RODO, czyli Rozporządzenie Ogólne o Ochronie Danych Osobowych, to unijne ramy prawne określające zasady gromadzenia i przetwarzania danych osobowych osób mieszkających w Unii Europejskiej. Polska nazwa jest tłumaczeniem angielskiego GDPR (General Data Protection Regulation). Rozporządzenie przyjęto w kwietniu 2016 roku, a obowiązuje od maja 2018 roku, po dwuletnim okresie przejściowym. Stosują się do niego strony WWW niezależnie od tego, gdzie stoją ich serwery. Poniżej wyjaśniamy, na czym polega RODO, jakie obowiązki nakłada na firmy i co daje użytkownikom.
Kogo obowiązuje RODO?
RODO obowiązuje każdą witrynę, która przyciąga odwiedzających z Europy. Dotyczy to także stron, które nie sprzedają towarów ani usług mieszkańcom UE. Odwiedzający muszą dostać informację o tym, jak przechowywane są ich dane. Właściciel strony powinien też ułatwić im korzystanie z praw konsumenckich, na przykład przez terminowe powiadomienie o naruszeniu danych osobowych.
Na czym polega RODO i jakie ma zasady?
RODO polega na przestrzeganiu siedmiu zasad, które wskazują, jak postępować z danymi osobowymi mieszkańców UE. Razem tworzą ramy zarządzania danymi służące ich ochronie. Pierwsza zasada to zgodność z prawem, uczciwość i przejrzystość. Dalej są ograniczenie celu, minimalizacja danych i ich dokładność. Listę zamykają ograniczenie przechowywania, integralność i poufność, czyli bezpieczeństwo danych, oraz rozliczalność.
Co to są dane osobowe według RODO?
Dane osobowe to wszelkie informacje, które pozwalają zidentyfikować konkretną osobę. Należą do nich imię i nazwisko, numer identyfikacyjny, a także obrazy. Obejmują też czynniki charakterystyczne dla fizycznej, fizjologicznej, genetycznej, psychicznej, ekonomicznej, kulturowej lub społecznej tożsamości człowieka. RODO rozszerzyło tę listę o dane lokalizacyjne i identyfikatory internetowe. Chodzi na przykład o adresy IP, pliki cookie i identyfikatory urządzeń mobilnych.
Jakie obowiązki nakłada RODO na firmy?
RODO nakłada na organizacje i przedsiębiorstwa obowiązki związane z całym cyklem życia danych. Zaczynają się od informowania użytkowników, a kończą na reagowaniu na naruszenia. Firma przetwarzająca dane osobowe musi:
- zgłaszać naruszenia danych osobowych organowi nadzorczemu w ciągu 72 godzin,
- wskazać inspektora ochrony danych, choć nie zawsze jest to obowiązkowe,
- informować użytkowników o gromadzeniu danych i jego celu,
- zbierać tylko tyle danych, ile potrzeba do osiągnięcia celu,
- zapewniać bezpieczne przechowywanie danych,
- przechowywać dane tylko tak długo, jak to konieczne,
- udostępniać osobie fizycznej kopię jej danych na żądanie.
Co RODO daje użytkownikowi internetu?
RODO daje użytkownikom internetu w Unii Europejskiej kontrolę nad przetwarzaniem ich danych osobowych. To oni decydują, co organizacja może zrobić z informacjami na ich temat. Dzięki rozporządzeniu każdy użytkownik może:
- dowiedzieć się, jak organizacja przetwarza jego dane,
- zażądać usunięcia swoich danych, korzystając z prawa do bycia zapomnianym,
- poprawić dane nieprawidłowe lub niekompletne,
- przenieść swoje dane,
- zabronić organizacji wykorzystywania swoich danych w określonych sytuacjach,
- otrzymać kopię swoich danych osobowych, które posiada organizacja.
Dlaczego RODO budziło kontrowersje wśród przedsiębiorców?
RODO budziło kontrowersje, bo część przedsiębiorców uznała jego wymogi za zbyt uciążliwe. Krytycy twierdzili, że obowiązek powołania inspektora danych osobowych nadmiernie obciąża niektóre firmy administracyjnie. Skarżono się też na niejasne wytyczne dotyczące postępowania z danymi pracowników.
Najwięcej zastrzeżeń dotyczyło przekazywania danych poza Unię Europejską. Firma spoza UE, która otrzymuje dane obywateli Unii, musi zapewnić im taki sam stopień ochrony jak w Europie. Według krytyków prowadziło to do kosztownych zakłóceń w wymianie biznesowej.