Ogólne rozporządzenie o ochronie danych

Ogólne rozporządzenie o ochronie danych, inaczej rozporządzenie o ochronie danych osobowych, OROD lub RODO (ang. General Data Protection Regulation, GDPR) – rozporządzenie unijne, zawierające przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych.

Celem rozporządzenia jest doprowadzenie do pełnej harmonizacji prawa w ramach UE i swobodnego przepływu danych osobowych. W założeniu ma pozwolić mieszkańcom Unii Europejskiej na lepszą kontrolę ich danych osobowych oraz stanowić modernizację i ujednolicenie przepisów umożliwiających firmom ograniczanie biurokracji i korzystanie ze zwiększonego zaufania klientów. Rozporządzenie ma też na celu zaktualizować przepisy, by te spełniały swoje funkcje w XXI wieku i odpowiadały na zagrożenia wynikające z użycia w przetwarzaniu danych osobowych nowoczesnych technologii. Ogólne rozporządzenie o ochronie danych jest częścią pakietu UE dotyczącego reformy ochrony danych, razem z dyrektywą o ochronie danych w obszarze policji i wymiaru sprawiedliwości.

Rozporządzenie zostało przyjęte 27 kwietnia 2016. W momencie wejścia w życie (od 25 maja 2018), po dwuletnim okresie przejściowym, zaczęło obowiązywać w krajach członkowskich UE bezpośrednio, bez potrzeby wydawania aktów prawnych wdrażających je do porządku krajowego. Zastąpiło wówczas dyrektywę 95/46/WE.

Rozporządzenie dopuszcza pewne zmiany wprowadzane w ustawodawstwach krajów członkowskich. Nad polskimi przepisami pracowało Ministerstwo Cyfryzacji. Zaproponowało ono likwidację urzędu Generalnego Inspektora Ochrony Danych Osobowych i zastąpienie go Prezesem Urzędu Ochrony Danych Osobowych. 10 maja 2018 roku Sejm VIII kadencji uchwalił nową ustawę o ochronie danych osobowych, która zapewnia stosowanie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 o ochronie danych osobowych na terytorium Polski oraz ustanawia nowy organ właściwy w sprawie ochrony danych osobowych – Prezesa Urzędu Ochrony Danych Osobowych. Ustawa weszła w życie 25 maja 2018 roku.

Nowe prawo wprowadza m.in.:

• łatwiejszy dostęp do danych (zapewnienie większej liczby informacji na temat sposobu przetwarzania danych i zapewnienie, aby informacje były dostępne w przejrzysty i zrozumiały sposób),
• nowe prawo do przenoszenia danych (ułatwia przesyłanie danych osobowych pomiędzy dostawcami usług),
• jaśniejsze prawo do usunięcia danych („prawo do bycia zapomnianym”),
• prawo do bycia niezwłocznie poinformowanym w razie ataku hakerskiego na dane (firmy będą także zobligowane zawiadomić odpowiednie organy nadzorcze ds. ochrony danych),
• technologie takie jak pseudonimizacja oraz szyfrowanie.

Według szacunków Unii Europejskiej, ujednolicone na całym kontynencie prawo ma przynieść 2,3 miliarda euro oszczędności rocznie. Zgodnie z RODO, Komisja Europejska składa regularnie sprawozdania z oceny i przeglądu tego rozporządzenia: pierwsze po dwóch latach, później zaś – co 4 lata; w sprawozdaniu z 2020 roku funkcjonowanie nowych przepisów zostało ocenione pozytywnie.

Rozporządzenie opiera się na siedmiu głównych zasadach przetwarzania danych osobowych, które są punktem wyjścia do przepisów szczególnych.

1. Zasada rzetelności, zgodności z prawem i przejrzystości.
2. Zasada ograniczenia celu przetwarzania.
3. Zasada minimalizacji danych.
4. Zasada prawidłowości.
5. Zasada ograniczenia przechowywania.
6. Zasada integralności i poufności.
7. Zasada rozliczalności.

