Source: https://blog.gratka.pl/2018/01/ochrona-danych-rodo.html
Timestamp: 2019-01-17 05:53:48
Legal References Found: art. 9
 art. 10
 art. 39
 art. 12
 art. 30
 art. 83

Document Content:
Ochrona danych osobowych w Twojej firmie - co zmieni się po 25. maja 2018 r. - Gratka.pl Blog
Główna dom gratka talks mieszkanie motoryzacja nieruchomosci nieruchomości praca Ochrona danych osobowych w Twojej firmie - co zmieni się po 25. maja 2018 r.
Ochrona danych osobowych w Twojej firmie - co zmieni się po 25. maja 2018 r.
dom, gratka talks, mieszkanie, motoryzacja, nieruchomosci, nieruchomości, praca
Prowadzisz działalność w której masz do czynienia z przetwarzaniem danych osobowych? Dowiedz się czy nowe przepisy RODO dotyczą Twojej firmy i jak przygotować się do zmian w przetwarzaniu i ochronie danych. O nowej perspektywie w ochronie danych opowiada Aleksandra Stepanów - radca prawny z kancelarii prawnej URBANEK i Wspólnicy sp.k.
Aleksandra Stepanów,
URBANEK i Wspólnicy
Dane osobowe to szeroki termin, niekiedy nastręczający trudności przy ocenie, czy w danej sytuacji mamy do czynienia z danymi osobowymi czy też jednak nie. Oceny należy dokonywać w każdym konkretnym przypadku, przez pryzmat uzasadnionego prawdopodobieństwa wykorzystania danych przez administratora lub osobę trzecią w celu identyfikacji podmiotu danych, z jednoczesnym uwzględnieniem kontekstu, celu przetwarzana, a także kosztu i czasu niezbędnych do dokonania identyfikacji osoby oraz dostępnej w momencie przetwarzania danych technologii. Te same dane będą dla jednego administratora danymi osobowymi, a dla innego już nie.
Zgodnie z ogólnym rozporządzeniem o ochronie danych osobowych (RODO) dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Z kolei możliwą do zidentyfikowania osobą fizyczną jest osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Jak widać, przytoczona definicja legalna jest szeroka, nie zawiera zamkniętego katalogu i w założeniu ma objąć wszelkie możliwe przypadki, także takich danych, których na dzień dzisiejszy jeszcze nie umiemy nazwać czy sobie wyobrazić.
Dane osobowe można podzielić na dane zwykłe oraz szczególne kategorie danych osobowych.
Szczególne kategorie danych, to dane osobowe, które z uwagi na swój charakter są wyjątkowo wrażliwe w świetle podstawowych praw i wolności podmiotu danych. Szczególne kategorie danych zostały wyliczone w art. 9 RODO, zgodnie z którym należą do nich: dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby. Szczególne miejsce zajmują określone w art. 10 RODO dane dotyczące wyroków skazujących lub naruszeń prawa. Pozostałe dane, niemieszczące się w powyżej przytoczonym, zamkniętym katalogu szczególnych kategorii danych, będą kwalifikowane do danych osobowych zwykłych.
Na koniec warto wspomnieć o danych spseudonimizowanych, czyli danych osobowych poddanych odwracalnemu procesowi przetworzenia, który powoduje, że dane nie mogą zostać przypisane konkretnej osobie fizycznej bez dodatkowych informacji. Prosta pseudonimizacja polega np. na ukryciu imienia i nazwiska pod ustalonym kodem i dalszej identyfikacji podmiotu danych wyłącznie za pomocą kodu; jednocześnie klucz do odczytania kodu jest zabezpieczony i możliwy do wykorzystania wedle potrzeby. W konsekwencji dane spseudonimiozwane są poddane pełnemu reżimowi ochrony danych osobowych; samą pseudonimizajcę RODO uznaje za adekwatny rodzaj zabezpieczenia danych osobowych.
Od danych spseudonimizowanych należy odróżnić dane zanonimizowane, które bezpowrotnie utraciły przymiot danych osobowych i nie można w oparciu o nie zidentyfikować konkretnej osoby fizycznej. Dane anonimowe nie podlegają RODO.
RODO to polski skrót oznaczający Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). RODO weszło w życie w dniu 25 maja 2016 r., zaś rozpoczęcie jego stosowania przypada na dzień 25 maja 2018 r.
RODO jest aktem prawa unijnego, który jest bezpośrednio stosowalny we wszystkich krajach członkowskich Unii Europejskiej. Oznacza to, że zasady i wymogi przetwarzania danych osobowych będą co do zasady identyczne we wszystkich krajach członkowskich UE.
