Miesiąc: maj 2018

RODO jednocześnie rozszerza prawa konsumentów i obowiązki podmiotów przetwarzających ich dane osobowe. Nowe przepisy wprowadzają pięć kluczowych praw, których musi przestrzegać każdy administrator danych.

 

1. Rozszerzone prawo do informacji

---

Osoby, których dane są przetwarzane, muszą być poinformowane o szczegółach tego procesu. Zgodnie z rozporządzeniem o ochronie danych osobowych administrator danych osobowych musi:

• Poinformować o tym, że ich dane są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane.
• Poinformować o tym, w jakim stopniu są lub będą one przetwarzane.
• Uświadomić o ryzyku, jakie wiąże się z operacjami na danych osobowych.
• Uświadomić osobom, których dane są przetwarzane, o przysługujących im prawach: prawie do żądania dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych.
• Poinformować o zautomatyzowanym podejmowaniu decyzji przez przedsiębiorstwo na podstawie zebranych danych, w tym o profilowaniu (patrz punkt 5).
• Poinformować o tym, czy podanie danych osobowych jest wymogiem ustawowym, umownym, czy może stanowi warunek zawarcia umowy.
• Poinformować o obowiązku pozostawienia danych i ewentualnych konsekwencjach ich nieudostęnienia.

2. Prawo dostępu do danych

---

Z prawem do informacji ściśle związane jest prawo dostępu do danych. Każdy ma prawo żądać potwierdzenia, czy jej/jego dane osobowe są przez administratora przetwarzane. Odpowiedź twierdząca może być podstawą dalszego domagania się informacji o:

• celu przetwarzania;
• kategoriach odnośnych danych osobowych;
• odbiorcach lub kategoriach odbiorców, którym dane zostały lub zostaną ujawnione;
• planowanym okresie przechowywania danych (lub o kryteriach ustalenia tego okresu);
• prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania (patrz punkty 3 i 4);
• prawie wniesienia skargi do organu nadzorczego;
• źródle pozyskania danych – jeżeli nie zostały one zebrane od osoby, której dane dotyczą;
• o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO;
• o zasadach podejmowania tych decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

3. Prawo sprostowania danych i usuwania danych

---

Na żądanie zainteresowanego administrator ma obowiązek niezwłocznego sprostowania nieprawidłowych danych osobowych oraz ich uzupełnienia, jeśli są niekompletne. Korekta danych musi następować za każdym razem, gdy ich właściciel wykaże w nich nieprawidłowości.

Ponadto, w sytuacji gdy dane osobowe nie są już niezbędne do osiągnięcia celów, dla których były gromadzone, osoba, której dane dotyczą, ma prawo domagać się usunięcia ich przez administratora. Podobnie będzie, gdy wniosła ona sprzeciw lub cofnęła zgodę na przetwarzanie swoich danych.

4. Prawo do sprzeciwu

---

Osoba, której dane są przetwarzane, może w każdej chwili wnieść sprzeciw do administratora danych, a ten musi przestać jej dane przetwarzać.

Ponadto, sprzeciw może zostać wniesiony w następujących sytuacjach:

• wobec przetwarzania danych osobowych na potrzeby marketingu bezpośredniego lub
• wobec przetwarzania danych osobowych do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO, z przyczyn związanych ze szczególną sytuacją osoby, której dane dotyczą.
• Po wniesieniu sprzeciwu administratorowi nie wolno dłużej przetwarzać danych osobowych, chyba że zaistnieją przesłanki ściśle wskazane w RODO.

RODO nie narzuca żadnych szczególnych wymogów w zakresie formy sprzeciwu – może być wniesiony ustnie w czasie rozmowy telefonicznej, pocztą elektroniczną lub za pomocą faksu.

5. Prawo do bycia informowanym o profilowaniu

---

Profilowanie to forma zautomatyzowanego przetwarzania danych osobowych, która służy ocenie czynników osobowych osoby fizycznej. Ci, których ten proces dotyczy, muszą zostać poinformowani o tym fakcie oraz o jego konsekwencjach. Profilowanie może być stosowane do oceny sytuacji ekonomicznej, zainteresowań czy preferencji osób. Przykładem profilowania jest proces monitorowania zachowań w przypadku wykorzystywania plików cookies.

