Frequently asked questions

Aby zgoda została uznana za ważną, musi być ona:

• dobrowolna;
• konkretna;
• świadoma; oraz
• jednoznaczna.

Oznacza to, że osoby fizyczne muszą mieć rzeczywiście swobodę wyboru co do tego, czy zgadzają się na przetwarzanie ich danych osobowych; potrzebują one wystarczających informacji, aby zrozumieć, które dane są przetwarzane, a także w jakim celu i w jaki sposób są one przetwarzane; wnioski o udzielenie zgody muszą być także wystarczająco szczegółowe.

Ponadto wymagane jest wyraźne działanie potwierdzające ze strony osoby fizycznej (bez zaznaczonych z góry pól, osobno w stosunku do obowiązujących warunków ogólnych).

Osoby fizyczne muszą mieć ponadto możliwość dobrowolnego wycofania zgody (bez żadnych negatywnych konsekwencji), jeśli później zmienią zdanie.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Jeśli Twoja organizacja zbiera dane osobowe bezpośrednio od osób fizycznych, musi podać niezbędne informacje w momencie ich zbierania.

W przypadku pośredniego zbierania danych osobowych, Twoja organizacja musi przekazać te informacje najpóźniej w ciągu jednego miesiąca od pierwotnego pozyskania danych osobowych. Maksymalny okres jednego miesiąca można skrócić:

• jeżeli dane osobowe są wykorzystywane do celów komunikacji z osobą, której dane dotyczą. W takim przypadku należy poinformować osobę, której dane dotyczą, najpóźniej w momencie pierwszego powiadomienia osoby, której dane dotyczą;
• jeżeli dane są przekazywane innemu odbiorcy, organizacja informuje o tym osoby, których dane dotyczą, najpóźniej w momencie przekazywania danych osobowych. 

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Każda organizacja, niezależnie od jej wielkości lub sektora działalności, posiadająca jednostkę organizacyjną w Europejskim Obszarze Gospodarczym (EOG) lub oferująca produkty bądź usługi osobom fizycznym w EOG, przetwarzająca dane osobowe w sposób zautomatyzowany lub niezautomatyzowany, musi przestrzegać RODO. Pomimo tego, że RODO dotyczy głównie zautomatyzowanego przetwarzania danych osobowych, to operacje przetwarzania wykonywane ręcznie również będą podlegać RODO od momentu uporządkowania akt papierowych w sposób systematyczny, np. ułożenia ich w porządku alfabetycznym w szafie na dokumenty. 

Do przykładowych operacji przetwarzania należą: zbieranie, rejestrowanie, organizowanie, wykorzystywanie, modyfikowanie, przechowywanie, ujawnianie, zmienianie i usuwanie danych osobowych osób fizycznych.

Zastosowanie RODO zależy jednak od charakteru, kontekstu, celów i ryzyka przeprowadzanych operacji przetwarzania. W przypadku MŚP, których podstawową działalnością nie jest przetwarzanie danych osobowych, obowiązki mogą być mniej rygorystyczne niż w przypadku dużych przedsiębiorstw.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Do zadań IOD należy m.in.:

• informowanie i doradzanie organizacji oraz jej pracownikom w zakresie zgodności z przepisami o ochronie danych;
• monitorowanie przestrzegania przepisów o ochronie danych;
• udzielanie porad w sprawie wniosków dotyczących oceny skutków dla ochrony danych;
• pełnienie funkcji punktu kontaktowego dla organu ochrony danych i współpraca z tym organem;
• pełnienie funkcji punktu kontaktowego dla osób fizycznych.

Wyznaczenie inspektora ochrony danych jest ponadto zalecane w przypadku podejmowania decyzji mających wpływ na ochronę danych. Z inspektorem ochrony danych należy również niezwłocznie skonsultować się w przypadku naruszenia ochrony danych lub wystąpienia innego incydentu.

Więcej informacji:

• Inspektor ochrony danych

RODO nakłada obowiązki na wszystkie organizacje przetwarzające dane osobowe, niezależnie od tego, czy są one administratorami danych, czy też podmiotami przetwarzającymi dane.

