RODO wchodzi w życie. Koniec z natrętnymi telemarketerami

NK

Czekasz w kolejce u lekarza i zamiast swojego nazwiska słyszysz tylko jakąś liczbę. Chcesz wysłać pracownikowi kartkę na święta, lecz najpierw musisz się spytać go o zgodę. Wydaje się nierealne? Nic z tych rzeczy – tak powinna wyglądać nasza codzienność od 25 maja. Wtedy wchodzi w życie RODO, które oznacza nie tylko rewolucję w ochronie naszych danych osobowych, ale może znacząco zmienić nasze przyzwyczajenia.

Już od piątku we wszystkich krajach Unii Europejskiej, w tym także w Polsce, zacznie obowiązywać Rozporządzenie Ogólne o Ochronie Danych Osobowych (RODO), które obejmuje wszystkie podmioty prywatne i publiczne przetwarzające dane osobowe. RODO ma zapewnić większą ochronę naszych danych osobowych i umożliwić nam kontrolę tego, co się z nimi dzieje. Więcej obowiązków będą miały za to osoby, które zajmują się gromadzeniem i przetwarzaniem naszych danych osobowych.

– Zmiany nastąpią praktycznie we wszystkich sferach życia. RODO ma zapewnić nam lepszy sposób panowania nad tym, gdzie znajdują się nasze dane osobowe i co się z nimi dzieje. Uzyskamy dodatkowe prawa w związku z tym, jak przetwarzane są nasze dane i do kogo trafiają. Będziemy mogli domagać się ich usunięcia lub przekazania innym podmiotom. Zwiększy się także ochrona przed nielegalnym obrotem danych – wyjaśnia mecenas Marcin Szaliński z Uniwersytetu im. Adama Mickiewicza.

Zgodnie z nowymi przepisami: są to dane, które identyfikują lub mogą identyfikować osobę fizyczną (jesteś nią, bo osoba fizyczna to prawne określenie człowieka). Mogą to być takie informacje, jak:

• imię,
• nazwisko,
• numer identyfikacyjny (jak na przykład PESEL),
• płeć,
• adres e-mail,
• numer IP komputera,
• dane o lokalizacji,
• kod genetyczny

oraz inne czynniki określające fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość, na przykład poglądy polityczne. Na identyfikację danych osobowych pozwala też aktywność w internecie, na przykład historia zakupów w sklepach internetowych albo publikacje w portalach społecznościowych.

U lekarza

Zmiany związane z RODO możemy odczuć m.in. w poradniach czy szpitalach.

–Jeżeli rejestrujesz się w recepcji szpitala czy przychodni, masz prawo być anonimowy. Masz prawo, żeby wszyscy, którzy są dookoła nie wiedzieli jak masz na imię i na nazwisko

– mówi Maciej Kawecki z ministerstwa cyfryzacji.

W praktyce oznacza to, że nie powinniśmy być wywoływani do lekarza z imienia i nazwiska, lecz np. po numerku, który wcześniej pobralibyśmy. Lekarz nie powinien również mieć na swoim biurku kart zdrowia innych pacjentów. Chodzi o to, byśmy nie wiedzieli kto miał wizytę przed nami i kto wejdzie po nas.

– Jeżeli czekasz w kolejce do lekarza masz prawo, aby ci, którzy czekają razem z Tobą nie wiedzieli do jakiego specjalisty czekasz w kolejce, żeby cała miejscowość, w której się leczysz, nie wiedziała o tym, że danego dnia leczyłeś się u psychiatry, wenerologa czy seksuologa – tłumaczy Maciej Kawecki.

Do danych osobowych dotyczących zdrowia zaliczamy wszystkie dane o naszej kondycji fizycznej i psychicznej. To także informacje o korzystaniu przez nas z usług opieki zdrowotnej - ujawniające informacje o stanie zdrowia.

W pracy

Zmiany dotkną również naszych pracodawców. Mówiąc w skrócie – od teraz pracodawca będzie mógł o nas wiedzieć jedynie tyle, ile jest mu niezbędne i ile sami będziemy chcieli mu powiedzieć. Po wejściu w życie nowych przepisów pracodawca nie będzie mógł pozyskać innych danych na temat pracownika niż te, na których wykorzystanie pracownik się zgodził się.