 

---

*Autor: Katarzyna Blachowicz, radca prawny, młodszy partner w Kancelarii Prawnej GWW

Artykuł ukazał się w Gazecie Wyborczej.

Wymogi stawiane przez RODO dotykają nie tylko przedsiębiorców, ale i pracowników. Zmiany w Kodeksie pracy pozwolą pracodawcom na podjęcie decyzji o wprowadzeniu szczególnego nadzoru nad miejscem pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu. Jak zatem zmieni się sytuacja pracowników? Czy przedsiębiorca będzie mógł bez ograniczeń stosować monitoring pracowniczy?

Aktualnie obowiązujące przepisy nie precyzują, czy (a jeżeli tak, to kiedy) możliwe jest stosowanie monitoringu pracowników.

Zdania na temat dopuszczalności jego stosowania są podzielone. W ostatnim czasie coraz więcej pracodawców zaczęło stosować monitoring pracowników i te praktyczne działania w pewien sposób wypracowały zakres stosowania:

• po pierwsze, konieczne jest, aby pracodawca poinformował pracowników o stosowaniu kamer, np. poprzez zawarcie stosownego postanowienia w regulaminie pracy;
• po drugie, konieczne jest, aby monitorowanie miało istotny cel. Cel ten musi być usprawiedliwiony, np. bezpieczeństwo stanowiska pracy.

Popularność monitoringu pracowników wymogła uregulowanie tej kwestii wprost na gruncie prawnym. Okazją do dokonania regulacji w tym zakresie stało się RODO, które wejdzie w życie 25 maja 2018 roku.

RODO a monitoring osób

---

Kwestia ochrony dóbr osobistych pracowników znajduje się w art. 88 RODO. Unia upoważniła państwa członkowskie do zawarcia w przepisach krajowych bardziej szczegółowych niż dotychczas postanowień. Mają one zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych. Jednocześnie jednak wskazano, że przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, m.in. pod względem stosowania systemów monitorujących w miejscu pracy.

W Polsce aktualnie trwają prace nad wprowadzeniem nowej ustawy o ochronie danych osobowych, która zmieniać ma również Kodeks pracy.

W projekcie ustawy o ochronie danych osobowych, datowanym na 12 września 2017 r., znalazły się przepisy regulujące kwestię monitoringu. Zgodnie z postanowieniami tego projektu do Kodeksu pracy ma zostać dodany nowy artykuł (art. 224), który będzie regulować monitoring w miejscu pracy.

Zgodnie z proponowaną regulacją pracodawca wprowadza szczególny nadzór nad miejscem pracy lub terenem wokół zakładu w postaci monitoringu:

• jeśli uzna to za konieczne;
• dla zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Ponadto:

• monitoring nie będzie mógł stanowić środka kontroli wykonywania pracy;
• nie będzie mógł obejmować pomieszczeń sanitarnych, szatni, stołówek lub palarni;
• pracodawca będzie zobowiązany do poinformowania pracowników o wprowadzeniu monitoringu nie później niż 14 dni przed jego uruchomieniem;
• pracodawca przetwarza dane osobowe uzyskane w wyniku zastosowania monitoringu wyłącznie do celów, dla których zostały zebrane, i przechowuje je jedynie przez okres niezbędny do realizacji tych celów.

Finalne brzmienie nowelizowanych ustaw nie jest jeszcze znane i postanowienia w zakresie monitoringu mogą ulec zmianie. Niemniej jednak ogólne zasady RODO będą wymagały na krajowym ustawodawcy wdrożenie takich mechanizmów, których zastosowanie wymagać będzie od pracodawców określenia celu i zasad prowadzenia monitoringu pracowników.

---

*Autor: Katarzyna Blachowicz, radca prawny, młodszy partner w Kancelarii Prawnej GWW.

 

Artykuł ukazał się na Gazecie Wyborczej.