Ochrona danych osobowych

Książki i inne publikacje z zakresu ochrony danych osobowych (RODO)

Od 25 maja 2018 r, czyli od dnia wejścia w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.)(dalej: RODO), ochrona danych osobowych stała się przedmiotem zainteresowania, z którym dotychczas nie mieliśmy w Polsce do czynienia. Wspomniany rok 2018 to okres wielkiego zapotrzebowania na wszelką wiedzą z tego zakresu. I choć mija już kilka lat od wejścia w życie RODO, to wspomniane zapotrzebowanie nadal jest bardzo duże.

W efekcie, prawnicy obsługujący podmioty, które przetwarzają dane osobowe osób fizycznych, ale również administratorzy danych osobowych, inspektorzy danych osobowych, czy inne osoby i podmioty przetwarzające dane osobowe muszą zadbać, by wspomniane dane były należycie chronione, bo konsekwencje prawne ich naruszenia, mogą być daleko idące. Stąd książki (monografie, poradniki, komentarze) i inne publikacje dostępne w formie papierowej jak i elektronicznej (np. ebooków), powinny stanowić lekturę obowiązkową każdego radcy prawnego, adwokata, czy innej osoby, która ma kontakt z danymi osobowymi i ich przetwarzaniem. Temat ochrony danych osobowych pojawia się bowiem zarówno w ramach działalności podmiotów prywatnych, jak i instytucji publicznych.

Przetwarzanie i ochrona danych ma bowiem miejsce w wielu obszarach aktywności, m.in. w:

• sprawach pracowniczych,
• administracji publicznej,
• oświacie,
• ochronie zdrowia,
• zamówieniach publicznych,
• bankowości,
• usługach telekomunikacyjnych.

Dane osobowe - pojęcie

Danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą").

Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak:

• imię i nazwisko,
• numer identyfikacyjny,
• dane o lokalizacji,
• identyfikator internetowy,
• jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Pojęcie danych osobowych nie obejmuje:

• osób prawnych,
• innych jednostek organizacyjnych.

Danymi osobowymi nie są informacje anonimowe. Informacje anonimowe nie pozwalają bowiem zidentyfikować konkretnej osoby.

Dane wrażliwe (in. dane sensytywne)

Dane ujawniające:

• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,

a także:

• dane genetyczne,
• dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej,
• dane dotyczące zdrowia,
• dane dotyczące seksualności lub orientacji seksualnej,

co do zasady objęte są zakazem przetwarzania. Związane jest to z tym, że z założenia ich przetwarzanie naruszać może prywatność (a nawet sferę intymności) danej osoby. Zakaz przetwarzania nie ma jednak charakteru absolutnego. RODO, w określonych wypadkach, dopuszcza takową możliwość.

Inne pojęcia kluczowe dla ochrony danych osobowych

Z ochroną danych osobowych wiąże się szereg pojęć, procesów, czynności i innych zdarzeń, które nie zawsze są łatwe do odkodowania, a często pojawiają się w ich kontekście. Do kluczowych należą takie zagadnienia, jak:

• przetwarzanie danych osobowych - operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taka jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
• zbiór danych - uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie;
• administrator danych osobowych - osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;
• inspektor ochrony danych osobowych - osoba fizyczna wyznaczona przez administratora (lub podmiot przetwarzający), która ma za zadanie wspierać administratora (lub podmiot przetwarzający) w przestrzeganiu przepisów o ochronie danych osobowych poprzez m.in. informowanie i doradzanie administratorowi (lub podmiotowi przetwarzającemu) oraz osobom zatrudnionym przy przetwarzaniu w zakresie ochrony danych osobowych; monitorowanie przestrzegania przepisów o ochronie danych; współpracę z organem nadzorczym i pełnienie funkcji punktu kontaktowego;
• podmiot przetwarzający dane osobowe - osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora;
• osoba upoważniona do przetwarzania danych osobowych - każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych;
• odbiorca danych osobowych - osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią (czyli osobą fizyczną lub prawną, organem publicznym, jednostką lub podmiotem innym niż osoba, której dane dotyczą, administratorem, podmiotem przetwarzającym czy osobami, które - z upoważnienia administratora lub podmiotu przetwarzającego - mogą przetwarzać dane osobowe);
• zgoda osoby, której dane dotyczą na przetwarzanie danych osobowych - dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;
• naruszenie ochrony danych osobowych - naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
• dane genetyczne - dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej;
• dane biometryczne - dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
• dane dotyczące zdrowia - dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia.

