Source: http://zamowienia.org.pl/tag/ustawa-o-ochronie-danych-osobowych/
Timestamp: 2019-03-23 02:43:01+00:00
Document Index: 72680324

Matched Legal Cases: ['art. 30', 'art. 35', 'art. 33', 'art. 33', 'art. 37', 'art. 5', 'art. 5', 'art. 13', 'art. 17', 'art. 17', 'art. 21']

ustawa o ochronie danych osobowych | Zamówienia publiczne
Nowe obowiązki administratorów danych osobowych w świetle Rozporządzenia RODO
2017-12-21 AktualnościInspektor Ochrony Danych, ochrona danych osobowych, RODO, rozporządzenie RODO, ustawa o ochronie danych osobowych, zmiany RODOMożliwość komentowania Nowe obowiązki administratorów danych osobowych w świetle Rozporządzenia RODO została wyłączona
W związku z wejściem w życie w dniu 25 maja 2018 r. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwanego Rozporządzeniem RODO), na administratorach danych osobowych spoczywać będą nowe obowiązki. Co więcej, już w chwili obecnej administratorzy danych osobowych powinni rozpocząć działania mające na celu dostosowanie posiadanych procedur w zakresie ochrony danych osobowych do nowej sytuacji prawnej, która będzie miała miejsce z dniem 25 maja 2018 r.
Na wstępie należy zaznaczyć, iż na gruncie Rozporządzenia RODO nie ulegają zmianie pojęcia zarówno „administratora” danych osobowych jako podmiotu ustalającego cele i zasady przetwarzania danych osobowych, jak i „procesora” jako podmiotu przetwarzającego dane osobowe osób fizycznych w imieniu administratora.
Poniżej przedstawiamy zestawienie wybranych nowych obowiązków administratorów danych osobowych wprowadzonych Rozporządzeniem RODO oraz korespondujących z nimi praw osób, których dane są przetwarzane:
Obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych (art. 30 Rozporządzenia RODO)
Obowiązek ten nie ma zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie, którego dokonuje, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa.
W ramach tego obowiązku administrator prowadzi rejestr czynności przetwarzania danych osobowych, za które odpowiada. W rejestrze tym zamieszcza się następujące informacje:
gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej;
Obowiązek dokonania oceny skutków planowanych operacji przetwarzania danych przed rozpoczęciem ich przetwarzania (art. 35 Rozporządzenia)
Obowiązek ten ma zastosowanie w przypadku, gdy dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Wówczas administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Dla podobnych operacji przetwarzania danych wiążących się z podobnym wysokim ryzykiem można przeprowadzić pojedynczą ocenę.
Obowiązek zgłaszania naruszenia ochrony danych osobowych do organu nadzorczego oraz zawiadamiania o tym osoby, której dane te dotyczą (art. 33 i 34 Rozporządzenia)
W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu (obecnie GIODO), chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania przepisu art. 33 Rozporządzenia RODO.
Obowiązek wyznaczenia Inspektora Ochrony Danych (art. 37 Rozporządzenia RODO)
Obowiązek ten dotyczy administratorów (i podmiotów przetwarzających dane osobowe), gdy:
Obowiązek minimalizacji danych (art. 5 ust. 1 lit. c) Rozporządzenia RODO) – dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.
Obowiązek ograniczenia przechowywania danych (art. 5 ust. 1 lit. e) Rozporządzenia RODO) – dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane w celu ochrony praw i wolności osób, których dane dotyczą.
Dodatkowe obowiązki informacyjne administratora danych przy zbieraniu danych osobowych, wymaganych (art. 13 i 14 Rozporządzenia RODO)
Poza dotychczas wymaganymi informacjami przy zbieraniu danych, administrator zobowiązany będzie podać osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
„Prawo do bycia zapomnianym” (art. 17 Rozporządzenia RODO)
Prawo to koresponduje z obowiązkiem administratora danych zapewnienia osobom, których dane dotyczą prawa do usunięcia danych. Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
Prawo do ograniczenia przetwarzania (art. 17 Rozporządzenia RODO)
Prawo to koresponduje z obowiązkiem administratora ograniczenia przetwarzania danych jedynie do ich przechowywania, na żądanie osoby, której dane dotyczą, w następujących przypadkach:
Obowiązek zapewnienia osobom, których dane dotyczą prawa do sprzeciwu wobec przetwarzania danych (art. 21 Rozporządzenia RODO)
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na wyrażonej zgodzie (w szczególności na cele marketingu bezpośredniego), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń (z wyłączeniem marketingu bezpośredniego).
