Czym jest RODO? 25 maja 2018 r. wejdą w życie nowe przepisy związane z przetwarzaniem danych osobowych, które zmienią dotychczas istniejące zasady na tym polu. Podstawą ich wprowadzenia jest unijne Ogólne rozporządzenie o ochronie danych, określane mianem RODO1. Dąży ono do zapewnienia spójności przetwarzania danych osobowych w każdym państwie należącym do Unii Europejskiej (UE) – po 25 maja 2018 r. zasady obowiązujące w Polsce będą zatem takie same, jak te w Niemczech, Francji czy Portugalii. W założeniu autorów RODO, pozwoli to na jeszcze lepszą ochronę tych danych oraz bezpieczniejszy ich przepływ z kraju do kraju w obrębie UE.
Z uwagi na nadchodzące zmiany, każdy podmiot przetwarzający dane osobowe w jakiejkolwiek formie (np. zbierający dane od kontrahentów lub pracowników) powinien zapoznać się z regulacjami, jakie od 25 maja będą obowiązywać w Polsce, aby nie narażać się na odpowiedzialność. Dotyczy to również osób działających w branży kamieniarskiej, mających niejednokrotnie do czynienia z pewnymi kategoriami danych osobowych (np. przy produkcji nagrobków).
Czego dotyczy RODO? Przedmiotem rozporządzenia są dane osobowe, określane jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, a więc przykładowo imię, nazwisko, numer identyfikacyjny PESEL, e-mail, data urodzin, adres zamieszkania, numer IP komputera, płeć, kolor oczu, waga, wzrost, stan zdrowia, odcisk palca, ale również informacje dotyczące np. poglądów religijnych. Jest to więc niezwykle szeroki zakres, z którego wyróżnić możemy „dane podstawowe” oraz „dane wrażliwe” tzw. sensytywne (m.in. pochodzenie rasowe, etniczne, przekonania religijne lub światopoglądowe, oraz dane biometryczne). Istotne przy tym jest, że RODO nie dotyczy danych osobowych osób zmarłych, dlatego wszystkie obowiązki nakładane przez rozporządzenie nie będą miały do nich zastosowania.
Jednocześnie, dane osobowe muszą podlegać przetwarzaniu, które oznacza m.in. zbieranie, utrwalanie, porządkowanie, przechowywanie, modyfikowanie, wykorzystywanie, rozpowszechnianie. Wyliczenie wskazane w RODO jest wyłącznie przykładowe, a zatem każda czynność polegająca na pracy z danymi osobowymi, uznana będzie za przetwarzanie.
Kogo dotyczy RODO? Wprowadzone na mocy RODO obowiązki zostają nałożone na „administratorów danych” oraz „podmioty przetwarzające” (tzw. procesory). Administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Oznacza to, że administratorem może być każdy, kto podejmuje decyzje o tym, w jakim celu i w jaki sposób przetwarzane są dane osobowe, znajdujące się jego posiadaniu. Będzie to zatem m.in. osoba prowadząca jednoosobową działalność gospodarczą, przetwarzająca dane klientów (np. osób fizycznych) celem zrealizowania na ich rzecz konkretnej usługi (np. przygotowania projektu pomnika czy jego wykonania). Taka osoba dysponuje bowiem danymi osobowymi w postaci imienia, nazwiska, adresu zamieszkania, numeru PESEL, numeru konta itp.
„Podmiotem przetwarzającym” (tzw. procesorem) jest natomiast osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, przetwarzający dane osobowe w imieniu administratora. Chodzi tu zatem o kogoś, komu administrator powierzył zadanie przetwarzania określonych danych osobowych (np. zleceniobiorcy lub podwykonawcy przedsiębiorcy, czy też zewnętrzna księgowość lub informatyk). Na takie podmioty RODO nakłada częściowo odmienne obowiązki, także w relacjach z samym administratorem.
Jakie nowe obowiązki nakłada RODO? Przede wszystkim RODO nakazuje ustalić jaki na chwilę obecną mamy poziom ochrony danych w naszym przedsiębiorstwie, a w dalszej kolejności obliguje nas m.in. do:
1) zapewnienia zgodności przetwarzania danych osobowych z prawem, w sposób rzetelny i przejrzysty,
2) podania wszystkich wymaganych przez rozporządzenie informacji osobom, których dane osobowe są przetwarzane,
3) zapewnienia realizacji wszystkich praw, jakie RODO nadaje osobom, których dane dotyczą – m.in. prawa do dostępu, sprostowania, usunięcia i ograniczenia przetwarzania danych,
4) ustanowienia inspektora ochrony danych osobowych w przewidzianych rozporządzeniem sytuacjach,
5) zapewnienia odpowiedniego stopnia bezpieczeństwa danych osobowych,
6) prowadzenia rejestru czynności przetwarzania danych osobowych,
7) zmiany klauzul umownych z podmiotami, którym powierzamy przetwarzanie danych osobowych,
8) zgłaszania sytuacji, w których może dojść do naruszenia danych osobowych Generalnemu Inspektorowi Ochrony Danych Osobowych.
Nie ulega wątpliwości, że przepisy, jakie od 25 maja 2018 r. zaczną obowiązywać na mocy RODO, oznaczają nałożenie na podmioty nim objęte nowych obowiązków oraz rozbudowanie już istniejących mechanizmów ochrony danych. Odmiennie niż obecnie rozporządzenie nie wskazuje jednak jakie poziomy ochrony technicznej i organizacyjnej są konieczne do wdrożenia w konkretnych przypadkach przetwarzania danych. Budzi to istotny niepokój w zakresie spełnienia wymogów przewidzianych w RODO przez podmioty przetwarzające dane. Dlatego też tak ważne jest, aby każdy, kogo RODO dotyczy, przygotował się na nadchodzące zmiany już teraz w sposób kompleksowy, co pozwoli uniknąć niepotrzebnego stresu oraz bardzo wysokich kar finansowych, jakie grożą za naruszenie postanowień rozporządzenia, w tym nawet do 20 milionów euro.
Marta Daćków
Rafał Garus
Kancelaria Radców Prawnych Daćków i Chwastyk Sp. P.
1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 z dnia 2016.05.04)
