Ochrona danych osobowych - RODO

Na początek uwaga: RODO i znowelizowana polska ustawa o ochronie danych osobowych weszły w życie dzień po zamknięciu tego wydania „PC Formatu”. Biorąc pod uwagę niejasności i mity narosłe wokół nowych, ogólnie sformułowanych przepisów, a także opóźniające się prace nad dodatkową ustawą, która na dobre wdroży RODO poprzez modyfikację wielu innych polskich aktów prawnych, rzeczywiste skutki zmian dopiero poznamy.

Czym jest RODO?

Od 25 maja 2018 roku w Unii Europejskiej stosuje się Ogólne Rozporządzenie o Ochronie Danych Osobowych 2016/679 (ang. General Data Protection Regulation, GDPR).
RODO reguluje zasady przetwarzania danych osobowych, czyli wykonywania dowolnych operacji (zbierania, analizowania, przesyłania, a nawet po prostu przechowywania) na wszelkich informacjach o możliwej do zidentyfikowania osobie fizycznej. W praktyce oznacza to więc nie tylko imię i nazwisko człowieka czy adres e-mail, ale także adres IP, historię zakupów w sklepie internetowym, a nawet utrwalony gdzieś zestaw informacji o wierze czy poglądach politycznych.

Celem rozporządzenia jest wzmocnienie ochrony danych, które przekazujemy na żywo i korzystając z sieci. Powinniśmy mieć dzięki niemu lepszą kontrolę nad tym, kto posiada i do czego używa informacji na nasz temat. Ma pozwolić na zmniejszenie skali zjawisk takich jak kradzieże tożsamości i handel danymi, a w konsekwencji np. niechciane newslettery i dziwne telefony z zaproszeniami na pokazy garnków.

Oprócz RODO od 25 maja w Polsce obowiązuje nowa ustawa o ochronie danych osobowych, która m.in. Generalnego Inspektora Ochrony Danych Osobowych (GIODO) zastąpiła Prezesem Urzędu Ochrony Danych Osobowych (PUODO) – nowy organ przejął kompetencje starego. Ustawa zmieniła też część innych przepisów, np. dodała do kodeksu pracy zapis zezwalający na kontrolę sposobu używania poczty i komunikatorów pracowniczych przez pracodawcę, choć z poszanowaniem tajemnicy korespondencji.

W skrócie: co mam robić?

Zarówno zwykłym czytelnikom, jak i pracownikom przedsiębiorstw bez armii prawników i informatyków, polecamy przeczytanie całości artykułu – i pamiętanie, że musieliśmy dokonać w nim wielu skrótów i uproszczeń. Osobista lektura RODO nie zaszkodzi, natomiast w telegraficznym skrócie plan działania wygląda tak:

Jeśli twoje dane są przetwarzane:
- Poświęć chwilę na przejrzenie zasad prywatności i zgód na przetwarzanie danych osobowych, które zaakceptowałeś (lub będziesz akceptować). Muszą być jednoznaczne i napisane zrozumiałym językiem.
- Jeśli nie jesteś pewien, co dana firma lub serwis o tobie wie, poproś o przesłanie ci zestawu twoich danych osobowych, w posiadanie których weszła. Musi to zrobić.
- Jeśli coś nie gra, możesz zmodyfikować dotyczące ciebie dane, wycofać niepotrzebne zgody, a nawet zażądać całkowitego usunięcia swoich danych z bazy – choć w niektórych sytuacjach firma może odmówić.
- Jeśli jesteś przekonany, że firma narusza gwarantowane ci przez RODO prawa, powiadom Urząd Ochrony Danych Osobowych.

Jeśli przetwarzasz dane:
- Zweryfikuj, czy nie gromadzisz danych już niepotrzebnych albo takich, na których zbieranie nie było zgody. Nie zbieraj danych „na zapas”!
- Upewnij się, czy zbierając dane osobowe, informujesz o wszystkich aspektach ich przetwarzania, które wymienia RODO.
- Sprawdź, czy sposób wyrażania zgód na przetwarzanie przez ciebie danych osobowych nie narusza przepisów RODO.
- Oceń ryzyko związane z przetwarzaniem przez siebie danych i zadbaj o odpowiednie zabezpieczenia.
- Stwórz rejestr czynności dotyczących przetwarzania danych osobowych i wybierz – jeśli firma tego potrzebuje, bo np. przetwarzanie danych osobowych to trzon działalności – inspektora danych osobowych.
- Polską wersję RODO można pobrać ze strony: http://pcformat.pl/u/3232

Nową ustawę o ochronie danych osobowych znajdziesz tu: http://pcformat.pl/u/3235

Prawo do bycia zapomnianym

Do najważniejszych praw, które przyznaje nam RODO, należy tzw. prawo do bycia zapomnianym. Każdy może zażądać od podmiotu, który przetwarza jego dane osobowe, całkowitego usunięcia danych – zwykle po prostu na podstawie wycofania wyrażonej kiedyś zgody lub dlatego, że już nie są one potrzebne do wskazanego przy ich zbieraniu celu. Administrator danych powinien również przekazać takie żądanie wszelkim firmom, którym te dane przekazał – o ile będzie to wykonalne np. bez nadmiernych kosztów. Może też odmówić „zapomnienia” o nas m.in. w sytuacjach, gdy dalszego przetwarzania danych wymaga prawo (np. obowiązek realizacji gwarancji) albo jest to potrzebne, by móc dochodzić roszczeń po tym, jak nie zapłaciliśmy za zamówiony i otrzymany produkt.