W pierwszej kolejności należy wyjaśnić, iż zmiany związane są z wejściem w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: rozporządzenie ogólne).
Termin na dostosowanie się do nowych regulacji to 2 lata. Od 25 maja 2018 roku ma być bezpośrednio stosowane przez wszystkie podmioty, których dotyczy. Zatem pomimo, iż mamy jeszcze 2017 rok warto o tym pomyśleć.
Kogo zmiany dotyczą
Zmiany te obejmą podmioty, które przetwarzają i przechowują dane osobowe. Zatem nie ominą sklepów internetowych i to niezależnie czy jest wielkim portalem aukcyjnym, czy niewielkim sklepem, jak i blogów, które gromadzą dane w systemie mailingowym.
Kogo chronią przepisy
Rozporządzenie ma na celu ochronę podstawowych praw i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych.
Zasady przetwarzania danych
Artykuł 5 rozporządzenia wymienia podstawowe zasady, zgodnie z którymi dane osobowe mają być przetwarzane. Są to:
- zgodność z prawem, rzetelność i przejrzystość,
- ograniczenie celu,
- minimalizacja danych,
- prawidłowość,
- ograniczenie przechowywania,
- integralność i poufność.
Jakie zmiany czekają przedsiębiorców
Samo rozporządzenie jest obszerne, dlatego wybrałam najważniejsze w mojej ocenie kwestie.
Zgoda osoby fizycznej na przetwarzanie jej danych
Powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Ponadto, jeżeli przetwarzanie odbywa się na podstawie zgody, Administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie.
Administrator powinien podjąć odpowiednie środki, aby jego komunikacja była zwięzła, przejrzysta, zrozumiała i w łatwo dostępnej formie, podana jasnym i prostym językiem. Szczególnie dotyczy to informacji kierowanych do dziecka.
Przyznanie osobom fizycznym szeregu praw:
- prawo dostępu do danych przysługujące osobie, której dane dotyczą,
- prawo do sprostowania i uzupełnienia danych,
- prawo do usuwania danych (tzw. „prawo do bycia zapomnianym”),
- prawo do ograniczenia przetwarzania danych (przy spełnieniu przesłanek z art. 18 rozporządzenia)
- prawo do przenoszenia danych,
- prawo do sprzeciwu (w razie sprzeciwu Administrator danych będzie musiał wykazać m.in. nadrzędne prawnie uzasadnione podstawy do przetwarzania danych).
Zwiększenie transparentności przedsiębiorstw w zakresie sposobu przetwarzania przez nie danych osobowych
Administrator danych będzie musiał:
- podać swoje dane osobowe
- dane kontaktowe
- wskazać cel przetwarzania danych
- poinformować o okresie, przez który ich dane osobowe będą przechowywanie, konsekwencjach braku podania danych, zasadach profilowania, prawie wniesienia skargi do organu nadzorczego
- dokonać oceny ryzyka związanego z przetwarzaniem danych osobowych
- utworzyć tzw. kodeks postępowań lub zatwierdzonych mechanizmów certyfikacji.
- rejestrować czynności przetwarzania danych osobowych
- poinformować Prezesa UODO (dawniej GIODO), jak i osoby której dane dotyczą o naruszeniu ochrony danych osobowych.
Kontrola
No i na koniec to, o czym najwięcej się mówi. Czekają nas częstsze kontrole. Prezes UODO zostaje wyposażony w kompetencję do nakładania kar finansowych na przedsiębiorców, a także podmioty sektora publicznego.
Wysokość kar będzie mogła wynosić maksymalnie 20 milionów euro albo do 4% światowego obrotu danego przedsiębiorstwa.
Podsumowując, jeżeli jeszcze zwlekałeś na zgłoszenie zbioru danych do GIODO to nie ma na co czekać. Postaraj się także poświęcić trochę czasu, aby prawidłowo przygotować niezbędne dokumenty.