Przestrzeganie praw osób fizycznych

Prawo do bycia poinformowanym pozwala osobom zrozumieć, jakim czynnościom zostaną poddane ich dane, a co za tym idzie, umożliwia im podejmowanie świadomych decyzji i sprawowanie większej kontroli nad swoimi danymi osobowymi. Jeżeli przetwarzasz dane osobowe, to wszystkie osoby, których dane dotyczą, mają prawo do otrzymania informacji.

Jako organizacja pełniąca funkcję administratora danych masz obowiązek informowania osób, których dane dotyczą.

Jakie informacje?

Podawane informacje różnią się w zależności od tego, czy dane osobowe zostały zebrane bezpośrednio od osoby, której dane dotyczą (zbieranie bezpośrednie, zorganizowane zgodnie z art. 13 RODO), czy też zostały pozyskane z innego źródła (zbieranie pośrednie, zorganizowane zgodnie z art. 14 RODO). Poniższe tabele przedstawiają informacje, które należy przekazać osobie, której dane dotyczą:

RODO wymaga ponadto, aby w celu zapewnienia rzetelności i przejrzystości przetwarzania danych organizacja przekazała następujące informacje:

Organizacja musi ponownie podać informacje zawarte w drugiej tabeli w przypadku dalszego przetwarzania w nowym zgodnym z prawem celu, który różni się od pierwotnego. Informacje te muszą zostać podane przed dalszym przetwarzaniem. W takim przypadku należy również przekazać osobie, której dane dotyczą wyjaśnienie co do zakresu zgodności nowych i poprzednich celów.

Kiedy należy podać informacje?

Jeżeli organizacja zbiera dane osobowe bezpośrednio od osoby, której dane dotyczą, musi podać niezbędne informacje w momencie ich zbierania.

W przypadku pośredniego zbierania danych osobowych organizacja musi podać te informacje najpóźniej w ciągu jednego miesiąca od pierwotnego pozyskania danych osobowych. Maksymalny okres jednego miesiąca ulega skróceniu:

• jeżeli dane osobowe są wykorzystywane do celów komunikacji z osobą, której dane dotyczą. W takim przypadku należy poinformować osobę, której dane dotyczą, najpóźniej w momencie pierwszego kontaktu z osobą, której dane dotyczą;
• jeżeli dane są przekazywane innemu odbiorcy, organizacja informuje o tym osoby, których dane dotyczą, najpóźniej w momencie przekazywania danych osobowych.

W żadnym wypadku nie można przedłużyć maksymalnego okresu jednego miesiąca.

W przypadku jakichkolwiek późniejszych zmian w przetwarzaniu (np. nowi odbiorcy, zgodny cel, przekazanie poza EOG itp.), organizacja musi poinformować o tym osobę, której dane dotyczą, zawsze przed wejściem zmiany w życie; ponadto należy to zrobić z dużym wyprzedzeniem. Im istotniejsza zmiana, tym wcześniej organizacja powinna poinformować osobę, której dane dotyczą, aby dysponowała ona odpowiednim czasem na ocenę skutków tej zmiany oraz skorzystanie z przysługujących jej praw.

Kiedy organizacja nie jest zobowiązana do przekazywania informacji?

Organizacja nie jest zobowiązana do informowania osoby, której dane dotyczą, jeżeli osoba ta otrzymała już niezbędne informacje.

W przypadku pośredniego zbierania danych osobowych zastosowanie mają dodatkowe wyjątki. Wówczas podanie informacji nie jest konieczne, jeżeli:

• udostępnienie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Należy jednak podkreślić, że próg zastosowania tego wyjątku jest bardzo wysoki, co oznacza, że administrator danych może powołać się na to kryterium wyłącznie w wyjątkowych przypadkach;
• uzyskanie lub ujawnianie danych jest wyraźnie przewidziane przez prawo;
• dane osobowe muszą być traktowane jako poufne na podstawie prawnego obowiązku zachowania tajemnicy zawodowej.

W praktyce

• W niektórych państwach UE przepisy krajowe mogą zobowiązywać organy podatkowe do żądania od pracodawców określonych informacji o pracownikach. Organy podatkowe nie muszą w takim przypadku informować pracownika. Jednak w ramach obowiązku informacyjnego, pracodawca poinformuje pracownika, że organy podatkowe są jednym z odbiorców danych osobowych.

W jaki sposób należy podać informacje osobie, której dane dotyczą?

Skutecznym sposobem podawania informacji jest zastosowanie wielowarstwowego podejścia do informacji. Pozwala ono uniknąć podania nadmiernej ilości informacji, co może negatywnie wpływać na przejrzystość i przytłoczyć osobę, której dane dotyczą, nadmiarem treści. Zastosowanie warstwowego podejścia jest zgodne z wymogiem zarówno zwięzłości, jak i podawania wszystkich niezbędnych informacji. Nie tylko upraszcza to zadanie administratora, ale także umożliwia osobie, której dane dotyczą, szybkie i skuteczne zrozumienie istotnych kwestii. Informacje mogą być przedstawione w następujący sposób:

• Pierwsza warstwa podstawowych informacji
  • CO? Organizacja podaje streszczenie podstawowych informacji, których potrzebuje osoba, której dane dotyczą, aby ocenić wpływ i zakres przetwarzania (tj. tożsamość administratora, cele przetwarzania, kategorie odbiorców, źródło danych, prawa osób, których dane dotyczą, ...).
  • JAK? Na przykład w formie tabeli, w wyraźnie widocznym miejscu z tytułem „Podstawowe informacje o ochronie danych” lub za pomocą wyskakujących okienek, które zapewniają wyjaśnienia podczas zbierania danych osobowych. Jeżeli przetwarzanie odbywa się na podstawie zgody, lepiej jest podać te informacje w miejscu, w którym osoba, której dane dotyczą, musi wyrazić zgodę (w pobliżu przycisku „zgoda”).
• Druga warstwa dodatkowych i bardziej szczegółowych informacji
  • CO? W tej części przedstawiane są, w zrozumiały i wyczerpujący sposób, pozostałe informacje, które organizacja jest zobowiązana podać na podstawie art. 13 i 14 RODO.
  • JAK? Dodatkowe informacje można podać na kilka sposobów - na przykład za pomocą hiperłączy dołączonych do informacji podstawowych lub poprzez pobranie dokumentu. Podanie takich dodatkowych informacji powinno zapewnić równowagę między zwięzłością z jednej strony, a kompletnością i prawidłowością z drugiej. Informacje powinny być skonstruowane w taki sposób, aby były łatwe do odczytania. Nie zapomnij dostosować informacji do grupy docelowej (na przykład: jeśli usługa jest skierowana do dzieci, napisz informacje w taki sposób, aby mogły je one zrozumieć).

Korzystając z prawa dostępu, osoby, których dane dotyczą, mogą zweryfikować zgodność z prawem każdej czynności przetwarzania, która ich dotyczy.

Korzystając z prawa dostępu, osoby, których dane dotyczą, powinny uzyskać od administratora potwierdzenie, czy ich dane osobowe są przetwarzane. Jeżeli tak jest, osoby, których dane dotyczą, mają dostęp do swoich danych osobowych i następujących informacji:

• cele przetwarzania;
• kategorie przetwarzanych danych osobowych;
• odbiorcy (lub kategorie odbiorców) danych osobowych;
• okres przechowywania danych osobowych lub kryteria stosowane do określenia tego okresu;
• istnienie prawa do żądania od administratora danych sprostowania lub usunięcia danych osobowych lub ograniczenia przetwarzania danych osobowych odnośnie do osoby, której dane dotyczą, lub do wniesienia sprzeciwu wobec takiego przetwarzania;
• istnienie prawa do wniesienia skargi do organu ochrony danych;
• źródło danych (jeżeli dane osobowe nie są zbierane bezpośrednio od osoby, której dane dotyczą);
• istnienie zautomatyzowanego podejmowania decyzji, w tym profilowania, istotnych informacji na temat zastosowanej logiki, a także znaczenia i przewidywanych konsekwencji takiego przetwarzania dla osoby, której dane dotyczą;
• w przypadku przekazywania danych osobowych poza Unię Europejską – wszystkie odpowiednie zabezpieczenia (zgodnie z art. 46 RODO dotyczącym przekazywania danych).

Ponadto osoba ta ma prawo do otrzymania (bezpłatnie) kopii związanych z nią danych osobowych, które przetwarza organizacja. Jeśli dana osoba poprosi o dodatkowe kopie, organizacja może podjąć decyzję o naliczeniu uzasadnionej opłaty, która jest obliczana na podstawie kosztów administracyjnych związanych z wykonaniem kopii. Należy pamiętać, że w większości przypadków nie można zobowiązać osób fizycznych do uiszczenia opłaty za dostęp do swoich danych osobowych.

Jeżeli żądanie składane jest drogą elektroniczną, organizacja powinna przekazać wymagane informacje w powszechnie używanym formacie elektronicznym, chyba że dana osoba zażąda zastosowania innego rozwiązania.

Ważne 

Przed przekazaniem kopii danych osobowych należy sprawdzić, czy nie wpłynie to na prawa i wolności innych osób (np. czy w tym samym pliku przetwarzane są informacje dotyczące więcej niż jednej osoby lub czy dotyczą one tajemnic handlowych bądź własności intelektualnej).

