Ochrona danych osobowych

Ochrona danych osobowych – to zbiór zasad, reguł i praktyk mających na celu zapewnienie bezpieczeństwa i poufności danych osobowych podmiotów fizycznych oraz ograniczenie nieuprawnionego ich przetwarzania. W Polsce i w Unii Europejskiej regulacje z tego zakresu opierają się przede wszystkim na Rozporządzeniu o Ochronie Danych Osobowych (RODO) oraz krajowej Ustawie o ochronie danych osobowych z 2018 roku.

Definicje

Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (osoby fizycznej).
Przetwarzanie danych – każda operacja lub zestaw operacji wykonywanych na danych osobowych, w tym zbieranie, przechowywanie, modyfikacja, udostępnianie czy usuwanie (przetwarzanie danych).
Administrator danych – podmiot decydujący o celach i środkach przetwarzania danych (administrator danych).
Podmiot przetwarzający – podmiot przetwarzający dane w imieniu administratora (podmiot przetwarzający).

Podstawa prawna

Główne akty prawne regulujące ochronę danych osobowych w Polsce to:

Rozporządzenie (UE) 2016/679 – RODO – obowiązujące we wszystkich państwach członkowskich Unii Europejskiej od 25 maja 2018 roku.
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych – implementuje postanowienia RODO w polskim prawie.
Prawo telekomunikacyjne oraz Prawo telewizyjne i radiowe – zawierają dodatkowe przepisy dotyczące danych w sektorze komunikacyjnym.

Zasady ochrony danych

RODO definiuje sześć podstawowych zasad, które muszą być przestrzegane przy przetwarzaniu danych osobowych:

Zasada zgodności z prawem, rzetelności i przejrzystości – przetwarzanie musi mieć podstawę prawną i być jasne dla osoby, której dane dotyczą.
Zasada ograniczenia celu – dane mogą być gromadzone wyłącznie w określonych, prawnie uzasadnionych celach.
Zasada minimalizacji danych – przetwarzane powinny być jedynie niezbędne dane.
Zasada dokładności – dane muszą być prawidłowe i w razie potrzeby aktualizowane.
Zasada ograniczenia przechowywania – dane nie mogą być przechowywane dłużej niż jest to konieczne.
Zasada integralności i poufności – wymaga zapewnienia odpowiednich środków technicznych i organizacyjnych zabezpieczających dane przed nieuprawnionym dostępem.

Prawa osób, których dane dotyczą

Osoby fizyczne mają szereg praw, które umożliwiają im kontrolę nad swoimi danymi:

Prawo dostępu – możliwość uzyskania informacji o przetwarzaniu swoich danych.
Prawo sprostowania – żądanie poprawienia nieścisłości.
Prawo do usunięcia („prawo do bycia zapomnianym”) – żądanie usunięcia danych, jeżeli nie ma podstaw do ich dalszego przetwarzania.
Prawo do ograniczenia przetwarzania – możliwość zawieszenia przetwarzania danych.
Prawo do przenoszenia danych – otrzymanie danych w ustandaryzowanym formacie i przekazanie ich innemu administratorowi.
Prawo sprzeciwu – możliwość sprzeciwu wobec przetwarzania danych w określonych celach, np. marketingu bezpośredniego.

Obowiązki administratorów i podmiotów przetwarzających

Administratorzy i podmioty przetwarzające muszą spełnić szereg wymogów, w tym:

Wyznaczenie inspektora ochrony danych (IOD), gdy jest to wymagane.
Przeprowadzanie oceny skutków ochrony danych (DPIA) w przypadkach wysokiego ryzyka.
Utrzymywanie rejestru czynności przetwarzania.
Zgłaszanie naruszeń ochrony danych organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych) w terminie 72 godzin od ich wykrycia.
Zastosowanie odpowiednich środków technicznych i organizacyjnych, takich jak szyfrowanie, pseudonimizacja, kontrola dostępu.

Sankcje za naruszenia

W przypadku naruszenia przepisów o ochronie danych osobowych możliwe są:

Kary finansowe do 20 % rocznego światowego obrotu firmy lub do 4 % jej całkowitego rocznego przychodu, w zależności od tego, która wartość jest wyższa (kary finansowe).
Nałożenie obowiązku zaprzestania przetwarzania danych, nakaz usunięcia danych lub ograniczenia ich przetwarzania.
Sankcje administracyjne, w tym zakazy prowadzenia określonych działań przetwarzających.
Roszczenia odszkodowawcze ze strony osób poszkodowanych.

Historia regulacji w Polsce i w UE

Podstawy prawne ochrony danych w Polsce wykształciły się w następujących etapach:

1992 – Ustawa o ochronie danych osobowych z 1992 r. (pierwsze polskie przepisy).
2000 – wdrożenie dyrektywy 95/46/WE (pierwszej europejskiej regulacji o ochronie danych).
2018 – wejście w życie RODO oraz nowelizującej ustawy z 2018 r., które zastąpiły dotychczasowy system.

Rozwój technologiczny, zwłaszcza w obszarach big data, sztucznej inteligencji oraz Internetu rzeczy (IoT), powoduje stałe aktualizacje przepisów i wyzwania w praktyce ochrony danych.

Wyzwania i przyszłość

W najbliższych latach najważniejsze kwestie związane z ochroną danych osobowych to:

Rozwój technologii rozpoznawania twarzy i innych metod biometrycznych – konieczność precyzyjnego definiowania podstaw prawnych ich stosowania.
Rozszerzenie prawa do prywatności w środowisku cyfrowym – dyskusje nad regulacjami wirtualnych asystentów i platform społecznościowych.
Wdrożenie przepisów dotyczących transferu danych poza UE – np. po decyzji o adekwatności w stosunku do państw trzecich.
Zwiększenie roli poufności i integralności danych w kontekście rosnącej liczby cyberataków.

Bibliografia i pozycje źródłowe

Rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. – Rozporządzenie o ochronie danych osobowych (RODO).
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych.
„Ochrona danych osobowych. Komentarz do RODO”, red. Jan Kowalski, Wydawnictwo C.H. Beck, 2020.
European Data Protection Board – wytyczne i opinie interpretacyjne (dostępne w polskich tłumaczeniach).

Śledzenie aktualizacji przepisów oraz praktyk zapewniania bezpieczeństwa danych jest niezbędne zarówno dla podmiotów przetwarzających, jak i dla osób, których dane są przetwarzane.