Czy zawsze potrzebna jest zgoda RODO w organizacjach

Czy zawsze potrzebna jest zgoda? RODO w organizacjach pozarządowych. Ewa Rybus-Tołłoczko

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Definicje dane osobowe - oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy bądź jeden lub kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

Definicje przetwarzanie - oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

Nie rejestruje się zbiorów danych osobowych.

Definicje administrator - oznacza właściwy organ, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby przetwarzania są określone prawem Unii lub prawem państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

Współadministratorzy Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. W drodze wspólnych uzgodnień współadministratorzy w przejrzysty sposób określają odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z niniejszego rozporządzenia, w szczególności w odniesieniu do wykonywania przez osobę, której dane dotyczą, przysługujących jej praw, oraz ich obowiązków w odniesieniu do podawania informacji, chyba że przypadające im obowiązki i ich zakres określa prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. W uzgodnieniach można wskazać punkt kontaktowy dla osób, których dane dotyczą.

Współadministratorzy Uzgodnienia należycie odzwierciedlają odpowiednie zakresy obowiązków współadministratorów oraz relacje pomiędzy nimi a podmiotami, których dane dotyczą. Zasadnicza treść uzgodnień jest udostępniana podmiotom, których dane dotyczą. Niezależnie od uzgodnień osoba, której dane dotyczą, może wykonywać przysługujące jej prawa wynikające z niniejszego rozporządzenia wobec każdego z administratorów.

Definicje podmiot przetwarzający - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę organizacyjną lub inny podmiot, który przez określony czas przetwarza dane osobowe w imieniu administratora.

Powierzenie przetwarzania: Administrator może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Podmiot jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową.

Udostępnianie danych Udostępnienie danych polega na tym, że w skutek udostępnienia danych osobowych dochodzi do faktycznego przekazania danych osobowych, w wyniku którego nowy dysponent tych danych staje się ich administratorem, a co za tym idzie będzie decydował o celach i środkach przetwarzania danych, oraz ponosił odpowiedzialność w zakresie przewidzianym dla administratora.

Definicje naruszenie ochrony danych osobowych - oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych; 72 godziny na zgłoszenie zdarzenia

Naruszenie W przypadku gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych. Skierowane do osoby, której dane dotyczą, zawiadomienie opisuje jasnym i prostym językiem charakter naruszenia ochrony danych osobowych i zawiera co najmniej informacje i środki.

Dane wrażliwe – przetwarzanie szczególnych kategorii danych osobowych: ujawniające: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe przynależność do związków zawodowych

Dane wrażliwe – przetwarzanie szczególnych kategorii danych osobowych: przetwarzanie danych: genetycznych, biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, dotyczących zdrowia dotyczących seksualności dotyczących orientacji seksualnej osoby fizycznej

Dane wrażliwe – przetwarzanie szczególnych kategorii danych osobowych: przetwarzanie danych: dotyczących wyroków skazujących naruszeń prawa

Kiedy przetwarzamy dane osobowe: • osoba, której dane dotyczą, wyrazi na to zgodę; • na podstawie przepisów prawa;

Wyrażenie zgody: Możliwość pozyskania ustnej zgody. Zgoda elektroniczna – np. poprzez zaznaczenie odpowiednich okienek. Należy pamiętać, że w przypadku pozyskiwania zgody w innej formie niż pisemna, to na administratorze danych osobowych będzie ciążył obowiązek udowodnienia, że została ona pozyskana, a nie dorozumiana. RODO określa wprost: Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.

Wyrażenie zgody: Administrator nie musi prosić o zgodę na przetwarzanie danych, gdy: 1. Dane będą przetwarzane w związku z zawarciem umowy z osobą, której dane dotyczą. 2. Są one przetwarzane na podstawie przepisu prawa. 3. Są one przetwarzane w interesie publicznym. 4. W prawnie usprawiedliwionym celu administratora danych, np. marketing bezpośredni produktów własnych, dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. 5. Żywotny interes osoby, której dane dotyczą, gdy pozyskanie zgody jest konieczne, ale niemożliwe.