{{Cytat}} Linki zewnętrzne: "źródło".

Rozporządzenie reguluje ogólne warunki nakładania administracyjnych kar pieniężnych i wyróżnia dwa przedziały kar dla Administratorów Danych (ADO):

• do 10 mln euro (w przypadku przedsiębiorcy – alternatywnie do 2 proc. jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego). Kara ta dotyczy naruszeń związanych między innymi z niewywiązaniem się przez ADO ze swoich obowiązków takich jak: obowiązek informacyjny, brak uwzględnienia ochrony danych w fazie projektowania oraz domyślnej ochrony danych, błędnie prowadzony rejestr czynności przetwarzania lub jego brak, nieprawidłowe zabezpieczenie systemów informatycznych, nieprzeprowadzenie oceny skutków dla ochrony danych, brak powołania Inspektora Ochrony Danych, jeśli istniał taki obowiązek etc.
• do 20 mln euro (w przypadku przedsiębiorcy – alternatywnie do 4 proc. jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego). Kara ta dotyczy między innymi: złamania przez ADO podstawowych zasad przetwarzania danych osobowych, w tym niedopilnowanie warunków pozyskania zgody, łamania praw osób, których dane dotyczą, nieprawidłowego przekazywania danych osobowych odbiorcom w państwach trzecich lub organizacjach międzynarodowych etc.

Każda osoba, która poniosła szkodę w wyniku naruszenia postanowień RODO, ma prawo wystąpić do ADO z roszczeniem o odszkodowanie za poniesioną szkodę. Administrator może zostać zwolniony z odpowiedzialności, jeżeli udowodni, że nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody.

Do dnia 22.08.2024 nałożono 2433 kary.

Prezes Urzędu Ochrony Danych Osobowych (PUODO) zastąpił (w Polsce) Generalnego Inspektora Ochrony Danych Osobowych (GIODO). W zakresie wykonywania swoich zadań podlega jedynie ustawie. Jest powoływany przez Sejm za zgodą Senatu. Został on utworzony ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych. Zastępcy Prezesa Urzędu są powoływani przez Prezesa Urzędu.

Została wprowadzona certyfikacja. Zgodnie z przepisami, zarówno Prezes Urzędu, jak i przedsiębiorcy są uprawnieni do wydawania certyfikatów. Certyfikacji dokonuje się na podstawie kryteriów określonych przez Prezesa Urzędu bądź podmiot certyfikujący (w Polsce to np. Polskie Centrum Akredytacji).

Prezes Urzędu jako niezależny organ zyskał szereg nowych uprawnień. Może występować z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie bądź zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych. Uzyskał także uprawnienie do nakładania kar finansowych bezpośrednio po stwierdzeniu naruszenia przepisów.

W 2019 r. UODO nałożyło 2,2 mln zł kary na sklep internetowy Morele.net. Było to było konsekwencją wycieku danych klientów w 2018 r., do którego doszło po ataku hakerskim. Urząd stał na stanowisku, że dane klientów nie zostały zabezpieczone w wystarczającym stopniu. Firma skutecznie odwołała się od tej decyzji do Naczelnego Sądu Administracyjnego, jednak UODO przeprowadziło kolejne postępowanie i w lutym 2024 r. poinformowało o nałożeniu jeszcze wyższej kary na kwotę ponad 3,8 mln zł. Spółka zapowiedziała odwołanie i od tej decyzji.

UODO ma też prawo nakładania kar na podmioty, które nie chcą współpracować z Urzędem i nie odpowiadają na korespondencję w sprawie możliwego naruszenia przepisów. W 2023 r. UODO poinformowało o nałożeniu kar na kilka firm za brak współpracy z organem nadzorczym w ramach wykonywanych przez siebie zadań oraz za niezapewnienie dostępu do danych osobowych i innych informacji niezbędnych do realizacji jego zadań. Wysokość kar wyniosła od 14 tys. do 33 tys. zł.

