RODO, czyli Rozporządzenie (UE) 2016/679, definiuje sześć zasad przetwarzania danych osobowych zapisanych w artykule 5. Każde ich naruszenie może skutkować karą finansową do 20 milionów euro lub 4% rocznego obrotu firmy, a administrator musi wykazać zgodność z tymi zasadami na każdym etapie przetwarzania danych.
RODO to Rozporządzenie (UE) 2016/679, przyjęte przez Parlament Europejski i Radę UE 27 kwietnia 2016 roku. Zastąpiło dyrektywę 95/46/WE i wprowadziło jednolite reguły gromadzenia, przechowywania i wykorzystywania danych osobowych obowiązujące we wszystkich krajach członkowskich.
Ujednolicenie przepisów oznacza, że przedsiębiorstwo działające w kilku państwach UE stosuje ten sam zestaw reguł, bez konieczności dostosowywania procedur do 27 różnych systemów prawnych. RODO reguluje też swobodny przepływ danych osobowych między krajami Unii, co obniża koszty operacyjne i ułatwia zarządzanie prywatnością w skali międzynarodowej.
Preambuła rozporządzenia liczy 173 punkty. Punkty 26-28 definiują fundamenty systemu ochrony danych: zgodność z prawem, rzetelność, przejrzystość oraz wymóg stosowania środków technicznych i organizacyjnych chroniących prywatność już na etapie projektowania systemów informatycznych (zasada privacy by design). Twórcy oprogramowania muszą uwzględniać ochronę danych od początku projektu, nie dodawać jej po wykryciu problemów.
Przetwarzanie danych osobowych musi być zgodne z prawem, rzetelne i przejrzyste względem osób fizycznych. Administrator informuje, kto i w jakim zakresie gromadzi dane, w jakim celu, jakie ryzyko z tym się wiąże oraz jakie prawa przysługują osobie (dostęp, sprostowanie, usunięcie). Musi też podać, komu przekazuje dane (podwykonawcom, partnerom handlowym) i jak długo będą przechowywane.
Zgoda na przetwarzanie musi być wyraźna i dobrowolna, udzielona poprzez czynność potwierdzającą, czyli aktywne działanie osoby. Domyślnie zaznaczone pole wyboru czy milcząca akceptacja nie spełniają tego wymogu. Dokumenty takie jak polityka prywatności powinny unikać zawiłego języka prawniczego i jasno wskazywać, jakie dane są zbierane.
Zakaz wprowadzania w błąd co do wykorzystania danych obowiązuje niezależnie od uzyskanej zgody. Firma deklarująca, że nie przekazuje danych podmiotom trzecim, a następnie udostępniająca je zewnętrznym analitykom marketingowym, narusza zasadę rzetelności, nawet jeśli formalnie zgodę zebrała.
Dane osobowe zbiera się wyłącznie w konkretnych, wyraźnych i uzasadnionych prawnie celach, określonych przed rozpoczęciem gromadzenia informacji. Dalsze przetwarzanie w celach niezgodnych z pierwotnymi jest niedozwolone, z wyjątkiem archiwizacji w interesie publicznym lub celów badań naukowych.
Sklep internetowy zbierający adresy e-mail do obsługi zamówień nie może wykorzystywać ich do przesyłania niezamówionych newsletterów bez odrębnej zgody klientów. Zmiana celu przetwarzania wymaga ponownego poinformowania użytkowników i zwykle uzyskania nowej zgody. W praktyce organizacja powinna prowadzić osobne bazy danych dla różnych celów lub precyzyjnie oznaczać zakresy udzielonych zgód.
RODO dopuszcza dalsze przetwarzanie w celach zgodnych z pierwotnym, po ocenie związku między celami, kontekstu zbierania danych, charakteru danych osobowych oraz skutków dalszego przetwarzania dla osób, których dane dotyczą. Uznanie celu za zgodny wymaga starannej analizy prawnej, nie automatycznego przyjęcia każdego nowego zastosowania.
Zebrane dane muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne w związku z celem przetwarzania. Zbieranie informacji "na zapas", z myślą, że kiedyś się przydadzą w kampaniach marketingowych, narusza tę zasadę.
Formularz kontaktowy nie powinien wymagać numeru PESEL czy daty urodzenia, jeśli wystarczą imię, nazwisko i adres e-mail. Każde dodatkowe pole zwiększa ryzyko naruszenia prywatności przy wycieku danych. Administrator musi umieć uzasadnić konieczność zebrania każdego pola formularza, a jeśli nie potrafi wykazać jego niezbędności, powinien je usunąć.
Regularny przegląd zbieranych danych jest konieczny przy każdej zmianie modelu biznesowego lub procesu. Dane, które stały się zbędne, trzeba usunąć lub zanonimizować.
Okres przechowywania danych osobowych nie może być dłuższy, niż wymaga tego cel ich zebrania. Administrator ustala terminy usuwania informacji lub okresowe przeglądy oceniające, czy dalsze przechowywanie jest uzasadnione. Wymaga to polityk retencji danych, precyzyjnie określających czas przechowywania poszczególnych kategorii informacji.
