Przepisy RODO od kiedy obowiązują i co to oznacza?

RODO stosuje się od 25 maja 2018 r. Sprawdź, kogo dotyczą przepisy, jakie obowiązki obejmują administratorów oraz jak podejść do ochrony danych i reagowania na incydenty.

Przepisy RODO od kiedy są stosowane?

RODO stosuje się od 25 maja 2018 r. To najważniejsza data dla osób szukających odpowiedzi na pytanie, od kiedy obowiązują przepisy o ochronie danych osobowych. RODO to ogólne rozporządzenie o ochronie danych, czyli rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679.

Akt przyjęto w 2016 r., a państwa i organizacje otrzymały dwuletni okres przygotowawczy. W tym czasie należało przeanalizować procesy przetwarzania danych oraz dostosować procedury, systemy informatyczne i dokumentację. Nie oznacza to jednak, że RODO zaczęło obowiązywać w Polsce jako osobny, krajowy akt prawny. Jest to unijne rozporządzenie, które stosuje się bezpośrednio we wszystkich państwach UE, także w Polsce. Uzupełniają je przepisy krajowe, w tym polska ustawa o ochronie danych osobowych.

Rozporządzenie chroni osoby fizyczne w związku z przetwarzaniem ich danych. Danymi osobowymi są informacje, które pozwalają zidentyfikować człowieka bezpośrednio albo pośrednio. Mogą to być imię i nazwisko, adres, identyfikator internetowy czy dane lokalizacyjne. W praktyce oznacza to, że obowiązki związane z RODO mogą dotyczyć także firm prowadzących stronę internetową, sklep online, firmową pocztę czy bazę klientów.

Kogo dotyczą przepisy i kto odpowiada za dane?

RODO dotyczy podmiotów, które przetwarzają dane osób fizycznych. Przetwarzanie obejmuje między innymi zbieranie, zapisywanie, przechowywanie, przeglądanie, udostępnianie i usuwanie informacji. Obowiązki zależą od tego, jakie dane są wykorzystywane, w jakim celu, na jaką skalę i z jakim ryzykiem dla osób.

Zobacz więcej: Jakie dane osobowe może przetwarzać pracodawca zgodnie z RODO?

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania danych. Może nim być firma, instytucja lub inna organizacja. Podmiot przetwarzający działa na zlecenie administratora. Przykładem jest dostawca usług chmurowych, który przechowuje dane lub obsługuje system wykorzystywany przez firmę. Sama obecność danych na serwerze zewnętrznym nie przenosi odpowiedzialności administratora na dostawcę.

Jeśli organizacja powierza dane innemu podmiotowi, powinna ustalić zasady współpracy i zawrzeć odpowiednie uzgodnienia umowne. Ważne jest też sprawdzenie, czy dostawca zapewnia zabezpieczenia odpowiednie do rodzaju przetwarzanych informacji. Administrator powinien nadzorować współpracę i umieć wykazać, że dokonał świadomego wyboru.

Jakie zasady i obowiązki wynikają z RODO?

RODO nie narzuca każdej organizacji identycznego zestawu dokumentów. Wymaga natomiast, aby dane były przetwarzane zgodnie z określonymi zasadami, a administrator potrafił wykazać, że ich przestrzega. Tę ostatnią powinność określa się jako rozliczalność.

Przeczytaj też: Jak wybrać hosting i zadbać o bezpieczeństwo strony firmowej w Kraju Saary

Zgodność z prawem, rzetelność i przejrzystość, czyli przetwarzanie danych na właściwej podstawie i w sposób zrozumiały dla osób.
Ograniczenie celu, które oznacza zbieranie danych w konkretnych, uzasadnionych celach i niewykorzystywanie ich dowolnie w innych celach.
Minimalizacja danych, czyli ograniczenie zakresu informacji do tego, co potrzebne.
Prawidłowość, która wymaga dbania o aktualność i poprawność danych.
Ograniczenie przechowywania, czyli niewykorzystywanie danych dłużej, niż jest to uzasadnione celem lub obowiązkiem prawnym.
Integralność i poufność, wymagające ochrony przed nieuprawnionym dostępem, utratą lub uszkodzeniem.

Administrator powinien dobrać podstawę prawną dla każdego celu przetwarzania oraz przekazać osobom jasne informacje o tym, co dzieje się z ich danymi. Powinien także ocenić ryzyka, ograniczyć dostęp do informacji i wdrożyć zabezpieczenia adekwatne do zagrożeń. W przypadku strony internetowej może to oznaczać między innymi kontrolę uprawnień do panelu administracyjnego, ochronę kont pocztowych i regularne kopie zapasowe.

Zgoda nie jest jedyną podstawą przetwarzania i nie jest wymagana w każdej sytuacji. RODO przewiduje także między innymi wykonanie umowy, wypełnienie obowiązku prawnego, ochronę żywotnych interesów, realizację zadania publicznego oraz prawnie uzasadniony interes administratora. Właściwą podstawę należy ustalić dla konkretnego celu, zamiast automatycznie prosić o zgodę przy każdej czynności.

