I.    Informacje ogólne

Prawo do ochrony danych osobowych to tzw. prawo podstawowe zapisane w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej. Ponadto art. 16 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowi, że każda osoba – niezależnie od obywatelstwa czy miejsca zamieszkania – ma prawo do ochrony danych osobowych jej dotyczących.  

Z kolei artykuł 16 ust. 2 TFUE nakłada na instytucje, organy oraz jednostki organizacyjne i agencje Unii oraz państwa członkowskie obowiązek ustanowienia przepisów dotyczących ochrony osób fizycznych w zakresie przetwarzania danych.  

Szybki postęp techniczny i globalizacja stawiają nowe wyzwania w dziedzinie ochrony danych osobowych. Skala zbierania, przechowywania i wymiany danych osobowych stale wzrasta. Zwiększają się także transgraniczne przepływy danych osobowych. Zwiększa się zarówno skala jak i dynamika wymiany danych osobowych pomiędzy różnymi podmiotami również pomiędzy podmiotami publicznymi i prywatnymi, w tym między osobami fizycznymi, zrzeszeniami i przedsiębiorstwami w UE. Uwagi wymaga również fakt, iż na przestrzeni ostatnich lat również osoby fizyczne coraz częściej publicznie i globalnie udostępniają informacje osobowe.

Przemiany te wymagają stabilnych i bardziej spójnych ram ochrony danych osobowych w Unii Europejskiej oraz wprowadzenia mechanizmów ich egzekwowania opartych na zasadzie równorzędności, spójności i jednolitości w całej UE.  

Chcąc sprostać wyzwaniom związanym z masowym przetwarzaniem danych osobowych różnych podmiotów, Unia Europejska przyjęła akt prawny regulujący kwestie dotyczące ochrony tych danych w postaci Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, którego nadrzędnym celem jest harmonizacja prawa materialnego we wszystkich krajach UE. Rozporządzenie o ochronie danych osobowych, które zmienia bardzo wiele regulacji w zakresie ochrony danych osobowych, funkcjonuje także pod nazwą „Rozporządzenie GDPR”. GDPR to akronim angielskiej nazwy tego dokumentu: „The General Data Protection Regulation”.
Warto podkreślić, iż podmioty, które nie dostosują swoich procedur do regulacji Rozporządzenia GDPR do dnia 25 maja 2018 r. muszą się liczyć z potencjalnymi powództwami osób fizycznych w związku z naruszeniem przez administratora danych nowych przepisów dotyczących ochrony danych osobowych.

Rozporządzenie GDPR- co się zmienia?

Rozporządzenie to weszło w życie dnia 24 maja 2016 r., natomiast będzie obowiązywało w państwach członkowskich Unii Europejskiej od dnia 25 maja 2018 r. Oznacza to, że wszystkie operacje przetwarzania danych, które są obecnie prowadzone w państwach UE, muszą być zgodne z tym rozporządzeniem od momentu jego obowiązywania, tj. w dniu 25 maja 2018 roku.  Taka konstrukcja prawna nakłada na administratorów danych obowiązek przeanalizowania wszystkich procesów przetwarzania danych, które obecnie stosują, dokonania rewizji dokumentacji przetwarzania danych np. klauzul informacyjnych, klauzul zgody, które są przez nich stosowane, aby móc wykazać zgodność systemów przetwarzania danych na dzień 25 maja 2018 r.  

Rozporządzenie GDPR zawiera bardzo dużo klauzul generalnych i ogólnych sformułowań, w wielu miejscach jest także technologicznie neutralne, po to, by jego przepisy były dla administratorów aktualne nawet za kilka lat, kiedy pojawią się nowe wyzwania technologiczne i nowe zagrożenia.

Omawiane Rozporządzenie prezentuje nowe podejście do zarządzania systemem przetwarzania danych osobowych, odchodzi bowiem od obowiązków notyfikacyjnych, a więc rezygnuje z dodatkowych i zbiurokratyzowanych obowiązków dla administratorów rejestracji zbiorów danych, gdyż z dniem 25 maja 2018 r. znika obowiązek rejestracji tych zbiorów.