– Jeżeli zmieniam pracę i mój nowy pracodawca chce się czegoś dowiedzieć na mój temat od poprzedniego pracodawcy, to może do niego zadzwonić, ale to ja muszę wyrazić zgodę na udzielenie nowemu pracodawcy jakichkolwiek informacji – mówi Karol Manys z ministerstwa cyfryzacji.

Nowe przepisy będą ponadto dotyczyły także szukania informacji o pracownikach, np. na portalach społecznościowych. Pracodawca będzie miał obowiązek poinformowania pracowników o takich działaniach. Niezgodne z prawem będą tego rodzaju aktywności, prowadzone bez zgody pracownika, a także wykorzystanie pozyskanych w ten sposób, niekorzystnych informacji o zatrudnionych.

Po wprowadzeniu zmian pracodawca nadal będzie mógł żądać od pracownika oraz od kandydata na pracownika stosownego zaświadczenia lekarskiego czy też orzeczenia o zdolności do wykonywania pracy. Zakazem objęte będzie jednak przetwarzanie informacji obejmujących stan zdrowia pracownika i kandydata na pracownika, jego orientacji seksualnej, życia seksualnego, poglądów politycznych, czy nałogów.

Kartki już nie wyślesz?

Prowadzisz firmę i wysyłasz kartki z życzeniami świątecznymi do swoich klientów? Po 25 maja będziesz musiał szczególnie uważać. Zapamiętaj: jeżeli wysyłając kartki będziesz wykorzystywał czyjś prywatny adres domowy, jest to przetwarzanie danych osobowych. Musisz uzyskać zgodę osoby, której pragniesz życzyć wesołych świąt.

Mów ciszej

Zgodnie z RODO trzeba zwracać uwagę na to, o czym rozmawiamy i jak głośno to robimy. W pobliżu mogą znaleźć się osoby, które nas słuchają i które w ten sposób mogą pozyskać dane uznawane za osobowe, również dane wrażliwe. A te zaliczamy do grupy szczególnie chronionych danych osobowych. Są to, na przykład, dane, które ujawniają czyjeś pochodzenie rasowe lub etniczne, przekonania religijne albo informacje o jego nałogach albo życiu seksualnym.

Danymi wrażliwymi są również opinie polityczne. Organizacje, w tym przedsiębiorstwa, nie mogą rejestrować, gromadzić ani w żadnej innej formie przetwarzać tego rodzaju informacji o swoich klientach czy o pracownikach.

Nowe prawa

Wejście w życie RODO oznacza również, że jako obywatele uzyskamy nowe prawa. Będziemy mogli np. z zażądać przeniesienia swoich danych osobowych tam, gdzie chcemy. Na przykład z banku A do banku B, po to, by na nowo nie wypełniać całej dokumentacji kredytowej.

Ponadto w każdej chwili będziemy mogli uzyskać kopię naszych danych osobowych zgromadzonych w danej organizacji.

„Masz pełne prawo wglądu w swoje dane i dysponowania nimi wedle swojego uznania”

– informują przedstawiciele ministerstwa cyfryzacji.

Ponadto za każdym razem będziemy musieli zostać poinformowani, jeśli z danej instytucji dojdzie do wycieku naszych danych, który zagrażałby naszej prywatności.

Nową możliwością będzie także prawo do bycia zapomnianym, o którym więcej informacji w dalszej części tekstu.

