Rozporządzenie ogólne o ochronie danych (UE 2016/679) weszło w życie 25 maja 2018 r., wprowadzając nowe elementy i istotne udoskonalenia do obowiązującego systemu ochrony danych.
Ustawa o ochronie danych osobowych (DPA) z 2018 r., która weszła w życie 23 maja 2018 r., wdrożyła RODO, a także dodała przepisy prawa brytyjskiego umożliwiające rozszerzenie RODO na obszary takie jak służby bezpieczeństwa i organy rządowe, które nie były objęte wyłącznie RODO.
Po brexicie (po zakończeniu okresu przejściowego po brexicie od 1 stycznia 2021 r.) brytyjskie rozporządzenie RODO jest zachowaną wersją rozporządzenia UE na mocy sekcji 3 ustawy o wystąpieniu z UE z 2018 r. oraz ze zmianami wprowadzonymi przez rozporządzenie w sprawie ochrony danych, prywatności i komunikacji elektronicznej (zmiana itp.) (wyjście z UE) z 2020 r.
Brytyjskie rozporządzenie RODO chroni prawa obywateli Wielkiej Brytanii w odniesieniu do ich danych, natomiast unijne rozporządzenie RODO chroni prawa obywateli UE. W przypadku organizacji przetwarzających dane zarówno obywateli Wielkiej Brytanii, jak i UE, obowiązują oba rozporządzenia RODO.
Zasady i wymogi unijnego rozporządzenia o ochronie danych (RODO) nadal obowiązują w Wielkiej Brytanii w wersji obowiązującej po Brexicie. W niniejszym artykule przyjrzymy się głównym obszarom jego zakresu i niektórym definicjom.
Kontrolerzy i podmioty przetwarzające
RODO ma zastosowanie zarówno do administratorów, jak i podmiotów przetwarzających dane. Administratorzy określają, w jaki sposób i dlaczego dane osobowe są przetwarzane. Podmiot przetwarzający działa w imieniu administratora, przetwarzając dane. Twoja organizacja może być podmiotem przetwarzającym dane, administratorem danych lub jednym i drugim.
Zarówno administratorzy, jak i podmioty przetwarzające mają określone obowiązki prawne:
- administratorzy muszą w szczególności zapewnić zgodność umów z podmiotami przetwarzającymi z RODO; i
- administratorzy i podmioty przetwarzające mają odrębne, ale wyraźne wymagania dotyczące prowadzenia rejestrów danych osobowych i działań przetwarzania
- Podmioty przetwarzające ponoszą również odpowiedzialność prawną za wszelkie naruszenia bezpieczeństwa.
Więcej informacji na temat wymogów dotyczących dokumentacji można znaleźć w powiązanej karcie informacyjnej „Bezpieczeństwo danych – Ogólne rozporządzenie o ochronie danych – Zapewnienie zgodności”.
Zasady ochrony danych
Dane osobowe muszą być:
- przetwarzane zgodnie z prawem, rzetelnie i przejrzyście
- zbierane w określonych, wyraźnych i prawnie uzasadnionych celach
- odpowiedni, stosowny i ograniczony do tego, co jest niezbędne do realizacji celu
- Dokładne i aktualne. Niedokładne dane należy usunąć lub poprawić
- przechowywane w formacie umożliwiającym identyfikację nie dłużej niż jest to konieczne
- przetwarzane w sposób bezpieczny i chronione przed nieautoryzowanym lub niezgodnym z prawem przetwarzaniem, przypadkową utratą, zniszczeniem lub uszkodzeniem.
Prawa osób fizycznych wynikające z RODO
Prawo do bycia informowanym
Osoby fizyczne mają prawo wiedzieć, w jaki sposób będą przetwarzane ich dane osobowe. RODO promuje przejrzystość przetwarzania poprzez publikację informacji o ochronie prywatności, która zawiera między innymi dane administratora danych, źródło danych, odbiorców danych, informacje o transferach danych poza UE oraz okres przechowywania danych.
Prawo dostępu (wniosek podmiotu o dostęp)
Osoby, których dane dotyczą, mają prawo do uzyskania potwierdzenia, że ich dane są przetwarzane, dostępu do swoich danych osobowych i innych informacji, takich jak te zawarte w informacji o ochronie prywatności.
Maksymalny czas rozpatrywania wniosku o dostęp do danych osobowych wynosi 30 dni. Usunięto również prawo do pobierania opłaty za dostęp do danych osobowych, chyba że wniosek jest nieuzasadniony, nadmierny lub powtarzalny.
Prawo do sprostowania
Osoby fizyczne mają prawo do sprostowania niedokładnych lub niekompletnych danych osobowych. Dotyczy to również danych osobowych udostępnianych lub przekazywanych osobom trzecim.
Prawo do usunięcia
Osoby fizyczne mają prawo żądać usunięcia lub usunięcia danych osobowych, jeżeli nie ma uzasadnionego powodu do ich dalszego przetwarzania. Dotyczy to również danych osobowych udostępnianych lub przekazywanych osobom trzecim.
Należy pamiętać, że w przypadku wniosków dotyczących dzieci obowiązują dodatkowe wymagania.
