RODO to skrót od Rozporządzenia o Ochronie Danych Osobowych – unijnego aktu prawnego, który od maja 2018 roku obowiązuje we wszystkich krajach członkowskich UE. Dotyczy każdej firmy, która przetwarza dane osobowe ludzi, niezależnie od branży i wielkości przedsiębiorstwa.

Czym są dane osobowe według RODO?

Dane osobowe to wszelkie informacje, które pozwalają zidentyfikować konkretną osobę fizyczną – bezpośrednio lub pośrednio. Nie chodzi wyłącznie o imię i nazwisko. Do danych osobowych zalicza się również adres e-mail, numer telefonu, adres IP, dane lokalizacyjne, a w określonych sytuacjach także pliki cookies przypisane do konkretnego użytkownika.

Dane osobowe dzielimy na dwie kategorie:

  • Zwykłe dane osobowe – imię, nazwisko, adres zamieszkania, adres e-mail, numer telefonu, NIP przedsiębiorcy.
  • Dane szczególnej kategorii (wrażliwe) – informacje o stanie zdrowia, poglądach politycznych, wyznaniu, przynależności związkowej, danych biometrycznych lub genetycznych. Przetwarzanie tych danych wymaga spełnienia dodatkowych warunków prawnych.

Kogo obowiązuje RODO?

Rozporządzenie dotyczy każdego podmiotu, który przetwarza dane osobowe osób fizycznych przebywających na terenie UE. W praktyce oznacza to właściwie każdą firmę prowadzącą działalność w Polsce – sklepy internetowe, agencje, usługodawców, freelancerów, a także organizacje non-profit.

Obowiązki wynikające z RODO mają zarówno administratorzy danych, czyli podmioty decydujące o celu i sposobie przetwarzania, jak i podmioty przetwarzające – firmy, którym administrator powierza dane (np. agencja prowadząca stronę internetową klienta).

Podstawowe zasady przetwarzania danych

RODO opiera się na kilku fundamentalnych zasadach, które powinny być widoczne w każdym procesie przetwarzania danych:

  • Zgodność z prawem – przetwarzanie musi mieć podstawę prawną: zgodę, umowę, obowiązek prawny lub uzasadniony interes administratora.
  • Minimalizacja danych – zbieraj tylko tyle danych, ile faktycznie potrzebujesz do określonego celu.
  • Ograniczenie celu – dane zebrane w jednym celu nie mogą być swobodnie wykorzystywane do innych celów.
  • Prawidłowość – dane muszą być aktualne i poprawne.
  • Ograniczenie przechowywania – dane należy usuwać, gdy przestają być potrzebne.
  • Integralność i poufność – dane muszą być odpowiednio zabezpieczone technicznie i organizacyjnie.

Prawa osób, których dane dotyczą

RODO przyznaje osobom fizycznym szereg konkretnych uprawnień wobec podmiotów przetwarzających ich dane. Każda firma musi być przygotowana na realizację tych praw w określonym czasie.

  • Prawo dostępu – osoba może zapytać, jakie jej dane posiadasz i w jakim celu je przetwarzasz.
  • Prawo do sprostowania – możliwość żądania poprawienia nieprawidłowych lub niekompletnych danych.
  • Prawo do usunięcia – tak zwane „prawo do bycia zapomnianym”.
  • Prawo do przenoszenia danych – osoba może poprosić o dane w ustrukturyzowanym formacie.
  • Prawo do sprzeciwu – możliwość sprzeciwienia się przetwarzaniu danych w określonych celach, w tym w celach marketingowych.

RODO a strona internetowa

Każda strona internetowa, która zbiera dane – przez formularz kontaktowy, newsletter, sklep, analitykę czy pliki cookies – podlega przepisom RODO. W praktyce oznacza to obowiązek posiadania aktualnej polityki prywatności, odpowiednio skonstruowanej informacji o cookies oraz właściwie sformułowanych zgód tam, gdzie są wymagane.

Zaniedbania w tym obszarze mogą skutkować skargami do Urzędu Ochrony Danych Osobowych i wysokimi karami finansowymi. Wdrożenie RODO na stronie internetowej to nie jednorazowa czynność – wymaga regularnego przeglądu w miarę zmian w sposobie przetwarzania danych lub aktualizacji przepisów.

FAQ - najczęstsze pytania

Czy małe firmy i freelancerzy też muszą stosować RODO?

Tak, RODO obowiązuje niezależnie od wielkości firmy. Każdy podmiot, który przetwarza dane osobowe osób fizycznych z UE – nawet jednoosobowa działalność gospodarcza – musi spełniać wymogi rozporządzenia. Wyjątki dotyczą wyłącznie działalności czysto osobistej lub domowej, niezwiązanej z celami zawodowymi ani komercyjnymi.

Co grozi za naruszenie przepisów RODO?

Urząd Ochrony Danych Osobowych może nałożyć karę administracyjną sięgającą 20 milionów euro lub 4% globalnego rocznego obrotu firmy – w zależności od tego, która kwota jest wyższa. Oprócz kar finansowych naruszenie może skutkować obowiązkiem zaprzestania przetwarzania danych, co w praktyce może sparaliżować działanie serwisu lub sklepu internetowego.

Czym różni się administrator danych od podmiotu przetwarzającego?

Administrator decyduje o tym, po co i w jaki sposób dane są przetwarzane – najczęściej jest to właściciel firmy lub sklepu. Podmiot przetwarzający działa na zlecenie administratora i przetwarza dane wyłącznie zgodnie z jego instrukcjami, np. agencja webowa obsługująca stronę klienta. Współpracę między nimi reguluje umowa powierzenia przetwarzania danych.

Czy adres IP i pliki cookies to dane osobowe?

W rozumieniu RODO adres IP może być daną osobową, jeśli pozwala – bezpośrednio lub w połączeniu z innymi informacjami – zidentyfikować konkretną osobę. Podobnie pliki cookies przypisane do użytkownika podlegają ochronie, gdy umożliwiają jego identyfikację. Z tego powodu strony internetowe muszą informować o cookies i odbierać zgody zgodnie z przepisami.

Jak długo można przechowywać dane osobowe?

RODO nie określa jednego universal­nego okresu retencji – wyznacza go cel przetwarzania oraz obowiązujące przepisy szczególne, np. prawo podatkowe wymaga przechowywania dokumentów przez 5 lat. Po ustaniu celu dane należy trwale usunąć lub zanonimizować. Brak określonej polityki retencji jest jednym z najczęstszych uchybień stwierdzanych podczas kontroli.

Podobne wpisy