Ochrona danych osobowych (RODO) – które dane trzeba podać, a które zachować dla siebie?

W czasach powszechnego dostępu do Internetu bezpieczeństwo danych osobowych stało się tematem istotniejszym niż do tej pory. Kluczową rolę w tym aspekcie odgrywa RODO. Czym jest i co trzeba o nim wiedzieć?

Czym jest RODO?

RODO to skrótowiec, którym w Polsce oznacza się Rozporządzenie Parlamentu Europejskiego i Rady (UE)  2016/679 z 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/94/WE (ogólne rozporządzenie o ochronie danych). Przepisy weszły w życie 25 maja 2018 roku.

W Polsce RODO wprowadzono uzupełnioną ustawą o ochronie danych osobowych, która weszła w życie w maju 2018 roku. W dokumencie określono:

• podmioty publiczne zobowiązane do wyznaczenia inspektora ochrony danych osobowych,
• zasady postępowania w przypadku naruszenia przepisów o ochronie danych osobowych oraz kontroli przestrzegania regulacji,
• odpowiedzialność cywilną i karną za naruszenie przepisów,
• administracyjne kary pieniężne za naruszenie regulacji.

Jaki jest cel RODO?

W podstawowym założeniu RODO to katalog praw i wolności, jeśli chodzi o ochronę danych osobowych. Regulacje odnoszą się do wszystkich podmiotów działających na terytorium UE, mimo że dane osobowe gromadzone przez niektóre z firm są przetwarzane poza Wspólnotą.

Do najważniejszych wolności osób fizycznych gwarantowanych przez RODO należą:

• prawo do informacji o przetwarzaniu danych na etapie ich zbierania (art. 13 i 14),
• prawo do dostępu do danych (art. 15),
• prawo do sprostowania danych (art. 16),
• prawo do bycia zapomnianym, czyli żądania usunięcia danych (art. 17),
• prawo do ograniczenia przetwarzania danych (art. 18 i 19).

Czym są dane osobowe?

Charakterystykę danych osobowych określa art. 4 RODO. Według niego są nimi wszystkie informacje na temat zidentyfikowanej osoby oraz te umożliwiające ustalenie czyjejś tożsamości. Wbrew pozorom danymi osobowymi zwykle nie są imię (imiona) i nazwisko, gdyż często nie pozwalają one na rozpoznanie kogoś ze 100-procentową pewnością. Dopiero w połączeniu z dodatkowymi informacjami, takimi jak np. adres zamieszkania, będziemy mieć do czynienia z danymi osobowymi. Mając taki komplet wiadomości, jesteśmy w stanie dotrzeć do konkretnego człowieka.

Do rodzajów danych osobowych zaliczamy:

• dane zwykłe – imię, nazwisko, PESEL, adres zamieszkania;
• dane biometryczne – dotyczące cech fizycznych, fizjologicznych lub behawioralnych,
• dane spseudonimizowane – szyfrujące informacje na temat danej osoby. W tym przypadku identyfikacja jest możliwa wyłącznie po uzyskaniu wiedzy niezbędnej do deszyfracji kodu.
• dane wrażliwe – do danych wrażliwych zaliczamy: poglądy polityczno-religijno-światopoglądowe, pochodzenie, informacje dotyczące zdrowia czy przynależności do związków zawodowych. Dane wrażliwe stają się danymi osobowymi dopiero w połączeniu z tymi pozwalającymi na pełną identyfikację.

Jakie są zasady przetwarzania danych osobowych?

Przetwarzanie danych osobowych jest złożonym procesem obejmującym: zbieranie, utrwalanie, porządkowanie i wykorzystywanie danych zgodnie z ich przeznaczeniem. Opiera się na takich procesach jak: przeglądanie danych i łączenie ich w grupy, ograniczenie dostępności, usuwanie z baz, a nawet zupełne niszczenie.

Do przetwarzania danych osobowych jest upoważniony ich administrator. To on decyduje o tym, co dzieje się z pozyskanymi personaliami – w jakim celu je zbiera, jak przetwarza i komu przekazuje. Administratorem danych może być zarówno osoba fizyczna, jak i prawna – np. jednostka publiczna.

W określonych sytuacjach jednostka ma obowiązek wyznaczyć inspektora ochrony danych osobowych. Specjalista powinien stosować się do przepisów RODO i kontrolować, czy w danym podmiocie zasady konwersji danych są respektowane przez pracowników.

Zasady udostępniania danych osobowych

Administrator może udostępnić dane wyłącznie na podstawie konkretnego dokumentu, chyba że ich odbiorcą jest osoba zatrudniona w firmie przetwarzającej dane, która upoważniła administratora do zarządzania personaliami.

• dane muszą być przetwarzane zgodnie z prawem, czyli rzetelnie i przejrzyście dla osoby, której dotyczą,
• dane muszą być prawidłowe (w razie potrzeby uaktualniane),
• ilość zbieranych danych należy ograniczyć do niezbędnego minimum,
• dane muszą być zbierane w konkretnych, prawnie uzasadnionych celach (nie można raz zebranych danych wykorzystywać dowolnie),
• dane należy przechowywać przez okres nie dłuższy niż jest to konieczne do realizacji wyznaczonych celów,
• dane muszą być zabezpieczone przed niedozwolonym przetwarzaniem i zniszczeniem.

Jakie są kary za naruszenie ochrony danych osobowych?

Kara za naruszenie przepisów o ochronie danych osobowych może wynieść do 10 lub do 20 mln euro (w zależności od przypadku). Albo – jeśli sprawa dotyczy przedsiębiorstw – do 2 lub do 4 proc. ich całkowitego rocznego światowego obrotu z roku obrotowego poprzedzającego złamanie przepisów.