KPTS Law Office

KPTS Law Office

RODO

by MartaZ7 sierpnia 2024 RODO0 comments

Ochrona danych osobowych: Jakie obowiązki i prawa daje Ci RODO?

Rozporządzenie Ogólne o Ochronie Danych Osobowych (RODO), obowiązujące od 25 maja 2018 roku. Wprowadziło jednolite zasady ochrony danych osobowych na terenie Unii Europejskiej. RODO, znane również jako GDPR (General Data Protection Regulation), ma na celu wzmocnienie ochrony danych osobowych oraz ujednolicenie przepisów w całej Unii Europejskiej. Jakie prawa przysługują obywatelom w Polsce na mocy RODO? Odpowiedź znajdziesz w artykule.

Zasady ochrony danych osobowych

RODO wprowadza kilka fundamentalnych zasad, które każda organizacja przetwarzająca dane osobowe musi przestrzegać:

  1. Zasada legalności, rzetelności i przejrzystości: Dane muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą.
  2. Zasada ograniczenia celu: Dane osobowe muszą być zbierane w określonych, wyraźnych i prawnie uzasadnionych celach i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami.
  3. Zasada minimalizacji danych: Dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne w stosunku do celów, w jakich są przetwarzane.
  4. Zasada prawidłowości: Dane muszą być prawidłowe i w razie potrzeby uaktualniane.
  5. Zasada ograniczenia przechowywania: Dane muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, nie dłużej, niż jest to niezbędne do celów, w jakich są przetwarzane.
  6. Zasada integralności i poufności: Dane muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych.
  7. Zasada rozliczalności: Administrator danych jest odpowiedzialny za przestrzeganie zasad ochrony danych i musi być w stanie wykazać ich przestrzeganie.

Prawa obywateli w kontekście RODO

RODO przyznaje obywatelom szereg praw, które mają na celu ochronę ich prywatności oraz zapewnienie kontroli nad danymi osobowymi:

  1. Prawo do informacji: Obywatele mają prawo być informowani o tym, kto przetwarza ich dane, w jakim celu, oraz jakie prawa im przysługują.
  2. Prawo dostępu: Obywatele mają prawo uzyskać potwierdzenie, czy ich dane są przetwarzane, a jeśli tak, to dostęp do tych danych oraz informacji o ich przetwarzaniu.
  3. Prawo do sprostowania: Obywatele mają prawo żądać sprostowania nieprawidłowych lub niekompletnych danych osobowych.
  4. Prawo do usunięcia danych (prawo do bycia zapomnianym): Obywatele mają prawo żądać usunięcia swoich danych osobowych, jeżeli nie są one już niezbędne do celów, dla których zostały zebrane, lub jeśli wycofają zgodę na ich przetwarzanie.
  5. Prawo do ograniczenia przetwarzania: Obywatele mogą żądać ograniczenia przetwarzania swoich danych osobowych w określonych przypadkach, na przykład gdy kwestionują prawidłowość danych.
  6. Prawo do przenoszenia danych: Obywatele mają prawo otrzymać swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie oraz przenieść je do innego administratora.
  7. Prawo do sprzeciwu: Obywatele mają prawo wnieść sprzeciw wobec przetwarzania ich danych osobowych w celach marketingowych lub na podstawie uzasadnionego interesu administratora.
  8. Prawo niepodlegania zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu: Obywatele mają prawo nie być poddawani decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływają.

Obowiązki administratorów danych

Administratorzy danych, czyli podmioty odpowiedzialne za przetwarzanie danych osobowych, muszą przestrzegać wielu obowiązków, aby zapewnić zgodność z RODO:

  1. Prowadzenie rejestru czynności przetwarzania: Administratorzy muszą prowadzić rejestr czynności przetwarzania danych osobowych.
  2. Przeprowadzanie oceny skutków dla ochrony danych: W przypadku, gdy przetwarzanie danych może wiązać się z wysokim ryzykiem dla praw i wolności osób fizycznych, administrator musi przeprowadzić ocenę skutków dla ochrony danych.
  3. Wyznaczenie inspektora ochrony danych: W niektórych przypadkach, np. gdy przetwarzanie danych jest prowadzone na dużą skalę, administrator musi wyznaczyć inspektora ochrony danych.
  4. Zgłaszanie naruszeń ochrony danych: Administratorzy muszą zgłaszać naruszenia ochrony danych osobowych do organu nadzorczego w ciągu 72 godzin od ich stwierdzenia.