Wyrażenie zgody: • imię i nazwisko osoby, od której dane są zbierane, • wyrażenie zgody, • nazwę, adres administratora danych osobowych, • cel przetwarzania, • informacja o możliwości zmiany i cofnięcia zgody na przetwarzanie.

Wyrażenie zgody: Przykładowo, klauzula zgodna z RODO może otrzymać następujące brzmienie: Zgadzam się na przetwarzanie moich danych osobowych przez Fundację XYZ z siedzibą w ………. . , ul. ……………. , w celu ……………. [np. Udziału w konkursie, udziału w programie „. . . ”, udziału w warsztatach „. . . ”]. Podanie danych jest dobrowolne. Podstawą przetwarzania danych jest moja zgoda. Dane osobowe będą przetwarzane …………. . [jak długo? np. do ew. odwołania zgody, a po takim odwołaniu, przez okres przedawnienia roszczeń przysługujących administratorowi danych i w stosunku do niego LUB np. przez 5 lat od rozliczenia projektu „. . . ”]. Mam prawo żądania od administratora dostępu do moich danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także prawo wniesienia skargi do organu nadzorczego. W przypadku pytań dotyczących przetwarzania danych osobowych prosimy o kontakt z Inspektorem Ochrony Danych pod adresem ……………. [jeżeli został wyznaczony].

Zasada minimalizacji danych osobowych - zgodnie z nią, można przetwarzać wyłącznie takie dane osobowe, które są niezbędne do osiągnięcia celu przetwarzania danych. Przetwarzanie danych powinno więc zostać ograniczone do takich danych, bez których nie można osiągnąć celu przetwarzania danych

Prawo do sprostowania danych Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia.

Prawo do usunięcia danych („prawo do bycia zapomnianym”) Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a)dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b)osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania; c)osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania d)dane osobowe były przetwarzane niezgodnie z prawem;

Prawo do usunięcia danych („prawo do bycia zapomnianym”) e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego.

Prawo do usunięcia danych („prawo do bycia zapomnianym”) Jeżeli administrator upublicznił dane osobowe, a ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.

Prawo do usunięcia danych („prawo do bycia zapomnianym”) Prawo do usunięcia danych nie ma zastosowania, w zakresie w jakim przetwarzanie jest niezbędne: a)do korzystania z prawa do wolności wypowiedzi i informacji; b)do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

Prawo do usunięcia danych („prawo do bycia zapomnianym”) c) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego; d) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, o ile prawdopodobne jest, że prawo uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub e) do ustalenia, dochodzenia lub obrony roszczeń.

Prawo do ograniczenia przetwarzania Osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w następujących przypadkach: a)osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych; b)przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;

Prawo do ograniczenia przetwarzania c) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń; d) osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

Prawo do ograniczenia przetwarzania Jeżeli przetwarzanie zostało ograniczone, takie dane osobowe można przetwarzać, z wyjątkiem przechowywania, wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego. Przed uchyleniem ograniczenia przetwarzania administrator informuje o tym osobę, której dane dotyczą, która żądała ograniczenia na mocy ust. 1.

Dokumentacja wewnętrzna: 1. Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. 2. Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których powyżej obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.

Przechowywanie danych osobowych W systemach informatycznych muszą być w szczególny sposób zabezpieczone. Pomieszczenie wyodrębnione, w sposób swobodny do przeglądania danych osobowych. Dane osobowe powinny być przechowywane w sposób uniemożliwiający dostęp osób trzecich. Dane osobowe w wersji papierowej powinny być przechowywane w „teczkach”, by przeglądając kartotekę nie można było widzieć wszystkich informacji.

Gdzie szukać informacji? www. uodo. gov. pl

DZIĘKUJĘ ☺ Ewa Rybus-Tołłoczko ewa. rybus-tolloczko@rt-net. pl 601 375 416