Ogólne rozporządzenie o ochronie danych

Ogólne rozporządzenie o ochronie danych (ang. General Data Protection Regulation, w skrócie RODO) jest unijnym aktem prawnym, który od 25 maja 2018 roku reguluje zasady przetwarzania danych osobowych osób fizycznych w państwach członkowskich Unii Europejskiej. Jego celem jest zapewnienie jednolitego poziomu ochrony prywatności w całej UE oraz wzmocnienie praw osób, których dane są przetwarzane.

Historia i kontekst

Przed wejściem w życie RODO, ochroną danych w UE zajmowała się dyrektywa 95/46/WE z 1995 roku. Rozporządzenie zostało przyjęte w dniu 27 kwietnia 2016 (rozporządzenie UE 2016/679) po kilku latach intensywnych debat i konsultacji z organami ochrony prywatności, przedsiębiorstwami oraz organizacjami społecznymi.

Zakres stosowania

RODO ma zastosowanie do:

Przetwarzania danych osobowych w ramach działalności administratora danych lub podmiotu przetwarzającego zlokalizowanego na terytorium UE, niezależnie od miejsca, w którym dane są faktycznie przetwarzane.
Przetwarzania danych osób zamieszkałych w UE przez podmioty spoza UE, jeżeli oferują one produkty lub usługi osobom w UE lub monitorują ich zachowanie w UE.

Podstawowe zasady

Rozporządzenie definiuje siedem fundamentalnych zasad, które muszą być przestrzegane przy przetwarzaniu danych osobowych:

Zasada prawidłowości, rzetelności i przejrzystości – dane muszą być przetwarzane w sposób zgodny z prawem, uczciwy i przejrzysty dla osoby, której dotyczą (przejrzystość).
Zasada ograniczenia celu – dane mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach.
Zasada minimalizacji danych – przetwarzane mogą być tylko dane niezbędne do realizacji określonych celów.
Zasada prawidłowości – dane muszą być dokładne i, w razie potrzeby, aktualizowane.
Zasada ograniczenia przechowywania – dane nie mogą być przechowywane dłużej niż jest to niezbędne do realizacji celu.
Zasada integralności i poufności – zapewnienie odpowiedniego poziomu bezpieczeństwa danych, w tym ochrony przed nieuprawnionym dostępem.
Zasada rozliczalności – administrator musi być w stanie wykazać, że przestrzega wszystkich wymogów RODO.

Prawa osób, których dane dotyczą

RODO przyznaje osobom fizycznym szereg praw, które mają na celu zwiększenie kontroli nad ich danymi:

Prawo do informacji – o sposobie i celach przetwarzania danych.
Prawo dostępu – możliwość uzyskania kopii swoich danych (prawo dostępu).
Prawo do sprostowania – korekta nieprawidłowych danych.
Prawo do usunięcia („prawo do bycia zapomnianym”) – żądanie usunięcia danych w określonych sytuacjach.
Prawo do ograniczenia przetwarzania – tymczasowe zawieszenie przetwarzania danych.
Prawo do przenoszenia danych – otrzymanie danych w ustandaryzowanym formacie i ich przekazanie innemu administratorowi.
Prawo wniesienia sprzeciwu – odrzucenie przetwarzania danych w celach marketingowych lub w oparciu o uzasadniony interes administratora.

Obowiązki administratorów i podmiotów przetwarzających

Administrator danych (administrator) oraz podmiot przetwarzający (podmiot przetwarzający) muszą spełniać szereg wymogów:

Stworzenie i utrzymanie rejestru czynności przetwarzania.
Przeprowadzenie analizy ryzyka oraz, w niektórych przypadkach, oceny oddziaływania na ochronę prywatności (DPIA).
Wdrożenie środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych.
Zgłaszanie naruszeń ochrony danych do Urzędu Ochrony Danych Osobowych (UODO) w terminie 72 godzin od ich wykrycia.
Wyznaczenie inspektora ochrony danych (IOD), gdy wymaga tego prawo.

Sankcje i nadzór

Organem nadzorczym w Polsce jest UODO. Naruszenia przepisów RODO mogą skutkować karami finansowymi sięgającymi nawet 20 mln € lub 4 % globalnego rocznego obrotu przedsiębiorstwa – w zależności od tego, która kwota jest wyższa. Dodatkowo, osoby pokrzywdzone mają prawo żądać odszkodowania za szkody materialne i niematerialne.

Implementacja w Polsce

RODO zostało wprowadzone do prawa polskiego poprzez uchwalenie Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, która dostosowuje krajowy system prawny do wymogów rozporządzenia. Ustawa wprowadza m.in. pojęcie podmiotu przetwarzającego, reguluje zasady powoływania inspektora ochrony danych oraz określa kompetencje i obowiązki UODO.

Związek z innymi aktami prawnymi

RODO współistnieje z szeregiem innych aktów prawnych, które regulują przetwarzanie danych w konkretnych sektorach, np.:

Krytyka i kontrowersje

Od momentu wejścia w życie RODO pojawiły się liczne opinie zarówno pozytywne, jak i krytyczne. Zwolennicy podkreślają zwiększoną kontrolę obywateli nad swoimi danymi oraz ujednolicenie przepisów w UE. Krytycy natomiast wskazują na wysokie koszty wdrożenia wymogów w małych i średnich przedsiębiorstwach oraz na ryzyko „paraliżu” innowacji w sektorze technologicznym.

Bibliografia

Rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylające dyrektywę 95/46/WE (tekst rozporządzenia).
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst ustawy).
Komisja Europejska – Przewodnik po RODO (przewodnik).

Rozporządzenie pozostaje jednym z kluczowych elementów prawa Unii Europejskiej, a jego wpływ na przetwarzanie danych osobowych jest odczuwalny w całym świecie.