ochrona danych osobowych | Co do zasady

Pliki cookies i technologie podobne do cookies są powszechnie wykorzystywanymi narzędziami marketingowymi, pozwalającymi zoptymalizować zarządzanie kampaniami marketingowymi i skuteczniej docierać do klientów. Nic więc dziwnego, że trudno jest znaleźć stronę internetową, na której nie wyskakuje okienko informujące o wykorzystywaniu przez tę stronę plików cookies, o czym można przeczytać więcej w polityce prywatności i polityce cookies. Co ciekawe, treść tych komunikatów w znakomitej większości jest sprzeczna z obowiązującymi regulacjami z zakresu ochrony danych osobowych, prawa telekomunikacyjnego oraz świadczenia usług drogą elektroniczną.

Jednym z istotnych elementów nowej ustawy Prawo zamówień publicznych ma być uregulowanie kwestii ochrony danych osobowych gromadzonych w toku postępowań zamówieniowych. Zapowiadają się istotne wyjątki od zasad ogólnych wynikających z RODO. Na czym mają one polegać?

Atak hakerski wykorzystujący lukę w niezaktualizowanym oprogramowaniu webowym amerykańskiej agencji kredytowej spowodował wyciek istotnych danych milionów klientów ze Stanów Zjednoczonych, Kanady i Wielkiej Brytanii. Amerykańskie władze federalne prowadzą dochodzenie, które może skutkować milionowymi karami. Szefowie firmy zostali wezwani na przesłuchania przed Kongresem. Agencji wytoczono największy pozew zbiorowy w historii USA. Mimo że brzmi to jak fabuła finansowego thrillera, to sprawa Equifax wydarzyła się naprawdę i może służyć jako lekcja na przyszłość.

Nowe rozporządzenie o ochronie danych osobowych wprowadza surowe kary administracyjne za jego nieprzestrzeganie. Jak jednak wiadomo, nie surowość, lecz nieuchronność kary decyduje o jej skuteczności. Choć urząd ochrony danych osobowych został wyposażony w szerokie kompetencje, ma jednak niewystarczające środki, aby z nich korzystać. Uzupełnieniem tej luki może być wbudowany w rozporządzenie mechanizm tzw. private enforcement. Pozwala on na to, aby każda osoba której dane zostały naruszone, samodzielnie dochodziła ochrony sądowej.

Zamawiający muszą pamiętać, że w prowadzonych przez nich postępowaniach przetwarzane są dane osobowe podlegające ochronie. Dokumentacja postępowania musi być dostosowana do nowych przepisów wynikających z wejścia w życie RODO.

Już dziś (24 maja) upływa termin na dostosowanie prowadzonej działalności do wymogów ochrony danych osobowych wynikających z RODO. Tymczasem Grupa Robocza art. 29 przedstawiła stanowisko, z którego wynika, że praktycznie wszyscy pracodawcy powinni prowadzić rejestr czynności przetwarzania w odniesieniu do danych osobowych pracowników.

Od jutra, 25 maja br., zaczyna obowiązywać rozporządzenie ogólne o ochronie danych osobowych (RODO). Zmienia ono klasyfikację prawną danych zawartych w zaświadczeniach o niekaralności. W przeciwieństwie do innych zmian, które wprowadza RODO, ta zmiana to krok w stronę liberalizacji. Jak będą traktowane tego rodzaju dane?

Od 25 maja br. jednostki ochrony zdrowia będą konfrontowane ze sprzecznymi zasadami wynikającymi z rozporządzenia ogólnego o ochronie danych osobowych (RODO) oraz z polskich ustaw sektorowych dotyczących postępowania z dokumentacją medyczną. Niespójności mogłyby zostać wyeliminowane przez przepisy wprowadzające ustawę o ochronie danych osobowych, ale jest mało prawdopodobne, aby prace nad nimi zakończyły się na czas. Jak postępować wobec niejasności i jak ograniczać zwiększone ryzyko regulacyjne?

Ogólne rozporządzenie o ochronie danych osobowych (RODO), wchodzące w życie 25 maja 2018 r., nie jest jedyną rewolucją przygotowywaną przez Unię Europejską w zakresie ochrony prywatności. Również projekt rozporządzenia w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej (tzw. rozporządzenie o ePrivacy) wzbudza coraz większe kontrowersje i może wpłynąć na kształt współczesnego internetu.

Dla osób odpowiedzialnych za zapewnienie, że działalność firmy odbywa się zgodnie z prawem, istotne jest śledzenie bieżących zmian w prawie, których od pewnego czasu jest niemało. Czasami drobna zmiana w tekście ustawy jest ogromną zmianą w rzeczywistości. Warto więc w ramach przeglądu compliance zwrócić uwagę na kilka nowo wprowadzonych lub zapowiadanych zmian w prawie.

Wkrótce upłynie pierwszy rok funkcjonowania programu Tarcza Prywatności (Privacy Shield). Na wrzesień 2017 roku zaplanowano przegląd programu. Ma on służyć surowej weryfikacji, czy program spełnia pokładane w nim nadzieje i skutecznie zapewnia należytą ochronę danych osobowych przekazywanych do zarejestrowanych w programie amerykańskich odbiorców tych danych. Przegląd powinien także przesądzić o kierunkach rozwoju programu, a także zidentyfikować obszary wymagające poprawy.

12 lipca 2016 r. Komisja Europejska przyjęła decyzję potwierdzającą, że podmioty działające na terenie Stanów Zjednoczonych, które spełnią warunki określone w programie Tarcza Prywatności (Privacy Shield), będą uważane za zapewniające należyty poziom ochrony danych osobowych. Oznacza to, że przekazywanie danych osobowych do takich podmiotów będzie możliwe bez konieczności jednoczesnego stosowania innych mechanizmów służących zapewnieniu należytej ochrony, takich jak wiążące reguły korporacyjne czy zgoda regulatora na przekazanie.