Source: https://niezbednikrodo.pl/pl/blog/rodo-poradnik-dla-sektora-fintech/
Timestamp: 2019-02-22 14:47:11+00:00
Document Index: 10127765

Matched Legal Cases: ['art. 10', 'art. 4', 'art. 10', 'art. 172', 'art. 13', 'Art. 29', 'art. 9', 'art. 10', 'art. 17']

RODO - poradnik dla sektora FINTECH - NiezbędnikRODO.pl - program do RODO
Na stronie Ministerstwa Cyfryzacji opublikowano pierwszą część poradnika dla przedsiębiorców z sektora FinTech. Jest on obowiązkową lekturą dla firm zajmujących się obsługą wierzytelności, ubezpieczycieli, banków, ale również dla przedsiębiorców prowadzących działalność w formie elektronicznej, w szczególności sklepów i serwisów internetowych. Mówi on bowiem o takich zagadnieniach jak zgoda na działania marketingowe czy podstawy przeprowadzania konkursów.
Poradnik opracowany został w formie odpowiedzi na osiem przydatnych pytań. Zachęcamy do zapoznania się z całym poradnikiem (do pobrania pod artykułem) oraz przygotowanym przez nas wykazem najważniejszych informacji, które zamieszczamy poniżej.
1. Czy w związku z tym, z punktu widzenia RODO marketing w takich przypadkach odbywa się na podstawie uzasadnionych interesów i nie wymaga zgody, ale konieczne jest odebranie zgody wynikającej z UŚUDE?
Przesyłanie informacji handlowych jest dopuszczalne w oparciu o zgodę odbieraną na podstawie art. 10 ust. 1 ustawy o świadczeniu usług drogą elektroniczną (UŚUDE). W obecnym stanie prawnym zgoda powinna spełniać warunki określone we wskazanym akcie, jednakże po uchwaleniu ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 możliwe będzie wyrażenie zgody w formie „wyraźnego działania potwierdzającego” (art. 4 pkt. 11 RODO). Przykładowo – wystarczy podanie adresu e-mail np. w polu formularza internetowego opisanego słowami „podaj swój adres e-mail, jeżeli chcesz otrzymywać od nas informacje o…”, bez konieczności zaakceptowania odrębnego „checxboxa”.
2. Czy konieczne jest odebranie odrębnej zgody na podstawie przepisów prawa telekomunikacyjnego na otrzymywanie informacji handlowych drogą telefoniczną?
W przypadku wykorzystywania telefonu w celach marketingowych nie ma potrzeby odbierania odrębnych zgód w myśl art. 10 UŚUDE oraz art. 172 ust. 1 Prawa telekomunikacyjnego, jeżeli obie zgody miałyby dotyczyć tego samego zakresu czynności, np. wysyłki reklamowych wiadomości SMS lub MMS. Nie ma również przeszkód prawnych, aby jedną zgodą objąć cel prowadzenia marketingu bezpośredniego z wykorzystaniem łączności elektronicznej, co obejmowałoby rozmowy telefoniczne oraz wysyłkę informacji za pośrednictwem poczty elektronicznej. Ocena czy zgoda została skutecznie udzielona powinna być dokonana w oparciu o RODO, które stanowi, iż „zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.
3. W jaki sposób należy spełniać obowiązek informacyjny (banki, ubezpieczyciele).
W ramach odpowiedzi na to pytanie znalazły się uniwersalne wskazówki w zakresie spełniania obowiązku informacyjnego, dotyczące wszystkich administratorów. Jeżeli dane osoby zostały pozyskane przed rozpoczęciem stosowania RODO, a wobec tej osoby prawidłowo spełniono obowiązek informacyjny na podstawie obowiązujących wówczas przepisów ustawy o ochronie danych osobowych, to administrator nie ma obowiązku ponownego spełnienia tego obowiązku, podając informacje wynikające z art. 13 i 14 RODO. Przed 25 maja 2018 r. administrator danych powinien dokonać rewizji stosowanych klauzul informacyjnych, tak aby były one zgodne z RODO, a w przypadku konieczności ich uzupełnienia celem zapewnienia transparentności może to zrobić poprzez publikację na stronie internetowej. Powołując się na stanowisko Grupy Roboczej Art. 29, autorzy poradnika wskazali na możliwość „warstwowej” realizacji obowiązku informacyjnego. Zaleca się aby pierwsza warstwa zawierała szczegóły dotyczące celów przetwarzania, tożsamość administratora oraz informację o prawach osoby, której dane dotyczą. Ważność podania tej informacji wynika bezpośrednio, w szczególności, z motywu 39 RODO.
