Dyrektywa RODO, czyli unijne przepisy o ochronie danych osobowych

Czym jest RODO

„RODO”, inna nazwa „GDPR” lub „Ogólne Rozporządzenie o Ochronie Danych” to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Rozporządzenie weszło w życie 17 maja 2016 r. ale zacznie  obowiązywać bezpośrednio w poszczególnych krajach UE od dnia 25 maja 2018 r. Rozporządzenie dotyczyć będzie wszystkich, przetwarzających dane osobowe w związku z prowadzoną działalnością gospodarczą.

Najważniejsze postanowienia RODO

Jedna z najważniejszych modyfikacji przepisów przewidziana przez RODO to nałożenie na administratora obowiązku zatroszczenia się o bezpieczeństwo danych już na etapie projektowania rozwiązań mających na celu ich przetwarzanie; np. portali społecznościowych, aplikacji, konkursów internetowych itp. Na barkach administratora spocznie ciężar opracowania takich rozwiązań, które zagwarantują bezpieczeństwo danych w maksymalny możliwy sposób.

Podmioty, których działalność wiąże się z przetwarzaniem danych swoich klientów, będą musiały dokładniej informować ich o zasadach z tym związanych. Dotychczasowa klauzula o ochronie i przetwarzaniu danych osobowych liczyła dotąd zaledwie kilka zdań. Od maja 2018 roku będzie znacznie dłuższa, co oznacza konieczność opracowania nowych formularzy.

W myśl rozporządzenia, zgodę na przetwarzanie danych osobowych będzie mogła wyrazić osoba, która ukończyła 16 rok życia (krajowe prawo może obniżyć te granicę do 13 lat). W przypadku osób młodszych, konieczna będzie zgoda rodzica lub opiekuna prawnego, zaś na administratorze spocznie obowiązek weryfikacji wiarygodności takiej zgody. Nowe przepisy mają też umożliwić potwierdzenie wieku użytkowników konkretnych portali internetowych (np. gier internetowych, portali społecznościowych).

Gdyby doszło do wycieku danych, zniszczenia, czy też nieuprawnionej modyfikacji, administrator jest zobowiązany poinformować w ciągu 72 godzin  właściwy organ nadzoru przypadków naruszeń (w Polsce jest to GIODO), a w niektórych sytuacjach także klientów.

Co ciekawe, rozporządzenie wprowadza różne obowiązki dotyczące ochrony danych dla małych i średnich przedsiębiorstw oraz dla wielkich firm i korporacji. Dotychczas obowiązki te były takie same.

Inne postanowienia RODO

Instytucje przetwarzające dane osobowe innych podmiotów (np. administratorzy chmur) poniosą bezpośrednią odpowiedzialność za złamanie przepisów RODO. Może ona przyjąć postać kary finansowej.

Rozporządzenie znacząco rozszerza prawa podmiotów powierzających swoje dane innym organizacjom; będą oni mogli żądać usunięcia ich danych z konkretnych serwerów (tzw. prawo do bycia zapomnianym), przeniesienia ich danych oraz uzyskają łatwiejsze możliwości dostępu do tychże informacji, a także prawo do sprzeciwu wobec ich przetwarzania (np. będą mogli nie wyrażać zgody na przetwarzanie danych na potrzeby marketingu bezpośredniego – może to stanowić spory problem dla firm zajmujących się tworzeniem i sprzedażą baz danych).

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Na mocy przepisów RODO wprowadzone zostaną ograniczenia co do profilowania,  na czele z obowiązkiem otrzymania zgody na profilowanie jeszcze przed rozpoczęciem gromadzenia danych, bezwzględny obowiązek informowania o profilowaniu oraz wymóg podporządkowania się brakowi zgody na profilowanie.

Kolejna nowość, z jaką administratorzy baz danych będą musieli zmierzyć się od maja, to obowiązek dotyczący niektórych firm (kontrolujących i przetwarzających dane), wyznaczenia Inspektora Ochrony Danych Osobowych. Osoba będzie musiała wykazać się wiedzą ekspercką w zakresie ochrony danych osobowych.

Zobacz także: RODO 2018