RODO

I. Wprowadzenie

25 maja 2018 r. Polska przyjęła Ustawę o ochronie danych osobowych, wdrażającą Ogólne Rozporządzenie o Ochronie Danych (RODO). Prawo to zmienia i konsoliduje poprzednie ramy ochrony danych.
Urząd Ochrony Danych Osobowych (UODO), jako krajowy organ nadzorczy, jest odpowiedzialny za nadzorowanie, kierowanie i egzekwowanie RODO oraz jego przepisów wykonawczych w Polsce.
Tym samym Polska wprowadziła system ochrony danych osobowych zgodny z wymogami Unii Europejskiej.

II. Zakres stosowania

Przepisy wykonawcze RODO w Polsce mają zastosowanie do:

każdego administratora lub podmiotu przetwarzającego dane mającego siedzibę na terytorium Polski;

każdej organizacji zlokalizowanej poza Polską, która oferuje towary lub usługi osobom fizycznym znajdującym się w Polsce lub monitoruje ich zachowanie na terytorium Polski.

Niezależnie od miejsca przetwarzania, o ile dotyczy to danych osobowych osób fizycznych znajdujących się w Polsce, prawo ma zastosowanie.
Obejmuje ono przetwarzanie zautomatyzowane, jak również przetwarzanie niezautomatyzowane stanowiące część systemu rejestracji.
Działania o charakterze wyłącznie osobistym lub domowym nie są objęte jego zakresem.

III. Zasady przetwarzania danych

Zgodność z prawem, rzetelność i przejrzystość: Całe przetwarzanie musi opierać się na jasnej podstawie prawnej i być prowadzone z pełną przejrzystością.

Ograniczenie celu: Dane mogą być wykorzystywane wyłącznie w określonych i uzasadnionych celach.

Minimalizacja danych: Gromadzone powinny być tylko ściśle niezbędne dane.

Dokładność: Dane muszą być dokładne i regularnie aktualizowane.

Ograniczenie przechowywania: Dane powinny być przechowywane wyłącznie przez ściśle niezbędny okres, a następnie usuwane lub anonimizowane.

Bezpieczeństwo i poufność: Muszą zostać wdrożone odpowiednie środki techniczne i organizacyjne, aby zapobiec wszelkiemu naruszeniu, zmianie lub utracie danych.

IV. Prawa osób, których dane dotyczą

Zgodnie z RODO i polskim prawem osoby fizyczne mają następujące prawa:

Prawo do informacji i dostępu;

Prawo do sprostowania;

Prawo do usunięcia danych („prawo do bycia zapomnianym”);

Prawo do ograniczenia przetwarzania;

Prawo do przenoszenia danych;

Prawo do sprzeciwu.

W przypadku małoletnich poniżej 16 roku życia przetwarzanie ich danych wymaga zgody rodzica lub opiekuna prawnego, a informacje muszą być im przekazane w jasnym i zrozumiałym języku.

V. Obowiązki podmiotu przetwarzającego

Podmioty przetwarzające muszą:

ściśle przestrzegać pisemnych instrukcji administratora danych;

wdrożyć odpowiednie środki bezpieczeństwa;

pomagać administratorowi danych w wypełnianiu jego obowiązków, w szczególności w odpowiadaniu na żądania osób, których dane dotyczą;

powiadomić administratora danych bez zbędnej zwłoki w przypadku naruszenia ochrony danych, który następnie musi poinformować UODO w ciągu 72 godzin.

Administratorzy danych muszą prowadzić rejestr czynności przetwarzania i przeprowadzać Ocenę Skutków dla Ochrony Danych (DPIA) w przypadkach wysokiego ryzyka.
Niektóre organizacje muszą również wyznaczyć Inspektora Ochrony Danych (IOD) i zarejestrować się w UODO (polskim organie ochrony danych).

VI. Międzynarodowe przekazywanie danych

Gdy przewiduje się przekazanie do kraju spoza UE, administrator danych musi zapewnić odpowiedni poziom ochrony. Można to osiągnąć poprzez:

decyzję Komisji Europejskiej o adekwatności;

lub podpisanie Standardowych Klauzul Umownych (SCC).

Od czasu unieważnienia „Tarczy Prywatności” w dniu 16 lipca 2020 r. polskie firmy muszą stosować nowe Standardowe Klauzule Umowne przyjęte 4 czerwca 2021 r. lub jakikolwiek inny mechanizm prawny.

VII. Kontrola i egzekwowanie

UODO posiada szerokie uprawnienia, w tym:

wydawanie ostrzeżeń lub formalnych powiadomień;

ograniczanie lub zakazywanie niektórych operacji przetwarzania;

nakładanie grzywien w wysokości do 20 milionów euro lub 4% globalnego obrotu, w zależności od tego, która kwota jest wyższa.

Polskie prawo umożliwia również osobom fizycznym przekazywanie instrukcji dotyczących wykorzystania ich danych po ich śmierci. W przeciwnym razie przetwarzanie musi być zgodne z obowiązującymi przepisami.
Polskie ramy wdrażania RODO mają na celu zagwarantowanie praw jednostek, zwiększenie zgodności korporacyjnej i budowanie zaufania w środowisku cyfrowym.