ochrona danych osobowych | Co do zasady

Zaprojektowanie działań marketingowych w organizacji tak, aby były one zgodne z przepisami, w tym z regulacjami z zakresu ochrony danych osobowych, może być problematyczne. Sytuacja staje się jeszcze bardziej skomplikowana, jeżeli działania marketingowe na rzecz kilku podmiotów z grupy spółek wykonuje jedna spółka, zobowiązana do tego na podstawie nieformalnych ustaleń wewnętrznych (często bez zawierania jakichkolwiek umów).

Kluczowe z punktu widzenia RODO jest zadbanie o transparentność strony. Osoba, która wchodzi na stronę internetową, musi wiedzieć, w jakim celu i w jaki sposób przetwarzane są jej dane osobowe.

Pliki cookies i technologie podobne do cookies są powszechnie wykorzystywanymi narzędziami marketingowymi, pozwalającymi zoptymalizować zarządzanie kampaniami marketingowymi i skuteczniej docierać do klientów. Nic więc dziwnego, że trudno jest znaleźć stronę internetową, na której nie wyskakuje okienko informujące o wykorzystywaniu przez tę stronę plików cookies, o czym można przeczytać więcej w polityce prywatności i polityce cookies. Co ciekawe, treść tych komunikatów w znakomitej większości jest sprzeczna z obowiązującymi regulacjami z zakresu ochrony danych osobowych, prawa telekomunikacyjnego oraz świadczenia usług drogą elektroniczną.

Jednym z istotnych elementów nowej ustawy Prawo zamówień publicznych ma być uregulowanie kwestii ochrony danych osobowych gromadzonych w toku postępowań zamówieniowych. Zapowiadają się istotne wyjątki od zasad ogólnych wynikających z RODO. Na czym mają one polegać?

Atak hakerski wykorzystujący lukę w niezaktualizowanym oprogramowaniu webowym amerykańskiej agencji kredytowej spowodował wyciek istotnych danych milionów klientów ze Stanów Zjednoczonych, Kanady i Wielkiej Brytanii. Amerykańskie władze federalne prowadzą dochodzenie, które może skutkować milionowymi karami. Szefowie firmy zostali wezwani na przesłuchania przed Kongresem. Agencji wytoczono największy pozew zbiorowy w historii USA. Mimo że brzmi to jak fabuła finansowego thrillera, to sprawa Equifax wydarzyła się naprawdę i może służyć jako lekcja na przyszłość.

Nowe rozporządzenie o ochronie danych osobowych wprowadza surowe kary administracyjne za jego nieprzestrzeganie. Jak jednak wiadomo, nie surowość, lecz nieuchronność kary decyduje o jej skuteczności. Choć urząd ochrony danych osobowych został wyposażony w szerokie kompetencje, ma jednak niewystarczające środki, aby z nich korzystać. Uzupełnieniem tej luki może być wbudowany w rozporządzenie mechanizm tzw. private enforcement. Pozwala on na to, aby każda osoba której dane zostały naruszone, samodzielnie dochodziła ochrony sądowej.

Zamawiający muszą pamiętać, że w prowadzonych przez nich postępowaniach przetwarzane są dane osobowe podlegające ochronie. Dokumentacja postępowania musi być dostosowana do nowych przepisów wynikających z wejścia w życie RODO.

Już dziś (24 maja) upływa termin na dostosowanie prowadzonej działalności do wymogów ochrony danych osobowych wynikających z RODO. Tymczasem Grupa Robocza art. 29 przedstawiła stanowisko, z którego wynika, że praktycznie wszyscy pracodawcy powinni prowadzić rejestr czynności przetwarzania w odniesieniu do danych osobowych pracowników.

Od jutra, 25 maja br., zaczyna obowiązywać rozporządzenie ogólne o ochronie danych osobowych (RODO). Zmienia ono klasyfikację prawną danych zawartych w zaświadczeniach o niekaralności. W przeciwieństwie do innych zmian, które wprowadza RODO, ta zmiana to krok w stronę liberalizacji. Jak będą traktowane tego rodzaju dane?

Od 25 maja br. jednostki ochrony zdrowia będą konfrontowane ze sprzecznymi zasadami wynikającymi z rozporządzenia ogólnego o ochronie danych osobowych (RODO) oraz z polskich ustaw sektorowych dotyczących postępowania z dokumentacją medyczną. Niespójności mogłyby zostać wyeliminowane przez przepisy wprowadzające ustawę o ochronie danych osobowych, ale jest mało prawdopodobne, aby prace nad nimi zakończyły się na czas. Jak postępować wobec niejasności i jak ograniczać zwiększone ryzyko regulacyjne?

Ogólne rozporządzenie o ochronie danych osobowych (RODO), wchodzące w życie 25 maja 2018 r., nie jest jedyną rewolucją przygotowywaną przez Unię Europejską w zakresie ochrony prywatności. Również projekt rozporządzenia w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej (tzw. rozporządzenie o ePrivacy) wzbudza coraz większe kontrowersje i może wpłynąć na kształt współczesnego internetu.

Dla osób odpowiedzialnych za zapewnienie, że działalność firmy odbywa się zgodnie z prawem, istotne jest śledzenie bieżących zmian w prawie, których od pewnego czasu jest niemało. Czasami drobna zmiana w tekście ustawy jest ogromną zmianą w rzeczywistości. Warto więc w ramach przeglądu compliance zwrócić uwagę na kilka nowo wprowadzonych lub zapowiadanych zmian w prawie.