4. Czy przedsiębiorcy zajmujący się świadczeniem usług związanych z zarządzaniem wierzytelnościami i windykacją roszczeń w imieniu i na rachunek wierzyciela, w świetle przepisów RODO, powinni być traktowani jako odrębny administrator takich danych, udostępnionych mu w celu świadczenia usługi, czy też jako podmiot przetwarzający dane osobowe powierzone przez wierzyciela?
Zgodnie z treścią poradnika, nie istnieje jednoznaczna odpowiedź na to pytanie – to zależy od tego, kto i w jakim zakresie określa cele i sposoby przetwarzania danych osobowych. Praktyka rynku usług windykacyjnych w Polsce wskazuje na możliwość przyjęcia dwóch koncepcji, w zależności od faktycznie pełnionej roli:
a) Przedsiębiorcy, będący firmami windykacyjnymi, którzy kompleksowo zarządzają wierzytelnościami, a tym samym samodzielnie określają cele, sposoby, przetwarzania mają status odrębnego do wierzyciela administratora danych.
b) Przedsiębiorcy, będący firmami windykacyjnymi, mają status podmiotu przetwarzającego dane, jeżeli cele i sposoby przetwarzania danych osobowych określa wierzyciel, precyzując je w umowie powierzenia przetwarzania danych.
5. Czy administrator ma obowiązek usunięcia danych, w tym danych wrażliwych (art. 9 RODO) oraz danych dotyczących skazań (art. 10 RODO) w przypadku, gdy dane te zostały przekazane administratorowi z własnej inicjatywy podmiotu danych, tj. bez uprzedniej wiedzy oraz sygnalizowanej przez administratora potrzeby przekazania takich danych?
6. Kiedy powstaje obowiązek usunięcia danych osobowych z kopii zapasowych systemów informatycznych?
W przypadku ustania podstawy prawnej przetwarzania danych osobowych dane te powinny zostać usunięte (lub zanonimizowane) również z kopii zapasowych. Zgodnie z poradnikiem, jeżeli nie ma technicznej możliwości usunięcia oraz istnieje ryzyko naruszenia praw i wolności wszystkich osób, których dane osobowe są przechowywane w kopii zapasowej, dopuszczalnym rozwiązaniem jest, aby dane osobowe były kasowane tylko razem z całą kopią zapasową, po ustaniu podstaw przetwarzania wszystkich zawartych w niej danych osobowych. Autorzy poradnika wyszli naprzeciw oczekiwaniom rynku w tym zakresie. Pamiętać jednakże należy, że w RODO nie odnajdujemy uzasadnienia tak liberalnego stanowiska – prawa osób, których dane dotyczą powinny być w pełni realizowane. Jeżeli mamy taką możliwość, wdrażajmy nadpis po krótkim okresie czasu (np. 30 dni). Tylko tak będziemy mieć pewność, że żądanie podmiotu danych dotyczące ich usunięcia (art. 17 RODO) będzie w pełni realizowane i nie zdarzy się sytuacja, gdy wraz z kopią zapasową przywrócone zostaną dane, których nie mamy prawa przetwarzać.
7. Czy przepisy odrębnych ustaw dotyczące działalności podmiotów (tzw. regulacje sektorowe) mogą stanowić lex specialis wobec przepisów RODO?
8. Czy podstawą przetwarzania danych osobowych na cele przeprowadzenia konkursu jest uzasadniony interes administratora, czy też w tym zakresie zachodzi konieczność pobierania osobnych zgód na przetwarzanie danych osobowych?