RODO

Przegląd

Ogólne rozporządzenie o ochronie danych (RODO) jest kamieniem węgielnym prawa ochrony danych UE. Zastąpiło dyrektywę o ochronie danych 95/46/WE i znacząco wzmocniło prawa osób fizycznych do ich danych osobowych, jednocześnie nakładając kompleksowe obowiązki na administratorów i podmioty przetwarzające dane.^[1]

RODO ma zastosowanie do każdej organizacji przetwarzającej dane osobowe osób w UE, niezależnie od miejsca jej siedziby. Ten zakres terytorialny sprawił, że RODO stało się de facto globalnym standardem ochrony danych.^[2]

Kto musi przestrzegać

• Administratorzy danych: Organizacje, które określają cele i sposoby przetwarzania danych osobowych
• Podmioty przetwarzające: Organizacje przetwarzające dane osobowe w imieniu administratorów
• Podmioty spoza UE: Każda organizacja oferująca towary/usługi mieszkańcom UE lub monitorująca ich zachowanie
• Wszystkie sektory: Obowiązuje we wszystkich branżach z ograniczonymi wyjątkami dla organów ścigania i bezpieczeństwa narodowego

Kluczowe wymagania dla programistów

Podstawa prawna przetwarzania

Każda operacja przetwarzania musi mieć ważną podstawę prawną zgodnie z artykułem 6:^[3]

1. Zgoda: Dobrowolna, konkretna, świadoma i jednoznaczna
2. Umowa: Niezbędna do wykonania umowy z osobą, której dane dotyczą
3. Obowiązek prawny: Wymagany przez prawo UE lub państwa członkowskiego
4. Życiowe interesy: Ochrona życia osoby, której dane dotyczą, lub innej osoby
5. Interes publiczny: Niezbędne do wykonania zadania w interesie publicznym lub w ramach władzy publicznej
6. Uzasadnione interesy: Zrównoważone z prawami osoby, której dane dotyczą (niedostępne dla organów publicznych)

Wymagania techniczne

• Minimalizacja danych: Zbieraj tylko to, co jest niezbędne do określonego celu
• Ograniczenie przechowywania: Przechowuj dane osobowe tylko tak długo, jak jest to konieczne
• Integralność i poufność: Wdrażaj odpowiednie środki bezpieczeństwa
• Ochrona danych w fazie projektowania i domyślnie: Wbuduj ochronę danych w systemy od samego początku (artykuł 25)^[4]

Prawa osób, których dane dotyczą

Aplikacje muszą wspierać następujące prawa:

Zgłaszanie naruszeń

• Do organu nadzorczego: W ciągu 72 godzin od uzyskania wiedzy (artykuł 33)^[5]
• Do osób, których dane dotyczą: Bez zbędnej zwłoki, gdy istnieje wysokie ryzyko dla praw i wolności (artykuł 34)
• Dokumentacja: Prowadzenie rejestru wszystkich naruszeń niezależnie od obowiązku zgłoszenia

Kary

RODO ustanawia dwustopniową strukturę kar:

• Niższy poziom: Do 10 milionów euro lub 2% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa
• Wyższy poziom: Do 20 milionów euro lub 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa^[6]

Największe nałożone kary obejmują:

• Amazon (Luksemburg, 2021): 746 milionów euro
• Meta/Facebook (Irlandia, 2023): 1,2 miliarda euro
• Google (Francja, 2022): 90 milionów euro

Lista kontrolna wdrożenia

• Identyfikacja wszystkich działań przetwarzania danych osobowych
• Ustalenie podstawy prawnej dla każdej operacji przetwarzania
• Wdrożenie zarządzania zgodami, jeśli dotyczy
• Utworzenie informacji o prywatności spełniających wymogi przejrzystości
• Budowa mechanizmów obsługi żądań osób, których dane dotyczą
• Wdrożenie odpowiednich środków bezpieczeństwa
• Ustanowienie procedur wykrywania i zgłaszania naruszeń
• Przeprowadzenie oceny skutków dla ochrony danych przy przetwarzaniu wysokiego ryzyka
• Powołanie inspektora ochrony danych, jeśli jest wymagany
• Prowadzenie rejestru czynności przetwarzania (RoPA)