Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.
Od 25 maja 2018 r. obowiązkiem dla wielu podmiotów będzie prowadzenie rejestru czynności przetwarzania. Prowadzenie tego rejestru będzie obowiązkiem przede wszystkim podmiotów zatrudniających powyżej 250 pracowników oraz podmiotów przetwarzających tzw. dane wrażliwe. Dane wrażliwe to dane:
-
ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową;
-
o stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym;
-
dotyczące skazań, kar, mandatów, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
Nowe przepisy RODO:
-
Prawo do bycia zapomnianym – prawo to wprowadza możliwość sprostowania, usunięcia oraz ograniczenia przetwarzania danych osobowych. Zgodnie z tym osoba, której dane osobowe są przetwarzane, może zażądać usunięcia jej danych.
Dane osobowe muszą zostać usunięte w następujących przypadkach:
-
jeśli dane są przetwarzane niezgodnie z prawem;
-
jeśli dane zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego;
-
jeśli dane nie są już niezbędne;
-
jeśli osoba, której dane dotyczą, cofnie zgodę na przetwarzanie jej danych i jeśli dodatkowo nie ma innej podstawy do przetwarzania tych danych;
-
jeśli osoba, której dane dotyczą, wniesie sprzeciw na mocy art. 21 i jeśli dodatkowo nie ma innej nadrzędnej podstawy do przetwarzania tych danych;
-
jeśli dane muszą zostać usunięte, aby wywiązać się z obowiązku prawnego przewidzianego w prawie Unii lub w prawie państwa członkowskiego, do którego przynależy podmiot przetwarzający dane.
-
Prawo do przenoszenia danych – każda osoba będzie miała prawo otrzymania od administratora danych, które mu dostarczyła. Co ważne, prawo przenoszenia nie będzie dotyczyło tylko dostarczonych administratorowi danych, ale wszystkich, jakie zgromadził administrator na temat danej osoby. Dane osobowe powinny zostać przekazane w ustrukturyzowanym formacie (np. w pliku pdf).
-
Prawo do sprzeciwu – zgodnie z art. 21 RODO osoba, której dane dotyczą, będzie uprawniona do wniesienia sprzeciwu wobec przetwarzania tych danych osobowych. Sprzeciw musi wynikać z przyczyn związanych ze szczególną sytuacją danej osoby.
-
Obowiązek uzyskania zgody na przetwarzanie danych osobowych – na administratorach danych osobowych będzie ciążył obowiązek uzyskania wyraźnej zgody na przetwarzanie danych osobowych.
Inspektor ochrony danych zamiast ABI
Wraz z pojawieniem się podstawowego rozporządzenia o ochronie danych osobowych (RODO) pojawi się nowa funkcja, inspektora ochrony danych osobowych, który zastąpi obecnie funkcjonujących ABI – Administratorów Bezpieczeństwa Informacji.
Obowiązek powołania inspektora danycg osobowych dotyczy:
-
organów lub podmiotów publicznych (z wyjątkiem sądów);
-
administratorów i podmiotów przetwarzających, których główna działalność opiera się na przetwarzaniu danych wymagających regularnego i systematycznego monitorowania osób, których dane są przetwarzane;
-
podmiotów przetwarzających, których główna działalność polega na przetwarzaniu szczególnych kategorii danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.
Zadania inspektor ochrony danych osobowych:
-
informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach, jakie na nich spoczywają;
-
współpraca z GIODO;
-
monitorowanie przestrzegania wszystkich przepisów dotyczących ochrony danych osobowych;
-
działania zwiększające świadomość;
-
szkolenia pracowników przetwarzających dane osobowe;
-
przeprowadzanie audytów.
Kary za złamanie zasad ochrony danych osobowych w RODO
Wszelkie naruszenie bezpieczeństwa danych osobowych będzie musiało być raportowane do GIODO.
Za nieprzestrzeganie zasad ochrony danych osobowych na administratorów będą nakładane kary finansowe. Wysokość tych kar uzależniona będzie m.in. od rodzaju, wagi czy czasu trwania naruszenia i będzie wynosić nawet 20 mln euro, a w przypadku przedsiębiorców 2% albo 4% rocznego światowego obrotu przedsiębiorstwa (z poprzedniego roku obrotowego).