Istnieją pewne wyjątki od prawa do usunięcia danych, na przykład w przypadku, gdy dane są przechowywane w celu wypełnienia obowiązku prawnego.
Prawo do ograniczenia przetwarzania
Osoby fizyczne mają prawo do ograniczenia przetwarzania danych osobowych. W takich okolicznościach dane osobowe mogą być przechowywane, ale nie mogą być przetwarzane.
Prawo do przenoszenia danych
Osoby fizyczne mają prawo do uzyskiwania i ponownego wykorzystywania swoich danych osobowych w różnych usługach. Prawo to umożliwia im przenoszenie, kopiowanie lub przesyłanie danych osobowych. Dane osobowe muszą być przekazane w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (takim jak .csv).
Prawo do sprzeciwu
Osoby fizyczne mają prawo sprzeciwić się przetwarzaniu danych osobowych. Przetwarzanie musi zostać natychmiast przerwane, chyba że istnieją „ważne” prawnie uzasadnione podstawy przetwarzania lub przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń prawnych.
Prawa związane z automatycznym podejmowaniem decyzji i profilowaniem
Osoby fizyczne mają prawo do zapewnienia, że istnieją zabezpieczenia chroniące przed ryzykiem podejmowania szkodliwych decyzji bez ingerencji człowieka. Dotyczy to również ochrony danych osobowych wykorzystywanych do celów profilowania.
Odpowiedzialność i zarządzanie
Zasada odpowiedzialności wymaga wdrożenia odpowiednich środków zarządzania w celu udokumentowania zgodności. W związku z tym organizacje muszą:
- wdrożyć środki zgodne z zasadami ochrony danych
- dokumentować zasady i procedury dotyczące przechowywania i przetwarzania danych osobowych
- wdrożyć środki techniczne i organizacyjne w celu zapewnienia i wykazania zgodności.
- w razie konieczności wyznaczyć inspektora ochrony danych.
Więcej szczegółów można znaleźć w naszej karcie informacyjnej „Bezpieczeństwo danych – zapewnianie zgodności z przepisami dotyczącymi ochrony danych”.
Zgodność przetwarzania z prawem
Ważne jest, aby zrozumieć i udokumentować podstawę prawną przetwarzania. Jest ich sześć:
- Zgoda
- Zobowiązanie umowne
- Obowiązek prawny
- Istotne interesy
- Interes publiczny
- Uzasadnione interesy.
W kwestii zgody musi być ona konkretna, jednoznaczna i dobrowolna. Pozytywnej zgody nie można domniemywać na podstawie braku działania, takiego jak brak kliknięcia pola „Anuluj subskrypcję” w internecie lub użycia domyślnie zaznaczonych pól. Firmy muszą upewnić się, że rejestrują datę, godzinę, metodę i treść zgody, dlatego ważne jest, aby firma dysponowała środkami do rejestrowania i dokumentowania takich informacji.
Uzasadniony interes daje Ci możliwość przetwarzania danych osób fizycznych, ale tylko w granicach, których one oczekują. Jeśli powołujesz się na uzasadniony interes, bierzesz na siebie odpowiedzialność za zapewnienie, że:
- istnieje podstawa do wykorzystania uzasadnionego interesu
- przetwarzanie danych jest ograniczone do tego interesu i można to wykazać
- prawa jednostki zostały wzięte pod uwagę w procesie równoważenia
- osoba jest informowana o uzasadnionych interesach w ramach swojej polityki prywatności.
Wskazówki dotyczące uzasadnionych interesów ICO
Powiadomienie o naruszeniach
Naruszenie danych osobowych oznacza przypadkowe lub niezgodne z prawem zniszczenie, utratę, zmianę, nieautoryzowane ujawnienie lub dostęp do danych osobowych.
Brytyjski regulator ICO udostępnia internetowe narzędzie do samooceny, które pomaga określić wagę naruszenia i ustalić, czy należy je zgłosić. Niektóre naruszenia należy zgłosić właściwemu organowi nadzoru w ciągu 72 godzin. Kluczowe jest przeprowadzenie oceny natychmiast po wykryciu naruszenia.
Wskazówki ICO dotyczące oceny naruszeń danych osobowych
Przesyłanie danych
28 czerwca 2021 r. Komisja Europejska przyjęła decyzję o odpowiednim poziomie ochrony danych dla Wielkiej Brytanii, co oznacza, że większość danych może nadal przepływać między Wielką Brytanią a UE (EOG) bez konieczności stosowania dodatkowych zabezpieczeń. (Wyjątkiem są dane na potrzeby kontroli imigracyjnej)
W przypadku przesyłania danych do „państwa trzeciego” mogą obowiązywać dodatkowe zabezpieczenia, takie jak standardowe klauzule umowne lub wiążące reguły korporacyjne. Pierwszy link poniżej pochodzi od brytyjskiego organu regulacyjnego – ICO. Drugi link pochodzi od Komisji Europejskiej.
Wskazówki dotyczące umowy o przekazywaniu danych ICO
Przepisy UE dotyczące transferów poza blok
Źródła i linki
Strona główna ICO dla organizacji
Portal UE RODO – www.gdpreu.org