W konsekwencji uchylona zostanie obecnie obowiązująca polska ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (t.j. Dz. U. 2016 r. poz. 922) oraz inne przepisy szczegółowe (np. art. 39 b ustawy o swobodzie działalności gospodarczej, wyłączający stosowanie zdecydowanej większości postanowień obecnej ustawy o ochronie danych osobowych w stosunku do danych osobowych ujawnionych w CEiDG), które pozostają w sprzeczności z RODO.
RODO jest regulacją ochronną, a jednocześnie ma przyczyniać się do tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej. Nowe przepisy podkreślają i wzmacniają znaczenie prawa do prywatności. Skutkiem tego założenia jest widoczne wzmocnienie praw osób fizycznych, odzwierciedlone w obowiązkach nałożonych na administratorów danych (i odpowiednio procesorów).
RODO bazuje na podejściu opartym na ryzyku (risk based approach). Sztywno określone wymogi, w szczególności techniczno-organizacyjne, jednakowe dla wszystkich administratorów, niezależne od skali przetwarzania czy ryzyka, którym obciążane są przetwarzane dane osobowe, zostaną zastąpione indywidualną oceną każdego administratora danych. Administratorom danych przyznana (wręcz nakazana) została pełna swoboda zarówno w doborze środków, jak i nasilenia ochrony w selektywnie wybranych obszarach działalności; działania te muszą być jednak na tyle adekwatne do prowadzonych operacji na danych osobowych, aby możliwe było wykazanie, że przetwarzanie danych zgodne jest z zasadami określonymi RODO.
W mojej ocenie, najistotniejszą zmianą wprowadzaną przez RODO jest zmiana świadomości podmiotów, które przetwarzają dane osobowe, w zakresie ochrony danych osobowych. Kwestie prywatności i praw osób fizycznych powinny być uwzględniane w planowaniu i prowadzeniu biznesu, dobrze kontrahentów oraz ocenie ryzyka. Obecnie nie ma to miejsca.
Czy zmiany dotkną wszystkie biznesy, czy tylko to działające online?
Zmiany dotkną wszystkich, którzy przetwarzają w jakikolwiek sposób dane osobowe pochodzące z Europejskiego Obszaru Gospodarczego. Chodzi tu o podmioty będące administratorami danych (którzy decydują o celach i środkach przetwarzania), jak i procesorzy (podmioty przetwarzające), działający na polecenie i zlecenie administratora danych.
Mówimy tu więc i o podmiotach publicznych (np. szkoły, szpitale, urzędy itp.), i o prywatnych. RODO dotyczy wszystkich obszarów działalności gospodarczej, zarówno online, jak i offline; dużych i małych przedsiębiorców.
Jak powinny się do RODO przygotować firmy, np. biura nieruchomości, deweloperzy, komisy samochodowe czy dealerzy samochodowi?
Przygotowanie do RODO wymaga przede wszystkim zapoznania się z treścią norm tej regulacji. Lektura samego aktu normatywnego może nastręczyć nieco trudności. Warto więc sięgnąć do dostępnej literatury czy szkoleń. Z ogólnodostępnych pomocy mogę zarekomendować listę pytań przygotowaną przez GIODO zatytułowaną „Rok do RODO – sprawdzian gotowości”, pomocną przy ustaleniu podstawowych zagadnień związanych z przygotowaniem do RODO. Lista dostępna jest tutaj Każde z 18 obszarów tematycznych zostało rozwinięte – są one dostępne tutaj
Ponadto niezbędne jest ustalenie procesów związanych z przetwarzaniem danych osobowych przez daną organizację, w tym odpowiedzi na pytania czy i jakie dane są zbierane i w inny sposób przetwarzane, jakie są cele przetwarzania i podstawy przetwarzania, w jaki sposób dane są przetwarzane, w tym w jakich systemach i programach, jaki jest udział podmiotów trzecich w przetwarzaniu itp. Ustalenie stanu faktycznego umożliwi ocenę, jakie dodatkowe działania są niezbędne, co trzeba zmodyfikować, a jakich działań zaprzestać.
Każdy podmiot powinien ustalić, w jakich przypadkach ma status administratora danych (czyli podmiotu decydującego o celach i środkach przetwarzania), a kiedy działa jako podmiot przetwarzający (procesor, podmiot przetwarzający dane w imieniu i na polecenie administratora). Należy spodziewać się, że duża część przedsiębiorców będzie występowała w obu rolach jednocześnie, w zależności od czynności przetwarzania i rodzaju danych osobowych.
