Source: https://rododlamalychfirm.pl/10-wskazowek-dla-administratorow-jak-stosowac-rodo/
Timestamp: 2020-04-03 06:45:47
Legal References Found: art. 6
 art. 9
 art. 13
 Art. 29
 art. 7
 art. 83
 art. 33
 art. 24
 art. 4
 art. 11

Document Content:
10 wskazówek dla administratorów - jak stosować RODO - Rodo dla małych firm - Dokumentacja RODO. Szablony z przekładami dostosowane do potrzeb i specyfikacji danej branży.
administrator danych poradniki RODO PUODO
Po analizie skarg i pytań, które w ciągu pierwszych sześciu miesięcy stosowania Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 (ogólne rozporządzenie o ochronie danych – dalej RODO) wpłynęły do Urzędu Ochrony Danych Osobowych, organ nadzorczy wydał 10 wskazówek dla administratorów pomocnych w stosowaniu RODO na co dzień. Jego treść opublikowana została na stronie internetowej PUODO 23 listopada 2018 r.
Wskazówki przeznaczone są przede wszystkim dla podmiotów, które w ramach prowadzonej przez siebie działalności przetwarzają dane osobowe. Poniżej zamieszczamy treść wskazówek, które zostały opatrzone naszymi uzupełnieniami i komentarzami.
Poprawne definiowanie podstaw prawnych jest bardzo istotnym zadaniem każdego administratora danych. Zgodnie z RODO mamy bowiem obowiązek przestrzegać zasady legalności (art. 5) i to na administratorach spoczywa wykazanie jej realizowania. Dodatkowo musimy pamiętać, że w każdym obowiązku informacyjnym musimy zamieścić podstawę prawną gromadzenia i przetwarzania danych. Jeżeli chcemy przetwarzać „zwykłe” dane osobowe, musimy spełniać jedną z przesłanek wskazanych w art. 6 RODO. W przypadku szczególnych kategorii danych (tj. dane dot. zdrowia czy wyznanie) musimy legitymować się jedną z podstaw ujętych w art. 9 RODO. W interpretacji, na którą podstawę prawną należy się powołać pomagają nam również motywy, zawarte w preambule RODO (motyw 40 – 48). Zgodę powinniśmy uzyskiwać jedynie w przypadku braku jakichkolwiek innych przesłanek legalizujących.
Obowiązek informacyjny nie jest nową instytucja prawną. Już na gruncie uchylonej ustawy o ochronie danych osobowych z 1997 roku mieliśmy obowiązek poinformować osoby, których dane przetwarzamy o tym kim jesteśmy, w jakim celu dane będą wykorzystywane oraz komu je udostępniamy. RODO bardzo uszczegóławia treść klauzul informacyjnych. Katalog informacji, które przedstawić musimy osobom, których dane przetwarzamy wskazany został w art. 13 i 14 RODO. Zgodnie ze stanowiskiem Grupy Roboczej Art. 29 nie ma przeszkód by obowiązek informacyjny realizować „warstwowo”. Zaleca się aby pierwsza warstwa zawierała szczegóły dotyczące celów przetwarzania, tożsamość administratora oraz informację o prawach osoby, której dane dotyczą. Ważność podania tej informacji wynika bezpośrednio, w szczególności, z motywu 39 RODO.
Brak realizacji uprawnień osób, których dane są przetwarzana grozi najwyższym możliwym wymiarem kary przewidzianym w RODO. Konieczne jest wdrożenie odpowiednich procedur w tym zakresie. Żądania bowiem mogą spływać na każdy adres e-mail ujawniony na stronie internetowej. Pracownicy administratora powinni być poinformowani w jaki sposób należy na nie reagować.
Warunki, które powinna spełniać zgoda na przetwarzania danych osobowych uregulowane zostały w art. 7 i 8 RODO. Dodatkowo, warto również odnieść się do motywu 32 RODO, który precyzuje te wymagania. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, wymagana jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy. Wycofanie zgody jest bezwzględnym prawem osoby, której dane dotyczą. Jeżeli nie posiadamy innej podstawy przetwarzania, bezwarunkowo musimy zaprzestać działań i form przetwarzania, na które została ona wyrażona.
W kontekście sformułowanej przez Urząd Ochrony Danych Osobowych wskazówki trzeba podkreślić, że nie powinniśmy wahać się nad ewentualnym zgłoszeniem naruszenia. Zgodnie z art. 83 RODO, zgłoszenie naruszenia działa tak naprawdę na korzyść administratora. Jest to bowiem przesłanka łagodząca w kontekście ewentualnej kary – organ nadzorczy „decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na: (…) sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie”. O obowiązkach związanych z naruszeniami ochrony danych traktują w szczególności art. 33 i 34 RODO.
Liczy się jakość, a nie ilość. RODO nie zobowiązuje nas do posiadania żadnej konkretnej dokumentacji. Zgodnie z art. 24 RODO, jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, administrator wdraża odpowiednie polityki ochrony danych. Z pewnością najważniejszymi procedurami będzie określenie postępowania z naruszeniami oraz zasady realizowania uprawnień osób, których dane dotyczą. Pamiętajmy jednak, iż to na administratorze ciążyć będzie konieczność udowodnienia, że w konkretnym przypadku zgoda została wyrażona oraz wykazanie, iż zasady określone w RODO są realizowane. Tam gdzie istnieje taka możliwość należy wdrożyć rozwiązania systemowe.
Zgodnie z art. 4 pkt 4 RODO, profilowanie to „dowolna forma zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się”. Pierwszym wymogiem jest spełnienie obowiązku informacyjnego, a więc wskazanie podmiotowi danych, że proces ten ma miejsce, jakie są jego konsekwencje i czy dzieje się to w sposób zautomatyzowany (art. 13 i 14 RODO). Kolejnym obowiązkiem administratora danych jest umożliwienie osobie, której dane dotyczą wniesienia sprzeciwu wobec profilowania (art. 21 ust. 1 i 2 RODO). Obowiązek ten odnosi się do każdej kategorii profilowania (zarówno z udziałem czynnika ludzkiego, jak i zautomatyzowanego). W przypadku sprzeciwu na profilowanie w celach marketingowych, bezwzględnie należy zaprzestać takich dalszych działań. Osoba, której dane dotyczą ma również prawo do otrzymywania informacji o dokonywanym profilowaniu (15 ust. 1 lit h RODO) oraz nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa (art. 22 RODO).
Inspektor Ochrony Danych, w przeciwieństwie do wcześniejszej konstrukcji Administratora Bezpieczeństwa Informacji, w niektórych przypadkach bezwzględnie musi być powoływany (art. 37 RODO). Jest on de facto „koroną zabezpieczeń”, ponieważ jego zadaniem jest bieżące czuwanie nad przetwarzaniem danych osobowych w firmie/ organizacji. IOD może być pracownikiem administratora albo osobą zewnętrzną. Zgodnie z art. 11 ustawy o ochronie danych osobowych „Podmiot, który wyznaczył inspektora, udostępnia dane inspektora (…), niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności”. Dodatkowo dane kontaktowe do IOD mamy obowiązek zamieszczać w każdym obowiązku informacyjnym.
Powyższa przestroga niestety jest bardzo zasadna. Coraz częściej zdarzają się sytuacje wysyłania przedsiębiorcom „wezwań do uiszczenia grzywny” np. przez „Głównego Inspektora Nadzoru Ochrony Danych Osobowych”. Podmioty tego typu korzystają z nośności informacji o potencjalnych karach – do 20 mln euro lub 4% światowego obrotu przedsiębiorstwa (w zależności, która kwota jest wyższa).