Zasady naczelne RODO
14.11.2023
Zasady ruchu drogowego, zasady współżycia społecznego, zasady wychowania to tylko niektóre z powszechnych znanych nam zasad. Jako zasadę określa się wszelkie normy i sposoby postępowania w określonych sytuacjach, w danej dziedzinie życia, odgórnie sankcjonowane przepisami prawa, których nieprzestrzeganie może powodować przykre konsekwencje.
Artykuł 5 RODO określa kilka podstawowych zasad przetwarzania danych osobowych. Stanowią one drogowskaz dla administratora i podmiotu przetwarzającego w jaki sposób traktować dane osobowe. Są to:
- Zgodność z prawem, rzetelność, przejrzystość – zgodnie z zasadą przetwarzanie danych osobowych powinno opierać się na jednej z podstaw prawnych wskazanych odpowiednio w art. 6 RODO bądź 9 RODO w zależności od tego z jakimi danymi osobowymi mamy do czynienia. W przypadku kiedy mówimy o podstawie przetwarzania danych zwykłych w grę wchodzą zgoda, niezbędność do wykonania umowy, obowiązek prawny, ochrona żywotnych interesów oraz prawnie uzasadniony interes administratora. Przetwarzanie danych szczególnych kategorii to oparcie na przesłankach wskazanych enumeratywnie w art. 9 ust 2 RODO. Należy pamiętać również, że nie samym RODO żyją procesy biznesowe. Administrator i podmiot przetwarzający powinni mieć na uwadze zarówno przepisy prawa krajowego jak i europejskiego. Dobrym przykładem zawsze są procesy związane z obsługą kadrową – płacową. Pracodawca jako administrator w przypadku przetwarzania danych osobowych pracowników musi brać pod uwagę nie tylko RODO, ale także przepisy Kodeksu pracy oraz akty z nim powiązane.
- Ograniczenie celu – zasada ta została zdefiniowana w art. 5 ust. 1 pkt e) RODO i stanowi dyrektywę nakazującą przechowywanie danych osobowych jedynie przez okres, w jakim przetwarzanie to jest niezbędne dla celów, dla których dane te są przetwarzane. W sytuacji gdy wszystkie cele przetwarzania danych uległy dezaktualizacji dane powinny zostać trwale usunięte. W tym zakresie administrator powinien przygotować i wdrożyć formalną procedurę retencji. Procedura retencji powinna wskazywać maksymalny czas przechowywania danych oraz sposób ich usunięcia.
- Minimalizacja danych – zgodnie z tą zasadą dane powinny być adekwatne czyli odpowiednie zgodne, stosowne. Innymi słowy administrator nie powinien zbierać danych osobowych „na zapas”, na przyszłość, bez jasno określonych potrzeb i dla czysto hipotetycznych celów. Z praktyki audytowej mogę powiedzieć, że zasada adekwatności często jest naruszana przez działy HR chociażby poprzez kserowanie dowodów tożsamości, praw jazdy czy legitymacji studenckich. Jest to praktyka nagminna, niestety. O ile niektórzy z odchodzą od tej praktyki na rzecz stosownych oświadczeń/notatek służbowych o tyle niektóry usilnie chcą przetwarzać ww. dokumenty opierając się chociażby o przesłankę zgody. Należy jasno wskazać, że zgoda w takim przypadku w żaden sposób nie uzdrowi takiego procederu.
- Prawidłowość – zasada ta jest dość często wykorzystywana przez podmioty danych składających żądania zmiany/aktualizacji danych w procesie obsługi żądań. Administrator powinien dbać o to by dane osobowe były aktualne i prawidłowe.
- Integralność i poufność – dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Administrator powinien wprowadzić procedurę oceny ryzyka przetwarzania danych, zapewniającą uwzględnienie relewantnych czynników ryzyka oraz udokumentowanie faktu dokonania oceny. W przypadkach określonych w art. 37 RODO należy przeprowadzić ocenę skutków przetwarzania (DPIA).
- Rozliczalność – administrator zobowiązany jest być w stanie w dowolnym czasie wykazać, że realizowane przez niego operacje przetwarzania danych są zgodne z podstawowymi zasadami przetwarzania danych określonymi w RODO. Zasada rozliczalności nakłada zatem na administratora danych ciężar dowodowy, polegający na konieczności wykazania przez niego zarówno przed organem nadzorczym, jak również przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych[1]. Klienci często zadają pytania w jaki sposób mają zapewnić zasadę rozliczalności. Moje doświadczenie pokazuje, że zasada to może być zrealizowana poprzez:
- wdrożenie dokumentacji RODO, dostosowanej do specyfiki działalności klienta;
- systematyczne audyty ochrony danych osobowych, zakończone sprawozdaniem;
- programy szkoleń podnoszących świadomość z zakresu ochrony danych osobowych;
- powołanie inspektora ochrony danych osobowych i zespołu ochrony danych osobowych;
- ocenę ryzyka, DPIA, LIA dla procesów przetwarzania opartych na przesłance prawnie uzasadnionego interesu administratora danych.
Niektórzy mówią, że zasady są po to, żeby je łamać. W przypadku naruszenie podstawowych zasad przetwarzania RODO przewiduje przykre konsekwencje, a mianowicie administracyjną karę pieniężną w wysokości do 20 000 000 EURO, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
[1] Decyzja Prezesa UODO ZSPU.421.3.2019
Z tej samej kategorii
Kategorie