Sankcje za naruszenie RODO

Naruszenie przepisów RODO może prowadzić do nałożenia surowych kar finansowych. Wysokość kar może sięgać nawet 20 milionów euro lub 4 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Oprócz kar finansowych, naruszenia mogą prowadzić do odpowiedzialności cywilnej oraz uszczerbku na reputacji firmy.

Czytaj Więcej
Udostepnij
by MartaZ3 maja 2023 RODO0 comments

Powstał pierwszy w Polsce Instytut zajmujący się zagadnieniami ochrony danych

Instytut Prawa Ochrony Danych Osobowych utworzono na Akademii Ekonomiczno-Humanistycznej w Warszawie we współpracy z Urzędem Ochrony Danych Osobowych.

Cele działalności Instytutu Prawa Ochrony Danych Osobowych

Utworzenie takiego Instytutu to dość nowatorski pomysł. Jego zadaniem jest zwiększenie świadomości społeczeństwa w zakresie prawa ochrony danych oraz propagowanie najlepszych praktyk i rozwiązań związanych z tym przetwarzaniem oraz ochroną takich informacji. Do zadań Instytutu będzie należało przeprowadzanie badań, sporządzanie raportów, edukowanie, doradztwo, uczestnictwo w procesach tworzenia regulacji prawnych w tej dziedzinie oraz współpraca z innymi podmiotami.

Jan Nowak, Prezes UODO twierdzi, że pomimo wieloletniego funkcjonowania systemu ochrony danych w Polsce, eksperci widzą sporo wyzwań związanych z rozwojem nowych technologii, regulacji prawnych, edukacji społeczeństwa, kształcenia i profesjonalizacji kadr zajmujących się ochroną danych oraz propagowaniem właściwych standardów i najlepszych praktyk w tym obszarze. Wyraża też duże nadzieje związane z powołaniem Instytutu do życia.

Jakub Groszkowski, Zastępca Prezesa UODO, pomysłodawca i realizator powołania Instytutu dodaje, że ta inicjatywa naukowa i doradcza powstała po pięciu latach funkcjonowania RODO. Chce, aby Instytut Prawa Ochrony Danych Osobowych był głównym ośrodkiem w Polsce, zajmującym się ochroną danych. Jednostka ma jednak również za zadanie wspieranie innych instytucji i organizacji, zajmujących się ochroną prywatności.

Instytut nie będzie posiadał żadnych uprawnień

„Na rynku pojawiła się kolejna organizacja zajmująca się promowaniem idei ochrony danych osobowych, a także doradzaniem specjalistom jak rozumieć przepisy dot. ochrony danych. W odróżnieniu od pozostałych, ta posiada błogosławieństwo organu nadzorczego. Pomimo pochwał ze strony organu, nie zapominajmy jednak, że Instytut nie będzie posiadał żadnych uprawnień, a jego wypowiedzi nie będą stanowić oficjalnych stanowisk organu nadzorczego – tak samo jak w przypadku newsletterów prowadzonych przez organ. Powstanie Instytutu jest jednak dobrą wiadomością, wśród członków możemy zauważyć istotnych pracowników UODO i nawet jeżeli Instytut nie stanowi oficjalnego stanowiska organu, to może być do niego bardzo zbliżony. Pokładam duże nadzieje, że Instytut faktycznie nałoży duży nacisk na tworzenie raportów i przeprowadzanie badań. Dane statystyczne stanowią ważne narzędzie w ocenie standardów rynkowych oraz potencjalnych ryzyk dla spółek związanych z wdrażaniem nowych rozwiązań.”

