Ochrona danych osobowych (RODO) w praktyce

Ochrona danych osobowych (RODO) w praktyce. Żyjemy w erze cyfrowej, gdzie dane osobowe stały się cennym zasobem. W odpowiedzi na to wyzwanie, Unia Europejska wprowadziła Ogólne Rozporządzenie o Ochronie Danych (RODO), czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Celem RODO jest ujednolicenie przepisów dotyczących ochrony danych w całej UE oraz wzmocnienie praw osób, których dane dotyczą. W tym artykule przyjrzymy się kluczowym aspektom stosowania RODO w codziennej praktyce, ze szczególnym uwzględnieniem obowiązków administratorów danych.

Kluczowe zasady przetwarzania danych osobowych w praktyce

Zgodność z prawem, rzetelność i przejrzystość (art. 5 ust. 1 lit. a RODO): Dane osobowe są przetwarzane zgodnie z obowiązującym prawem, w sposób rzetelny i przejrzysty dla osoby, której dane dotyczą. Oznacza to, że osoby te są informowane o tym, jak ich dane są przetwarzane i w jakim celu.
Ograniczenie celu (art. 5 ust. 1 lit. b RODO): Dane osobowe są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie są dalej przetwarzane w sposób niezgodny z tymi celami.
Minimalizacja danych (art. 5 ust. 1 lit. c RODO): Przetwarzane są jedynie te dane osobowe, które są adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie zbiera się nadmiarowych informacji, które nie są potrzebne do realizacji danego celu.
Prawidłowość (art. 5 ust. 1 lit. d RODO): Dane osobowe są prawidłowe i w razie potrzeby uaktualniane. Podejmowane są wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie sprostowane lub usunięte. Dbałość o aktualność i poprawność danych leży po stronie administratora.
Ograniczenie przechowywania (art. 5 ust. 1 lit. e RODO): Dane osobowe są przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Po osiągnięciu celu przetwarzania lub upływie okresu retencji, dane są usuwane lub anonimizowane.
Integralność i poufność (art. 5 ust. 1 lit. f RODO): Dane osobowe są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

Obowiązki administratora danych w świetle RODO

RODO nakłada szereg konkretnych obowiązków na podmioty, które decydują o celach i sposobach przetwarzania danych osobowych, czyli na administratorów danych.

Obowiązek informacyjny (art. 13 i 14 RODO): Osoby, których dane są zbierane, są informowane przez administratora o tożsamości administratora, celach przetwarzania, kategoriach danych, odbiorcach danych, okresie przechowywania danych, prawach osób, których dane dotyczą (w tym prawie do wniesienia skargi do organu nadzorczego), a także o istnieniu zautomatyzowanego podejmowania decyzji, w tym o profilowaniu. Obowiązek informacyjny jest realizowany przy zbieraniu danych bezpośrednio od osoby (art. 13) lub z innych źródeł (art. 14).
Zasady uzyskiwania zgody na przetwarzanie danych (art. 6 i 7 RODO): Jeśli przetwarzanie danych opiera się na zgodzie, musi ona być wyrażona w sposób dobrowolny, konkretny, świadomy i jednoznaczny. Zgoda musi zostać udzielona w formie wyraźnego działania potwierdzającego (np. zaznaczenie pola wyboru online). Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać swoją zgodę, a administrator jest o tym obowiązany poinformować.
Obowiązek prowadzenia rejestru czynności przetwarzania (art. 30 RODO): Administratorzy danych oraz podmioty przetwarzające są zobowiązani do prowadzenia rejestru wszystkich czynności przetwarzania danych osobowych, za które odpowiadają. Rejestr ten zawiera informacje o celach przetwarzania, kategoriach osób, których dane dotyczą, kategoriach odbiorców danych, planowanych okresach przechowywania danych oraz stosowanych środkach bezpieczeństwa.
Obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 32 RODO): Administratorzy są zobowiązani do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych wynikającemu z przetwarzania. Środki te mogą obejmować m.in. szyfrowanie danych, kontrolę dostępu, regularne testowanie i ocenianie skuteczności środków bezpieczeństwa.

Prawa osób, których dane dotyczą

Prawo dostępu do danych (art. 15 RODO): Osoba, której dane dotyczą, ma prawo do uzyskania od administratora potwierdzenia, czy jej dane osobowe są przetwarzane, a jeżeli tak, to do uzyskania dostępu do tych danych oraz informacji o celach przetwarzania, kategoriach danych, odbiorcach itp.
Prawo do sprostowania danych (art. 16 RODO): Osoba, której dane dotyczą, ma prawo żądać od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Ma również prawo żądać uzupełnienia niekompletnych danych osobowych.
Prawo do usunięcia danych („prawo do bycia zapomnianym”) (art. 17 RODO): W określonych sytuacjach (np. gdy dane nie są już niezbędne do celów, w których były zbierane, lub gdy osoba cofnęła zgodę), osoba, której dane dotyczą, ma prawo żądać od administratora niezwłocznego usunięcia dotyczących jej danych osobowych.
Prawo do ograniczenia przetwarzania (art. 18 RODO): W określonych przypadkach osoba, której dane dotyczą, ma prawo żądać od administratora ograniczenia przetwarzania jej danych osobowych (np. gdy kwestionuje prawidłowość danych lub gdy przetwarzanie jest niezgodne z prawem).
Prawo do przenoszenia danych (art. 20 RODO): Osoba, której dane dotyczą, ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła administratorowi, oraz ma prawo przesłać te dane innemu administratorowi bez przeszkód ze strony administratora, któremu dane dostarczono.
Prawo do sprzeciwu (art. 21 RODO): Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jej danych osobowych, w tym profilowania, z przyczyn związanych z jej szczególną sytuacją. W szczególności ma prawo sprzeciwić się przetwarzaniu danych w celach marketingu bezpośredniego.

Naruszenia ochrony danych osobowych i ich konsekwencje

Naruszenie ochrony danych osobowych (art. 4 pkt 12 RODO) oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki i, jeżeli to wykonalne, nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, zgłasza je organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych), chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO). W pewnych okolicznościach administrator ma również obowiązek zawiadomić o naruszeniu osobę, której dane dotyczą (art. 34 RODO).

Za złamanie przepisów RODO organ nadzorczy może nałożyć administracyjną karę pieniężną. Wysokość tej kary zależy od tego, jak poważne było naruszenie i czy dotyczyło osoby fizycznej/małej organizacji, czy dużej firmy (przedsiębiorstwa) (art. 83 RODO).

Za mniej poważne naruszenia kara może wynieść do 10 milionów euro dla zwykłych podmiotów lub do 2% całkowitego rocznego światowego obrotu firmy z poprzedniego roku obrotowego (organ wybiera wyższą z tych kwot).
Za poważne naruszenia (dotyczące kluczowych zasad i praw) kara może wynieść do 20 milionów euro dla zwykłych podmiotów lub do 4% całkowitego rocznego światowego obrotu firmy z poprzedniego roku obrotowego (organ wybiera wyższą z tych kwot).

RODO w praktyce – przykłady zastosowań

Marketing: Przed wysłaniem newslettera e-mailowego, administrator musi uzyskać dobrowolną i jednoznaczną zgodę od subskrybentów (art. 6 i 7 RODO) oraz poinformować ich o prawie do wycofania zgody i celach przetwarzania (art. 13 RODO).
HR: Przetwarzanie danych osobowych pracowników (np. dane płacowe, dane dotyczące oceny pracy) musi być oparte na podstawie prawnej (np. umowa o pracę, obowiązek prawny) i ograniczone do niezbędnych danych (art. 5 RODO). Pracownicy mają prawo dostępu do swoich danych (art. 15 RODO).
Prowadzenie strony internetowej: Administrator strony internetowej musi informować użytkowników o plikach cookies i uzyskiwać ich zgodę na ich stosowanie (jeśli jest to wymagane), a także realizować obowiązek informacyjny dotyczący przetwarzania danych osobowych zbieranych za pośrednictwem strony (np. formularze kontaktowe; art. 13 i 14 RODO).

Podsumowanie

Przestrzeganie przepisów Ogólnego Rozporządzenia o Ochronie Danych (RODO) jest nie tylko obowiązkiem prawnym, ale także kluczowym elementem budowania zaufania wśród klientów, pracowników i partnerów biznesowych. Wdrożenie odpowiednich procedur i środków ochrony danych oraz poszanowanie praw osób, których dane dotyczą, pozwala uniknąć poważnych sankcji finansowych i reputacyjnych. Ciągłe monitorowanie i dostosowywanie praktyk do wymogów RODO jest niezbędne w dynamicznym środowisku cyfrowym. Pamiętajmy, że ochrona danych osobowych jest procesem ciągłym, wymagającym zaangażowania i świadomości wszystkich uczestników.

O nagrywaniu filmików na siłowni czytaj TUTAJ.

Ochrona danych osobowych (RODO) w praktyce