Autor: adwokat Agata Domańska, Wawrzynowicz i Wspólnicy Sp.k.
Nowe zasady ochrony danych osobowych – Rozporządzenie RODO i jego podstawowe wymogi
2017-11-30 AktualnościInspektor Ochrony Danych, ochrona danych osobowych, RODO, rozporządzenie RODO, ustawa o ochronie danych osobowych, zmiany RODOMożliwość komentowania Nowe zasady ochrony danych osobowych – Rozporządzenie RODO i jego podstawowe wymogi została wyłączona
25 maja 2018 r. wchodzi w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (które obowiązuje już od maja 2016), zwane powszechnie Rozporządzeniem RODO. Jego przepisy stosuje się wprost, a zatem nie wymaga ono implementacji.
Przygotowywana obecnie nowa ustawa o ochronie danych osobowych (projekt z 12.09.2017 r.) pozostaje w związku z Rozporządzeniem RODO, aczkolwiek projekt ustawy przewiduje regulację jedynie takich kwestii jak kompetencje oraz sposób powoływania i odwoływania Prezesa Urzędu Ochrony Danych Osobowych oraz nieliczne kwestie pozostawione regulacji wewnętrznej państw członkowskich UE, takie jak np. niektóre elementy ochrony danych osobowych w ramach stosunku pracy.
Zmiana ma charakter istotny w stosunku do obecnie obowiązującej ustawy o ochronie danych osobowych, nie tylko ze względu na nowy, rozszerzony zakres obowiązków administratorów danych lecz również ze względu na wysokość kar (wysokość na poziomie unijnym), które dotychczas były symboliczne i rzadko nakładane.
Okres na dostosowanie się do RODO jest dwuletni i upływa z dniem 25 maja 2018 r., a więc kończy się i obecnie jest to najwyższy czas na podjęcie przez przedsiębiorców procesów dostosowawczych.
Poniżej krótkie podsumowanie zmian:
Zakres podmiotów objętych Rozporządzeniem RODO
Przepisy obejmują wszystkie podmioty, które gromadzą i wykorzystują dane dotyczące osób fizycznych, zarówno firmy (niezależnie od wielkości), jak i administrację rządową czy samorządową.
Najważniejsze zmiany wynikające z RODO:
Za naruszenie przepisów o ochronie danych osobowych odpowiadać będzie kierownik podmiotu/zarząd spółki. Odpowiedzialność jest bezpośrednia i powołanie inspektora ochrony danych osobowych, czy wynajęcie firmy zewnętrznej w tym obszarze, nie zwalnia z tej odpowiedzialności. Kierownik podmiotu/Zarząd spółki odpowiada zarówno przed urzędem kontroli, jak i przed sądem cywilnym czy karnym. Nie może cedować tej odpowiedzialności na innych pracowników.
Aktualny pozostaje natomiast podział na administratora (podmiot decydujący o celach i zakresie przetwarzania danych) oraz na procesora (podmiot przetwarzający dane na zlecenie administratora).
Powstaje nowa funkcja Inspektora Ochrony Danych (IOD) o istotnych obowiązkach:
Inspektor Ochrony Danych (IOD) odpowiada za bezpieczeństwo danych, ale też za raportowanie naruszeń do urzędu kontroli. Dotychczasowy administrator danych osobowych (ABI) przestaje istnieć.
Powołanie IOD jest obligatoryjne dla niektórych podmiotów, tych które prowadząc swoją działalność, przetwarzają takie rodzaje danych, których brak należytego zabezpieczenia może spowodować naruszenie praw i wolności osób fizycznych np. dzieci.
IOD będzie miał obowiązek zgłaszania wszelkich naruszeń bezpieczeństwa danych osobowych w czasie do 72 godzin od naruszenia, bezpośrednio do właściwego organu nadzoru. W niektórych przypadkach należy również poinformować o takim incydencie konkretne osoby, których dane osobowe zostały naruszone.
IOD prowadzi rejestr naruszeń. Zgodnie z przepisami IOD musi dokumentować wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Prowadzona w ten sposób dokumentacja musi pozwolić organowi nadzorczemu zweryfikować, czy firma przestrzega postanowień RODO w tym zakresie, czyli zgłaszania naruszeń ochrony danych osobowych do organu nadzorczego.
Obowiązek przeprowadzenia analizy ryzyka
Obowiązek ten powstanie przed podjęciem działań „wysokiego ryzyka”, takich jak np.: przetwarzanie danych dotyczących zdrowia (fizycznego, psychicznego, korzystania z usług medycznych), danych dzieci, danych wrażliwych. Analiza ryzyka powinna zapewnić wykazanie się starannością co do poprawności przetwarzania danych, szczególnie przed organem nadzorczym w momencie kontroli.
Nowe procedury wewnętrzne
Administrator danych ma obowiązek opracowania i wdrożenia procedur oraz środków zapewniających bezpieczeństwo przetwarzanych danych osobowych, w tym metod regularnego testowania i oceny ich skuteczności.
RODO nie wskazuje jednak wprost, jakie dokumenty, procedury i polityki należy wdrożyć. W tym więc zakresie pewnie będzie można posłużyć się częściowo dotychczasowymi dokumentami (polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym), dostosowanymi do wymogów Rozporządzenia RODO.
W tym zakresie zastosowanie będzie miała zasada adekwatności – administrator w przypadku kontroli będzie zobowiązany wykazać, ze przestrzega Rozporządzenia RODO a stosowane przez niego procedury zabezpieczają zastrzeżone w Rozporządzeniu obowiązki.
Pozyskiwanie danych – nowe klauzule
Administrator danych na etapie pozyskiwania danych osobowych, będzie zobowiązany, m.in. do podania nowych informacji np.: o podstawie prawnej przetwarzania, danych kontaktowych do IODO, okresie przechowywania danych, prawie do ich przenoszenia, prawie wniesienia skargi do organu nadzorczego, cofnięcia zgody na przetwarzanie danych w dowolnym momencie.
Obowiązek inwentaryzacji danych osobowych. Rejestry czynności przetwarzania
RODO nie wymaga rejestracji zbiorów danych osobowych jak to dotychczas ma miejsce.
Po zmianie administratorzy danych będą musieli prowadzić wewnętrzny rejestr czynności przetwarzania danych, zawierający m.in. informacje takie jak: powody przetwarzania danych, kategorie podmiotów danych i danych osobowych, rejestry naruszeń, osoby odpowiedzialne za poszczególne procesy przetwarzania itd. Oznacza to, że administrator powinien rozważyć, jakie rodzaje rejestrów będzie prowadził – czy na poziomie ogólnym czy dość szczegółowym.
Prawo do zapomnienia i prawo do wglądu w historię przetwarzania danych
RODO przyznaje osobom fizycznym, których dane osobowe są przetwarzane, istotne nowe uprawnienia, w tym w szczególności:
„prawo do bycia zapomnianym”, czyli trwałe usunięcie danych osobowych przetwarzanych przez daną instytucję; dotyczy to informacji: w formie cyfrowej, papierowej i kopii zapasowej,
prawo do żądania ograniczenia przetwarzania danych osobowych tylko do ich przechowywania,
żądanie przeniesienia danych np. do innego podmiotu przy zmianie umowy,
rozszerzone prawo dostępu i wglądu obywatela w jego dane m.in.: prawo do otrzymania kopii danych.
Przetwarzanie danych osobowych dzieci
Administrator danych powinien zapewnić możliwość wyrażenia zgody przez opiekuna prawnego dziecka na wykorzystanie jego danych (w szczególności w usługach świadczonych elektronicznie/Internet) oraz mieć świadomość, że zgoda wyrażona przez dziecko może być nieważna, zwłaszcza jeżeli dotyczy celów marketingowych, czy też aktywności dzieci w mediach społecznościowych.
Dotkliwe kary finansowe za brak wdrożenia i przestrzegania nowych przepisów dot. ochrony danych osobowych od 10 do 20 mln euro lub od 2% do 4% wartości rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która wartość jest wyższa.