Kolejnym krokiem powinna być analiza stosowanych w przedsiębiorstwie wzorców – klauzul zgód, informacji przekazywanych podmiotom danych czy umów powierzenia przetwarzania. Wszystkie dokumenty i wzorce powinny zostać dostosowane do nowych regulacji. Przeglądowi i dostosowaniu należy poddać także infrastrukturę techniczną – nowe technologie z założenia obarczone są większym ryzykiem niż np. przetwarzanie tradycyjne, papierowe.
Wedle mojej wiedzy branża samochodowa pracuje nad aktualizacją istniejącego Kodeksu dobrych praktyk w zakresie ochrony danych osobowych klientów i potencjalnych klientów stworzonego przez Polski Związek Przemysłu Motoryzacyjnego we współpracy z GIODO. Z kolei Związek Dealerów Samochodowych organizuje szkolenia dotyczące RODO. Warto śledzić działania branżowe, które mogą ułatwić realizację obowiązków nałożonych przez RODO na wszystkich administratorów danych oraz procesorów.
Najkrótsza odpowiedź brzmi, iż od 25 maja 2018 r. przetwarzanie i ochrona danych mają być zgodne z RODO oraz innymi związanymi z nim regulacjami, w tym wydanymi na jego podstawie aktami prawa krajowego czy wytycznymi organów nadzoru.
W dużym skrócie oznacza to, że konieczne jest zachowanie określonych w RODO zasad przetwarzania danych osobowych. Są to wyszczególnione w artykule 5 RODO zasady:
1. zasada zgodności z prawem, rzetelności i przejrzystości,
2. zasada ograniczenia celu przetwarzania danych,
3. zasada minimalizacji danych,
4. zasada prawidłowości danych,
5. zasada ograniczenia przechowania danych,
6. zasada integralności i poufności danych,
Nie można pominąć realizacji praw podmiotów danych, szczegółowo przedstawionych w art. 12-23 RODO, do których zalicza się:
8. prawo do niepodlegania decyzjom opierającym się wyłącznie na zautomatyzowanym przetwarzaniu.
Prawidłowe przetwarzanie danych oznacza także współpracę z organem nadzoru, np. w czasie kontroli lub w sytuacji wystąpienia naruszenia ochrony danych.
Czy dalej będziemy rejestrować zbiory danych osobowych?
Nie, ten wynikający z aktualnych polskich regulacji obowiązek zostanie zniesiony.
Co ważne, RODO dotyczy m.in. przetwarzania danych osobowych w zbiorach danych, co oznacza, że ich wyodrębnianie dalej będzie miało sens i może ułatwić zapanowanie nad procesami przetwarzania danych osobowych w organizacji.
Czym jest „Rejestr czynności przetwarzania danych osobowych”?
Na gruncie RODO wprowadzony został nowy obowiązek dla administratorów danych oraz procesorów polegający na konieczności prowadzenia rejestru czynności przetwarzania (motyw 82 RODO, art. 30 ust. 1 RODO). Obowiązek prowadzenia rejestru nie obejmuje co do zasady podmiotów zatrudniających mniej niż 250 osób. Jednakże, jeżeli przetwarzanie danych przez administratora :
a) może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą;
b) nie ma charakteru sporadycznego;
c) obejmuje szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa
to wówczas prowadzenie rejestru czynności przetwarzania jest obligatoryjne. Dlatego też wyłączenie obowiązku prowadzenia rejestru czynności przetwarzania może w praktyce dotyczyć niezbyt dużej liczby podmiotów – głównie tych, które przetwarzają dane osobowe sporadycznie i nie generują ryzyka naruszenia praw lub wolności podmiotów danych.
Rejestr czynności przetwarzania jest prowadzony w formie pisemnej, w tym elektronicznej i powinien być udostępniony na każdorazowe żądanie organu nadzorczego.
Jeśli dobrze rozumiem pytanie, to ma ono na celu ustalenie, czy powierzenie przetwarzania danych osobowych podmiotowi współpracującemu w jakiś sposób ogranicza odpowiedzialność administratora danych.
Odpowiedź brzmi nie. Współpraca z procesorem nie zdejmuje odpowiedzialności z administratora danych – ponosi on pełną odpowiedzialność zgodnie z RODO. Co więcej, administrator ma obowiązek wykazać, że podmiot, którym posiłkuje się przy przetwarzaniu danych osobowych został wybrany z uwzględnieniem gwarancji przetwarzania danych osobowych.
