RODO (GDPR) to skrót od Rozporządzenia o Ochronie Danych Osobowych, czyli unijnych przepisów regulujących zasady przetwarzania i ochrony danych osobowych osób fizycznych.
Pełna nazwa aktu prawnego to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku. Angielska nazwa rozporządzenia to General Data Protection Regulation (GDPR).
RODO zaczęło być stosowane 25 maja 2018 roku i zastąpiło wcześniejsze przepisy dotyczące ochrony danych osobowych obowiązujące w Unii Europejskiej.
Celem RODO jest przede wszystkim zwiększenie kontroli osób nad ich danymi osobowymi oraz ujednolicenie zasad ich przetwarzania w państwach Unii Europejskiej.
Czym są dane osobowe?
RODO dotyczy danych osobowych, czyli informacji pozwalających bezpośrednio lub pośrednio zidentyfikować konkretną osobę.
Może to być między innymi:
- imię i nazwisko,
- adres zamieszkania,
- adres e-mail,
- numer telefonu,
- numer identyfikacyjny,
- adres IP w określonych sytuacjach,
- dane dotyczące lokalizacji,
- identyfikatory internetowe,
- dane dotyczące zdrowia lub inne szczególne kategorie danych.
Nie każda informacja o człowieku automatycznie będzie jednak daną osobową. Znaczenie ma możliwość powiązania informacji z konkretną osobą.
Kogo obowiązuje RODO?
RODO obowiązuje przede wszystkim organizacje, które przetwarzają dane osobowe osób znajdujących się na terenie Unii Europejskiej, jeżeli spełniają warunki określone w rozporządzeniu.
Dotyczy to między innymi:
- przedsiębiorstw,
- sklepów internetowych,
- banków,
- instytucji publicznych,
- pracodawców,
- aplikacji internetowych,
- serwisów społecznościowych,
- stron internetowych przetwarzających dane użytkowników.
Przepisy mogą mieć zastosowanie również do podmiotów spoza Unii Europejskiej, jeżeli oferują towary lub usługi osobom w UE albo monitorują ich zachowanie w zakresie objętym rozporządzeniem.
Najważniejsze zasady RODO
RODO opiera się na kilku podstawowych zasadach dotyczących przetwarzania danych.
Zgodność z prawem, rzetelność i przejrzystość
Dane powinny być przetwarzane zgodnie z prawem, w sposób uczciwy i zrozumiały dla osoby, której dotyczą.
Ograniczenie celu
Dane powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach.
Minimalizacja danych
Organizacja powinna zbierać tylko takie dane, które są potrzebne do określonego celu.
Prawidłowość
Dane powinny być prawidłowe i w razie potrzeby aktualizowane.
Ograniczenie przechowywania
Danych nie powinno się przechowywać dłużej, niż jest to potrzebne do realizacji określonego celu, z uwzględnieniem obowiązków prawnych.
Integralność i poufność
Administrator danych powinien stosować odpowiednie środki zabezpieczające dane przed nieuprawnionym dostępem, utratą lub zniszczeniem.
Zgoda na przetwarzanie danych
Jednym z najbardziej znanych elementów RODO jest zgoda na przetwarzanie danych osobowych.
Nie oznacza to jednak, że każdorazowo trzeba uzyskać zgodę osoby, aby legalnie przetwarzać jej dane. RODO przewiduje kilka podstaw prawnych przetwarzania danych.
Mogą nimi być między innymi:
- zgoda osoby,
- wykonanie umowy,
- obowiązek prawny,
- ochrona żywotnych interesów,
- zadanie realizowane w interesie publicznym,
- prawnie uzasadniony interes administratora.
Dlatego komunikat „zaakceptuj RODO” jest pewnym uproszczeniem. RODO nie jest zgodą ani dokumentem, który użytkownik po prostu akceptuje. Jest rozporządzeniem określającym zasady przetwarzania danych.
