Source: http://www.kancelaria-hnatyszyn.pl/category/rodo/
Timestamp: 2019-04-23 03:54:53+00:00
Document Index: 31275167

Matched Legal Cases: ['art. 13', 'art. 13', 'art. 9', 'art. 37', 'art. 29', 'art. 29']

Archiwa: RODO / Ochrona danych osobowych - Kancelaria-Hnatyszyn.pl
Styczeń 31, 2019 | RODO / Ochrona danych osobowych
Jak realizować obowiązek informacyjny RODO?
Przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679mz dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej „RODO”) nie wskazują w jaki sposób administrator danych osobowych ma realizować obowiązek informacyjny, o którym mowa w art. 13 i 14 RODO. Wspomniane przepisy wskazują jedynie zakres treściowy klauzul informacyjnych.
Pewne wskazówki co do teko w jaki sposób realizować obowiązek informacyjny odnajdziemy w motywach RODO. Z treści motywu 39 wyłania się generalny zamysł, zgodnie z którym przetwarzanie danych osobowych powinno odbywać się zgodnie z zachowaniem zasady przejrzystości. Wspomniana zasada wymaga zaś, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Motyw 58 ponadto wskazuje, że w stosownych przypadkach informacje mogą być dodatkowo wizualizowane.
Z powyższego wynika, że dla prawidłowego wykonania obowiązku informacyjnego nie zawsze najlepszym rozwiązaniem będzie posłużenie się precyzyjnymi sformułowaniami prawnymi zaczerpniętymi wprost z RODO. Ważny będzie kontekst sytuacyjny, tzn. do adresat komunikatu, w tym jego wiek oraz jego zdolność zrozumienia terminologii prawniczej.
Zakres informacji jakie należy zawrzeć w klauzuli informacyjnej wskazany został w art. 13 i 14 RODO. Jeśli chodzi o sposób w jaki klauzula informacyjna powinna być przekazywana adresatom to poza jednym wyjątkiem RODO również tej kwestii nie wyjaśnia. Wspomniany wyjątek dotyczy momentu przekazania informacji. W przypadku pozyskiwania danych bezpośrednio od osoby, której dotyczą (np. w związku z zakładaniem konta w sklepie internetowym) obowiązek informacyjny powinien być spełniony w chwili pozyskiwania danych. Natomiast jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą (lecz np. pozyskano w związku z nabyciem baz danych lub z jawnych rejestrów) administrator realizuje obowiązek informacyjny:
Od strony technicznej obowiązek informacyjny może być spełniony w dowolny sposób, w szczególności na piśmie, ustnie, przez telefon lub poprzez opublikowanie na stronie internetowej. Jednakże należy pamiętać, że administrator danych musi być w stanie wykazać, iż obowiązek informacyjny wypełnił w sposób prawidłowy. Zarówno co do zakresu i treści komunikatu jak i chwili jego udostępnienia zainteresowanej osobie i co najistotniejsze, że osoba, której dane dotyczą mogła się z nim rzeczywiście zapoznać. W praktyce prawidłowość sposobu realizacji obowiązku informacyjnego zależy od konkretnego przypadku. W każdym jednak przypadku zainteresowanej osobie należy zapewnić realną możliwość zapoznania się z klauzulą informacyjną. W praktyce może to okazać się problematyczne. Istotę problemu pomoże zobrazować ten prosty przykład. Jeśli administratora danych kieruje swe usługi względem osób starszych, to zamieszczenie klauzuli informacyjnej na stronie internetowej administratora może być niewystarczające a nawet niewłaściwe. Nie każda starsza osoba ma bowiem możliwość i umie korzystać z internetu. W tym przypadku należy wybrać inny sposób realizacji tego obowiązku.
Prawidłowe wykonanie obowiązku informacyjnego jest jednym z ważniejszych jakie obciążają administratora danych. Warto poświęcić mu więc nieco uwagi.
Maj 22, 2017 | RODO / Ochrona danych osobowych
We wcześniejszym wpisie (link tutaj) poświęconym zmianom, które wprowadzone zostaną przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwane dalej „RODO” poruszyłem kwestię oceny skutków przetwarzania dla ochrony danych osobowych. W tym wpisie przybliżę instytucję IOD (Inspektor Ochrony Danych), która zastąpi administratora bezpieczeństwa informacji i administratora systemów informatycznych.
Co do zasady wyznaczenie IOD będzie fakultatywne. Niemniej jednak administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:
główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 (dane wrażliwe), oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.
W tym miejscu należy zwrócić uwagę, że zgodnie z treścią art. 37 ust. 4 RODO przepisy prawa Unii Europejskiej lub prawa państwa członkowskiego będą mogły wprowadzić wymóg wyznaczenia IOD przez inne podmioty. Zatem polski ustawodawca może rozszerzyć wskazany wyżej katalog zawierający przesłanki obligatoryjnego wyznaczenia IOD.
