Przepisy prawa w zakresie ochrony danych osobowych

Ogólne rozporządzenie o ochronie danych przyjęto 27 kwietnia 2016 roku, po czym po dwuletnim okresie przejściowym w maju 2018 roku zaczęło obowiązywać we wszystkich krajach członkowskich Unii Europejskiej bezpośrednio, bez potrzeby wydawania aktów wykonawczych wdrażających je do porządku krajowego. Wraz z dyrektywą o ochronie danych w obszarze policji i wymiaru sprawiedliwości stanowi ono część pakietu UE (rozporządzenia parlamentu europejskiego) dotyczącego reformy ochrony danych.

Celem nowelizacji przepisów o ochronie danych była potrzeba osiągnięcia pełnej harmonizacji prawa w ramach UE i swobodnego przepływu danych osobowych, zmniejszenie biurokratyzacji oraz dostosowanie przepisów do realiów XXI wieku. Rozporządzenie pozwala obywatelom Unii na większą kontrolę własnych danych osobowych oraz gwarantuje im ochronę tych danych adekwatną do zagrożeń płynących ze stosowania nowoczesnych technologii. 

Nowe prawo wprowadza m.in.: 

• aktywne podejście do ochrony danych – RODO nie wytycza sztywnych ram w zakresie przetwarzania i zabezpieczenia danych osobowych, a wybór odpowiednich środków i narzędzi pozostawia administratorowi;
• łatwiejszy dostęp do danych – zapewnienie przejrzystych i zrozumiałych informacji na temat sposobu przetwarzania danych przez administratorów, zakresu danych, które posiadają o konkretnej osobie czy też poznanie źródła baz danych;
• prawo do przenoszenia danych – ułatwia przesyłanie danych osobowych pomiędzy dostawcami usług na życzenie osoby, której dane dotyczą;
• prawo do usunięcia danych („prawo do bycia zapomnianym”);
• prawo do bycia poinformowanym o naruszeniach danych – administrator ma obowiązek zawiadomić każdą osobę fizyczną, której prawa i wolnościzostały naruszone w wyniku negatywnego zdarzenia; 
• nowe techniki ochrony – anonimizacja, pseudonimizacja oraz szyfrowanie;
• ochronę danych w fazie projektowania (privacy by design) – myślenie o ochronie danych osobowych na etapie projektowania nowych procesów i systemów; rozwiązania dotyczące ochrony danych mają być integralnym elementem każdego nowego przedsięwzięcia, a nie stanowić do niego dodatek;
• samokontrolę przetwarzania danych osobowych – każdy administrator ma obowiązek oceniać i monitorować ryzyko związane z przetwarzaniem danych, być w stałym kontakcie z UODO oraz w razie konieczności informować o naruszeniach wszystkie strony zainteresowane. 

RODO to również zmiany w systemie nadzoru oraz roli organów nadzorczych poszczególnych państw członkowskich. Jednostki te zyskały znacząco większe uprawnienia w zakresie przeprowadzania kontroli, wydawania upomnień, ostrzeżeń oraz nakładania pieniężnych kar administracyjnych. Rozporządzenie wyróżnia dwa przedziały kar:

• do 10 mln euro (lub do 2% całkowitego rocznego światowego obrotu danego przedsiębiorstwa) – kara dotyczy naruszeń wynikających z niewywiązywania się przez administratorów z obowiązków nakładanych przez prawodawcę;
• do 20 mln euro (lub do 4% całkowitego rocznego światowego obrotu danego przedsiębiorstwa) – złamanie podstawowych zasad przetwarzania danych w zakresie zgód, realizacji praw osób czy przekazywania danych poza europejski obszar gospodarczy. 

Każda osoba fizyczna, która uzna, że incydent bezpieczeństwa godził w jej prawa lub wolności ma również prawo wystąpić do administratora danych z roszczeniami o odszkodowanie za poniesioną szkodę.

Ustawa o ochronie danych osobowych została uchwalona dnia 10 maja 2018 r. przez sejm RP VIII kadencji zastępując tym samym obowiązującą dotychczas ustawę z dnia 29 sierpnia 1997. 

Nowa ustawa ma zapewnić stosowanie ogólnego rozporządzenia o ochronie danych (RODO) oraz rozszerzać części przepisów w nim przywołanych, w taki sposób, aby były one adekwatne do krajowego ustawodawstwa. 

Opisano w niej szczegółowo zagadnienia zakresu ochrony danych osobowych związane z: 

• wyznaczaniem Inspektora ochrony danych, 
• certyfikacją podmiotów w zakresie RODO, 
• branżowymi kodeksami postępowania,
• rolą Urzędu Ochrony Danych Osobowych i jego Prezesa jako organu nadzorczego, ▪
• postępowaniem w sprawach naruszeń przepisów, 
• prowadzeniem kontroli urzędowych.

Na mocy ustawy powołano nowy organ nadzorczy – Prezesa Urzędu Ochrony Danych Osobowych, w miejsce dotychczasowego Generalnego Inspektora Ochrony Danych (GIODO). Określono ścisłe kryteria dla osób ubiegających się o to stanowisko, czas kadencji oraz przydzielono uprawnienia. 

Na co warto również zwrócić uwagę – polska ustawa doprecyzowuje art. 79 RODO dotyczący prawa każdego podmiotu do skutecznego środka ochrony prawnej przed sądem w sytuacji uznania, że przysługujące jej prawa zostały naruszone. Na mocy ustawodawstwa krajowego do roszczeń opisanych powyżej zastosowanie ma Kodeks cywilny, a organem właściwym rozpatrywania wniosków jest sąd okręgowy.  

Co więcej, ograniczono również wysokość kar pieniężnych do 100 tys. zł dla jednostek sektora finansów publicznych, instytutów badawczych oraz Narodowego Banku Polskiego. Karę administracyjną należy uiścić w terminie 14 dni od dnia uprawomocnienia się orzeczenia sądu lub oficjalnego poinformowania o nałożeniu kary, przy czym w uzasadnionych przypadkach Prezes UODO może odroczyć termin zapłaty lub rozłożyć ją na raty.

Warto jest również pamiętać o ustawie z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Jej uchwalenie nie dotyczyło bezpośrednio przepisów wprowadzanego w tym samym roku RODO. Celem uchwalenia było uregulowanie przetwarzania danych w obszarze, który został wcześniej wyłączony spod przepisów RODO. Jej zapisy wprowadziły w życie Dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW.