10 najważniejszych zmian w ochronie danych osobowych
•Download as PPTX, PDF•
0 likes•3,614 views
Cup of law
Recommended
Recommended
More Related Content
What's hot
What's hot (19)
Similar to 10 najważniejszych zmian w ochronie danych osobowych
Similar to 10 najważniejszych zmian w ochronie danych osobowych (20)
More from RK Legal
More from RK Legal (16)
10 najważniejszych zmian w ochronie danych osobowych
- 1. „Co w RODO piszczy?” – 10 najważniejszych zmian w ochronie danych osobowych adw. Sylwia Kilińska apl. adw. Rafał Mierkiewicz Olga Kowalewska
- 2. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 2 Będziemy mówić o: Głównych celach i założeniach RODO Różnicach między dotychczasowymi a przyszłymi obowiązkami przedsiębiorców względem GIODO Klauzulach zgody według RODO Prawach osób, których dane są przetwarzane Sankcjach i ryzyku związanym z niewykonaniem wymogów RODO
- 3. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 331 marca 2017 r. ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Czym jest RODO? Będzie dotyczyło: Wszystkich przedsiębiorców prowadzących działalność w UE przetwarzających dane obywateli Unii Europejskiej.
- 4. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 4 Ochrona danych osobowych Pytania: Kto podlega pod obowiązki spełnienia przepisów ochrony danych osobowych? Jakie kategorie przedsiębiorstw oraz jednostek organizacyjnych bez żadnych wątpliwości podlegają pod obowiązki ochrony danych osobowych?
- 5. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 5 Istotne informacje 4 maja 2016 r. – publikacja RODO. 25 maja 2016 r. – wejście w życie. Czas na dostosowanie: 2 lata. Dotyczy: wszystkich przedsiębiorstw działających na terenie Unii Europejskiej. 25 maja 2018 r. – od tej daty nowe prawo będzie egzekwowane.
- 6. Nowe Rozporządzenie – koniec ustawy o ochronie danych osobowych? OBECNIE Ustawa o ochronie danych osobowych Dyrektywa 95/46/WE Akty wykonawcze, np. rozporządzenia 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 6 RODO – zastępuje ustawę o ochronie danych osobowych Nowa ustawa o ochronie danych osobowych Dobre praktyki Prezesa UODO od 2018 r.
- 7. Projekt ustawy o ochronie danych osobowych 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 7 zmiana statusu Prezes Urzędu Ochrony Danych Osobowych
- 8. Zmiana statusu i rola ABI 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 8 ABI Inspektor Ochrony Danych Wyznaczenie inspektora ochrony danych będzie co do zasady fakultatywne. W następujących sytuacjach będzie ono jednak obowiązkowe: Jeżeli główna działalność przedsiębiorcy zakresie przetwarzania ze względu na swój charakter, zakres lub cele wymaga regularnego i systematycznego monitorowania osób na dużą skalę. Gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu danych wrażliwych. Przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości.
- 9. Zadania inspektora ochrony danych Do zadań inspektora należy w szczególności: Informowanie pracowników o zasadach przetwarzania danych osobowych Przeprowadzanie szkoleń personelu uczestniczącego w przetwarzaniu danych osobowych Prowadzenie konsultacji w sprawach związanych z przetwarzaniem danych osobowych Monitorowanie przestrzegania przepisów rozporządzenia Współpraca z organem nadzorczym, a także udzielanie porad na żądanie co do oceny skutków pod kątem ochrony danych osobowych 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 9
- 10. Status Inspektora Ochrony Danych Informacja o ustanowieniu IOD wraz z jego danymi są udostępniane: Organowi nadzorczemu. Osobom, których dane są przetwarzane (w formularzach zgody). Rozporządzenie określa, że osoby, których dane się przetwarza, mogą kontaktować się z inspektorem ochrony danych we wszystkich sprawach związanych z przetwarzaniem ich danych oraz z korzystaniem z praw przysługujących im na mocy niniejszego rozporządzenia. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 10
- 11. Prowadzenie rejestru czynności przetwarzania. Obowiązki względem osób, których dane są przetwarzane. Konsekwencje powierzenia przetwarzania danych osobowych zewnętrznemu podmiotowi. Zgłaszanie naruszeń Prezesowi Urzędu Ochrony Danych Osobowych. Utworzenie nowych formularzy zgody. Nowe obowiązki przedsiębiorców 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 11
- 12. Rejestr czynności przetwarzania 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 12 Obecnie każdy podmiot posiada obowiązek rejestracji zbioru danych osobowych w GIODO w przypadku nie wyznaczenia ABI. Wraz z wejściem w życie RODO znika obowiązek zgłaszania bazy danych dla GIODO na rzecz obowiązku prowadzenia rejestru czynności przetwarzanych.
- 13. Obowiązek „rejestrowania czynności przetwarzania” Art. 30 Rozporządzenia stanowi, iż „Każdy administrator oraz – gdy ma to zastosowanie – przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych, za które odpowiadają.” Obowiązek prowadzenia rejestru czynności przetwarzania dotyczy: Przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą. Przetwarzanie nie ma charakteru sporadycznego. Przetwarzanie obejmuje szczególną kategorię danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 13 Przedsiębiorcy lub podmiotu zatrudniającego powyżej 250 osób. Przedsiębiorcy lub podmioty zatrudniające mniej niż 250 osób, jeżeli:
- 14. Rejestr czynności przetwarzania 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 14 Rejestr prowadzony przez administratora danych powinien zawierać: Imię i nazwisko lub nazwę administratora wraz z jego danymi kontaktowymi oraz wszystkich współadministratorów.* Jeżeli administrator posiada przedstawiciela na terenie Unii, również jego dane. W przypadku wyznaczenia IODO powinien także w rejestrze wskazać jego imię i nazwisko oraz dane kontaktowe. wskazanie w rejestrze celów przetwarzania danych. wskazać kategorie przetwarzanych danych osobowych oraz opis kategorii osób, których dane dotyczą. *Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami.
- 15. Wzór rejestru czynności przetwarzania 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 15
- 16. Zgłaszanie naruszeń Prezesowi UODO Artykuł 33 RODO „Zgłaszanie naruszenia ochrony danych osobowych organowi nadzorczemu w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu (…), chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.” 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 16
- 17. Powierzanie przetwarzania danych osobowych Administrator Danych może powierzyć przetwarzanie danych osobowych innemu podmiotowi na podstawie umowy o przetwarzania danych osobowych zawieranej pomiędzy administratorem danych a podmiotem przyjmującym dane w powierzenie tzw. procesorem. Umowa powierzania może dotyczyć różnych form przetwarzania danych np.: przetwarzanie danych w chmurze, przez firmy marketingowe, kurierów czy wszelkiego rodzaju outsourcing’ów takich jak księgowości, IT. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 17
- 18. Powierzanie przetwarzania danych osobowych Ustawa o ochronie danych osobowych Rozporządzenie „ RODO” Podstawa Art.31 Art. 28 Forma umowy Forma pisemna Forma pisemna, w tym elektroniczna Elementy umowy • Zakres danych osobowych • Cel przetwarzania • Przedmiot • czas trwania powierzenia • charakter i cel przetwarzania • rodzaj danych osobowych • kategorie osób, których dane dotyczą • warunki podpowierzenia przetwarzania danych • obowiązki i prawa administratora danych • obowiązki procesora Podpowierzenie •brak regulacji •pisemna zgoda administratora danych (szczegółowa lub ogólna) 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 18
- 19. Konsekwencje powierzenia przetwarzania danych osobowych zewnętrznemu podmiotowi 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 19 Zasadą jest, że odpowiedzialność za przestrzeganie przepisów spoczywa na Administratorze danych, ale w przypadku powierzenia nie wyłącza to odpowiedzialności podmiotu, z którym została zawarta umowa. Podmiot przyjmujący dane w powierzenie ponosi odpowiedzialność cywilną w stosunku do administratora, która wynika z postanowień umowy.
- 20. Podstawy przetwarzania danych osobowych Rozporządzenie zawiera zamknięty katalog warunków, w jakich przetwarzanie danych może zostać uznane za zgodne z prawem. Następujące sytuacje mogą być podstawą przetwarzania danych: Osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (m.in. wyrażenie zgody na tzw. formularzach) Przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej. Przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. 31 marca 2017 r. RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 20
- 21. Nowe zasady dotyczące zgód na przetwarzanie danych osobowych 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 21 Uzyskanie zgody osoby, której dane mają być przetwarzane. Sposoby wyrażania zgody. Automatyczne zaznaczanie zgody jest zabronione. Zakaz łączenia zgód na przetwarzanie danych. Zgoda wyrażona bez przymusu.
- 22. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 22 Uzyskanie zgody Elementy zgody : Zgoda musi zostać udzielona przed rozpoczęciem przetwarzania danych osobowych. Zgoda na przetwarzanie danych osobowych powinna być udzielona za pomocą klarownego, potwierdzającego czynność działania lub oświadczenia złożonego w formie pisemnej lub ustnej. Zgoda musi być odrębnym oświadczeniem woli. Zgoda musi być konkretna (dotyczyć konkretnych danych, przetwarzanych w konkretnym czasie i w konkretnym celu). Poparta rzetelną informacją o: administratorze danych, prawie do poprawy lub usunięcia danych, obowiązku lub braku obowiązki ich podania, ewentualnym przekazaniu danych podmiotom trzecim – tzw. klauzula informacyjna. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Późniejsze załączenie klauzuli zgody
- 23. Formy wyrażenia zgody Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 23 Forma pisemna Checkboxy Telefoniczna
- 24. Wzór poprawnego formularza zgody Wyrażam zgodę na przetwarzanie moich danych osobowych zgodnie z ustawą o ochronie danych osobowych w związku z ( np. realizacją zgłoszenia). Podanie danych jest dobrowolne, ale niezbędne do przetworzenia zapytania. Zostałem /am poinformowany /a, że przysługuje mi prawo do: 1) dostępu do swoich danych, możliwości ich sprostowania; 2) wniesienia sprzeciwu; 3) żądania zaprzestania ich przetwarzania i wycofania zgody na przetwarzanie danych; 4) przenoszenia danych osobowych. 5) „bycia zapomnianym”, Administratorem danych osobowych jest [pełna nazwa firmy] z siedzibą [adres firmy]. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 24
- 25. Zgoda bez przymusu Zgodnie z art. 7 ust. 4 RODO: „Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”. PRZYKŁAD: 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 25
- 26. Co w przypadku, gdy firma przekazuje dane podmiotom trzecim? Wyrażam zgodę na przetwarzanie moich danych osobowych przez Nazwa firmy z siedzibą adres firmy, jako administratora danych osobowych, w celu realizacji usług dostępnych w serwisie oraz w celach marketingowych, w tym na otrzymywanie na podany adres e-mail informacji handlowej wysłanej przez [nazwa firmy] w imieniu własnym lub na zlecenie jej partnerów biznesowych, a także na przekazywanie danych osobowych innym podmiotom. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 26 Jeżeli Administrator przekazuje dane podmiotom trzecim, pod formularzem powinna znaleźć się kolejna zgoda informująca o takiej praktyce, a użytkownik powinien mieć możliwość wyrażenia na to zgody lub nie. Czyli kto może być odbiorcą danych ?
- 27. Wzór klauzuli informacyjnej 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 27
- 28. Prawa osób, których dane są przetwarzane 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 28 Prawo do bycia zapomnianym. Prawo żądania sprostowania i uzupełnienia danych. Prawo sprzeciwu wobec przetwarzania danych. Prawo dostępu do danych i informacji. Prawo do przeniesienia danych.
- 29. Prawo do bycia zapomnianym Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe. Obowiązek ten powstaje, gdy zachodzi jedna z poniższych sytuacji: Dane osobowe nie są już administratorowi niezbędne; Została cofnięta zgoda na przetwarzanie danych osobowych; Osoba, której dane dotyczą wnosi sprzeciw co do ich przetwarzania; Dane osobowe były przetwarzane niezgodnie z prawem. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 29
- 30. Prawo do bycia zapomnianym – kto może korzystać? Wszystkie osoby, które przekazały swoje dane osobowe oraz osoby, które nie przekazały swoich danych bezpośrednio, ale dane te zostały w inny sposób pozyskane przez administratora. np. w przypadku pozyskania danych w wyniku działań reklamowych czy promocyjnych. Prawo nie przysługuje dla osób przekazujących swoje dane na podstawie umowy. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 30
- 31. Prawo do przenoszenia danych Każda osoba ma prawo do otrzymania danych osobowych, które dostarczyła administratorowi. Prawo do przeniesienia danych umożliwia również żądanie, aby to administrator posiadający dane przesłał je innemu administratorowi. Administrator ma przekazać dane osobowe w ustrukturyzowanym formacie (np. w pliku pdf), tak aby możliwy był ich odczyt komputerowy. Uprawnienie to może być przez daną osobę zrealizowane, jeżeli przetwarzanie odbywa się na podstawie zgody wyrażonej przez tę osobę lub na podstawie umowy z nią zawartej oraz jeżeli przetwarzanie odbywa się w sposób zautomatyzowany. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 31
- 32. Prawo do przenoszenia danych – obowiązki administratora 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 32 Przygotowanie nowych systemów do odpowiadania na żądania o przenoszenie danych. Opracowanie procedur w celu sprawnego odpowiadania na zgłoszone żądania.
- 33. Prawo żądania sprostowania danych i ich uzuopełnienia Na żądanie uprawnionego, administrator będzie miał obowiązek udostępnić kopię danych podlegających przetwarzaniu oraz wprowadzić odpowiednie zmiany do systemu. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 33
- 34. Prawo dostępu do danych i informacji Obowiązek administratorów danych do przekazywania osobie fizycznej podczas pozyskiwania jej danych, następujących informacji: Tożsamości i danych kontaktowych administratora Celu przetwarzania danych osobowych Informacji o odbiorcach danych osobowych Okresu, przez jaki dane osobowe będą przetwarzane Gdy ma to zastosowanie – informacji o zamiarze przekazania danych osobowych poza Unię Europejską oraz wzmianki o odpowiednich zabezpieczeniach danych osobowych stosowanych przez podmiot, któremu dane są przekazywane 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 34
- 35. Prawo do złożenia sprzeciwu Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw, może z tego prawa skorzystać m.in. gdy dane osobowe konkretnej osoby są przetwarzane na potrzeby marketingu bezpośredniego (w tym z wykorzystaniem metod profilowania danych). 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 35 Prawo do sprzeciwu można wykonać za pośrednictwem zautomatyzowanych środków wykorzystujących specyfikacje techniczne.
- 36. Sankcje Zgodnie z regulacjami UODO, GIODO nie może nakładać kar finansowych, aczkolwiek może nakładać grzywnę administracyjna w wysokości 50.000 zł w celu przymuszenia do wykonania wydanej przez niego decyzji administracyjnej. Za wielokrotne niewykonywanie decyzji GIODO wysokość grzywny przymuszającej może wynieść maksymalnie 200.000 zł. W zależności od kategorii naruszenia przepisów RODO przewiduje kary finansowe w wysokości: 10.000.000 EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa 20.000.000 EUR lub 4 % całkowitego rocznego obrotu przedsiębiorstwa. 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 36 Do 24 maja 2018 Od 25 maja 2018 r.
- 37. Sankcje 2017-04-04 RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 37 Karę organ nadzorczy będzie mógł nałożyć m.in. za:
- 38. Zapraszamy do kontaktu RK LEGAL - RĄCZKOWSKI, KWIECIŃSKI ADWOKACI 38 Rączkowski, Kwieciński Adwokaci ul. Wilcza 46, IV p., 00-679 Warszawa www.rklegal.pl www.rklwindykacja.pl Tel: 22 380 33 44 Fax: 22 380 33 46 E-mail: kancelaria@rklegal.pl RK LEGAL w serwisie LinkedIn www.linkedin.com/company/rączkowski- kwieciński-adwokaci RK LEGAL w serwisie Google plus Google.com/+ RączkowskiKwiecińskiAdwokaciWarszawa Cup of Law cupoflaw@rklegal.pl
Editor's Notes
- Pełna nazwa aktu, który regulować będzie przetwarzanie danych osobowych to: „Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych”, dalej zwane Rozporządzeniem. RODO ma zastosowanie tylko do osób fizycznych. Dane osób prawnych nie są objęte zakresem stosowania GDPR. Rozporządzenie w stosunku do osób fizycznych stosujemy niezależnie od ich obywatelstwa czy miejsca zamieszkania, ale w związku z przetwarzaniem ich danych osobowych na terenie Unii.
- Przedsiębiorstwa jak również jednostki organizacyjne, które zatrudniają nawet 1 pracownika lub posiadają jakiejkolwiek inne dane Klientów, które są osobami fizycznymi, przetwarzają dane osobowe- co określa ustawa o ochronie danych osobowych. 2. Są to przede wszystkim: sklepy internetowe, Firmy usługowe – salony fryzjerskie, SPA, kosmetyka, fitness, biura rachunkowe, hotele, spółdzielnie, urzędy, stowarzyszenia, fundacje placówki edukacyjne, przedszkola, żłobki, szkoły placówki medyczne – przychodnie, szpitale, gabinety wszelkie inne podmioty posiadające jakiekolwiek dane osobowe podlegają pod obowiązki ustawy o ochronie danych osobowych.
- RODO przede wszystkim zmieni sposób, w jaki podmioty powinny zbierać, przetwarzać (rejestrować, udostępniać) i przechować dane osobowe pracowników, klientów i osób fizycznych (w tym np.: odbiorców reklam, pacjentów) nakładając na nich szereg nowych obowiązków i ewentualnych kar (szczególnie dotkliwszych finansowo) za nieprzestrzeganie/niedostosowanie się do nich. Rozporządzenie będzie stosowane wprost, dlatego jest wiążącym prawem dla wszystkich podmiotów
- Wprowadzenie rozporządzenia RODO nie oznacza jednak, iż obowiązująca obecnie ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. zostanie w całości zastąpiona przepisami Rozporządzenia. W celu przystosowanie polskiego prawa do nowego rozporządzenia Ministerstwo Cyfryzacji opublikowało 28 marca br. projekt ustawy o ochronie danych osobowych, która ma dookreślić, w granicach dopuszczalnych przez ogólne rozporządzenie o ochronie danych (RODO), krajowy system ochrony danych osobowych. Ponadto, podstawowym aktem prawnym regulującym ochronę danych osobowych w Polsce jest nadal (do 25 maja 2018 roku) ustawa o ochronie danych osobowych jako akt prawny bezpośrednio obowiązujący. Prezes UODO będzie przygotowywał i udostępniał na swojej stronie internetowej tzw. dobre praktyki przetwarzania danych osobowych. Dobre praktyki zastąpią bardzo nieaktualne już Rozporządzenie z 2004 roku. Za pomocą dobrych praktyk, regulator będzie wskazywał zalecane środki bezpieczeństwa. To tutaj będzie miejsce na wskazanie elementów, które powinna zawierać polityka bezpieczeństwa danych osobowych.
- Jedną z najważniejszych zmian wynikającą z projektu ustawy jest powołanie w miejsce obecnego Generalnego Inspektora Ochrony Danych Osobowych – krajowego organu ds. ochrony danych osobowych – nowego organu administracji publicznej – Prezesa Urzędu Ochrony Danych Osobowych. UODO będzie prawnym następcą GIODO. Udostępniony projekt nie obejmuje jednak przepisów przejściowych i wykonawczych. Nie wiemy więc w jaki sposób będzie wyglądała sukcesja i czy będą zmiany kadrowe w GIODO. Projekt nie mówi kto i w jaki sposób będzie powoływał Prezesa UODO. Sama nomenklatura przypomina nazewnictwo stosowane w Urzędzie Ochrony Konkurencji i Konsumenta, również kierowanego przez Prezesa UOKiK. Podobieństw będzie więcej, bo Prezes UODO będzie mógł nakładać wysokie kary finansowe.
