AVG

I. Inleiding

De Algemene verordening gegevensbescherming (AVG) is sinds 25 mei 2018 van toepassing in de hele Europese Unie. Als lidstaat van de EU is Poland volledig onderworpen aan de AVG, die rechtstreeks van toepassing is in het Poolse recht en wordt aangevuld door de Poolse wet van 10 mei 2018 inzake de bescherming van persoonsgegevens.

De toezichthoudende autoriteit die verantwoordelijk is voor het toezicht op, de begeleiding van en de handhaving van de regels voor gegevensbescherming in Poland is de UODO (Urząd Ochrony Danych Osobowych – de Poolse autoriteit voor gegevensbescherming).

Poland heeft daarmee een stelsel voor de bescherming van persoonsgegevens opgezet dat volledig voldoet aan de eisen van de Europese Unie.

II. Toepassingsgebied

De AVG is van toepassing op:

elke verwerkingsverantwoordelijke of verwerker die in Poland is gevestigd;

elke organisatie buiten Poland die goederen of diensten aanbiedt aan personen in Poland, of hun gedrag in Poland monitort.

Ongeacht waar de verwerking plaatsvindt, is de verordening van toepassing zolang het gaat om de persoonsgegevens van personen die zich in Poland bevinden.

De verordening is van toepassing op zowel geautomatiseerde als niet-geautomatiseerde verwerking die deel uitmaakt van een bestandssysteem.

Activiteiten van uitsluitend persoonlijke of huishoudelijke aard vallen niet binnen het toepassingsgebied.

III. Beginselen van gegevensverwerking

Rechtmatigheid, behoorlijkheid en transparantie: Alle verwerking moet een duidelijke rechtsgrondslag hebben en transparant worden uitgevoerd.

Doelbinding: Gegevens mogen alleen worden gebruikt voor specifieke en legitieme doeleinden.

Dataminimalisatie: Er mogen alleen strikt noodzakelijke gegevens worden verzameld.

Juistheid: Gegevens moeten juist en actueel zijn.

Opslagbeperking: Gegevens mogen alleen worden bewaard zolang dat strikt noodzakelijk is en moeten daarna worden verwijderd of geanonimiseerd.

Beveiliging en vertrouwelijkheid: Er moeten passende technische en organisatorische maatregelen worden getroffen om datalekken, wijzigingen of verlies van gegevens te voorkomen.

IV. Rechten van betrokkenen

In overeenstemming met de AVG en de Poolse wet hebben natuurlijke personen de volgende rechten:

Recht op informatie en toegang;

Recht op rectificatie;

Recht op gegevenswissing (recht om vergeten te worden);

Recht op beperking van de verwerking;

Recht op gegevensoverdraagbaarheid;

Recht van bezwaar.

Voor minderjarigen jonger dan 16 jaar (zoals bepaald door de Poolse wet) is voor de verwerking van hun gegevens toestemming van een ouder of wettelijke voogd vereist, en moet de informatie in duidelijke en begrijpelijke taal worden verstrekt.

V. Verplichtingen van verwerkers

Verwerkers moeten:

de schriftelijke instructies van de verwerkingsverantwoordelijke strikt opvolgen;

passende beveiligingsmaatregelen treffen;

de verwerkingsverantwoordelijke ondersteunen bij het nakomen van diens verplichtingen, met name bij het beantwoorden van verzoeken van betrokkenen;

de verwerkingsverantwoordelijke onverwijld op de hoogte stellen van een datalek. De verwerkingsverantwoordelijke moet vervolgens binnen 72 uur de UODO (Poolse Autoriteit Persoonsgegevens) informeren.

Verwerkingsverantwoordelijken moeten een register van verwerkingsactiviteiten bijhouden en in gevallen met een hoog risico een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren.

Sommige organisaties moeten ook een functionaris voor gegevensbescherming (FG) aanstellen.

VI. Internationale doorgifte van gegevens

Wanneer een doorgifte naar een land buiten de EU wordt overwogen, moet de verwerkingsverantwoordelijke een passend beschermingsniveau waarborgen. Dit kan worden bereikt door:

een adequaatheidsbesluit van de Europese Commissie;

of het ondertekenen van standaardcontractbepalingen (SCC's).

Poolse bedrijven moeten gebruikmaken van de standaardcontractbepalingen die op 4 juni 2021 zijn vastgesteld, of van een ander wettelijk erkend mechanisme.

VII. Toezicht en handhaving

De UODO (Poolse Autoriteit Persoonsgegevens) heeft ruime bevoegdheden, waaronder:

waarschuwingen of formele kennisgevingen uit te vaardigen;

bepaalde gegevensverwerkingsactiviteiten te beperken of te verbieden;

boetes op te leggen van maximaal €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

De Poolse wet staat personen ook toe instructies te geven over het gebruik van hun gegevens na hun overlijden. Als dergelijke instructies ontbreken, moet de verwerking voldoen aan de toepasselijke regelgeving.

Het Poolse AVG-kader is bedoeld om de rechten van personen te waarborgen, de naleving door bedrijven te versterken en vertrouwen in de digitale omgeving te bevorderen.