Zasady przetwarzania danych osobowych

Administrator danych osobowych w swojej działalności musi być w stanie wykazać przestrzeganie zasad odnoszących się do sposobu przetwarzania danych (art. 5 ust. 1 RODO), do których zalicza się:

• zasadę zgodności z prawem, rzetelności i przejrzystości;
• zasadę celowości (ograniczenia celu);
• zasadę adekwatności i ograniczenia zakresu danych (minimalizacji danych);
• zasadę merytorycznej poprawności (prawidłowości danych);
• zasadę czasowego ograniczenia przechowywania danych;
• zasadę zabezpieczenia (bezpieczeństwa) danych (integralności i poufności danych).

Prawa osób, których dane poddawane są przetwarzaniu

Osoby, których dane poddawane się przetwarzaniu, nie tracą nad tym kontroli. RODO zabezpiecza ich prawa, gwarantując:

• prawo dostępu do danych (art. 15 RODO);
• prawo do sprostowanie danych (art. 16 RODO);
• prawo do bycia zapomnianym (prawo do usunięcia danych) (art. 17 RODO);
• prawo do ograniczenia przetwarzania danych (art. 18 RODO);
• prawo do przenoszenia danych (art. 20 RODO);
• prawo do sprzeciwu (art. 21 RODO);
• prawo do niepodlegania decyzji opartych na zautomatyzowanym przetwarzaniu (art. 22 RODO).

Źródła prawa ochrony danych osobowych

Ochrona danych osobowych swoją genezę wiąże z prawem do prywatności (art. 47 Konstytucji RP), a dokładne z ochroną prawa do prywatności. Z uwagi jednak na zmiany społeczne, czy szerzej cywilizacyjne, i związane z tym potrzeby coraz bardziej rozbudowanej regulacji prawnej, obecnie jest to przedmiot oddzielnych analiz i regulacji właśnie.

Przepisy dotyczące ochrony danych osobowych są rozproszone w bardzo wielu aktach prawnych poczynając od:

• 51 Konstytucji RP
• 16 Traktatu o funkcjonowaniu Unii Europejskiej,

poprzez:

• ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych,

skończywszy na wielu, bardziej szczegółowych

• aktach prawa unijnego,
• polskiego prawa resortowego, czy
• aktach różnych korporacji zawodowych.

Kluczowe znaczenie ma jednak RODO, w którym m.in. uregulowano zagadnienia takie jak:

• definicje kluczowych pojęć związanych z ochroną danych osobowych,
• zasady przetwarzania danych;
• prawa osoby, której dane dotyczą
• obowiązki administratorów i podmiotów przetwarzających
• zasady przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych,
• status, zadania i uprawnienia niezależnych organów nadzorczych,
• środki ochrony prawnej,
• zasady odpowiedzialności i sankcje związane z naruszeniem danych osobowych.

Istotnym uzupełnieniem regulacji unijnej jest wskazana wyżej ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, która reguluje m.in.

• kwestię organu właściwego w sprawie ochrony danych osobowych (Prezesa Urzędu Ochrony Danych Osobowych - PUODO);
• postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych;
• tryb europejskiej współpracy administracyjnej;
• kontrolę przestrzegania przepisów o ochronie danych osobowych;
• odpowiedzialność cywilną za naruszenie przepisów o ochronie danych osobowych i postępowanie przed sądem;
• odpowiedzialność karną i administracyjne kary pieniężne za naruszenie przepisów o ochronie danych osobowych.

Nie można też zapomnieć o tzw. dyrektywie policyjnej, czyli dyrektywie Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz. U. UE. L. z 2016 r. Nr 119, str. 89 z późn. zm.) i implementującej ją ustawie z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

Niebagatelną rolę odgrywa również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz. U. UE. L. z 2018 r. Nr 295, str. 39).