Rozporządzenie GDPR przenosi także na administratorów danych większy ciężar odpowiedzialności za przetwarzanie danych osobowych. Administrator, uwzględniając stan wiedzy technologicznej oraz charakter, zakres, cel przetwarzanych danych, samodzielnie decyduje jakie środki organizacyjne i techniczne ma wybrać. Decyduje, jak powinien zabezpieczyć dane, odnosząc się przede wszystkim do ryzyka, jakie może nieść to przetwarzanie dla praw i wolności osób, czyli dla ich prywatności. Zgodnie z podejściem opartym na ryzyku, Rozporządzenie GDPR zmusza więc administratorów danych do tego, aby samodzielnie i odpowiedzialnie zaczęli decydować o tym, w jaki sposób obchodzą się z danymi osobowymi (np. w oparciu o system ISO, politykę bezpieczeństwa, krajowe ramy interoperacyjności). Wykazywanie zgodności jest jedną z podstawowych zasad wynikających z omawianego Rozporządzenia. Każdy administrator bowiem, nie tylko sam decyduje jakie środki wdroży, ale potem będzie musiał wykazać, że środki jakie wdrożył zapewniają, to że przetwarzanie danych spełnia wszystkie wymogi, wynikające z ww. Rozporządzenia jak np. obowiązek informacyjny albo obowiązek związany z dostępem osób, których dane dotyczą do danych, które są przetwarzane. Rozporządzenie wdraża kilka instrumentów prawnych, które pomogą administratorom danych w wykazywaniu wspomnianej zgodności. Jednym z nich jest ocena skutków dla ochrony danych. Wszędzie tam, gdzie dany rodzaj przetwarzania może oznaczać wysokie ryzyko dla naruszenia praw i wolności, administrator będzie musiał przeprowadzić ocenę skutków dla ochrony danych. Będzie więc musiał dokonać udokumentowanej analizy, że wdrażając określone rozwiązanie, na samym początku wdrażania usługi lub aplikacji, przeanalizował możliwe ryzyka dla ochrony danych i wskazał środki służące minimalizacji tych ryzyk.

Rozporządzenie GDPR wprowadza około 60 obszarów, które każde z państw członkowskich będzie mogło uregulować odrębnie. I tak np. polskie podmioty publiczne będą podlegały karom administracyjnym za naruszenie zasad ochrony danych osobowych do wysokości 100.000 PLN.  Poza tym, Polska obniży granicę wieku od jakiej dzieci będą mogły samodzielnie (a więc bez zgody rodziców, opiekunów prawnych) wyrażać zgodę na przetwarzanie danych osobowych w ramach świadczonych usług społeczeństwa informacyjnego (przy zakładaniu kont e-mailowych, dostępie do portali społecznościowych) - tj. od 13 roku życia (natomiast w Rozporządzeniu granicą jest 16 lat).

Warto zwrócić uwagę, iż Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników, w związku z zatrudnieniem (do celów procedury rekrutacyjnej, wykonywania umowy o pracę, w tym zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy oraz do korzystania ze świadczeń związanych z zatrudnieniem, czy kończących stosunek pracy).

Wśród przepisów tych muszą się znaleźć odpowiednie, szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych.

Państwa członkowskie muszą również wdrożyć przepisy pozwalające pogodzić prawo do ochrony danych osobowych z prawem do wolności wypowiedzi i informacji, w tym do przetwarzania danych osobowych dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej.

W Rozporządzeniu GDPR pojawia się także instytucja o nazwie „kodeks postępowania”, który będzie mogło przyjąć określone grono administratorów danych zrzeszonych w jakimś gremium (izba, związek, stowarzyszenie). „Kodeks postępowania”, czyli zespół zasad, za pomocą, których będzie można doprecyzować zapisy Rozporządzenia. Będzie w nim można np. doprecyzować przepisy jak zabezpieczać dane (wskazać konkretne środki bezpieczeństwa) albo zawrzeć w nim przykładowe klauzule informacyjne albo klauzule zgody. Kodeks będzie zatwierdzany przez generalnego inspektora, a poza tym będzie mógł być elementem wykazywania zgodności z przepisami rozporządzenia.  

II.    Charakterystyka przedmiotu regulacji - kluczowe uregulowania

Rozporządzenie GDPR zmienia zasady dostępu do danych osobowych i zasady ich przetwarzania. Wprowadza wiele nowych praw, m.in. przyznaje osobom fizycznym tzw. „prawo do bycia zapomnianym” oraz wprowadza obowiązek raportowania naruszeń bezpieczeństwa danych osobowych w ciągu 72 godzin. Z dniem 25 maja 2018 r. przedmiotowe Rozporządzenie wchodzi do porządku prawnego wszystkich krajów członkowskich UE bezpośrednio, tj. bez potrzeby wydawania dodatkowych aktów prawnych implementujących je do porządków krajowych. Oznacza to m.in., że jeśli administratorzy danych naruszą prawa osób fizycznych, to osoby te z dniem 25 maja 2018 r. będą miały prawo do dochodzenia swych praw przed sądami, powołując się bezpośrednio na ww. Rozporządzenie.  

