Ochrona danych osobowych

Każda organizacja przetwarzająca dane osobowe musi przestrzegać RODO i być w stanie wykazać zgodność prowadzonych procesów z jego wymaganiami. Nie oznacza to jednak, że każda firma musi posiadać identyczny zestaw dokumentów.

Zakres dokumentacji zależy m.in. od rodzaju i skali działalności, kategorii przetwarzanych danych, charakteru procesów oraz związanego z nimi ryzyka. W zależności od okoliczności konieczne może być m.in. prowadzenie rejestru czynności przetwarzania, stosowanie odpowiednich klauzul informacyjnych, procedur dotyczących naruszeń i realizacji praw osób fizycznych, zasad retencji danych, upoważnień czy umów powierzenia.

Sama polityka prywatności lub zestaw standardowych wzorów nie przesądza więc o zgodności organizacji z RODO.

Nie. Każde stwierdzone naruszenie powinno jednak zostać przeanalizowane i odpowiednio udokumentowane.

Zgłoszenie Prezesowi UODO jest wymagane, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli zgłoszenie jest wymagane, administrator powinien dokonać go bez zbędnej zwłoki — w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, może powstać również obowiązek zawiadomienia osób, których dane dotyczą.

Dlatego szybka i prawidłowa kwalifikacja zdarzenia ma kluczowe znaczenie.

Polityka prywatności i klauzule informacyjne stanowią jedynie część systemu ochrony danych.

Audyt pozwala sprawdzić przede wszystkim, czy dokumentacja odpowiada temu, co rzeczywiście dzieje się w organizacji: jakie dane są zbierane, na jakiej podstawie prawnej, w jakim celu i przez jaki czas, kto ma do nich dostęp, którym podmiotom są przekazywane oraz w jaki sposób są zabezpieczane.

Pozwala również zweryfikować relacje z dostawcami, zakres udzielonych upoważnień, zasady retencji, realizację praw osób fizycznych, procedury reagowania na naruszenia oraz zgodność nowych rozwiązań technologicznych.

W praktyce właśnie porównanie dokumentacji z rzeczywistymi procesami biznesowymi pozwala wykryć wiele ryzyk, których nie widać na poziomie samych dokumentów.

Ochrona danych osobowych polega na takim organizowaniu ich przetwarzania, aby odbywało się ono zgodnie z prawem, w konkretnych i uzasadnionych celach oraz z poszanowaniem praw osób, których dane dotyczą.

Obejmuje zarówno zapewnienie odpowiednich podstaw prawnych i przejrzystości przetwarzania, jak i ograniczenie zakresu zbieranych danych, określenie okresów ich przechowywania, kontrolowanie dostępu oraz stosowanie odpowiednich zabezpieczeń organizacyjnych i technicznych.

Celem jest m.in. ochrona danych przed przypadkową utratą, zniszczeniem, zmianą, nieuprawnionym ujawnieniem lub dostępem.

Należy odróżnić naruszenie ochrony danych osobowych w rozumieniu RODO od szerszego naruszenia przepisów dotyczących przetwarzania danych.

Naruszeniem ochrony danych osobowych jest naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia danych albo nieuprawnionego dostępu do nich. Może nim być np. wysłanie dokumentu do niewłaściwego adresata, utrata niezabezpieczonego urządzenia, ujawnienie danych nieuprawnionej osobie czy skuteczny atak informatyczny.

Niezależnie od tego naruszeniem RODO może być również samo przetwarzanie danych niezgodnie z prawem, np. bez odpowiedniej podstawy prawnej, w nadmiernym zakresie, w innym celu niż określony przy ich zebraniu albo przez okres dłuższy niż uzasadniony.

RODO chroni dane osobowe, czyli informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Mogą nimi być m.in. imię i nazwisko, adres, numer telefonu, adres e-mail, numer PESEL, dane lokalizacyjne, identyfikatory internetowe, wizerunek, informacje dotyczące zatrudnienia, sytuacji rodzinnej lub finansowej, jeżeli odnoszą się do konkretnej osoby albo pozwalają ją zidentyfikować.

Szczególnym reżimem objęte są tzw. szczególne kategorie danych osobowych, do których należą m.in. dane dotyczące zdrowia, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, dane genetyczne i biometryczne wykorzystywane do jednoznacznej identyfikacji osoby oraz dane dotyczące życia seksualnego lub orientacji seksualnej.

RODO nie znajduje zastosowania do każdej informacji.

Co do zasady nie obejmuje informacji, które nie dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Nie chroni więc jako takich danych dotyczących osób prawnych, np. samej nazwy spółki, jej numeru KRS czy adresu siedziby. Jeżeli jednak informacja dotycząca przedsiębiorstwa jednocześnie identyfikuje konkretną osobę fizyczną, może stanowić jej dane osobowe.

RODO nie znajduje również zastosowania do informacji skutecznie zanonimizowanych, czyli takich, w przypadku których osoby nie można już zidentyfikować przy wykorzystaniu środków, których użycia można racjonalnie oczekiwać.

RODO co do zasady nie dotyczy również danych osób zmarłych, choć określone informacje ich dotyczące mogą być chronione na podstawie innych przepisów.

Należy natomiast pamiętać, że dane osoby fizycznej prowadzącej jednoosobową działalność gospodarczą mogą podlegać ochronie RODO, jeżeli odnoszą się do tej osoby i pozwalają ją zidentyfikować.