Co się zmienia w sferze ochrony danych osobowych? Kto dzięki regulacjom RODO ma zyskać więcej praw, a kto zostanie obarczony obowiązkami?

W telegraficznym skrócie – RODO kładzie szczególny nacisk na przestrzeganie praw osób, których dane są przetwarzane. Rozporządzenie nie mówi nam, ani jakie dokumenty mamy posiadać – z pojedynczymi wyjątkami – ani co ma w nich się znajdować. Zgodnie z RODO treść dokumentów ma być uzależniona od oceny ryzyka. Oznacza to, że przepisy RODO nie wskazują ściśle określonych środków i procedur w zakresie bezpieczeństwa jakie należy wdrożyć w firmie, ale zobowiązuje do samodzielnego przeprowadzenia szczegółowej analizy i dokonywania samodzielnej oceny ryzyka jakie może nieść za sobą to przetwarzanie dla praw bądź wolności osób fizycznych. Nie oznacza to wbrew pozorom mniej obowiązków dla administratorów danych. Wręcz przeciwnie – administrator musi być w stanie wykazać w razie kontroli, że wdrożył odpowiednie i skuteczne środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z zasadami przetwarzania danych zawartymi w Rozporządzeniu.

Przejdźmy do konkretów.

Kogo chroni RODO?

RODO chroni wyłącznie osoby fizyczne w związku z przetwarzaniem ich danych osobowych, niezależnie od ich obywatelstwa, czy miejsca zamieszkania. Ochroną zostały również objęte osoby fizyczne prowadzące działalność gospodarczą, chociaż nie wskazano tego wprost.

Przepisy rozporządzenia nie dotyczą natomiast ochrony danych osobowych osób prawnych, w tym danych o firmie i formie prawnej oraz danych kontaktowych spółek kapitałowych i osobowych prawa handlowego, spółdzielni, stowarzyszeń, czy fundacji.

Na kogo RODO nakłada obowiązki związane z ochroną danych osobowych?

To grono jest nieco szersze. Określone w RODO obowiązki ochrony danych ciążą na wszystkich podmiotach przetwarzających dane osobowe w ramach działalności gospodarczej, zawodowej lub statutowej oraz na osobach fizycznych. Co ważne nie ma tu znaczenia wielkość przedsiębiorcy. Wdrożyć RODO muszą zarówno małe rodzinne biznesy, osoby prowadzące jednoosobową działalność gospodarczą, jak i korporacyjne giganty, jeśli przetwarzają dane osobowe np. kontrahentów, czy potencjalnych klientów.

Przykłady:

  • osoby prowadzące stronę internetową i mające newslettera, sklepy internetowe, spółki kapitałowe i osobowe prawa handlowego, spółdzielnie, stowarzyszenia, fundacje, szkoły, szpitale, przedszkola jeżeli przetwarzają dane osobowe.

Wyjątki

Czy to oznacza, że gdy otrzymasz od koleżanki smsa, w którym podaje  adres e-mail lub dane kontaktowymi do znajomego, musisz wypełnić obowiązki wymagane przez RODO? Na szczęście nie.? Jest kilka sytuacji, w których Rozporządzenie nie ma zastosowania. Jedna z nich (która chyba najbardziej Was zainteresuje) dotyczy właśnie przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub gospodarczą.

Przykłady działalności osobistej lub domowej:

  • prowadzenie notesu z adresami, podtrzymywanie więzi społecznych, działalność internetowa podejmowana w ramach działalności osobistej, zapisywanie osobistych adresów w komputerze domowym, korzystanie z tzw. „chmury”, poczty elektronicznej, kalendarzy, oraz różnych aplikacji, które mogą zawierać dane o bardzo osobistym charakterze.

A co jeśli chcemy sprzedać przez Internet nietrafiony prezent urodzinowy, czy pozbyć się niepasującego fotela na aukcji internetowej? Tutaj mamy do czynienia z osiąganiem korzyści majątkowych, ale o ograniczonym osobistym zakresie. Jeśli nie zajmujemy się tym w ramach prowadzonej działalności gospodarczej, to RODO nie znajdzie zastosowania. Co prawda mamy tu do czynienia z celem zarobkowym, jednak jeśli nie wiąże się to z prowadzoną w tym zakresie zawodowo działalnością gospodarczą, to wydaje się, że mieścimy się w ramach działalności osobistej/domowej. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.  Czyli na przykład do operatorów portali społecznościowych.

Co podlega ochronie?

RODO ma zastosowanie do przetwarzania danych osobowych:

  1. w sposób całkowicie lub częściowo zautomatyzowany (w tym przypadku bez znaczenia jest czy dane stanowią część zbioru danych osobowych, czy też nie) oraz
  2. w sposób inny niż zautomatyzowany, jeżeli dane osobowe stanowią część zbioru danych lub mają stanowić część zbioru danych.


„Przetwarzanie” zgodnie z RODO trzeba rozumieć szeroko, jako: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Pierwszy z wymienionych obszarów (punkt 1.) to dane przetwarzane w systemach informatycznych i tu nie mamy większych wątpliwości. Więcej kontrowersji wzbudzają te niezautomatyzowane formy przetwarzania, a to za sprawą niejasnego sformułowania przepisu  (punkt 2.). Należy jednak przyjąć, że dane osobowe są objęte ochroną prawną już wówczas, gdy tylko mogą zostać włączone do zbioru danych osobowych, niezależnie od tego, czy się w nim ostatecznie znalazły. Podlegają więc adekwatnym środkom zabezpieczającym, a osoba, której dane dotyczą, ma prawo do dostępu do nich i  do ewentualnego sprzeciwu wobec ich przetwarzania. RODO ma więc zastosowanie jeżeli przetwarzane dane stanowią już część zbioru (np. kartoteki, ewidencji), jak również gdy nie stanowią, ale potencjalnie mogłyby zostać objęte takim zbiorem.