Jakie prawa mają osoby, których dane dotyczą?

Osoby, których dane są przetwarzane, mogą korzystać z praw przewidzianych przez RODO. Należą do nich prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia. Można również wnieść sprzeciw wobec przetwarzania w określonych sytuacjach. Administrator powinien przygotować sposób obsługi takich żądań i odpowiadać na nie zgodnie z obowiązującymi zasadami.

Warto przeczytać: Jak zgłosić inspektora ochrony danych przez ePUAP?

Prawo do usunięcia danych nie jest bezwzględne. Organizacja może mieć podstawę prawną, by przechowywać określone informacje, na przykład w celu wykonania obowiązku prawnego lub ustalenia, dochodzenia albo obrony roszczeń. Dlatego każde żądanie trzeba ocenić w kontekście celu, podstawy prawnej i obowiązków administratora, zamiast usuwać dane automatycznie.

Inspektor ochrony danych, czyli IOD, jest wymagany w określonych przypadkach. Dotyczy to między innymi sytuacji, gdy główna działalność organizacji obejmuje regularne i systematyczne monitorowanie osób na dużą skalę albo przetwarzanie szczególnych kategorii danych na dużą skalę. IOD doradza i monitoruje zgodność, ale nie przejmuje odpowiedzialności administratora.

Co zrobić w razie naruszenia ochrony danych?

Incydent dotyczący danych wymaga szybkiej oceny. Należy ustalić, czy naruszono poufność, integralność lub dostępność danych, jakich informacji i osób dotyczy zdarzenie oraz jakie mogą być jego konsekwencje. Trzeba też udokumentować incydent i podjęte działania. Nie każde zdarzenie oznacza obowiązek zgłoszenia go organowi nadzorczemu, ale każdą sytuację należy ocenić i uzasadnić decyzję.

Przeczytaj także: Jak wybrać niezawodny serwer i zadbać o bezpieczeństwo strony w Kraju Saary

Jeśli zgłoszenie jest wymagane, administrator zawiadamia Prezesa Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia. Termin liczy się od stwierdzenia naruszenia, a nie automatycznie od chwili, w której doszło do samego incydentu. Zgłoszenie nie jest wymagane, gdy jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób. Jeśli zgłoszenie nastąpi po terminie, należy wyjaśnić przyczyny opóźnienia. Gdy nie wszystkie informacje są od razu dostępne, można przekazać dane, którymi organizacja dysponuje, a pozostałe uzupełnić później.

Jeżeli naruszenie może powodować wysokie ryzyko dla osób, administrator powinien również zawiadomić je bez zbędnej zwłoki. Przykładem incydentu jest przypadkowe wysłanie arkusza z danymi klientów niewłaściwemu odbiorcy. Organizacja powinna wtedy ustalić, jakie informacje zostały ujawnione, kto mógł je zobaczyć i jakie skutki może to wywołać, a następnie udokumentować zdarzenie i zdecydować o zgłoszeniu UODO oraz poinformowaniu osób.

Warto przeczytać: Gdzie zgłosić inspektora danych osobowych?

Jak przygotować organizację do zgodności z RODO?

Praktyczne wdrożenie warto zacząć od ustalenia, jakie dane są przetwarzane, w jakich celach, na jakiej podstawie prawnej, przez kogo i jak długo. Następnie należy określić role administratorów i podmiotów przetwarzających, ocenić ryzyka oraz ograniczyć dostęp do danych. Kolejnym krokiem jest dobranie zabezpieczeń i dokumentacji do rzeczywistych procesów.

Nie chodzi o tworzenie dokumentów dla samej formalności. Zakres dokumentacji i zabezpieczeń powinien odpowiadać charakterowi, skali i ryzyku przetwarzania. Organizacja powinna potrafić wyjaśnić, dlaczego przyjęte rozwiązania są adekwatne, jak reaguje na incydenty i w jaki sposób realizuje prawa osób. Współczesne podejście do RODO kładzie nacisk na ocenę rzeczywistych skutków przetwarzania, bezpieczeństwo i sprawne reagowanie, a nie na samo posiadanie rozbudowanej dokumentacji.

Odpowiedź na pytanie „przepisy RODO od kiedy” jest więc jednoznaczna: stosuje się je od 25 maja 2018 r. Dla organizacji ważniejsze od samej daty jest jednak bieżące rozpoznawanie procesów, odpowiedzialne korzystanie z usług zewnętrznych i umiejętność wykazania, że dane są chronione adekwatnie do ryzyka.

Wykorzystane materiały

https://www.eur-lex.europa.eu/legal-content/PL/ALL/?uri=LEGISSUM:310401_2
https://uodo.gov.pl/pl/615/4550
https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=LEGISSUM:310401_2