- Nowa regulacja znacznie zmienia rolę administratora bezpieczeństwa informacji. Według rozporządzenia zastąpi go inspektor ochrony danych. Jeden inspektor będzie mógł działać w więcej niż jednym przedsiębiorstwie tylko wówczas, gdy każda z tych firm będzie mogła łatwo nawiązać z nim kontakt. To powinno usprawnić funkcjonowanie grup kapitałowych, które koordynują działania zmierzające do ochrony danych (pytanie, czy spółki zatrudniające kilka tysięcy osób będą mogły mieć jednego IOD i w jaki sposób będzie trzeba wykazać „łatwy kontakt”.) Jest to znacząca zmiana w kontekście podziału obowiązków pracowniczych i rozwiązań kadrowych. O ile dotychczas administrator bezpieczeństwa informacji mógł, ale nie musiał być wyznaczony (a wówczas musiał być zgłoszony do GIODO), o tyle w przypadku nowego inspektora ochrony danych jego istnienie jest obowiązkowe w zasadzie zawsze, jeśli podmiot spełnia jedną z 3 wyżej wskazanych przesłanek. Dodatkowo, jak można zauważyć zmieni się również nazewnictwo - ABI od maja 2018 zostaje Inspektorem Ochrony Danych (IOD). Wyznaczenie inspektora powinno się odbyć na podstawie kwalifikacji zawodowych. Chodzi tu w szczególności o wiedzę fachową na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętność wypełnienia zadań inspektora. Inspektor może zarówno być pracownikiem administratora, jak i wykonywać zadania na podstawie umowy o świadczenie usług (np. umowy zlecenia). Pytanie: Ponieważ Rozporządzenie używa w treści tego przepisu pojęć szerokich i niedookreślonych nie do końca jasne jest kiedy powołać IOD. Tytułem przykładu: od kiedy należy uznawać, że główna działalność polega na przetwarzaniu danych osobowych szczególnych kategorii? Czy przykładowo przetwarzanie danych osób zatrudnionych będzie można już uznać za operacje przetwarzania, które ze względu na swój charakter, zakres, cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą? W takim przypadku każdy podmiot zatrudniający pracowników będzie musiał powołać IOD
- Wyznaczenie inspektora powinno się odbyć na podstawie kwalifikacji zawodowych. Inspektor może zarówno być pracownikiem administratora, jak i wykonywać zadania na podstawie umowy o świadczenie usług (np. umowy zlecenia). Trzeba pamiętać, że tam, gdzie inspektor będzie powołany, osoby, których dane się przetwarza będą mogły się z nim bezpośrednio kontaktować. Jego dane będą więc musiały znaleźć się na formularzach zgody. Rozporządzenie nie wskazuje jakie dane kontaktowe inspektora należy podać ale wydaje się, iż podanie adresu mailowego bezpośrednio do inspektora będzie wystarczające.
- Biorąc pod uwagę powyższe, większość administratorów danych będzie musiała prowadzić przedmiotowy rejestr gdyż proces przetwarzania danych osobowych rzadko będzie odbywał się sporadycznie. Na marginesie warto dodać, iż również na procesorze (podmiocie przetwarzającym dane osobowe na rzecz i w imieniu administratora danych osobowych) będzie spoczywał obowiązek prowadzenia rejestru, tzw. rejestru czynności przetwarzań dokonywanych w imieniu administratora. Procesor będzie musiał w każdym przypadku, w którym zostają mu powierzone dane osobowe prowadzić przedmiotowy rejestr. W przeciwieństwie do rejestru, jaki będzie prowadził administrator danych RODO nie przewiduje względem procesora sytuacji, w których ten będzie zwolniony z przedmiotowego obowiązku.
- Rejestr może mieć formę pisemną jak i elektroniczną.
- Rozporządzenie wiele miejsca poświęca kwestii bezpieczeństwa danych osobowych. Nowe przepisy wymagają od przedsiębiorców, by o wszystkich przypadkach naruszenia danych informowali Generalnego Inspektora Ochrony Danych Osobowych (GIODO), a niekiedy także zainteresowane osoby (np. klientów), których dane dotyczą. Wszelkie nieprawidłowości w tym zakresie należy zgłosić organowi nadzorczemu (GIODO) bez zbędnej zwłoki, jeżeli to możliwe – nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Dotyczy to nie tylko takich przypadków, gdy dane zostaną na przykład bezprawnie opublikowane w Internecie, ale też sytuacji, kiedy zgubiony zostanie pendrive z danymi czy dane zostaną skasowane. Obowiązek ten może być rzadko wykorzystywany bowiem „jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych”, to zgłaszanie nie będzie konieczne.
- W praktyce oznacza to, że Administrator dzięki zawarciu umowy powierzenia nie wykonuje czynności obejmujących przetwarzanie samodzielnie, lecz przekazuje je innemu podmiotowi zgodnie z umową.
- Dodatkowo, administrator jest zobligowany do zachowania staranności przez administratora w wyborze podmiotu przetwarzającego dane (gwarantujący właściwe wdrożenie RODO).
- Zasadniczą zmianą, którą w praktyce odczują wszystkie podmioty, przetwarzające dane osobowe, będzie konieczność dostosowania procedur pozyskiwania zgody na przetwarzanie danych osobowych do nowych przepisów. Zmiana bez wątpienia kosztowna dla przedsiębiorców, bo wymagać będzie wymiany wszelkich formularzy dotyczących zgody na przetwarzanie danych osobowych, zarówno papierowych jak i elektronicznych. Obecnie istniejące klauzule zgody, formularze czy check boxy poszerzą swoją obojętność niemal dwukrotnie. Dla organizacji może to oznaczać większe trudności przy pozyskiwaniu zgód na przetwarzanie danych osobowych. Już teraz przedsiębiorcy często wskazywali, iż osoby fizyczne narzekają na obszerność klauzul zgód na przetwarzanie danych osobowych.
- Późniejsze załączenie klauzuli zgody, np. z wysłaną przez ADO klauzulą obowiązku informacyjnego jest nie zgodne z RODO i naraża podmiot na kary finansowe. Zgoda na przetwarzanie danych musi być: 1) odrębnym oświadczeniem woli (w szczególności od oświadczenia woli o chęci zawarcia umowy) osoby, której dane dotyczą. 2) wyrażona w sposób wyraźny (nie może być domniemana) 3) konkretna (dotyczyć konkretnych danych, przetwarzanych w konkretnym czasie i w konkretnym celu) 4) poparta rzetelną informacją o: administratorze danych, prawie do poprawy lub usunięcia danych, obowiązku lub braku obowiązki ich podania, ewentualnym przekazaniu danych podmiotom trzecim. 5) jednoznaczna (nie może pozostawiać wątpliwości, że osoba chciała ją wyrazić) 6) wyrażona w sposób wolny (bez przymusu, manipulacji etc.) Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
- Zgoda na przetwarzanie danych osobowych może mieć na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na: 1) zaznaczeniu okienka wyboru podczas przeglądania strony internetowej 2) na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub 3) też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.
- informacji o prawie do żądania od administratora dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
- Jeśli ktoś uzależnia wykonanie jakiejś usługi od wyrażenia zgody na przetwarzanie danych osobowych – jest to nielegalne. Uzależnianie wykonania jakiejś usługi od wyrażenia zgody na przetwarzanie danych osobowych w celach marketingowych może dodatkowo stanowić nieuczciwą praktykę konsumencką. W powyższym przykładzie: Została połączona klauzula zgody – połączono razem zaakceptowanie regulaminu wraz z wyrażeniem zgody na przetwarzanie danych Nie można uzależniać wykonania usługi od przetwarzania danych w celach marketingowych
- Rozporządzenie kładzie nacisk m.in. Na wzmocnienie ochrony osób fizycznych, których dane są przetwarzane. Ma tak się stać w szczególności poprzez przyznanie im dodatkowych uprawnień oraz wyposażenie w zestaw kluczowych informacji dotyczących sposobu i celu przetwarzania. W założeniu unijnego ustawodawcy - narzędzia te powinny się przyczynić do wzrostu świadomości osób fizycznych na temat tego, co dzieje się z ich danymi oraz na temat ryzyka związanego z ich przetwarzaniem.