Według RODO to firma/organizacja ma obowiązek wykazania, że zgoda na przetwarzanie została udzielona. Zgoda musi być:

• dobrowolna,
• konkretna,
• specyficzna (zgoda jest ważna, jeśli jest udzielona na konkretne użycie danych),
• świadoma (a zatem wymagana jest przejrzystość),
• wycofanie jej powinno być łatwe (użytkownik powinien mieć sposób sygnalizowania chęci wycofania zgody).

Minimalne wymogi dla zgody:

• tożsamość administratora/kontrolera danych,
• cele każdej operacji przetwarzania,
• typy pozyskiwanych i używanych danych, możliwość wycofania zgody,
• informacja o ewentualnie podejmowanych automatycznie decyzjach,
• informacja o ewentualnym przesyłaniu danych do krajów trzecich.

Zgody uzyskane przed majem 2018 zachowają ważność, jeśli spełniają wymogi RODO.

Brytyjskie ICO(inne języki), polskie GIODO czy Grupa robocza art. 29 przedstawiły swoje stanowiska na ten temat.

Wprowadzenie RODO w Polsce wprowadziło istotne zmiany w procesie rekrutacji pracowników, określając zakres danych osobowych, których pracodawca może wymagać oraz obowiązek spełnienia obowiązku informacyjnego w kontekście ich przetwarzania. Według nowych przepisów kandydat nie musi już udzielać zgody na przetwarzanie danych osobowych zawartych w CV w postaci klauzuli.

Facebook utworzył nowe centrum ochrony prywatności (Privacy Basics), które będzie zawierało wszystkie główne ustawienia prywatności w jednym miejscu. Ze względu na europejskie przepisy w irlandzkim oddziale Facebooka w Dublinie (Facebook Ireland Limited, to druga obok Facebook Inc spółka Facebooka) miał zostać zatrudniony Deputy Chief Privacy Officer. Osoba na tym stanowisku ma mieć pełny dostęp do wszystkich zasobów przedsiębiorstwa, a jej działania mają być nadzorowane bezpośrednio przez Marka Zuckerberga. Jednocześnie ma pozostawać w ciągłym kontakcie z lokalnym organem nadzorczym. Aby wdrożyć GDPR, Facebook zatrudnił setki ludzi (inżynierów, analityków, prawników oraz specjalistów od polityk prywatności i bezpieczeństwa danych), którzy oceniają każdą poszczególną funkcję portalu pod kątem zgodności z jego wymaganiami. Implementacja koncentruje się wokół dwóch kluczowych kwestii: transparentności przetwarzania oraz kontroli użytkownika nad swoimi danymi.

Amazon rozpoczął ulepszanie szyfrowania danych w swojej usłudze przechowywania w chmurze i uprościł umowę z klientami dotyczącą sposobu przetwarzania ich informacji. Google musiało przeprojektować wiele umów dot. zgody, a także zmienić podstawową technologię, aby ułatwić usuwanie danych.

Japonia w 2017 powołała niezależną agencję zajmującą się skargami dotyczącymi prywatności, aby dostosować się do europejskich standardów (podczas negocjacji w sprawie nowej umowy handlowej między Japonią a UE). Izrael i Nowa Zelandia należą do kilku międzynarodowych partnerów, którzy zawarli umowy z UE, potwierdzając, że ich przepisy dotyczące ochrony danych są równe tym obowiązującym w Europie. Inne kraje, od Kolumbii, przez Koreę Południową, po Bermudy, podobnie dostosują prawo krajowe. W niektórych przypadkach ma to się odbyć dosłownie.

Zobacz multimedia związane z tematem: Ogólne rozporządzenie o ochronie danych

• Tekst ogólnego rozporządzenia w Dzienniku Urzędowym Unii Europejskiej.
• Informacje o rozporządzeniu w serwisie internetowym Generalnego Inspektora Ochrony Danych Osobowych.
• Projekt ustawy o ochronie danych osobowych realizujący prawa rozporządzenia o ochronie danych.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781).