RODO i ochrona danych

RODO to ogólne rozporządzenie o ochronie danych, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. Chroni osoby fizyczne w związku z przetwarzaniem ich danych osobowych. Weszło w życie 24 maja 2016 r., a stosuje się je od 25 maja 2018 r.

RODO nie jest polską ustawą ani regulacją wprowadzaną obecnie. W Polsce uzupełnia je m.in. ustawa z 10 maja 2018 r. o ochronie danych osobowych. Właściwym polskim organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, a nie dawny GIODO.

Administrator ustala cele i sposoby przetwarzania danych. Podmiot przetwarzający, nazywany też procesorem, przetwarza je w imieniu administratora. O roli decydują rzeczywiste czynności, a nie własność serwera lub bazy danych ani sama nazwa użyta w umowie. Powierzenie wymaga umowy lub innego wiążącego aktu spełniającego art. 28 RODO. Procesor ma także własne obowiązki prawne.

Osobie, której dane dotyczą, przysługują prawa określone w RODO, a nie nieograniczone prawo własności do danych. Obejmują one m.in. informację o przetwarzaniu, dostęp, sprostowanie, a po spełnieniu właściwych przesłanek także usunięcie danych, ograniczenie przetwarzania, przenoszenie danych i sprzeciw. RODO chroni również przed określonymi decyzjami opartymi wyłącznie na zautomatyzowanym przetwarzaniu. Można złożyć skargę do organu nadzorczego.

Administrator odpowiada na żądania bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Termin można przedłużyć o dwa kolejne miesiące ze względu na złożoność lub liczbę żądań, informując o tym i o przyczynach przedłużenia w pierwszym miesiącu. Procesor pomaga administratorowi realizować prawa osób w zakresie wynikającym z art. 28.

Zgoda nie jest jedyną podstawą przetwarzania. Dla konkretnego celu należy ustalić właściwą podstawę z art. 6 RODO. Może nią być:

• zgoda osoby na określone przetwarzanie;
• niezbędność wykonania umowy z tą osobą lub działań przed jej zawarciem podejmowanych na jej żądanie;
• niezbędność wykonania obowiązku prawnego administratora;
• niezbędność ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• niezbędność wykonania zadania realizowanego w interesie publicznym lub sprawowania powierzonej władzy publicznej;
• niezbędność realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej, o ile nie przeważają interesy lub podstawowe prawa i wolności osoby wymagające ochrony danych. Ta podstawa nie dotyczy organów publicznych wykonujących swoje zadania.

Gdy podstawą jest zgoda, musi być dobrowolna, konkretna, świadoma i jednoznaczna; administrator musi umieć ją wykazać. Wycofanie powinno być równie łatwe jak wyrażenie. Sama korekta regulaminu nie oznacza automatycznie obowiązku ponownego zbierania zgód. Trzeba ocenić rzeczywisty cel i zakres przetwarzania oraz ważność dotychczasowej zgody; zmiana celu może wymagać nowej zgody lub innej właściwej podstawy, a także aktualizacji informacji dla osoby.

Niezależnie od podstawy należy przestrzegać zasad z art. 5, w tym minimalizacji danych, ograniczenia celu i czasu przechowywania oraz przejrzystości. Zgodność trzeba umieć wykazać. Ochrona danych ma być uwzględniana przez administratora już przy projektowaniu procesu i w ustawieniach domyślnych, nie tylko przy zabezpieczaniu bazy.

Korzystanie z centrum danych, serwera lub chmury nie zapewnia samo w sobie zgodności wszystkich działań klienta z RODO. Zgodność zależy również od celu przetwarzania, jego podstawy prawnej, konfiguracji środowiska i procedur organizacyjnych.

Środki techniczne i organizacyjne dobiera się do charakteru przetwarzania oraz ryzyka dla praw i wolności osób. Ochrona fizyczna, kontrola dostępu, szyfrowanie, kopie zapasowe, monitoring czy ochrona sieci mogą wspierać bezpieczeństwo, ale RODO nie ustanawia jednej obowiązkowej listy produktów dla każdej organizacji. Skuteczność przyjętych zabezpieczeń należy regularnie oceniać.

Zakres świadczeń DataHouse i podział zadań określają właściwe umowy, regulaminy oraz — gdy zachodzi powierzenie — umowa powierzenia. Nie uchylają one obowiązków wynikających z prawa. Zasady przetwarzania danych użytkowników serwisu opisuje odrębna Polityka prywatności. Nie należy utożsamiać ich z zasadami przetwarzania danych powierzanych przez klientów w ramach usług infrastrukturalnych.

Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Imię i nazwisko, adres, PESEL, dane lokalizacyjne czy identyfikatory internetowe mogą być danymi osobowymi. Nie oznacza to jednak automatycznie, że należą do szczególnych kategorii z art. 9 RODO. Także zwykłe dane osobowe wymagają odpowiedniej ochrony; ujawnienie PESEL może wiązać się z poważnym ryzykiem.

Art. 9 obejmuje dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność związkową, a także dane genetyczne, dane biometryczne służące jednoznacznej identyfikacji oraz dane dotyczące zdrowia, seksualności lub orientacji seksualnej. Ich przetwarzanie wymaga podstawy z art. 6 i spełnienia odpowiedniej przesłanki z art. 9 ust. 2.