Firma zbierająca dane do realizacji jednorazowej usługi (np. dostawy przesyłki) powinna usunąć te informacje lub zanonimizować je po zakończeniu procesu i upływie okresu reklamacyjnego. Wyjątkiem są przepisy nakazujące dłuższe przechowywanie, na przykład przepisy podatkowe wymagające archiwizacji dokumentów księgowych przez 5 lat od zakończenia roku podatkowego, którego dotyczą.
Uwaga: automatyczne usuwanie danych bywa trudne technicznie, bo informacje rozpraszają się po wielu bazach, kopiach zapasowych i logach systemowych. Administrator musi zapewnić spójne usuwanie danych we wszystkich tych miejscach, w tym w backupach, które nie mogą służyć do odtwarzania danych już usuniętych.
Administrator przetwarza dane w sposób zapewniający odpowiedni stopień bezpieczeństwa i poufności, czyli wdraża środki techniczne i organizacyjne chroniące przed nieuprawnionym dostępem, przypadkową utratą, zniszczeniem lub uszkodzeniem danych. RODO nie narzuca konkretnych technologii, pozostawiając wybór metod adekwatnych do skali i charakteru przetwarzania.
Dobór zabezpieczeń uwzględnia aktualny stan wiedzy technicznej, koszty wdrożenia i charakter przetwarzanych informacji. Dane szczególnie wrażliwe (dotyczące zdrowia, przekonań religijnych, orientacji seksualnej) wymagają zaostrzonych zabezpieczeń: szyfrowania, ograniczenia dostępu do upoważnionych pracowników, regularnych audytów bezpieczeństwa. Placówka medyczna przechowująca dokumentację zdrowotną pacjentów powinna stosować wielopoziomową kontrolę dostępu, logowanie operacji na danych oraz szyfrowanie danych w spoczynku i podczas transmisji.
Naruszenie ochrony danych osobowych zgłasza się do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od jego stwierdzenia, jeśli może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Przy wysokim ryzyku, na przykład wycieku danych uwierzytelniających mogących posłużyć do kradzieży tożsamości, administrator powiadamia też same osoby, których dane dotyczą.
Termin 72-godzinnego zgłoszenia wymaga posiadania planu reagowania na incydenty bezpieczeństwa, który definiuje role i odpowiedzialności, procedury oceny skali problemu oraz kanały komunikacji z organem nadzorczym i poszkodowanymi. Brak takiego planu opóźnia zgłoszenie, co samo jest naruszeniem RODO, i pogłębia szkody dla osób, których dane wyciekły.
Zasada rozliczalności (accountability) nie pada wprost w cytowanych punktach preambuły, ale stanowi fundament całego RODO. Administrator musi stosować wszystkie pozostałe zasady i być w stanie udowodnić ich przestrzeganie: prowadzić dokumentację procesów przetwarzania, wdrażać polityki prywatności, szkolić pracowników i przeprowadzać oceny wpływu na ochronę danych przy działaniach wysokiego ryzyka.
Obowiązkowy element rozliczalności to rejestr czynności przetwarzania, w którym administrator wyszczególnia wszystkie procesy przetwarzania danych osobowych wraz z celami, kategoriami danych, odbiorcami, okresami przechowywania i stosowanymi środkami bezpieczeństwa. Rejestr wymaga bieżącej aktualizacji i musi być udostępniany organowi nadzorczemu na żądanie.
Organizacje przetwarzające dane na dużą skalę lub przetwarzające dane szczególnych kategorii (szpitale, banki, firmy ubezpieczeniowe) muszą wyznaczyć inspektora ochrony danych, odpowiedzialnego za nadzór nad zgodnością z RODO, doradztwo w zakresie prywatności i kontakt z organem nadzorczym.
Wiele mniejszych przedsiębiorstw bagatelizuje wymogi RODO lub stosuje je wybiórczo, licząc na brak kontroli. Kary finansowe sięgają 20 milionów euro lub 4% rocznego globalnego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Organy nadzorcze w całej UE nałożyły już setki milionów euro kar na organizacje naruszające przepisy, od globalnych korporacji technologicznych po lokalne firmy nieprzestrzegające podstawowych zasad.
Rosnąca liczba skarg kierowanych do organów ochrony danych oraz spraw sądowych związanych z naruszeniem prywatności pokazuje, że użytkownicy coraz aktywniej egzekwują swoje prawa. Organizacje, które traktują RODO jako formalność, narażają się nie tylko na kary finansowe, ale i na utratę zaufania klientów, co w dłuższej perspektywie kosztuje więcej niż wdrożenie odpowiednich procedur od początku.
jedna odpowiedź do “Zasady przetwarzania danych osobowych według RODO”
„Zebrane dane osobowe nie były nadmierne i by okres ich przechowywania był nie dłuższy, niż jest to niezbędne do osiągnięcia celu” – to chyba dość marny przepis. Ja mam wrażenie, że wszyscy wybierają dożywotnio, a potem odbywa się jakiś handel danymi.