W szczególności należy:

• Zadać sobie pytanie, czy cel, dla którego dane osobowe mogą być zbierane, jest uzasadniony. Należy zbierać tylko te dane osobowe, które są niezbędne do określonego przewidzianego celu lub celów;
• Dbaj o to, by dane osobowe osób fizycznych były prawidłowe i aktualne, oraz by były usuwane, jeśli nie są już niezbędne;
• Szanuj prawa osób fizycznych, informując je o tym, w jaki sposób i dlaczego ich dane są przetwarzane, oraz umożliwiając im korzystanie z przysługujących im praw;
• Sprawdź, czy posiadasz odpowiednią podstawę prawną do przetwarzania danych osobowych. Jeśli zamierzasz polegać na zgodzie osób fizycznych, poproś je o zgodę przed przetwarzaniem ich danych osobowych;
• Dopilnuj, aby dane osobowe osób fizycznych były przetwarzane w bezpieczny sposób;
• Prowadź rejestr operacji przetwarzania.

Podmioty przetwarzające dane będą musiały przestrzegać obowiązków określonych w umowie między administratorem a podmiotem przetwarzającym i nie mogą przetwarzać danych w inny sposób niż zgodnie z poleceniami administratora.

Więcej informacji:

• Zachowaj zgodność z przepisami
• Administrator danych lub podmiot przetwarzający dane
• Podstawowe informacje dotyczące ochrony danych

• Wszelkie przypadki przetwarzania danych osobowych muszą być zgodne z prawem, rzetelne i przejrzyste.
• Dane osobowe należy zbierać wyłącznie w określonych, wyraźnych i prawnie uzasadnionych celach. Przetwarzanie danych osoby fizycznej musi być ściśle ograniczone do pierwotnie ustalonego celu lub celów, a zatem dane takie nie mogą być przetwarzane w kolejnym celu lub innych celach, które są niezgodne z pierwotnymi celami.
• Należy przetwarzać wyłącznie te dane osobowe, które są niezbędne i proporcjonalne w świetle zamierzonego celu.
• Wszystkie przetwarzane przez Ciebie dane osobowe muszą być prawidłowe i aktualne. Nieprawidłowe dane osobowe muszą zostać sprostowane lub usunięte.
• Przechowywanie danych osobowych osób fizycznych musi być ograniczone w czasie, w świetle celu, w jakim dane te zostały zebrane i przetworzone. W związku z tym, dane osobowe osób fizycznych muszą zostać usunięte lub zanonimizowane, gdy nie będą już niezbędne.
• Przetwarzanie danych osób fizycznych musi odbywać się w sposób bezpieczny. W związku z tym należy wprowadzić odpowiednie środki zapewniające właściwy poziom cyberbezpieczeństwa, aby zapewnić odpowiednią ochronę danych osób fizycznych.

Przede wszystkim należy pamiętać, że ostateczną odpowiedzialność za dane ponosi ich administrator. Oznacza to, że musi być on w stanie wykazać zgodność z powyższymi zasadami.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Nie możesz przechowywać danych osobowych bezterminowo.

Co do zasady, dane osobowe mogą być przechowywane tylko tak długo, jak jest to niezbędne do celów, dla których są one przetwarzane.

W niektórych przypadkach okres przechowywania może być określony przez konkretne przepisy, na przykład przepisy prawa pracy określają okres przechowywania list płac.

Organizacje powinny określić politykę przechowywania danych, aby upewnić się, że dane osobowe nie są przechowywane dłużej niż jest to niezbędne. Dane osobowe osób fizycznych muszą zostać usunięte lub zanonimizowane, gdy przestaną być niezbędne do celu, w którym zostały przetworzone. 

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Ogólnie rzecz biorąc, każda organizacja powinna prowadzić rejestr swoich działań związanych z przetwarzaniem. Jest to spis wszystkich operacji przetwarzania, który może pomóc w dokonaniu prawidłowych założeń dotyczących obowiązków wynikających z RODO i potencjalnych zagrożeń.

Każda z tych operacji przetwarzania musi być opisana w rejestrze za pomocą następujących informacji:

• cel przetwarzania (np. lojalność klientów);
• kategorie przetwarzanych danych (np. w przypadku listy płac: imię, nazwisko, data urodzenia, wynagrodzenie itp.);
• kto ma dostęp do danych (odbiorcy – np.: dział odpowiedzialny za rekrutację, dział informatyczny, kadra kierownicza, dostawcy usług, partnerzy...);
• w stosownych przypadkach - informacje dotyczące przekazywania danych osobowych poza Europejski Obszar Gospodarczy (EOG);
• w miarę możliwości okres przechowywania (okres, przez który dane są przydatne z operacyjnego punktu widzenia i z punktu widzenia archiwizacji);
• w miarę możliwości ogólny opis środków bezpieczeństwa.