– mówi Damian Bielecki, Specjalista ds. Danych Osobowych w Fundacji Rozwoju Przedsiębiorczości „Twój StartUp”.

Skład Instytutu

Instytut tworzy zespół ekspertów, którzy znają temat ochrony danych osobowych od strony praktycznej i teoretycznej. Są to osoby, które mają duży wpływ na to, jak wygląda w Polsce system ochrony danych. Prezesem Honorowym został Jakub Groszkowski, Dyrektorem Monika Krasińska, Zastępcą Dyrektora Adam Sanocki, funkcję sekretarzy IPODO pełni Anna Dudkowska i Ewelina Janczylik-Foryś. Instytut rozpocznie swoją działalność w maju br.

Czytaj Więcej
Udostepnij
by Mateusz Osinski6 lutego 2018 RODO0 comments

Ogólne warunki nakładania administracyjnych kar pieniężnych w RODO

Rozporządzenie Parlamentu Europejskiego i Rady 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE/ potocznie zwane RODO lub GDPR, które będzie stosowane od 25 maja 2018 r. nakłada na przedsiębiorców nowe obowiązki związane z ochroną danych osobowych, jednocześnie przewidując bardzo wysokie kary w przypadku niestosowania się do Rozporządzenia. Kary te mogą wynosić do 20 000 000,00 EURO, a w przypadku przedsiębiorstwa w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kara wyższa.

Artykuł 83 Rozporządzenia określa między innymi ogólne zasady, którymi powinien kierować się organ nakładając kary administracyjne na podmioty w przypadku stwierdzenia naruszeń. W każdym indywidualnym przypadku należy wziąć pod uwagę charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczbę poszkodowanych osób, których dane dotyczą i rozmiaru poniesionej przez nie szkody. Organ powinien uwzględniać również umyślny lub nieumyślny charakter naruszenia i to, jakie działania podjął podmiot w celu zminimalizowania szkód poniesionych przez osoby, których dane dotyczą.

Nie bez znaczenia jest również stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych. Kolejno, organ powinien uwzględniać również wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego oraz stopień współpracy z organem nadzorczym w celu usunięcia naruszenia lub złagodzenia jego ewentualnych negatywnych skutków.

Istotną kwestią są również kategorie danych osobowych, których dotyczyło naruszenie. Informacje dotyczące naszego pochodzenia etnicznego lub rasowego, ujawniajcie poglądy polityczne, przekonania religijne lub światopoglądowe, ujawniające przynależność do związków zawodowych, dane genetyczne, biometryczne, czy dotyczące zdrowia, seksualności i orientacji seksualnej są tzw. danymi wrażliwymi podlegającymi szczególnej ochronie. Naruszenie związane z danymi wrażliwymi będzie traktowane surowiej niż w przypadku danych, które takowymi nie są.

Należy również wziąć pod uwagę to, w jaki sposób organ dowiedział się o naruszeniu, a w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie. Jeśli kara administracyjna ma być nałożona na podmiot, wobec którego w przeszłości zastosowano środki naprawcze, organ powinien uwzględnić fakt, czy są one przestrzegane. Jeśli istnieje zatwierdzony kodeks postępowania, fakt jego stosowania również powinien być uwzględniany przy nakładaniu kar na podmiot. Finalnie, organ powinien uwzględnić wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. Rozporządzenie w art. 83 ust. 1 wskazuje również, iż kary nakładane na podmioty powinny być w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

Wyżej przedstawione zasady pokazują, iż kary, które będą nakładane przez organ nie muszą osiągać górnego pułapu, wszystko zależne jest bowiem od wielu czynników. Bezsprzecznie jednak należy jak najlepiej przygotować się na zmiany, które będą miały zastosowanie od 25 maja 2018 r., aby uniknąć lub chociaż zminimalizować wysokość kar.

Czytaj Więcej
Udostepnij