Przekonania filozoficzne, wyznanie i poglądy polityczne nie utraciły szczególnej ochrony. Informacja o członkostwie w partii może ujawniać poglądy polityczne, a o uzależnieniu — stan zdrowia. Dane o wyrokach skazujących, czynach zabronionych i powiązanych środkach bezpieczeństwa podlegają odrębnym warunkom art. 10. Nie można zbiorczo wyłączać z ochrony treści orzeczeń sądowych lub administracyjnych; ich zawartość wymaga oceny.

RODO nie ustanawia powszechnego obowiązku posiadania certyfikatu ISO/IEC 27001 ani ISO 9001. System zarządzania bezpieczeństwem informacji może wspierać organizację ochrony danych, ale sam certyfikat ISO nie potwierdza zgodności wszystkich procesów z RODO i nie zastępuje oceny konkretnego przetwarzania.

Certyfikacja ochrony danych przewidziana w art. 42 RODO jest dobrowolna i nie zwalnia administratora ani procesora z odpowiedzialności. Nie należy utożsamiać jej automatycznie z certyfikacją ISO ani deklarować procentowego pokrycia wymagań RODO bez udokumentowanej analizy zakresu.

Naruszenie to nie tylko wyciek. Może polegać także na przypadkowym lub bezprawnym zniszczeniu, utracie lub zmianie danych albo nieuprawnionym dostępie.

Administrator zgłasza naruszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko naruszenia praw lub wolności osób jest mało prawdopodobne. Opóźnienie należy uzasadnić. Dokumentować trzeba wszystkie naruszenia, również niezgłaszane. Procesor po stwierdzeniu naruszenia informuje administratora bez zbędnej zwłoki; art. 33 ust. 2 nie przyznaje mu odrębnego terminu 72 godzin.

Jeżeli naruszenie może powodować wysokie ryzyko dla osób, administrator bez zbędnej zwłoki zawiadamia również te osoby, z uwzględnieniem wyjątków z art. 34 ust. 3. Wyjątki dotyczą m.in. skutecznego zabezpieczenia danych przed odczytem przez nieuprawnionych lub późniejszego wyeliminowania prawdopodobieństwa wysokiego ryzyka.

Gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, art. 34 ust. 3 lit. c przewiduje publiczny komunikat lub równie skuteczny środek. Sama duża liczba rekordów nie nakłada automatycznie obowiązku informowania przez media.

Klienci mogą zgłaszać naruszenia dotyczące danych powierzonych w ramach usług DataHouse na adres iod@etop.pl. Zgłoszenie do eTOP nie zastępuje zgłoszenia organowi nadzorczemu ani zawiadomienia osób, jeżeli obowiązki te ciążą na administratorze.

Nie obowiązuje dawna rejestracja zbiorów danych u GIODO. Nie znosi to jednak obowiązku prowadzenia rejestrów czynności lub kategorii czynności przetwarzania, gdy wymaga tego art. 30. Zwolnienie dotyczące podmiotów zatrudniających mniej niż 250 osób ma wyjątki, m.in. przy przetwarzaniu niesporadycznym, mogącym powodować ryzyko lub obejmującym dane z art. 9 albo 10.

Nadal mogą być wymagane zgłoszenia naruszeń, zawiadomienie organu o danych kontaktowych wyznaczonego IOD oraz uprzednie konsultacje z art. 36. Te ostatnie dotyczą sytuacji, gdy ocena skutków dla ochrony danych wskazuje wysokie ryzyko, którego administrator nie ograniczył wystarczającymi środkami. Nie każdy proces wymaga takiej oceny; przesłanki określa art. 35.

RODO przewiduje różne pułapy administracyjnych kar pieniężnych: do 10 mln EUR albo do 20 mln EUR, a dla przedsiębiorstw odpowiednio do 2% albo 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. W przypadku przedsiębiorstwa bierze się pod uwagę wyższy z pułapów właściwych dla danej kategorii naruszenia. Nie jest to kara automatyczna ani jej stała wysokość. Organ ocenia konkretny przypadek i może stosować także inne środki z art. 58.

RODO definiuje administratora; nie zastępuje go inspektorem ochrony danych. Obowiązek wyznaczenia IOD dotyczy m.in. organów i podmiotów publicznych, z wyjątkiem sądów sprawujących wymiar sprawiedliwości, oraz podmiotów, których główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę lub przetwarzania na dużą skalę danych z art. 9 lub 10. Dodatkowe obowiązki mogą wynikać z prawa Unii lub prawa krajowego. IOD można też wyznaczyć dobrowolnie.

IOD doradza, monitoruje przestrzeganie przepisów, wspiera ocenę skutków, współpracuje z organem nadzorczym i jest punktem kontaktowym. Musi działać niezależnie i bez konfliktu interesów. Nie przejmuje odpowiedzialności administratora ani procesora. Może wspierać obsługę żądań i naruszeń, ale nie zastępuje podmiotu zobowiązanego do realizacji tych obowiązków.

Informacje o administratorze serwisu DataHouse i kontakcie do jego IOD znajdują się w Polityce prywatności.

Materiał ma charakter ogólnych informacji o RODO. Nie zastępuje oceny konkretnego procesu przetwarzania ani postanowień właściwej umowy. Polityka prywatności: https://datahouse.pl/polityka-prywatnosci. Tekst RODO: https://www.uodo.gov.pl/pl/file/1460.