RODO – kiedy i jak należy stosować przepisy?

Poniżej przedstawiamy najważniejsze informacje dotyczące tego kto, kiedy i w jaki sposób powinien respektować postanowienia RODO.

Dane osobowe

Nie sposób omówić zagadnień związanych z RODO, nie wiedząc dokładnie, czym są dane osobowe, które RODO ma chronić; otóż dane osobowe to takie informacje, które umożliwiają identyfikację osób fizycznych, bądź dotyczą tych, które już zidentyfikowano. Należą do nich tak podstawowe informacje jak imię, nazwisko, adres oraz numer dowodu tożsamości, ale także mniej „powszechnie” uważane za dane osobowe cechy kulturowe, adres IP, informacje o dochodach i stanie zdrowia (będące w dyspozycji placówki medycznej).

Kiedy należy podporządkować się RODO?

Ponieważ RODO to rozporządzenie Unijne, stosować je należy wtedy, kiedy ma się coś z Unią Europejska wspólnego. A dokładnie, chodzi o sytuację, w której firma/instytucja ma siedzibę na terenie któregoś z krajów Unii, nawet jeżeli przetwarza poufne dane poza jej terytorium. Ale to nie wszystko; RODO działa też wtedy, kiedy rzeczona firma bądź instytucja ma co prawda siedzibę poza Unią, ale prowadzi działalność handlową na jej terenie, przetwarzając w związku z tym dane osobowe osób fizycznych (np. klientów), przebywających w którymkolwiek z unijnych państw. Co bardzo ważne, w tym drugim przypadku, przedsiębiorstwa są zobligowane do wyznaczenia swojego przedstawiciela na terenie UE.

Wyjątki

Ponieważ nie ma reguły bez wyjątków, także RODO nie stosuje się zawsze i wszędzie. Rozporządzeniem owym nie należy się przejmować wtedy, kiedy ktoś kogo dotyczą poufne dane już nie żyje, bądź jest osobą prawną. Ponadto RODO nie działa kiedy dane co prawda są przetwarzane, ale w celach niezwiązanych z handlem, życiem zawodowym, lub działalnością gospodarczą prowadzonymi przez podmiot, którego dane dotyczą.

Kiedy, w oparciu o RODO można w ogóle przetwarzać dane?

Dyrektywa RODO bardzo precyzyjnie określa, kiedy poufne informacje mogą zostać oddane przetwarzaniu. Dzieje się tak wtedy, gdy:

- przedsiębiorstwo uzyska na przetwarzanie zgodę podmiotu zainteresowanego (Ale uwaga! Zgoda taka powinna być wyrażona w oparciu o wyraźnie i zrozumiałe zapytanie; np. poprzez zaznaczenie odpowiedniego pola na stronie internetowej. Zgoda też musi być świadoma i dobrowolna, a zakres przetwarzania danych może dotyczyć tylko zakresu, na jaki wyrażono zgodę)

- przetwarzanie jest niezbędne dla zrealizowania warunków umowy w stosunku do podmiotu, którego dane są przetwarzane

- przetwarzanie jest konieczne dla realizacji interesu publicznego

- przetwarzanie jest niezbędne dla realizacji postanowień prawa

kiedy przetwarzanie chroni żywotne interesu podmiotu będącego właścicielem danych

- firma działa w swoim interesie, ale w takim przypadku interes firmy nie może być nadrzędny wobec interesów właściciela danych

Dane, których przetwarzanie jest surowo zabronione

Istnieje pewna kategoria informacji, których przetwarzanie jest absolutnie zakazane. Nie trudno domyślić się, że są to dane bardzo osobiste, a czasami wręcz intymne. Zaliczyć można do nich poglądy polityczne, preferencje seksualne, kwestie religijne i światopoglądowe, pochodzenie (etniczne lub rasowe), działalność w związkach zawodowych, informacje dotyczące ewentualnych konfliktów z prawem (choć czasami szczegółowe przepisy krajów unijnych na to zezwalają), oraz szeroko rozumiane informacje medyczne.

RODO a „zewnętrzne” i „wewnętrzne” przetwarzanie danych

Może zdarzyć się, że poufne dane osobowe, które są przetwarzane, trafiają do różnych instytucji (określmy to, jako przetwarzanie „zewnętrzne”). W takim przypadku, w myśl RODO proces ten nadzorowany musi być przez dwa podmioty. Pierwszy z nich decyduje o tym jak i po co przetwarzać dane – jest to tzw. administrator danych, a drugi, który przechowuje i przetwarza dane w jego imieniu to podmiot przetwarzający.

Druga sytuacja ma miejsce, kiedy dane przetwarzane są wewnątrz przedsiębiorstwa (czyli chodzi tu o przetwarzanie „wewnętrzne”). W takim przypadku, za dane odpowiada inspektor ochrony danych, wyznaczony przez rzeczone przedsiębiorstwo.

Polecamy: Jak przygotować się do zmian 2019. Podatki, rachunkowość, prawo pracy i ZUS

Postępując zgodnie z unijnym rozporządzeniem, inspektor taki powinien być wyznaczony wtedy, kiedy istotą działalności firmy jest gromadzenie i przetwarzanie danych poufnych, są one przetwarzane na szeroka skalę, bądź też samo przetwarzanie danych, względnie monitorowanie konkretnych osób fizycznych jest procesem regularnym.

Klasycznym przykładem, kiedy należy zastosować przepisy RODO nakazujące powołanie inspektora, jest działalność polegająca na pozyskaniu i przetwarzaniu danych osobowych przez firmę informatyczną przesyłającą na podstawie zaobserwowanych preferencji i zachowań potencjalnych klientów konkretne reklamy do użytkowników sieci.

Czy RODO stosuje się w stosunku do dzieci?

Oczywiście. Jeśli dana firma zajmuje się przetwarzaniem danych poufnych osób niepełnoletnich, również musi podporządkować się przepisom RODO. Nakazują one wcześniejsze uzyskanie odpowiedniej zgody od ich rodziców bądź opiekunów prawnych.

Zobacz: RODO 2018