Prawa osoby, której dane dotyczą
RODO przyznaje osobom fizycznym szereg praw związanych z ich danymi.
W zależności od sytuacji mogą one obejmować między innymi:
- prawo dostępu do danych,
- prawo do ich sprostowania,
- prawo do usunięcia danych,
- prawo do ograniczenia przetwarzania,
- prawo do przenoszenia danych,
- prawo do sprzeciwu wobec przetwarzania,
- prawo do cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody.
Zakres poszczególnych praw zależy jednak od konkretnej podstawy prawnej i okoliczności przetwarzania.
RODO a cookies
RODO jest często łączone z plikami cookies, ale nie są to dokładnie te same regulacje.
Cookies mogą wiązać się z przetwarzaniem danych osobowych, ale zasady dotyczące przechowywania i uzyskiwania dostępu do informacji na urządzeniu użytkownika wynikają również z innych przepisów, w tym regulacji dotyczących prywatności w komunikacji elektronicznej.
Dlatego samo wyświetlenie banera cookies nie oznacza po prostu „wdrożenia RODO”.
RODO a firmy internetowe
Dla właścicieli stron internetowych RODO ma znaczenie między innymi w przypadku:
- formularzy kontaktowych,
- newsletterów,
- kont użytkowników,
- sklepów internetowych,
- analityki internetowej,
- narzędzi marketingowych,
- reklam internetowych,
- systemów obsługi klienta.
Firma musi wiedzieć, jakie dane zbiera, w jakim celu je wykorzystuje, na jakiej podstawie prawnej je przetwarza oraz komu mogą być przekazywane.
Istotne jest również odpowiednie zabezpieczenie danych.
Kary za naruszenie RODO
RODO przewiduje możliwość nakładania wysokich administracyjnych kar pieniężnych za niektóre naruszenia przepisów.
W najpoważniejszych przypadkach maksymalna wysokość kary może wynosić do 20 mln euro albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – przy czym zastosowanie ma wyższa z tych kwot.
Nie oznacza to jednak, że każda firma naruszająca RODO automatycznie otrzymuje karę w maksymalnej wysokości. Przy ustalaniu sankcji uwzględnia się między innymi charakter, wagę i czas trwania naruszenia oraz inne okoliczności określone w przepisach.
RODO a inwestorzy i rynek
RODO ma również znaczenie gospodarcze. W gospodarce cyfrowej dane użytkowników są istotnym zasobem wykorzystywanym między innymi w marketingu, reklamie, analityce i rozwoju produktów.
Ograniczenia dotyczące sposobu gromadzenia i wykorzystywania danych mogą wpływać na modele biznesowe firm technologicznych i reklamowych.
Dla inwestora oznacza to, że regulacje dotyczące prywatności mogą być jednym z czynników wpływających na działalność przedsiębiorstw opartych na danych.
RODO a GDPR
RODO i GDPR oznaczają ten sam akt prawny.
- RODO – polski skrót od „Rozporządzenia o Ochronie Danych Osobowych”.
- GDPR – angielski skrót od „General Data Protection Regulation”.
W innych językach stosuje się odpowiedniki skrótu GDPR, dlatego w materiałach dotyczących technologii i biznesu można spotkać oba określenia.
Podsumowanie
RODO (GDPR) to unijne rozporządzenie regulujące zasady ochrony i przetwarzania danych osobowych. Określa między innymi, jakie zasady powinny obowiązywać przy zbieraniu i wykorzystywaniu danych oraz jakie prawa przysługują osobom, których dane dotyczą.
RODO ma znaczenie nie tylko dla urzędów i dużych korporacji, ale również dla małych firm, sklepów internetowych, aplikacji i właścicieli stron WWW. W gospodarce cyfrowej przepisy te mają również wpływ na sposób funkcjonowania firm, których modele biznesowe opierają się na gromadzeniu i analizowaniu danych użytkowników.