Pomimo, iż RODO podaje wyczerpujący katalog przesłanek obligatoryjnego wyznaczenia IOD, to jednak ustalenie kręgu podmiotów objętych tym obowiązkiem może okazać się problematyczne. Wynika to z zastosowania pojęć nieostrych takich jak ‚główna działalność’ i ‚duża skala’, które nie zostały wyjaśnione w RODO. Pewne wytyczne w tym zakresie przekazane zostały przez tzw. Grupę Roboczą art. 29 (niezależny podmiot o charakterze doradczym, powołany na podstawie art. 29 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych).
W zakresie pojęcia ‚główna działalność’ odwołano się do treści motywu 97 RODO, zgodnie z którym: „W sektorze prywatnym przetwarzanie danych osobowych jest główną działalnością administratora, jeżeli oznacza jego zasadnicze, a nie poboczne czynności.”. Przy tym pojęcie to nie może być interpretowane wąsko. Zatem główna działalność obejmuje kluczowe czynności konieczne dla osiągnięcia celów administratora lub podmiotu przetwarzającego na zlecenie. Np. w przypadku ubezpieczycieli lub multiagentów ubezpieczeniowych głównym celem jest świadczenie usług w zakresie ubezpieczenia. Niemniej wiąże się to nierozerwalnie z przetwarzaniem danych osobowych. Wystawienie polisy nie jest bowiem możliwe bez przetwarzania danych osobowych. Przetwarzanie danych zostanie więc uznane za główną działalność jeśli nierozłącznie wiąże się z główną działalnością podmiotu.
Natomiast korzystanie z usług IT czy obsługa własnych pracowników (wypłacanie wynagrodzenia, opłacanie ZUS, prowadzenie dokumentacji pracowniczej itp.) mimo że bardzo istotne, uznane zostało za działalność pomocniczą dla organizacji i prowadzenia głównej działalności.
Definiując pojęcie ‚dużej skali’ odwołano się do treści motywu 91 RODO. Zgodnie z tym motywem o dużej skali mówimy, w przypadku „znacznej ilości danych osobowych na szczeblu regionalnym, krajowym lub ponadnarodowym i które mogą wpłynąć na dużą liczbę osób, których dane dotyczą, oraz które mogą powodować wysokie ryzyko”. Oceniając czy zachodzi duża skala przetwarzania danych należy rozważyć następujące czynniki:
liczbę podmiotów danych, których dotyczy przetwarzanie (określoną liczbę lub proporcję populacji do której odnosi się przetwarzanie danych);
zakres danych lub zakres różnych elementów danych przetwarzanych;
okres przetwarzania danych lub trwałość ich przetwarzania;
geograficzny zasięg czynności przetwarzania.
Jako przykład przetwarzania danych na dużą skalę wskazano min. przetwarzanie danych osobowych przez szpital w ramach prowadzonej działalności, banki, ubezpieczycieli oraz dostawców usług telefonicznych lub internetowych. Można zatem przyjąć, że z dużą skalą przetwarzania danych mamy do czynienia w sytuacji, gdy przetwarzana jest duża ilość danych osobowych, w sposób ciągły lub cykliczny, w kilku miejscach lub na większym obszarze.
Znacznej zmianie uległ również zakres obowiązków IOD. Zadania IOD obejmują:
monitorowanie przestrzegania przepisów RODO oraz innych przepisów Unii Europejskiej lub państw członkowskich o ochronie danych osobowych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach.
Inspektor Ochrony Danych nie jest już podmiotem przejmującym obowiązki administratora w zakresie bezpieczeństwa przetwarzania danych. RODO ukształtowało IOD jako podmiot doradczy o szczególnej pozycji. Przejawia się to między innymi w obowiązku administratora danych osobowych zapewnienia IOD zasobów niezbędnych nie tylko do wykonania zadań przez IOD lecz również do utrzymania jego wiedzy fachowej. Ponadto administrator danych oraz podmiot przetwarzający muszą zapewniać, by IOD był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych. Przepisy RODO zapewniają IOD znaczną niezależność. Po pierwsze w związku z wypełnianiem swych zadań IOD nie może otrzymywać żadnych instrukcji. Po drugie, za wypełnianie swych zadań IOD nie może zostać odwołany ani ukarany.
RODO wprowadza nowe wymogi, którym musi sprostać Inspektor Ochrony Danych takie jak kwalifikacje zawodowe, a w szczególności wiedza fachowa na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań nałożonych przez RODO.
Kolejną zmianą, z pewnością korzystną dla przedsiębiorców, będzie możliwość wyznaczenia przez grupę przedsiębiorstw jednego IOD. Jednakże wyznaczenie jednego IOD przez grupę przedsiębiorstw będzie możliwe, o ile można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej.