GDPR – Rozporządzenie Ogólne o Ochronie Danych Osobowych

GDPR (ang. General Data Protection Regulation) to unijne rozporządzenie nr 2016/679, które reguluje zasady przetwarzania danych osobowych oraz ochrony prywatności obywateli Unii Europejskiej. Rozporządzenie weszło w życie 25 maja 2018 r., zastępując dyrektywę 95/46/EEC.

Historia i geneza

W odpowiedzi na rosnące wyzwania związane z cyfryzacją gospodarki, Komisja Europejska rozpoczęła prace nad nowym aktem prawnym w 2012 r. Po latach konsultacji z sektorem publicznym i prywatnym, a także organizacjami pozarządowymi, Parlament Europejski i Rada UE przyjęły rozporządzenie w dniu 2016 roku. Ostateczny tekst został opublikowany w Dzienniku Urzędowym UE 4 maja 2016 r.

Zakres obowiązywania

GDPR ma zastosowanie do:

wszystkich podmiotów (firm, organizacji, administracji publicznej) przetwarzających dane osobowe osób przebywających na terenie UE, niezależnie od miejsca ich siedziby,
przetwarzania danych związanych z oferowaniem towarów i usług obywatelom UE,
monitorowania zachowań osób w UE, w tym poprzez technologię internetową.

Podstawowe zasady ochrony danych

Rozporządzenie definiuje siedem podstawowych zasad, które muszą być przestrzegane przy każdym przetwarzaniu danych osobowych:

Zasada legalności, rzetelności i przejrzystości – przetwarzanie musi mieć podstawę prawną i być jasne dla osoby, której dane dotyczą.
Ograniczenie celu – dane mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach.
Minimalizacja danych – należy przetwarzać jedynie dane niezbędne do realizacji celu.
Dokładność – dane muszą być prawdziwe i w razie potrzeby uaktualniane.
Ograniczenie przechowywania – dane nie mogą być przechowywane dłużej niż jest to konieczne.
Integralność i poufność – wymagana jest adekwatna ochrona przed nieuprawnionym dostępem i utratą.
Rozliczalność – administratorzy muszą być w stanie wykazać zgodność z zasadami GDPR.

Prawa osób, których dane dotyczą

GDPR wprowadza szereg praw, które mają zwiększyć kontrolę jednostek nad ich danymi osobowymi:

Prawo dostępu – możliwość uzyskania kopii danych oraz informacji o ich przetwarzaniu.
Prawo do sprostowania – żądanie poprawienia nieprawidłowych danych.
Prawo do usunięcia („prawo do bycia zapomnianym”) – żądanie wykasowania danych w określonych sytuacjach.
Prawo do ograniczenia przetwarzania – możliwość wstrzymania przetwarzania danych.
Prawo do przenoszenia danych – otrzymanie danych w ustandaryzowanym formacie i przekazanie ich innemu administratorowi.
Prawo sprzeciwu – odmawianie przetwarzania danych w celach marketingowych i innych określonych sytuacjach.

Zobowiązania administratorów i podmiotów przetwarzających

Administratorzy danych (osoby lub podmioty decydujące o celach i środkach przetwarzania) oraz podmioty przetwarzające (wykonawcy) muszą spełniać szereg obowiązków, m.in.:

powołanie Inspektora Ochrony Danych (DPO) w sytuacjach określonych w art. 37–39 GDPR,
prowadzenie rejestru czynności przetwarzania,
przeprowadzanie oceny skutków ochrony danych (DPIA) w przypadku wysokiego ryzyka,
zgłaszanie naruszeń bezpieczeństwa organowi nadzorczemu w ciągu 72 godzin od ich wykrycia,
wdrożenie zasad privacy by design i privacy by default.

Kary i sankcje

Za nieprzestrzeganie przepisów GDPR możliwe są wysokie kary finansowe, które wynoszą:

do 10 % rocznego światowego obrotu przedsiębiorstwa lub 20 milionów euro (w zależności od tego, która kwota jest wyższa) za naruszenia dotyczące organizacji przetwarzania,
do 20 % rocznego światowego obrotu lub 40 milionów euro za naruszenia podstawowych zasad ochrony danych, w tym nieudzielenie żądanych praw osobom, których dane dotyczą.

Implementacja w Polsce

W Polsce GDPR jest stosowane w oparciu o Ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych, która dostosowuje polne prawo do wymogów rozporządzenia. Głównym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO), który m.in. wydaje interpretacje, prowadzi postępowania kontrolne i nakłada kary.

Wyzwania i krytyka

Choć GDPR jest uznawane za przełomowy akt w dziedzinie ochrony prywatności, spotkało się także z krytyką:

obciążenia administracyjne dla małych i średnich przedsiębiorstw,
trudności w interpretacji niektórych przepisów,
różnice w egzekwowaniu przepisów w poszczególnych państwach członkowskich UE.

Powiązane pojęcia

Więcej informacji można znaleźć w następujących artykułach: