RODO to unijne rozporządzenie o ochronie danych osobowych (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679), stosowane we wszystkich krajach UE od 25 maja 2018 roku. Określa, jak firmy, urzędy i organizacje mogą zbierać, wykorzystywać i przechowywać dane osobowe — oraz jakie prawa ma każdy z nas wobec podmiotów przetwarzających jego dane. Angielska nazwa to GDPR i oznacza dokładnie ten sam akt prawny (piszemy o tym w tekście czy RODO to to samo co GDPR).
Kogo dotyczy RODO?
Praktycznie każdej organizacji, która przetwarza dane osób fizycznych w UE: od jednoosobowej działalności z bazą klientów, przez sklepy internetowe i szkoły, po korporacje i urzędy. Co ważne, RODO obowiązuje też firmy spoza Unii, jeśli oferują towary lub usługi osobom w UE albo monitorują ich zachowania. Wyjątków jest niewiele — nie podlega mu m.in. przetwarzanie czysto osobiste i domowe (prywatny notes z kontaktami). Pełną listę wyłączeń opisujemy w artykule do kogo nie stosuje się RODO.
Najważniejsze zasady RODO
Fundament rozporządzenia to siedem zasad z art. 5 — wszystko inne jest ich rozwinięciem:
- Zgodność z prawem, rzetelność i przejrzystość — każde przetwarzanie musi mieć podstawę prawną, a osoba musi wiedzieć, co się dzieje z jej danymi.
- Ograniczenie celu — dane zebrane w jednym celu nie mogą być swobodnie używane w innym.
- Minimalizacja danych — zbieraj tylko to, co niezbędne.
- Prawidłowość — dane mają być aktualne i poprawne.
- Ograniczenie przechowywania — dane usuwa się, gdy przestają być potrzebne.
- Integralność i poufność — dane trzeba realnie zabezpieczyć.
- Rozliczalność — organizacja musi umieć wykazać, że przestrzega powyższych zasad.
Jakie prawa daje RODO każdemu z nas?
RODO wyposaża osoby, których dane dotyczą, w konkretne uprawnienia: prawo dostępu do danych i ich kopii, prawo do sprostowania, prawo do usunięcia („prawo do bycia zapomnianym”), prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo sprzeciwu (m.in. wobec marketingu) oraz prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu. Firma ma co do zasady miesiąc na realizację żądania.
Jakie obowiązki nakłada RODO na firmy?
Najważniejsze w praktyce: podstawa prawna dla każdego procesu przetwarzania (zgoda to tylko jedna z sześciu), obowiązek informacyjny (klauzule dla klientów, pracowników, kontrahentów), rejestr czynności przetwarzania, umowy powierzenia z podmiotami przetwarzającymi dane w imieniu firmy (biuro rachunkowe, hosting, agencja), zabezpieczenia techniczne i organizacyjne adekwatne do ryzyka, zgłaszanie naruszeń do UODO w 72 godziny oraz — w określonych przypadkach — wyznaczenie inspektora ochrony danych (piszemy o tym w przewodniku jak powołać IOD).
Co grozi za nieprzestrzeganie RODO?
Kary administracyjne sięgają 20 mln euro lub 4% rocznego światowego obrotu (wyższa z kwot) — a w Polsce Prezes UODO nakłada je regularnie, od kilkudziesięciu tysięcy do milionów złotych. Do tego dochodzi odpowiedzialność cywilna wobec osób (odszkodowania i zadośćuczynienia) oraz — często najbardziej dotkliwa — utrata zaufania klientów po upublicznionym incydencie.
Co to oznacza w praktyce dla Twojej firmy?
RODO nie wymaga segregatora dokumentów „na półkę” — wymaga, żeby ochrona danych realnie działała: żebyś wiedział, jakie dane masz i po co, żeby dostęp do nich mieli właściwi ludzie, żeby dane znikały, gdy przestają być potrzebne, i żebyś umiał zareagować na incydent oraz żądanie osoby. Dokumentacja jest zapisem tego stanu, nie jego substytutem. Dobra wiadomość: raz porządnie wdrożony system utrzymuje się przy rozsądnym nakładzie pracy — zwłaszcza z zewnętrznym wsparciem.
Najczęstsze pytania o RODO
Od kiedy obowiązuje RODO?
Od 25 maja 2018 r., bezpośrednio we wszystkich państwach UE — bez potrzeby wdrażania ustawą (polska ustawa o ochronie danych z 2018 r. jedynie uzupełnia rozporządzenie).
Czy RODO dotyczy jednoosobowej działalności?
Tak, jeśli przetwarza dane osobowe klientów, kontrahentów czy pracowników — skala działalności nie wyłącza stosowania RODO, wpływa jedynie na zakres obowiązków.
Czy zgoda jest zawsze potrzebna?
Nie — to najczęstszy mit. Zgoda to jedna z sześciu podstaw; umowa, przepis prawa czy uzasadniony interes często są właściwsze.
Po co właściwie wprowadzono RODO?
By ujednolicić ochronę danych w całej UE i dać ludziom realną kontrolę nad ich danymi w gospodarce cyfrowej — szerzej w artykule w jakim celu wprowadzono RODO.
Potrzebujesz wdrożyć lub uporządkować RODO w firmie?
Przeprowadzamy kompletne wdrożenia — od audytu, przez dokumentację, po szkolenia — oraz przejmujemy stałą opiekę jako zewnętrzny IOD. Zobacz, jak wygląda wdrożenie RODO, albo umów bezpłatną konsultację.