Przepisy rodo w firmie – o czym należy pamiętać?

Zasady ogólne RODO

RODO, czyli Rozporządzenie Ogólne o Ochronie Danych Osobowych jest unijnym aktem prawnym regulującym ochronę danych osobowych. Przepisy rozporządzenia o ochronie danych osobowych mają na celu ochronę prywatności i wprowadzają jednolite standardy dotyczące przetwarzania danych osobowych we wszystkich krajach członkowskich UE. Podmiotem danych osobowych jest osoba fizyczna, której dane dotyczą. Firmy i organizacje, które przetwarzają dane osobowe muszą przestrzegać zasad RODO, nienależnie od tego, gdzie mają swoją siedzibę.

Zbiór ogólnych zasad przetwarzania danych osobowych obejmuje:

1. przetwarzanie danych osobowych zgodnie z prawem – zasada ta wymaga, aby wszelkie operacje przetwarzania danych osobowych były zgodne z obowiązującym prawem; jej celem jest zapewnienie ochrony praw jednostki, której dane są przetwarzane oraz umożliwienie kontroli nad własnymi danymi osobowymi;

   Przetwarzanie danych osobowych musi opierać się na jednej z określonych podstaw prawnych, określonych w art. 6 RODO, a jednocześnie musi być zgodne z innymi przepisami prawa, a także zasadami ogólnymi prawa, takimi jak rzetelność, uczciwość i przejrzystość. Dane osobowe powinny być przetwarzane w sposób zgodny z celem, dla którego zostały zebrane.

2. przejrzystość – zasada ta nakłada obowiązek na podmioty przetwarzające dane osobowe dostarczanie klarownych, zrozumiałych i łatwo dostępnych informacji osobom, których dane dotyczą; jej celem jest zapewnienie jednostkom pełnej świadomości dotyczącej przetwarzania ich danych oraz umożliwienie im świadomego i dobrowolnego udzielenia zgody lub skorzystania z innych praw związanych z ochroną danych osobowych.
3. ograniczenie celu przetwarzania – zasada ta oznacza, że dane osobowe mogą być zbierane i przetwarzane tylko w określonym celu i nie mogą być dalej przetwarzane w sposób niezgodny z tym celem; zadaniem tej zasady jest zapobieganie nadużyciom, ochrona prywatności jednostek oraz zapewnienie zgodności z zasadą uczciwości i przejrzystości;
4. minimalizacja danych – zasada ta nakłada obowiązek na podmioty przetwarzające dane osobowe zbieranie jedynie takich informacji, które są niezbędne do osiągnięcia określonego celu przetwarzania; oznacza to, że zbieranie i przetwarzanie danych powinno być ograniczone do minimum niezbędnego do zrealizowania celu, dla którego dane zostały zebrane;
5. dokładność danych – zgodnie z tą zasadą dane osobowe powinny być dokładne, aktualne, i jeśli to konieczne – uaktualniane; administratora danych ma obowiązek podjąć wszelkie niezbędne kroki, aby zapewnić dokładność i zgodność danych z rzeczywistością; jej celem jest zabezpieczenie przed przetwarzaniem nieprawdziwych lub nieaktualnych informacji oraz utrzymanie spójności danych w systemie;
6. ograniczenie przechowywania – zgodnie z tą zasadą dane osobowe powinny być przechowywane tylko przez okres niezbędny do osiągnięcia celu, dla którego zostały zebrane; ma to na celu zminimalizowanie ryzyka związanego z przechowywaniem zbędnych danych oraz ochronę prywatności jednostek;
7. integralność i poufność – celem tej zasady jest zapewnienie, że dane osobowe są przechowywane i przetwarzane w sposób bezpieczny i zgodny z prawem, przy jednoczesnej minimalizacji ryzyka dostępu nieautoryzowanego czy nielegalnego;

   Administratorzy danych są zobowiązani do wdrożenia odpowiednich środków technicznych i organizacyjnych, które gwarantują bezpieczeństwo przetwarzania danych osobowych, a dostęp do nich powinien być ograniczony do osób, które są do tego uprawnione.

8. prawo do informacji – zgodnie z tą zasadą jednostki, których dane są przetwarzane mają prawo do jasnych, zrozumiałych i łatwo dostępnych informacji dotyczących przetwarzania ich danych;
9. prawa osób, których dane są przetwarzane – ogólne rozporządzenie o ochronie danych osobowych przewiduje szereg praw dla osób, których dane są przetwarzane; ma to na celu zwiększenie kontroli jednostek nad ich danymi osobowymi i zapewnienie im ochrony prywatności.

