RODO

I. Wprowadzenie

Ogólne rozporządzenie o ochronie danych (RODO) obowiązuje w całej Unii Europejskiej od 25 maja 2018 r. Jako państwo członkowskie UE, Polska w pełni podlega RODO, które ma bezpośrednie zastosowanie w prawie polskim i jest uzupełnione polską Ustawą o ochronie danych osobowych z dnia 10 maja 2018 r.

Organem nadzorczym odpowiedzialnym za nadzorowanie, kierowanie i egzekwowanie przepisów o ochronie danych w Polsce jest UODO (Urząd Ochrony Danych Osobowych).

Polska ustanowiła zatem system ochrony danych osobowych, który w pełni spełnia wymogi Unii Europejskiej.

II. Zakres

RODO ma zastosowanie do:

każdego administratora lub podmiotu przetwarzającego dane, który ma siedzibę w Polsce;

każdej organizacji zlokalizowanej poza Polską, która oferuje towary lub usługi osobom fizycznym znajdującym się w Polsce lub która monitoruje ich zachowanie w Polsce.

Niezależnie od miejsca przetwarzania, o ile dotyczy ono danych osobowych osób fizycznych znajdujących się w Polsce, rozporządzenie ma zastosowanie.

Obejmuje zarówno przetwarzanie zautomatyzowane, jak i niezautomatyzowane, które stanowi część systemu plików.

Działania o charakterze wyłącznie osobistym lub domowym nie są objęte jego zakresem.

III. Zasady przetwarzania danych

Zgodność z prawem, rzetelność i przejrzystość: Każde przetwarzanie musi mieć jasną podstawę prawną i odbywać się w sposób przejrzysty.

Ograniczenie celu: Dane mogą być wykorzystywane wyłącznie w określonych i uzasadnionych celach.

Minimalizacja danych: Powinny być gromadzone tylko dane ściśle niezbędne.

Prawidłowość: Dane muszą być dokładne i aktualne.

Ograniczenie przechowywania: Dane muszą być przechowywane tylko tak długo, jak jest to ściśle konieczne, a następnie usuwane lub anonimizowane.

Bezpieczeństwo i poufność: Muszą być wdrożone odpowiednie środki techniczne i organizacyjne, aby zapobiec naruszeniu, zmianie lub utracie danych.

IV. Prawa osób, których dane dotyczą

Zgodnie z RODO i prawem polskim osoby fizyczne mają następujące prawa:

Prawo do informacji i dostępu;

Prawo do sprostowania;

Prawo do usunięcia danych (prawo do bycia zapomnianym);

Prawo do ograniczenia przetwarzania;

Prawo do przenoszenia danych;

Prawo do sprzeciwu.

W przypadku osób niepełnoletnich poniżej 16 roku życia (zgodnie z prawem polskim) przetwarzanie ich danych wymaga zgody rodzica lub opiekuna prawnego, a informacje muszą być przedstawione w jasnym i zrozumiałym języku.

V. Obowiązki podmiotów przetwarzających dane

Podmioty przetwarzające dane muszą:

ściśle przestrzegać pisemnych instrukcji administratora danych;

wdrożyć odpowiednie środki bezpieczeństwa;

pomagać administratorowi danych w wykonywaniu jego obowiązków, w szczególności w odpowiadaniu na żądania osób, których dane dotyczą;

powiadamiać administratora danych bez zbędnej zwłoki o każdym naruszeniu danych. Administrator musi następnie poinformować UODO (Urząd Ochrony Danych Osobowych) w ciągu 72 godzin.

Administratorzy danych muszą prowadzić rejestr czynności przetwarzania i przeprowadzać ocenę skutków dla ochrony danych (DPIA) w przypadkach wysokiego ryzyka.

Niektóre organizacje muszą również wyznaczyć inspektora ochrony danych (IOD).

VI. Międzynarodowe transfery danych

Gdy przewidywane jest przekazanie danych do kraju spoza UE, administrator danych musi zapewnić odpowiedni poziom ochrony. Można to osiągnąć poprzez:

decyzję Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony;

lub podpisanie Standardowych Klauzul Umownych (SCC).

Polskie firmy muszą stosować standardowe klauzule umowne przyjęte 4 czerwca 2021 r. lub inny prawnie uznany mechanizm.

VII. Monitorowanie i egzekwowanie

UODO (Urząd Ochrony Danych Osobowych) ma szerokie uprawnienia, w tym:

wydawanie ostrzeżeń lub formalnych zawiadomień;

ograniczanie lub zakazywanie niektórych czynności przetwarzania danych;

nakładanie kar finansowych w wysokości do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.

Polskie prawo pozwala również osobom fizycznym na udzielanie instrukcji dotyczących wykorzystania ich danych po ich śmierci. W przypadku braku takich instrukcji przetwarzanie musi być zgodne z obowiązującymi przepisami.

Polskie ramy RODO mają na celu zagwarantowanie praw osób fizycznych, wzmocnienie zgodności biznesowej i promowanie zaufania w środowisku cyfrowym.