Podmiot przetwarzający również ponosi własną, niezależną od administratora, odpowiedzialność prawną za przetwarzane dane osobowe.
RODO niewątpliwie wprowadza surowe kary za naruszenie jego przepisów. Jednakże moim zdaniem nie jest prawdą, że administracyjne kary pieniężne będą nakładane zupełnie dowolnie i bez ograniczeń. Sądy administracyjne będą sprawowały kontrolę nad legalnością decyzji nakładających sankcje. Z upływem czasu wytworzą się jednolite standardy w całej UE. Obecnie Grupa Robocza Artykułu 29 wydała wytyczne dotyczące stosowania administracyjnych kar pieniężnych, w których wskazała na konieczność wypracowania jednolitych standardów nakładania kar pieniężnych wynikających z RODO. Wytyczne te mają być stosowane przez organy ochrony danych przy wymierzaniu kar w zakresie kryteriów ocennych, znajdujących się w art. 83 ust. 2 RODO.
Surowe kary mają wzmocnić skuteczność regulacji RODO. Akt prawny bez sankcji rzadko kiedy budzi posłuch. Dla porównania, akty prawne w zakresie prawa konkurencji również przewidują wysokie sankcje za nieprzestrzeganie wymogów i nie budzi to tylu kontrowersji. Celem kar nie jest ich nakładanie, a wymuszenie stosowania RODO. W taki sposób należy je postrzegać, zwłaszcza że wprowadził je ustawodawca unijny, a nie krajowy. Przedsiębiorcy zaś dysponują wszelkimi narzędziami, aby uniknąć kary – wystarczy przestrzegać nakazów RODO.
Jakie mogą być skutki dla firmy, która nie podejmie żadnych przygotowań przed wejściem nowych regulacji?
Zaniechanie przygotowań do RODO niesie ze sobą różne konsekwencje.
Jedną z nich jest możliwość zapłaty administracyjnej kary pieniężnej w wysokości do 10 mln euro lub do 2 % rocznego obrotu w przypadku przedsiębiorstw, a przy poważniejszych naruszeniach – do 20 mln euro lub do 4 % rocznego dochodu. Jednakże kary nie będą nakładane automatycznie, zależą od rodzaju naruszenia, sposobu w jaki administrator lub procesor wypełnia swoje obowiązki (inna kara dla podmiotu, który nie robi dosłownie nic, a inna dla podmiotu, który podejmuje działania i starania). RODO wprowadza warunki i przesłanki nakładania kar administracyjnych.
Inną konsekwencją może być utrata reputacji czy zaufania klientów, co ma znaczenie szczególnie dla podmiotów świadczących usługi bezpośrednio na rzecz osób fizycznych (np. sklep internetowy).
Niedostosowanie do nowych wymogów może też prowadzić do utraty istotnych aktywów firmy, np. w przypadku wycieku danych osobowych, lub utraty kluczowych kontrahentów (gdy np. działamy jako procesor, który nie spełnia wymogów RODO).
Czy nowe regulacje nie utrudnią prowadzenia biznesu?
Utrudnienie prowadzenia biznesu nie jest celem regulacji, aczkolwiek trudno uznać RODO za akt pro biznesowy. W odniesieniu do RODO podkreśla się, że akt ten ma na celu praktyczne dopasowanie ogólnie określonych zasad przetwarzania do rodzaju czynności przetwarzania podejmowanych w ramach prowadzonej działalności – inaczej będzie więc wyglądała realizacja zasad RODO w pięcioosobowej księgarni stacjonarnej, a inaczej w sieci perfumerii posiadającej stacjonarne punkty dystrybucji oraz sklep internetowy. Patrząc z tego punktu widzenia, wydaje się, że RODO nie utrudni prowadzenia biznesu.
RODO wymaga świadomego i odpowiedzialnego obchodzenia się z danymi osobowymi. Przedsiębiorcy, obok aspektów jakościowych czy cenowych, powinni w swojej działalności uwzględniać także kwestię ochrony prywatności, perspektywę podmiotu danych. Wymaga to przyzwyczajenia się do tego i zmiany świadomości. Myślę, że za jakiś czas będzie to oczywisty standard.
Ochrona danych osobowych w Twojej firmie - co zmieni się po 25. maja 2018 r. Reviewed by Magdalena Hadada on 1/10/2018 Rating: 5