Prawa osób, których dane dotyczą

Rozporządzenie Parlamentu Europejskiego o ochronie danych osobowych przyznaje liczne prawa osobom, których dane są przetwarzane. Podstawowe prawa przysługujące jednostkom to:

1. prawo do informacji – obejmuje prawo do otrzymania informacji – osoby fizyczne mają prawo dowiedzieć się czy ich dane są przetwarzane, a także uzyskać dostęp do szczegółowych informacji na temat tego przetwarzania; prawo do informacji przy zbieraniu danych – w momencie zbierania danych administrator ma obowiązek poinformować o takich kwestiach jak cel przetwarzania, podstawa prawna, okres przechowywania danych, odbiorcy danych; informacje powinny być przekazywane w sposób jasny, zrozumiały i jasno dostępny dla jednostki; prawo do informacji o prawach – jednostki mają prawo dowiedzieć się o swoich prawach związanych z ochroną danych osobowych, takich jak prawo do dostępu, sprostowania, usunięcia danych, ograniczenia przetwarzania, przenoszenia danych, a także prawo do wniesienia skargi do organu nadzorczego;
2. prawo do dostępu – osoby fizyczne mają prawo uzyskać w szczególności dostęp do swoich danych osobowych oraz informacji na temat przetwarzania, kategorii danych osobowych przetwarzanych, odbiorców lub kategorii odbiorców, którym dane są ujawniane, czy przewidywanego okresu przechowywania danych;
3. prawo do sprostowania – obejmuje uprawnienie do poprawienia lub uzupełnienia niekompletnych lub niepoprawnych danych;
4. prawo do cofnięcia zgody – osoba, której dane są przetwarzane ma prawo w dowolnym momencie cofnąć zgodę na przetwarzanie danych osobowych;
5. prawo do usunięcia (tzw. „prawo do bycia zapomnianym”) – osoba ma prawo żądać usunięcia danych, zwłaszcza jeśli dane te nie są już niezbędne do celów, dla których zostały zebrane lub gdy osoba odwołała zgodę na przetwarzanie;
6. prawo do ograniczenia przetwarzania – w pewnych sytuacjach osoba ma prawo żądać ograniczenia przetwarzania danych, na przykład gdy kwestionuje poprawność danych lub gdy przetwarzanie jest nielegalne;
7. prawo do przenoszenia danych – osoba ma prawo otrzymać od administratora danych swoje dane w formie przenośnej, która umożliwia przekazanie tych danych innemu administratorowi.

Bezpieczeństwo danych osobowych

Bezpieczeństwo danych osobowych to kluczowy aspekt ochrony prywatności i zgodności z przepisami o ochronie danych. Obejmuje szereg środków technicznych, organizacyjnych i prawnych mających na celu zabezpieczenie danych osobowych przed nieuprawnionym dostępem, utratą lub innymi formami naruszeń.

Do podstawowych działań zabezpieczających dane należy opracowanie i wdrożenie polityki bezpieczeństwa danych, która określa wytyczne i procedury dotyczące przetwarzania, przechowywania i przesyłania danych, w tym stosowanie szyfrowania danych. Istotne jest również prowadzenie regularnych szkoleń pracowników w zakresie ochrony danych osobowych oraz systematyczne monitorowanie i przeprowadzanie audytów bezpieczeństwa.

W określonych w przepisach RODO sytuacjach podmioty zobowiązane są wyznaczyć inspektora ochrony danych osobowych. Pełni on kluczową rolę w zapewnieniu zgodności z przepisami oraz monitorowaniu i doradzaniu w zakresie przetwarzania danych osobowych. W przypadku, gdy inspektor ochrony danych nie jest wymagany, podmiot nadal może zdecydować się na jego dobrowolne powołanie.

Szczególnie chronioną kategorią danych osobowych są dane wrażliwe, czyli dane dotyczące m.in zdrowia, orientacji seksualnej, przekonań religijnych lub światopoglądowych, dane biometryczne, dane genetyczne, dane dotyczące pochodzenia rasowego lub etnicznego. Podmioty zajmujące się przetwarzaniem danych wrażliwych zobowiązane są przestrzegać surowych wymagań dotyczących zabezpieczeń, zgody i innych zasad ochrony danych osobowych.

Zgoda na przetwarzanie

Zgoda na przetwarzanie danych osobowych jest jednym z podstawowych mechanizmów, który umożliwia podmiotom zbieranie, przechowywanie i przetwarzanie danych osobowych w określony sposób i w określonym celu.

Podstawowe zasady dotyczące przetwarzania danych osobowych obejmują:

1. dobrowolność – zgoda powinna być udzielana dobrowolnie, bez przymusu; jednostki nie powinny być zmuszane do udzielenia zgody, a odmowa nie powinna skutkować negatywnym konsekwencjami, jeśli brak zgody nie uniemożliwia świadczenia usługi lub produktu, o którym mowa w treści zgody;
2. jasność i zrozumiałość – warunki zgody powinny być zrozumiałe i łatwo dostępne dla jednostki, a treść zgody nie powinna być zbyt ogólna;
3. precyzyjne określenie celu – podmiot przetwarzający dane powinien dokładnie określić do jakiego celu dane będą przetwarzane, a zgoda powinna dotyczyć konkretnie wskazanego celu;
4. możliwość wycofania zgody – jednostki powinny mieć prawo do łatwego wycofania zgody w dowolnym momencie;
5. dokumentacja zgody – administrator danych powinien działać w taki sposób, aby możliwe było udokumentowanie udzielonej zgody.

W przypadku przetwarzania danych osobowych do wykonania umowy, spełnienia prawnie uzasadnionego interesu, wykonania zadania realizowanego w interesie publicznym lub w związku z wykonywaniem zadania publicznego, zgoda nie jest jedyną możliwą podstawą przetwarzania danych. Istotne jest to, aby podmioty zajmujące się przetwarzaniem danych przestrzegały zasad ochrony danych osobowych i działały na podstawie odpowiednich przepisów prawa.

Dane osobowe dziecka wymagają szczególnej ochrony w zakresie prywatności i bezpieczeństwa. Przetwarzanie danych osobowych dziecka wymaga uzyskania zgody rodzica lub opiekuna prawnego. W przypadku korzystania z usług internetowych lub posiadania konta w mediach społecznościowych, platformy te posiadają wymóg uzyskania zgody rodzica na przetwarzanie danych osobowych dziecka.

Kary za naruszenie przepisów rodo

Ogólne rozporządzenie o ochronie danych osobowych wprowadza system sankcji i kar administracyjnych, które mogą być nałożone na podmioty za naruszenie przepisów o ochronie danych osobowych. Kary te mają na celu skuteczne egzekwowanie przepisów ogólnego rozporządzenia, przeciwdziałanie nieprawidłowemu przetwarzania danych i ich dowolnym wykorzystaniem.

Jedną z podstawowych sankcji w przypadku naruszenia ochrony danych osobowych są administracyjne kary pieniężne. Organ nadzorczy do spraw ochrony danych osobowych w danym kraju ma uprawnienie do nałożenia kar administracyjnych na podmioty, które naruszają przepisy rodo. Wysokość kar może być znaczna i zależy od rodzaju naruszenia, a organy nadzoru mają uprawnienie do indywidualnego podejścia do nałożenia kar, biorąc pod uwagę okoliczności danego przypadku. Wysokość nałożonej kary zależy od wielu czynników, w tym charakteru naruszenia, skali szkody, umyślności czy też wcześniejszych naruszeń.

W przypadku wyrządzenia szkody w wyniku naruszenia przepisów o ochronie danych osobowych, jednostki te mają prawo do dochodzenia odszkodowania od administratora danych lub podmiotu przetwarzającego, odpowiedzialnego za nieprawidłowe przetwarzanie danych. Warto zaznaczyć, że odszkodowanie to może obejmować zarówno stary materialne, jak i niematerialne (moralne), takie jak reputacja, cierpienie psychiczne czy inne formy krzywdy. Osoby poszkodowane mogą zgłosić roszczenia odszkodowawcze przed sądem lub innym uprawnionym organem.

Rozporządzenie Parlamentu Europejskiego przewiduje również inne środki, takie jak ostrzeżenia, upomnienia, tymczasowe lub stałe ograniczenia przetwarzania danych, a także zamknięcie czasowe lub trwałe przetwarzania danych.

RODO przewiduje także możliwość nałożenia sankcji karnych w przypadku poważnych naruszeń. W Polsce kwestie te reguluje Kodeks karny i ustawa o ochronie danych osobowych. Podmioty odpowiedzialne za przetwarzanie danych osobowych ponoszą odpowiedzialność karną za celowe, nieuprawnione przetwarzanie danych. Kara może być nałożona w formie grzywny, kary ograniczenia wolności, a także pozbawienia wolności.