RODO – ZMIANY OD 25.05.2018 DOTYCZĄCE OCHRONY DANYCH OSOBOWYCH
Przepisy dotyczące ochrony danych osobowych kandydatów do pracy i pracowników określone są w Kodeksie pracy oraz w ustawie o ochronie danych osobowych. 25 maja 2018 roku ma wejść w życie Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO). To rozporządzenie nazywane jest również podstawowym rozporządzeniem o ochronie danych. Nowe przepisy będą obowiązywały we wszystkich państwach członkowskich Unii Europejskiej.
Jak przygotować się do nadchodzących w przyszłym roku zmian w RODO?
W związku ze zmianami, które mają zostać wprowadzone w maju 2018 r., zalecane jest wykonanie audytu przygotowawczego i udokumentowanie:
jakie dane osobowe są przetwarzane,
skąd pochodzą przetwarzane dane osobowe,
co uprawnia do wykorzystywania tych danych,
czy te dane są komuś udostępniane (jeżeli tak, to komu),
jak zabezpieczane są dane osobowe.
Taka analiza jest potrzebna do prowadzenia od przyszłego roku rejestru czynności przetwarzania. Prowadzenie tego rejestru będzie obowiązkiem przede wszystkim podmiotów zatrudniających powyżej 250 pracowników oraz podmiotów przetwarzających tzw. dane wrażliwe.
Uwaga!
Od 25 maja 2018 r. obowiązkiem dla wielu podmiotów będzie prowadzenie rejestru czynności przetwarzania.
Dane wrażliwe to dane:
ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową;
o stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym;
dotyczące skazań, kar, mandatów, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
Zmiany w RODO dotyczące ochrony danych osobowych od 25 maja 2018 r.
Podstawowe rozporządzenie o ochronie danych osobowych wymaga, aby zostały wprowadzone odpowiednie środki techniczne i organizacyjne, by zapewniony był odpowiedni stopień bezpieczeństwa. W tym celu konieczne będzie stosowanie zatwierdzonego kodeksu postępowania lub uzyskanie odpowiedniego certyfikatu.
Prawo do bycia zapomnianym według RODO
Przepisy RODO mówią również o “prawie do bycia zapomnianym”. Prawo to wprowadza możliwość sprostowania, usunięcia oraz ograniczenia przetwarzania danych osobowych. Zgodnie z tym osoba, której dane osobowe są przetwarzane, może zażądać usunięcia jej danych.
ZOBACZ TEŻ
Administrator bezpieczeństwa informacji – kim jest?
Dane osobowe zwykłe i wrażliwe
Przetwarzanie danych osobowych – jak cofnąć zgodę?
Dane osobowe muszą zostać usunięte w następujących przypadkach:
jeśli dane są przetwarzane niezgodnie z prawem;
jeśli dane zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego;
jeśli dane nie są już niezbędne;
jeśli osoba, której dane dotyczą, cofnie zgodę na przetwarzanie jej danych i jeśli dodatkowo nie ma innej podstawy do przetwarzania tych danych;
jeśli osoba, której dane dotyczą, wniesie sprzeciw na mocy art. 21 i jeśli dodatkowo nie ma innej nadrzędnej podstawy do przetwarzania tych danych;
jeśli dane muszą zostać usunięte, aby wywiązać się z obowiązku prawnego przewidzianego w prawie Unii lub w prawie państwa członkowskiego, do którego przynależy podmiot przetwarzający dane.
Prawo do przenoszenia danych
Zgodnie z art. 20 Rozporządzenia (RODO) każda osoba będzie miała prawo otrzymania od administratora danych, które mu dostarczyła. Co ważne, prawo przenoszenia nie będzie dotyczyło tylko dostarczonych administratorowi danych, ale wszystkich, jakie zgromadził administrator na temat danej osoby. Dane osobowe powinny zostać przekazane w ustrukturyzowanym formacie (np. w pliku pdf).
Prawo do sprzeciwu
Zgodnie z art. 21 RODO osoba, której dane dotyczą, będzie uprawniona do wniesienia sprzeciwu wobec przetwarzania tych danych osobowych. Sprzeciw musi wynikać z przyczyn związanych ze szczególną sytuacją danej osoby.
Obowiązek uzyskania zgody na przetwarzanie danych osobowych
Zgodnie z art. 7 RODO na administratorach danych osobowych będzie ciążył obowiązek uzyskania wyraźnej zgody na przetwarzanie danych osobowych.
Dziecko, które ukończyło 16 r.ż. a zgoda na przetwarzanie danych osobowych
Do tej pory nieletni nie mógł wyrazić sam zgody na przetwarzanie danych osobowych, zgody udzielał rodzic lub opiekun prawny. RODO wprowadza możliwość uzyskania takiej zgody od dziecka, które ukończyło 16 r.ż, z tym że obowiązkiem firmy będzie zweryfikowanie, czy zgoda jest wiarygodna. Rozporządzenie to dotyczy przetwarzania danych osobowych w związku z usługami informatycznymi.
Uwaga!
Od 25 maja 2018 r. zgody na przetwarzanie danych osobowych dziecka, które ukończyło 16 r.ż., nie będzie musiał udzielić rodzic lub opiekun prawny.
u przedsiębiorstwa (z poprzedniego roku obrotowego).
Uwaga!
Kary za nieprzestrzeganie zasad ochrony danych osobowych będą wynosiły nawet 20 mln euro.
W związku z nadchodzącymi zmianami dotyczącymi ochrony danych osobowych zalecane jest odpowiednie przygotowanie na te zmiany. Do tego czasu warto uporządkować całą dokumentację dotyczącą ochrony danych osobowych, ponieważ przewidywane sankcje będą bardzo dotkliwe.