Osoba, której dane dotyczą, ma prawo do żądania i uzyskania od administratora danych sprostowania nieprawidłowych danych i uzupełnienia niekompletnych danych. Jeśli organizacja przekazuje dane osobowe osobom trzecim, należy poinformować je o sprostowaniu, chyba że okaże się to niemożliwe lub wymaga nieproporcjonalnych wysiłków.

W praktyce

• Klient informuje organizację, że przeprowadził się do innego miasta. Musisz zmienić adres w bazie danych klientów.

Osoba, której dane dotyczą, może zażądać od organizacji usunięcia dotyczących jej danych osobowych w następujących sytuacjach:

• dane osobowe nie są już niezbędne do celów, dla których zostały zebrane
• organizacja przetwarza dane osobowe niezgodnie z prawem
• organizacja musi usunąć dane osobowe ze względu na obowiązek prawny
• osoba, której dane dotyczą, wycofuje zgodę, a przetwarzanie nie ma innej podstawy prawnej
• osoba, której dane dotyczą, skutecznie skorzystała z prawa do sprzeciwu
• osoby niepełnoletnie, które wyraziły zgodę na korzystanie z usługi online, mogą zawsze zażądać usunięcia takich danych osobowych (niezależnie od ich aktualnego wieku)

Jeżeli dane osobowe, które mają zostać usunięte, zostały wcześniej przekazane innym organizacjom, należy poinformować odbiorców, że osoba, której dane dotyczą, zażądała ich usunięcia, chyba że okaże się to niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku.

Jeżeli organizacja jest zobowiązana do usunięcia danych osobowych, które podała do wiadomości publicznej, musi podjąć wszelkie uzasadnione kroki w celu poinformowania innych administratorów przetwarzających te dane, że osoba, której dane dotyczą, zażądała usunięcia wszelkich linków do tych danych osobowych, ich kopii lub replikacji.

Organizacja może odmówić usunięcia danych osobowych tylko w ograniczonej liczbie przypadków, takich jak:

• korzystanie z prawa do wolności wypowiedzi i informacji;
• ustalenie, dochodzenie lub obrona roszczeń;
• przestrzeganie obowiązku prawnego, któremu podlega organizacja lub wykonywanie zadania w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej organizacji;
• względy interesu publicznego w dziedzinie zdrowia publicznego;
• do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych (pod określonymi warunkami).

W praktyce

• Pracownik organizacji został zwolniony. Pracownik ten żąda usunięcia jego danych osobowych z akt osobowych. Prawo pracy wymaga jednak przechowywania niektórych dokumentów kadrowych (rejestr pracowników, kopie wyciągów z wynagrodzeń itp.) przez określony czas. W przypadku tych dokumentów należy odrzucić żądanie o usunięcie danych.
• Były klient nie chce już otrzymywać e-maili marketingowych od organizacji i żąda usunięcia jego danych kontaktowych. Ponieważ nie ma istotnych powodów, aby kontynuować przetwarzanie danych kontaktowych, należy je usunąć.

W pewnych okolicznościach osoby, których dane dotyczą, mogą żądać ograniczenia przetwarzania swoich danych. W konsekwencji organizacja może nadal przechowywać dane osobowe, ale musi zaprzestać wszelkich innych działań związanych z przetwarzaniem.

Osoba, której dane dotyczą, ma prawo do uzyskania ograniczenia przetwarzania danych, gdy:

• osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych;
• osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych;
• organizacja nie potrzebuje już danych osobowych, ale dane te są nadal potrzebne osobie, której dane dotyczą, do dochodzenia roszczeń;
• osoba, której dane dotyczą, wykonała prawo do wniesienia sprzeciwu. Ograniczenie to ma zastosowanie przez okres niezbędny do sprawdzenia, czy uzasadnione powody, którymi kieruje się organizacja, przeważają nad powodami osoby, której dane dotyczą.

Jeżeli osoba, której dane dotyczą, skutecznie wykona prawo do ograniczenia przetwarzania, organizacja może wykorzystywać dane tylko w określonych okolicznościach, na przykład za zgodą osoby, której dane dotyczą lub w celu obrony roszczeń. Czy wcześniej przekazano „zastrzeżone” dane innym odbiorcom? W takim przypadku należy poinformować tych odbiorców o ograniczeniu przetwarzania, chyba że okaże się to niemożliwe lub wymaga niewspółmiernie dużego wysiłku.

Przed zniesieniem ograniczenia należy poinformować osobę, której dane dotyczą, o swoim zamiarze.