- Otrzymując żądanie oparte na prawie do bycia zapomnianym, administrator danych osobowych jest zobowiązany do usunięcia danych osobowych. Jeżeli dane osobowe zostały upublicznione (np. na stronie internetowej), administrator danych osobowych ma obowiązek poinformować innych administratorów danych o konieczności och usunięcia.
- Powyższe uprawnienia mają sprawić, że klienci będą w pełni świadomi zakresu i celu przetwarzania danych, a także będą mieć realny wpływ na ich kształt oraz możliwość ich kontroli w każdej chwili. Dodatkowo, w razie pogwałcenia swoich praw, osoby fizyczne będą mogły dochodzić odszkodowania, jak również złożyć skargę do organu nadzoru. Niemniej jednak, wskazany obowiązek odnosi się jedynie do administratorów, którzy wykorzystują dane wyłącznie na podstawie udzielonej zgody. Jeśli podstawą przetwarzania danych jest umowa, której wykonanie wymaga przetwarzania danych, wówczas prawo do bycia zapomnianym nie znajdzie zastosowania. W takiej sytuacji żądanie usunięcia danych wymagać będzie wcześniejszego rozwiązania umowy.
- Przekazanie danych osobowych będzie obejmowało nie tylko dane osobowe podane np. przy zawieraniu umowy, ale także inne dane osobowe wygenerowane w trakcie obowiązywania umowy. Przykładowo, osoba posiadająca konto w banku będzie mogła żądać przekazania danych dotyczących historii operacji bankowych. Każda osoba chcąca wykonać swoje prawo do przenoszenia danych będzie mogła żądać, aby dotychczasowy administrator danych przesłał dane innemu podmiotowi. Przekazanie takich danych ma ułatwić korzystanie z usług innych podmiotów, którym każdy będzie mógł przekazać dotyczące go dane historyczne.
- W przypadku długotrwałych relacji administratora z osobą, której dane są przetwarzane, ilość danych osobowych będzie bardzo duża. Jednak RODO nie limituje ilości przekazywanych danych. Administrator na żądania zobligowany jest do przekazania wszystkich danych, które zgromadził. Może to być kłopotliwe dla administratorów i wymagać dużego wysiłku organizacyjnego. nie wiadomo jednak, do kogo należeć ma ocena tego, czy coś jest technicznie wykonalne, czy też nie. Rozporządzenie nie rozstrzyga także, czy chodzi tu o subiektywne możliwości techniczne danej instytucji, czy też o pewien standard usług, które powinien móc oferować każdy bank, instytucja płatnicza lub instytucja pożyczkowa. Omawiany przepis nie precyzuje również - pomiędzy jakimi administratorami powinno dochodzić do przekazywania danych.
- Po pierwsze, osobom wyrażającym zgodę na przetwarzanie danych osobowych przyznano prawo dostępu do danych oraz prawo do ich sprostowania, czy uzupełnienia. Na żądanie uprawnionego, administrator będzie miał obowiązek udostępnić kopię danych podlegających przetwarzaniu oraz wprowadzić odpowiednie zmiany do systemu.
- Odpowiedzią na prawo dostępu do danych i informacji jest obowiązek administratorów danych do przekazywania osobie fizycznej podczas pozyskiwania jej danych, a przed rozpoczęciem ich przetwarzania, w szczególności następujących informacji:
- Kary nakładane obecnie przez GIODO mają zasadniczo charakter przymuszenia tj. są nakładane w celu zmuszenia podmiotu do wykonania decyzji GIODO i nie występują często. naruszenie podstawowych zasad przetwarzania (zasada zgodności z prawem, rzetelności i przejrzystości, zasady ograniczenia celu, minimalizacji danych, poufności oraz rozliczalności) naruszenie praw osób, których dane dotyczą, takich jak prawo do informacji, dostępu do danych, ich sprostowania, usuwania i przenoszenia, naruszenie prawa do sprzeciwu i uprawnienia związane z profilowaniem.