Materialny zakres stosowania rozporządzenia

Rozporządzenie GDPR ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany (np. przetwarzanie ręczne) danych osobowych stanowiących lub mających stanowić część ustrukturyzowanego zbioru danych, dostępnych według szczegółowych kryteriów. Ochrona zapewniona niniejszym rozporządzeniem ma zastosowanie do osób fizycznych – niezależnie od ich obywatelstwa czy miejsca zamieszkania – w związku z przetwarzaniem ich danych osobowych.

Wyłączenia stosowania rozporządzenia

Uwagi wymaga fakt, iż Rozporządzenie GDPR nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną, w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej. Ma ono jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.

Rozporządzenie GDPR nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii.

Niniejsze Rozporządzenie nie dotyczy również przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej.

Omawiane Rozporządzenie znajduje zastosowania do przetwarzania anonimowych informacji (czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować), w tym przetwarzania do celów statystycznych lub naukowych.

Rozporządzenie GDPR nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą jednak przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych.

Zasady dotyczące przetwarzania danych osobowych

Rozporządzenie GDPR wprowadza następujące zasady dotyczące przetwarzania danych osobowych:

1)    zasadę przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty (zasada zgodności z prawem, rzetelności i przejrzystości),
2)    zasadę zbierania danych w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz  zakaz ich dalszego przetwarzania w sposób niezgodny z tymi celami (zasada ograniczenia celu),
3)    dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zasada minimalizacji danych),
4)    dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane; dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą być niezwłocznie usunięte lub sprostowane (zasada prawidłowości),
5)    zasadę, że dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 (zasada ograniczenia przechowywania),
6)    dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (zasada integralności i poufności),
7)    administrator danych zobowiązany jest do przestrzegania wyżej wymienionych zasad i musi być w stanie wykazać ich przestrzeganie (zasada rozliczalności).

Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny.

Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane

z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacjach, mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy. Także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. W praktyce, zasada przejrzystości oznacza, iż zakazane będą klauzule wpisywane np. drobnym drukiem, czy też wplatane w długi i skomplikowany tekst.
Konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to, w szczególności, zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym ochronę przed nieuprawnionym dostępem do nich i do sprzętu służącego ich przetwarzaniu oraz przed nieuprawnionym korzystaniem z tych danych i z tego sprzętu.

Aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem.

Zasady ochrony danych mają zastosowanie do wszelkich informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, w tym do informacji, których nie da się już przypisać konkretnej osobie bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie („pseudonimizacja”).

Prawa osób fizycznych których dane są przetwarzane:

a)    prawo dostępu do własnych danych osobowych i informacji,
b)    żądanie sprostowania i uzupełnienia własnych danych,
c)    prawo do odwołania zgody na przetwarzanie danych,
d)    prawo do „bycia zapomnianym,
e)    prawo przeniesienia danych.
Osobie fizycznej przysługiwać będzie prawo do informacji o:
a)    tożsamości i danych kontaktowych administratora,
b)    celu przetwarzania danych osobowych,
c)    tym, czy dane osobowe są lub będą wykorzystywane do profilowania,
d)    odbiorcach danych osobowych,
e)    okresie przechowywania danych osobowych albo kryteriach definiujących ten okres,
f)    przysługujących mu prawach.
Zgodność przetwarzania z prawem
Przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków:
a)    osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów,
b)    przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
c)    przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
d)    przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
e)    przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
f)    przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

Warto zwrócić uwagę, iż organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są im niezbędne do przeprowadzenia określonego postępowania. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych.

Przetwarzanie danych osobowych może być zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią. Takie prawnie uzasadnione interesy nie wystarczają jednak, aby przetwarzanie było zgodne z prawem, jeżeli nadrzędny charakter wobec nich mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, zwłaszcza gdy osobą tą jest dziecko.

Zgoda na przetwarzanie danych osobowych

Zgoda na przetwarzanie danych osobowych powinna być wyrażona w drodze jednoznacznej, dobrowolnej, świadomej i potwierdzającej czynności, oznaczającej przyzwolenie osoby, której dane dotyczą, na przetwarzanie jej danych osobowych. Czynność wyrażenia zgody może mieć na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może ona polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że ta osoba zaakceptowała proponowane przetwarzanie jej danych osobowych. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy. Osoba, której dane dotyczą może również w dowolnym momencie wycofać zgodę.

Jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że ta osoba wyraziła zgodę na operację przetwarzania. W szczególności, w przypadku pisemnego oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu.

Dla uznania, że wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych. Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.

Publikacja 2 części za tydzień.

Radca Prawny Mateusz Romowicz

Beata Edyta Madejska - prawnik specjalizujący się w prawie UE

Więcej informacji dotyczących pracy Kancelarii znajdą Państwo na stronie kancelaria-gdynia.eu , prawo-korporacyjne.pl

Znajdź nas na facebook