Odpowiedzialność za rejestr czynności przetwarzania spoczywa na kierowniku Twojej organizacji.

Rejestr ten musi być dostępny – na żądanie - dla organu ochrony danych w kraju EOG, w którym prowadzisz działalność.

Organizacje zatrudniające mniej niż 250 osób nie muszą uwzględniać w swoich rejestrach działalności czysto okazjonalnej (np. danych przetwarzanych w związku z jednorazowymi wydarzeniami, takimi jak otwarcie sklepu).

Więcej informacji:

• Zachowaj zgodność z przepisami

Inspektorzy ochrony danych mogą wykonywać inne zadania w ramach organizacji, ale nie może to prowadzić do konfliktu interesów. Oznacza to, że inspektor ochrony danych nie może zajmować stanowiska, na którym ustala cele i sposoby czynności przetwarzania. Konflikt taki występuje głównie na stanowiskach kierowniczych (dyrektor generalny, dyrektor operacyjny, dyrektor finansowy, szef działu HR, szef działu IT, dyrektor zarządzający), ale może również zachodzić w przypadku innych funkcji, jeżeli wiążą się one z ustalaniem celów i sposobów przetwarzania.

Inspektor ochrony danych musi być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny. Oznacza to, że Twoja organizacja:

• nie może wydawać inspektorowi ochrony danych poleceń dotyczących wykonywania jego obowiązków;
• nie może karać ani odwoływać inspektora ochrony danych za wykonywanie jego zadań.

Więcej informacji:

• Inspektor ochrony danych

RODO ustanawia szczególne prawa osób fizycznych, których należy przestrzegać. Możesz to zrobić poprzez:

• informowanie osób, których dane przetwarzasz, o swoich operacjach przetwarzania i celach przetwarzania, gdy zbierasz ich dane, na przykład za pośrednictwem oświadczenia o ochronie prywatności dostępnego na Twojej stronie internetowej;
• odpowiadanie na żądania osób fizycznych o skorzystanie z przysługujących im praw, takie jak żądania dostępu do danych, ich sprostowania, wyrażenie sprzeciwu, żądanie usunięcia lub przeniesienia danych.

Organizacje, które w sposób przejrzysty podchodzą do wykorzystywania danych osobowych i szanują prawa osób fizycznych, rzadziej stają się przedmiotem skarg.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Naruszenie ochrony danych osobowych jest naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.

• Jeżeli naruszenie ochrony danych stanowi zagrożenie dla osób fizycznych, których sprawa dotyczy, należy zgłosić je właściwemu organowi ochrony danych w ciągu 72 godzin.
• Jeżeli naruszenie może spowodować wysokie ryzyko dla osób fizycznych, należy również bez zbędnej zwłoki powiadomić o tym naruszeniu osoby fizyczne, których sprawa dotyczy.

W każdym przypadku w odniesieniu do wszystkich naruszeń – nawet tych, które nie zostały zgłoszone organowi ochrony danych – należy odnotować co najmniej podstawowe szczegóły naruszenia, jego ocenę, skutki oraz kroki podjęte w reakcji na owo naruszenie.

 Więcej informacji:

• Naruszenia ochrony danych

EROD regularnie publikuje komunikaty prasowe, wiadomości, blogi oraz inne treści na stronie internetowej EROD i na swoich kanałach w mediach społecznościowych (Twitter: @EU_EDPB; Linkedin: Europejska Rada Ochrony Danych), dzięki czemu społeczność zajmująca się ochroną danych i ogół społeczeństwa mogą na bieżąco śledzić jej prace.

Na stronie internetowej EROD znajdują się również dwa kanały RSS, które można zasubskrybować, by automatycznie otrzymywać aktualne wiadomości i najnowsze publikacje EROD.

RODO (ogólne rozporządzenie o ochronie danych) tworzy zharmonizowany zbiór przepisów mających zastosowanie do wszystkich operacji przetwarzania danych osobowych przez organizacje (publiczne lub prywatne, niezależnie od ich wielkości) posiadające jednostkę organizacyjną w Europejskim Obszarze Gospodarczym (EOG) lub ukierunkowane na osoby fizyczne w UE. Głównym celem RODO jest zapewnienie, aby dane osobowe cieszyły się takim samym, wysokim standardem ochrony w całym EOG. Tym samym RODO zwiększa poziom pewności prawa zarówno dla osób fizycznych, jak i organizacji przetwarzających dane, oraz oferuje wysoki stopień ochrony osób fizycznych.

