Source: https://lexdigital.pl/9-najwazniejszych-zasad-rodo-czyli-nowe-podejscie-do-ochrony-danych-osobowych
Timestamp: 2018-06-22 22:17:09+00:00
Document Index: 11478633

Matched Legal Cases: ['art. 37', 'art. 37', 'art. 12', 'art. 15', 'art. 35', 'art. 4']

9 najważniejszych zasad RODO czyli nowe podejście do ochrony danych osobowych
Unijne rozporządzenie o ochronie danych osobowych ma na celu ujednolicić zróżnicowane zasady dotyczące przetwarzania danych między poszczególnymi państwami członkowskimi. Przygotowywana ustawa o ochronie danych osobowych będzie regulowała kwestie, w których RODO pozostawiło swobodę państwom członkowskim.
Rozporządzenie nie mówi wprost, w jaki sposób należy stosować przepisy i jak je wdrożyć. RODO daje administratorom danych osobowych dużą swobodę w działaniu. Samodzielność ma swoje dobre i złe strony. Administratorzy danych osobowych sami decydują o doborze odpowiednich zabezpieczeń i działaniu z danymi osobowymi. Wiąże się to jednak z ryzykiem naruszenia danych i co za tym idzie ogromnymi stratami wizerunkowymi i finansowymi.
Sprawdź, co się zmieni i na co zwrócić szczególną uwagę.
1. Wyznaczenie inspektora ochrony danych (art. 37-39 RODO)
Inspektor ochrony danych będzie odpowiednikiem obecnego administratora bezpieczeństwa informacji. W obecnym porządku prawnym nie ma obowiązku powoływania ABI. Od 25 maja, niektóre podmioty będą zmuszone zatrudnić osobę pełniącą funkcję IOD. Rozporządzenie o ochronie danych osobowych w art. 37 jasno precyzuje sytuacje, kiedy administrator danych osobowych będzie musiał wyznaczyć inspektora. Kandydat na to stanowisko będzie musiał wykazać, że posiada wiedzę specjalistyczną w zakresie ochrony danych oraz doświadczenie w tej dziedzinie. IOD może być pracownikiem podmiotu przetwarzającego dane lub wykonywać zadania na podstawie umowy outsourcingowej.
2. Obowiązek informacyjny (art. 12-14 RODO)
Unijne rozporządzenie rozszerza katalog informacji, jakie administratorzy danych osobowych będą musieli udostępnić osobom, których dane pobierają i przetwarzają. Rozporządzenie nakazuje, aby obowiązek został przedstawiony w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie. Ważne, żeby został napisany jasnym i prostym językiem, szczególnie jeśli informacje kierowane są do dziecka.
3. Nowe prawa obywateli (art. 15-21 RODO)
Rozporządzenie o ochronie danych osobowych przyznaje osobom, których dane są przetwarzane rozszerzone uprawnienia. Wiąże się to z dodatkowymi zadaniami nałożonymi na administratorów danych osobowych.
Administrator danych osobowych będzie miał obowiązek prowadzić rejestr czynności przetwarzania. Natomiast w przypadku procesorów, będzie istniała konieczność prowadzenia rejestru wszystkich kategorii czynności przetwarzania dokonywanych w imieniu ADO.
Nowy obowiązek będzie spoczywał na większości administratorów danych osobowych i podmiotów przetwarzających dane. Takie rejestry będą musiały prowadzić podmioty które:
przetwarzają szczególne kategorie danych (dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby),
6. Ocena skutków dla ochrony danych (art. 35 RODO)
Kolejnym, nowym obowiązkiem spoczywającym na administratorze danych osobowych, które nakłada rozporządzenie o ochronie danych osobowych, jest przeprowadzenie oceny skutków dla ochrony danych (DPIA). RODO wymaga, aby przedsiębiorcy przetwarzający dane osobowe, przeprowadzili analizy wpływu działań na danych osobowych na ryzyko naruszenia praw osób, których dotyczą. Przeprowadzenie oceny będzie konieczne w dwóch przypadkach: stwierdzenia wysokiego ryzyka naruszenia praw lub wolności osób fizycznych oraz kiedy zadecyduje o tym organ nadzorczy (Prezes Urzędu Ochrony Danych Osobowych – obecnie GIODO).
Rozporządzenie reguluje zasady dotyczące zautomatyzowanego podejmowania decyzji. Głównie chodzi o profilowanie, które wg art. 4 pkt. 4 RODO oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych. Polega to na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej. Wykorzystywane w szczególności do analizy lub prognozy efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.
Naruszenie przepisów o ochronie danych osobowych to straty wizerunkowe, ale również finansowe. Obecne przepisy umożliwiają nałożenie na przedsiębiorców jednorazowej grzywny nieprzekraczającej 50 tys. zł. Rozporządzenie o ochronie danych osobowych przewiduje kary nawet do 20 milionów euro bądź 4 proc. obrotu światowego w związku z wyciekiem bądź incydentem związanym z danymi osobowymi. Kary pieniężne w każdym przypadku mają być odstraszające, proporcjonalne i skuteczne. Będą zależały od charakteru, wagi i czasu trwania naruszenia oraz innych czynników takich jak np. próba zminimalizowania ryzyka.