Source: https://doradcawpomocyspolecznej.pl/artykul/rodo-w-ops
Timestamp: 2019-12-15 14:02:01+00:00

Document:
RODO w OPS - Czasopismo "Doradca w Pomocy Społecznej" - doradcawpomocyspolecznej.pl
Ogólne Rozporządzenie o Ochronie Danych Osobowych w UE (RODO) nakłada na administratorów danych osobowych i podmioty przetwarzające dane nowe obowiązki. Jaki wpływ będę miły nowe regulacje na zadania realizowane przez OPS?
Rozporządzenie o ochronie danych osobowych (dalej „RODO”), zwane także „Ogólnym Rozporządzeniem o Ochronie Danych”, to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Rozporządzenie weszło w życie 17 maja 2016 r. Zacznie ono obowiązywać bezpośrednio w krajowych porządkach prawnych od 25 maja 2018 r. Opublikowane zostało w Dzienniku Urzędowym Unii Europejskiej Nr 119/1 z dnia 4 maja 2016 r. Przygotować się do jego wdrożenia będzie musiał praktycznie każdy podmiot w Polsce (rozporządzenie będzie stosowane bezpośrednio), który w ramach prowadzonej działalności (gospodarczej, statutowej, publicznej) przetwarza dane osobowe.
Rozporządzenie wprowadza szereg zmian oraz rozszerza zakres obowiązków administratorów oraz podmiotów przetwarzających dane. Celem nowych przepisów jest również wyposażenie osób fizycznych oraz organów nadzorujących w skuteczne narzędzia reagowania na naruszenia rozporządzenia. Rozporządzenie składa się z jedenastu rozdziałów, poprzedzonych rozbudowaną (173 punkty) preambułą.
Obowiązki przetwarzających dane osobowe
W rozdziale I – Przepisy ogólne – wskazany został zakres stosowania RODO, tj. jaki rodzaj przetwarzania danych oraz przez kogo realizowany podlega stosowaniu rozporządzenia. Ponadto określony został aspekt terytorialny stosowania rozporządzenia, tj. miejsca przetwarzania danych, a także definicje poszczególnych pojęć. W rozdziale II (przepisy art. 5–11) uregulowane zostały podstawowe zasady przetwarzania danych osobowych. Określone zostały tutaj:
podstawowe reguły przetwarzania danych osobowych, takie jak: zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu przetwarzania danych, minimalizacja danych, prawidłowość, ograniczenie przechowywania, integralność i poufność oraz rozliczalność (art. 5),
podstawy prawne przetwarzania tzw. danych zwykłych (art. 6),
ogólne warunki wyrażenia zgody na przetwarzanie danych osobowych (art. 7),
przypadki wyrażania zgody przez dzieci w przypadku tzw. usług społeczeństwa informacyjnego, czyli np. świadczonych przez Internet (art. 8),
podstawy prawne przetwarzania tzw. danych wrażliwych (art. 9),
warunki przetwarzania danych dotyczących wyroków skazujących i naruszeń prawa (art. 10),
sytuacje, w których ze względu na cele przetwarzania danych osobowych nie jest wymagana identyfikacja osób, których one dotyczą i związanych z tym konsekwencji dla administratora danych (art. 11).
Należy wskazać w tym miejscu, że większość z wymienionych zasad obowiązuje już na gruncie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922).
W rozdziale III rozporządzenia RODO uregulowane zostały prawa osób, których dane dotyczą. W szczególności określono tu zakres uprawnień przysługujących osobom fizycznym w związku z faktem przetwarzania ich danych osobowych (lub planowanego podjęcia takich działań) przez administratorów danych. W przepisach art. 12–14 uregulowano ogólne zasady i wytyczne dotyczące przejrzystej komunikacji i informowania podmiotów danych, zakres informacji, jaki należy przekazać osobie fizycznej w przypadku pozyskiwania danych osobowych bezpośrednio od niej oraz zakres informacji i zasady jej przekazywania w przypadku, gdy administrator danych pozyskuje dane osobowe w inny sposób niż bezpośrednio od danej osoby (za pośrednictwem innych podmiotów).
Dalsze obowiązki
W związku z tym, przepis art. 15 rozporządzenia formułuje prawo uzyskania informacji przez konkretną osobę, czy administrator danych przetwarza jej dane osobowe, a jeśli tak, także prawo dostępu do tych danych oraz uzyskania informacji odnośnie do sposobu ich przetwarzania (np. w jakich celach i w jakim zakresie są przetwarzane oraz komu są udostępniane, a także przez jaki okres będą przechowywane – o ile jest to możliwe do ustalenia). Osobie tej przysługiwać będzie również prawo żądania kopii swoich danych.
Rozporządzenie wprowadza szereg zmian oraz rozszerza zakres obowiązków administratorów oraz podmiotów przetwarzających dane. Celem nowych przepisów jest również wyposażenie osób fizycznych oraz organów nadzorujących w skuteczne narzędzia reagowania na naruszenia rozporządzenia.
W kolejnym przepisie art. 16 rozporządzenia uregulowane zostało prawo żądania od administratora niezwłocznego sprostowania danych osobowych, o ile są nieprawidłowe, a także prawo żądania uzupełnienia danych, gdy są one niekompletne. Obok prawa do sprostowania i uzupełnienia danych w przepisie art. 17 uregulowane zostało prawo do żądania niezwłocznego usunięcia danych przez administratora w przypadkach przewidzianych w tym przepisie (np. gdy dane nie są już niezbędne do celów, w których zostały zebrane lub gdy przetwarzanie tych danych opierało się na „zgodzie” udzielonej przez podmiot danych, a zgoda ta została cofnięta i administrator nie dysponuje inną podstawą prawną do przetwarzania tych danych osobowych lub gdy dane osobowe były przetwarzane niezgodnie z prawem). Jeżeli wcześniej administrator upublicznił te dane np. w Internecie – będzie zobowiązany również do usunięcia wszelkich łączy internetowych oraz kopii danych, a także do poinformowania innych administratorów danych, którzy uzyskali dostęp do danych osobowych o potrzebie ich usunięcia – tak zwane „prawo do bycia zapomnianym”. Dalej w przepisie art. 18 rozporządzenia sformułowane zostało prawo do żądania ograniczenia przetwarzania danych w przypadkach przewidzianych w tym przepisie, np. gdy osoba fizyczna, której dane dotyczą, kwestionuje prawidłowość swoich danych. W takim przypadku administrator będzie musiał ograniczyć ich przetwarzanie do czasu sprawdzenia prawidłowości tych danych.
Z mocy przepisu art. 19 rozporządzenia na administratorze ciążyć będzie obowiązek poinformowania innych podmiotów, którym dane osobowe udostępnił, o tym, że osoba której one dotyczą skorzystała z prawa sprostowania swoich danych (art. 16), usunięcia (art. 17) lub ograniczenia przetwarzania (art. 18) po to, by te podmioty również mogły uwzględnić wolę podmiotu danych.
W przepisie art. 20 rozporządzenia uregulowane zostało prawo do przenoszenia danych, zgodnie z którym podmiot danych ma prawo otrzymać od administratora danych w ustrukturyzowanym, powszechnie używanym formacie dane osobowe go dotyczące, które mu wcześniej dostarczył oraz ma prawo przesłać te dane innemu administratorowi danych bez przeszkód ze strony tego, któremu dane pierwotnie udzielił.
Dodatkowo, o ile będzie to technicznie możliwe, podmiot danych ma prawo żądać, by jego dane osobowe zostały przesłane przez jednego administratora bezpośrednio do innego. Rozporządzenie określa ponadto prawo do złożenia sprzeciwu na przetwarzanie danych w przypadkach przewidzianych w przepisie (art. 21) oraz prawo do niepodlegania przez konkretną osobę fizyczną decyzjom wywołującym wobec niej skutki prawne lub podobnie wpływającym na nią w inny istotny sposób, a opartym na przetwarzaniu jej danych wyłącznie w sposób zautomatyzowany (art. 22). Jak wynika z powyższego, rozporządzenie RODO szeroko reguluje zakres uprawnień przysługujących osobom fizycznym, których dane osobowe są przetwarzane. Ważniejsze jednak jest to, że skorzystanie z danego uprawnienia przez osobę będzie wiązało się z obowiązkiem podjęcia określonego działania przez administratora danych. To on będzie musiał spełnić konkretne żądanie (oczywiście o ile będzie ono...

References: art. 5
 art. 12
 art. 15
 art. 16
 art. 17
 art. 18
 art. 19
 art. 20