowo, wysyłka wiadomości bez ukrycia adresów, brak kontroli uprawnień pracowników, przesyłanie danych niezabezpieczonym kanałem, brak procedury reagowania na incydenty oraz nieuwzględnianie dostawców chmurowych i podwykonawców.

Podsumowując, jakie dane podlegają ochronie pod RODO to wszelkie informacje umożliwiające identyfikację osoby, a skuteczna zgodność wymaga jasnego celu i podstawy prawnej, minimalizacji, ograniczenia przechowywania, solidnych zabezpieczeń, przejrzystości wobec osób oraz gotowości do reakcji na naruszenia w wymaganych terminach.