Poradnik Przedsiębiorcy

RODO - zmiany od 25.05.2018 r. dotyczące ochrony danych osobowych

Przepisy dotyczące ochrony danych osobowych kandydatów do pracy i pracowników określone są w Kodeksie pracy oraz w ustawie o ochronie danych osobowych. 25 maja 2018 roku ma wejść w życie Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO). To rozporządzenie nazywane jest również podstawowym rozporządzeniem o ochronie danych. Nowe przepisy będą obowiązywały we wszystkich państwach członkowskich Unii Europejskiej.

Jak przygotować się do nadchodzących w przyszłym roku zmian w RODO?

W związku ze zmianami, które mają zostać wprowadzone w maju 2018 r., zalecane jest wykonanie audytu przygotowawczego i udokumentowanie:

  • jakie dane osobowe są przetwarzane,

  • skąd pochodzą przetwarzane dane osobowe,

  • co uprawnia do wykorzystywania tych danych,

  • czy te dane są komuś udostępniane (jeżeli tak, to komu),

  • jak zabezpieczane są dane osobowe.

Taka analiza jest potrzebna do prowadzenia od przyszłego roku rejestru czynności przetwarzania. Prowadzenie tego rejestru będzie obowiązkiem przede wszystkim podmiotów zatrudniających powyżej 250 pracowników oraz podmiotów przetwarzających tzw. dane wrażliwe.

Uwaga!

Od 25 maja 2018 r. obowiązkiem dla wielu podmiotów będzie prowadzenie rejestru czynności przetwarzania.

Dane wrażliwe to dane:

  • ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową;

  • o stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym;

  • dotyczące skazań, kar, mandatów, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

Zmiany w RODO dotyczące ochrony danych osobowych od 25 maja 2018 r.

Podstawowe rozporządzenie o ochronie danych osobowych wymaga, aby zostały wprowadzone odpowiednie środki techniczne i organizacyjne, by zapewniony był odpowiedni stopień bezpieczeństwa. W tym celu konieczne będzie stosowanie zatwierdzonego kodeksu postępowania lub uzyskanie odpowiedniego certyfikatu.

Prawo do bycia zapomnianym według RODO

Przepisy RODO mówią również o “prawie do bycia zapomnianym”. Prawo to wprowadza możliwość sprostowania, usunięcia oraz ograniczenia przetwarzania danych osobowych. Zgodnie z tym osoba, której dane osobowe są przetwarzane, może zażądać usunięcia jej danych.

Dane osobowe muszą zostać usunięte w następujących przypadkach:

  • jeśli dane są przetwarzane niezgodnie z prawem;

  • jeśli dane zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego;

  • jeśli dane nie są już niezbędne;

  • jeśli osoba, której dane dotyczą, cofnie zgodę na przetwarzanie jej danych i jeśli dodatkowo nie ma innej podstawy do przetwarzania tych danych;

  • jeśli osoba, której dane dotyczą, wniesie sprzeciw na mocy art. 21 i jeśli dodatkowo nie ma innej nadrzędnej podstawy do przetwarzania tych danych;

  • jeśli dane muszą zostać usunięte, aby wywiązać się z obowiązku prawnego przewidzianego w prawie Unii lub w prawie państwa członkowskiego, do którego przynależy podmiot przetwarzający dane. 

Prawo do przenoszenia danych

Zgodnie z art. 20 Rozporządzenia (RODO) każda osoba będzie miała prawo otrzymania od administratora danych, które mu dostarczyła. Co ważne, prawo przenoszenia nie będzie dotyczyło tylko dostarczonych administratorowi danych, ale wszystkich, jakie zgromadził administrator na temat danej osoby. Dane osobowe powinny zostać przekazane w ustrukturyzowanym formacie (np. w pliku pdf).

Prawo do sprzeciwu

Zgodnie z art. 21 RODO osoba, której dane dotyczą, będzie uprawniona do wniesienia sprzeciwu wobec przetwarzania tych danych osobowych. Sprzeciw musi wynikać z przyczyn związanych ze szczególną sytuacją danej osoby. 

Obowiązek uzyskania zgody na przetwarzanie danych osobowych

Zgodnie z art. 7 RODO na administratorach danych osobowych będzie ciążył obowiązek uzyskania wyraźnej zgody na przetwarzanie danych osobowych.

Dziecko, które ukończyło 16 r.ż. a zgoda na przetwarzanie danych osobowych

Do tej pory nieletni nie mógł wyrazić sam zgody na przetwarzanie danych osobowych, zgody udzielał rodzic lub opiekun prawny. RODO wprowadza możliwość uzyskania takiej zgody od dziecka, które ukończyło 16 r.ż, z tym że obowiązkiem firmy będzie zweryfikowanie, czy zgoda jest wiarygodna. Rozporządzenie to dotyczy przetwarzania danych osobowych w związku z usługami informatycznymi.

Uwaga!

Od 25 maja 2018 r. zgody na przetwarzanie danych osobowych dziecka, które ukończyło 16 r.ż., nie będzie musiał udzielić rodzic lub opiekun prawny.

Możesz ocenić ten artykuł