Rozporządzenie weszło w życie 24 maja 2016 r. i ma zastosowanie od 25 maja 2018 r.

Tak, RODO ma zastosowanie, jeżeli dane osobowe są zawarte lub mają być zawarte w zbiorze danych. Oznacza to, że RODO ma również zastosowanie do dokumentacji papierowej, a nie tylko do zautomatyzowanego przetwarzania danych osobowych.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Tak, ale w tym celu należy najpierw określić podstawę prawną przetwarzania tego rodzaju danych osobowych. Przetwarzanie może zostać na przykład uznane za leżące w prawnie uzasadnionym interesie Twojej organizacji. Przy przetwarzaniu danych osobowych na podstawie prawnie uzasadnionego interesu zawsze niezbędne jest przeprowadzenie testu równowagi w celu ustalenia, czy Twoje prawnie uzasadnione interesy przeważają nad prawami osób fizycznych, w szczególności w przypadku dzieci.

Inną możliwą podstawą prawną takiego przetwarzania może być zgoda. Osoby fizyczne powinny być zawsze informowane z wyprzedzeniem, że podczas wydarzenia będą robione zdjęcia lub filmy.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Zgoda mogłaby rzeczywiście stanowić ważną podstawę prawną do przechowywania życiorysów osób ubiegających się o pracę. Inną możliwą podstawą prawną mógłby być prawnie uzasadniony interes. W takim przypadku musiałbyś przeprowadzić test równowagi, aby udowodnić, że prawnie uzasadnione interesy Twojej organizacji przeważają nad prawami kandydatów.

W każdym razie będziesz musiał poinformować kandydatów o zamiarze i celach przechowywania ich danych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. Decydują się oni wspólnie przetwarzać dane osobowe we wspólnym celu. Współadministrowanie może przybierać różne formy, a udział różnych administratorów w owym procesie może być nierówny. Współadministratorzy muszą zatem określić swoje odpowiednie obowiązki w celu zapewnienia zgodności z RODO.

Należy zauważyć, że współadministrowanie prowadzi do wspólnej odpowiedzialności za czynności przetwarzania.

• Przykład współadministrowania: Przedsiębiorstwa A i B wprowadziły na rynek produkt pod wspólną marką i chcą zorganizować wydarzenie promujące ten produkt. W tym celu decydują się na udostępnienie danych ze swoich baz danych aktualnych i potencjalnych klientów przygotowując listę osób zaproszonych na wydarzenie. Uzgadniają również warunki wysyłania zaproszeń na wydarzenie, sposób gromadzenia informacji zwrotnych podczas wydarzenia oraz dalsze działania marketingowe. Przedsiębiorstwa A i B można uznać za współadministratorów danych osobowych związanych z organizacją wydarzenia promocyjnego, ponieważ wspólnie decydują one o wspólnie określonym celu oraz podstawowych środkach przetwarzania danych w tym kontekście.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Administratorzy danych mogą przetwarzać dane osobowe wyłącznie w jednej z następujących sytuacji:

• za zgodą osób fizycznych, których sprawa dotyczy;
• gdy przetwarzanie jest niezbędne do wykonania umowy (umowy między Twoją organizacją a osobą fizyczną);
• w celu wypełnienia obowiązku prawnego wynikającego z przepisów unijnych lub krajowych;
• gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym na mocy przepisów unijnych lub krajowych;
• w celu ochrony żywotnych interesów osoby fizycznej;
• ze względu na prawnie uzasadnione interesy organizacji – z wyjątkiem sytuacji, w których przeważają nad nimi prawa i wolności osób fizycznych.

Ponadto, w RODO ustanowiono dodatkowe warunki przetwarzania danych wrażliwych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Przetwarzanie danych osobowych jest dozwolone, jeżeli istnieje ku temu podstawa prawna. Oprócz dobrowolnej, konkretnej, świadomej i jednoznacznej zgody można wykorzystać inne podstawy prawne przetwarzania.
Innymi słowy, zgoda jest konieczna, gdy nie ma zastosowania żadna z pozostałych podstaw prawnych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Nie, nie musisz posiadać certyfikatu, aby zostać inspektorem ochrony danych.

Inspektorzy ochrony danych muszą jednak być w stanie wykazać, że posiadają niezbędne kwalifikacje wymagane przez RODO, takie jak specjalistyczna wiedza na temat prawa i praktyk w zakresie ochrony danych.

Więcej informacji:

• Inspektor ochrony danych