RODO

I. Wprowadzenie

Ogólne rozporządzenie o ochronie danych (RODO) obowiązuje w całej Unii Europejskiej od 25 maja 2018 r. Jako państwo członkowskie UE, Polska jest w pełni objęta RODO, które ma bezpośrednie zastosowanie w prawie polskim i jest uzupełnione polską ustawą o ochronie danych osobowych z dnia 10 maja 2018 r.

Organem nadzorczym odpowiedzialnym za nadzór, doradztwo i egzekwowanie przepisów o ochronie danych w Polsce jest UODO (Urząd Ochrony Danych Osobowych).

Polska ustanowiła zatem system ochrony danych osobowych, który jest w pełni zgodny z wymogami Unii Europejskiej.

II. Zakres

RODO ma zastosowanie do:

każdego administratora lub podmiotu przetwarzającego dane mającego siedzibę w Polsce;

każdej organizacji znajdującej się poza Polską, która oferuje towary lub usługi osobom fizycznym znajdującym się w Polsce lub która monitoruje ich zachowanie w Polsce.

Niezależnie od miejsca przetwarzania, o ile dotyczy danych osobowych osób fizycznych znajdujących się w Polsce, rozporządzenie ma zastosowanie.

Obejmuje ono zarówno przetwarzanie zautomatyzowane, jak i niezautomatyzowane, które stanowi część systemu plików.

Działania o charakterze wyłącznie osobistym lub domowym nie są objęte jego zakresem.

III. Zasady przetwarzania danych

Zgodność z prawem, rzetelność i przejrzystość: Wszystkie procesy przetwarzania muszą mieć jasną podstawę prawną i być prowadzone w sposób przejrzysty.

Ograniczenie celu: Dane mogą być wykorzystywane wyłącznie do określonych i uzasadnionych celów.

Minimalizacja danych: Gromadzone powinny być tylko ściśle niezbędne dane.

Dokładność: Dane muszą być dokładne i aktualne.

Ograniczenie przechowywania: Dane muszą być przechowywane tylko tak długo, jak jest to ściśle konieczne, a następnie usuwane lub anonimizowane.

Bezpieczeństwo i poufność: Należy wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapobiec naruszeniu, zmianie lub utracie danych.

IV. Prawa osób, których dane dotyczą

Zgodnie z RODO i prawem polskim, osoby fizyczne mają następujące prawa:

Prawo do informacji i dostępu;

Prawo do sprostowania;

Prawo do usunięcia danych (prawo do bycia zapomnianym);

Prawo do ograniczenia przetwarzania;

Prawo do przenoszenia danych;

Prawo do sprzeciwu.

W przypadku osób małoletnich poniżej 16 roku życia (zgodnie z prawem polskim), przetwarzanie ich danych wymaga zgody rodzica lub opiekuna prawnego, a informacje muszą być przedstawione w jasnym i zrozumiałym języku.

V. Obowiązki podmiotów przetwarzających dane

Podmioty przetwarzające dane muszą:

ściśle przestrzegać pisemnych instrukcji administratora danych;

wdrożyć odpowiednie środki bezpieczeństwa;

pomagać administratorowi danych w wykonywaniu jego obowiązków, w szczególności w reagowaniu na wnioski osób, których dane dotyczą;

niezwłocznie powiadomić administratora danych o każdym naruszeniu danych. Administrator musi następnie poinformować UODO (Urząd Ochrony Danych Osobowych) w ciągu 72 godzin.

Administratorzy danych muszą prowadzić rejestr czynności przetwarzania i przeprowadzać ocenę skutków dla ochrony danych (DPIA) w przypadku wysokiego ryzyka.

Niektóre organizacje muszą również wyznaczyć inspektora ochrony danych (IOD).

VI. Międzynarodowe przekazywanie danych

W przypadku planowanego przekazania danych do kraju spoza UE, administrator danych musi zapewnić odpowiedni poziom ochrony. Można to osiągnąć poprzez:

decyzję Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony;

lub podpisanie standardowych klauzul umownych (SCC).

Polskie firmy muszą stosować standardowe klauzule umowne przyjęte 4 czerwca 2021 r. lub inny prawnie uznany mechanizm.

VII. Monitorowanie i egzekwowanie

UODO (Urząd Ochrony Danych Osobowych) posiada szerokie uprawnienia, w tym:

wydawanie ostrzeżeń lub formalnych powiadomień;

ograniczanie lub zakazywanie niektórych czynności przetwarzania danych;

nakładanie kar w wysokości do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.

Prawo polskie zezwala również osobom fizycznym na wydawanie instrukcji dotyczących wykorzystania ich danych po ich śmierci. W przypadku braku takich instrukcji, przetwarzanie musi być zgodne z obowiązującymi przepisami.

Polskie ramy RODO mają na celu zagwarantowanie praw osób fizycznych, wzmocnienie zgodności biznesowej i promowanie zaufania w środowisku cyfrowym.