Prawo do przenoszenia danych umożliwia osobom, których dane dotyczą, uzyskanie swoich danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. W ten sposób mogą one z łatwością ponownie wykorzystać dane i - wedle uznania - przekazać swoje dane innemu administratorowi danych. Prawo do przenoszenia danych może być wykonywane tylko wtedy, gdy jednocześnie spełnione są poniższe trzy warunki:

• przetwarzanie odbywa się na podstawie zgody lub umowy;
• przetwarzanie odbywa się w sposób zautomatyzowany (tj. bez dokumentów papierowych);
• a osoby, których dane dotyczą, same dostarczyły dane. Obejmuje to również wszelkie dane, które organizacja zaobserwowała na podstawie zachowania osoby, której dane dotyczą (np. poprzez powiązane akcesoria).

Prawo to nie dotyczy zatem danych, które organizacja tworzy samodzielnie na podstawie wyżej wymienionych danych.

Konkretniej rzecz ujmując, osoby, których dane dotyczą, mają prawo do:

• uzyskania swoich danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. Format ten musi umożliwiać osobie, której dane dotyczą ponowne wykorzystanie danych osobowych na potrzeby innej usługi.
  Przykład: XML, JSON i CSV to popularne formaty spełniające to kryterium. Należy również podać metadane, aby dane mogły być wykorzystywane na innej platformie. Format PDF nie jest wystarczający.
• tego, aby ich dane osobowe zostały bezpośrednio przekazane innemu administratorowi danych. Organizacja powinna to zrobić tylko wtedy, gdy takie bezpośrednie przekazanie jest technicznie możliwe.

W praktyce

• Organizacja świadczy usługi strumieniowego przesyłania muzyki online. Klienci mogą poprosić o przeniesienie swoich list utworów do innej usługi przesyłania strumieniowego muzyki.
• Jesteś MŚP, które oferuje usługę poczty internetowej. Jeśli klient, który ma konto e-mail na potrzeby czysto osobiste lub domowe, zażąda tego, musisz przenieść jego listę adresową i e-maile do innej usługi poczty internetowej, pod warunkiem, że jest to technicznie wykonalne. Jeśli nie jest to możliwe, należy dostarczyć klientowi listę adresową i wiadomości e-mail w formacie cyfrowym nadającym się do wielokrotnego użytku.

Osoby, których dane dotyczą, mogą wnieść sprzeciw wobec przetwarzania dotyczących ich danych osobowych „z przyczyn związanych z ich szczególną sytuacją”. Prawo do sprzeciwu może być wykonane tylko wtedy, gdy przetwarzanie opiera się na jednej z następujących podstaw prawnych:

• prawnie uzasadniony interes organizacji lub osoby trzeciej; lub
• wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.

W innych sytuacjach osoba, której dane dotyczą nie może skorzystać z prawa do sprzeciwu, ponieważ w przypadku innych podstaw prawnych istnieją alternatywne sposoby osiągnięcia tego samego celu: w przypadku wyrażenia zgody, osoba, której dane dotyczą może po prostu wycofać zgodę. Osoba, której dane dotyczą nie może wnieść sprzeciwu wobec przetwarzania narzuconego przez prawo.

Jeśli osoby, których dane dotyczą wykonują prawo do sprzeciwu, organizacja musi wyważyć interesy obu stron. Jest zobowiązana wstrzymać wszelkie czynności przetwarzania tych danych osobowych, chyba że może wykazać istotne uzasadnione powody, które przeważają nad prawami i wolnościami osoby, której dane dotyczą (np. prowadzi postępowanie sądowe). Organizacja musi udokumentować i przekazać te powody osobie, której dane dotyczą.

Ważne 

Jeżeli dane są przetwarzane w celach marketingowych, to osoba, której dane dotyczą ma prawo sprzeciwić się takiemu przetwarzaniu bez podania przyczyny. W takim przypadku powody, dla których organizacja przetwarza te dane nie mają znaczenia; w takim przypadku sprzeciw musi prowadzić do natychmiastowego zakończenia przetwarzania w tym celu.

W praktyce

• Jesteś małą firmą marketingową organizującą wydarzenia. Kiedy dana osoba kupuje online bilet na koncert zespołu, otrzymuje reklamy innych podobnych koncertów. Jeśli dana osoba nie chce otrzymywać więcej takich reklam, organizacja musi zaprzestać marketingu bezpośredniego.
• Jesteś MŚP działającym w branży ubezpieczeniowej. W tej branży dane osobowe są wymagane w niektórych sytuacjach w celu zwalczania praktyk prania pieniędzy. Jako broker ubezpieczeniowy możesz odmówić podjęcia działań następczych w związku z prawem do sprzeciwu, ponieważ krajowe przepisy dotyczące przeciwdziałania praniu pieniędzy zobowiązują cię do przetwarzania danych.