Poradnik ministerstwa cyfryzacji dla przedsiębiorcy

• Oceń ryzyko naruszenia zasad ochrony danych i zminimalizuj je, wybierając odpowiednie sposoby. Sam zdecyduj jakie.
• Jeśli przetwarzanie danych osobowych stanowi istotę Twojej działalności, powołaj inspektora ochrony danych osobowych. Inspektor będzie pośrednikiem pomiędzy Twoją firmą a urzędem, a także między Tobą a osobami, których dane przetwarzasz.
• Działaj tak, żebyś zawsze mógł wykazać, że oceniłeś ryzyko i świadomie wdrożyłeś zabezpieczenia minimalizujące to ryzyko.
• Nie zbieraj więcej danych niż jest to potrzebne do realizacji Twojego celu, nie zbieraj ich „na zapas” ani „na przyszłość”.
• Zgłaszaj naruszenia do Prezesa UODO (Urzędu Ochrony Danych Osobowych) w ciągu 72 godzin od jego wykrycia oraz poinformuj osoby, których dane wyciekły. To Twój obowiązek, a zgłoszenie nie jest równoznaczne z karą! Nie zgłaszając bardziej się na nią narazisz.
• Przygotuj się na żądania osób, których dane dotyczą. Na przykład na prawo do przeniesienia danych albo otrzymania ich kopii.
• Informuj osoby, których dane przetwarzasz o celu, w którym to robisz. Informuj o profilowaniu – jeśli Cię to dotyczy – i o tym skąd wziąłeś dane.

Prawo do bycia zapomnianym

Jesteś zmęczony ciągłymi telefonami od telemarketerów, którzy chcą sprzedać kolejny zestaw garnków lub zaprosić na prezentację nowego zestawu pościeli? Dzięki wejściu w życie RODO ten problem, przynajmniej w teorii, powinien zniknąć. To ma zapewniać tzw. prawo do bycia zapomnianym.

Mówiąc najprościej, prawo do bycia zapomnianym będzie pozwalało nam żądać od administratorów usunięcia ze swoich baz naszych danych osobowych.

– To prawo do tego, by osoba przetwarzająca nasze dane usunęła je w całości ze wszystkich swoich systemów

– mówi mecenas Marcin Szaliński z Uniwersytetu im. Adama Mickiewicza.

Zgodnie z prawem administrator powinien to zrobić bez żadnej zwłoki. Prawo będzie nakładało na administratorów obowiązek usunięcia naszych danych osobowych ze wszystkich miejsc, czyli na przykład z: serwera, poczty, plików Word i Excel, dysków zewnętrznych i przenośnych oraz z papierowych kopii.

Ten przepis może uderzyć przede wszystkim w telemarketerów, którzy niejednokrotnie dzwonią do nas próbując nas zachęcić do zakupu różnych rzeczy. – To może być ułatwienie, żeby bronić się przed telemarketerami. Zgodnie z prawem jeśli po 25 maja ktoś do nas zadzwoni z jakąś ofertą, a my powiemy mu, by usunął nasze dane, w przyszłości nie powinien się już z nami kontaktować – wyjaśnia mecenas Marcin Szaliński.

I dodaje: – Dzięki surowym karom oraz wejściu w życie nowych przepisów szansa na to, że telemarketerzy zastosują się do naszej woli jest większa niż obecnie.

Podobnie wygląda sytuacja w przypadku newsletterów oraz maili dotyczącymi otrzymywania najnowszych informacji o danej firmie. Jeśli nie zgodzimy się na takie informacje, nie powinniśmy już ich otrzymywać.

Trzeba jednak pamiętać, że prawo do bycia zapomnianym nie może być zastosowane we wszystkich sytuacjach. Są to, między innymi, takie sytuacje, gdy przetwarzanie danych osobowych przez administratora jest wymagane przez prawo unijne albo krajowe lub gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

Przykładem może być tutaj pracodawca, który ma obowiązek gromadzenia dokumentacji pracowniczej przez 50 lat, a od 1 stycznia 2019 roku przez 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł (chyba że odrębne przepisy będą przewidywały dłuższy okres przechowywania dokumentacji pracowniczej).

Kary za nieprzestrzeganie RODO

Jednym ze sposobów na walkę z organizacjami nieprzestrzegającymi nowych przepisów mają być wysokie kary. Te mogą wynosić nawet 20 mln euro lub do 4 procent całkowitego rocznego obrotu danej firmy z poprzedniego roku obrotowego. Tak wysokie grzywny mają odstraszać od nielegalnego obrotu naszymi danymi osobowymi lub nieprzestrzeganiem nowych przepisów, lecz w pierwszych miesiącach najprawdopodobniej w ogóle nie będą wykorzystywane.

– Pamiętajmy o tym, że prezydent dopiero we wtorek podpisał nową ustawę o ochronie danych osobowych. Dlatego minie trochę czasu zanim organy nadzoru przystosują się do niej i zaczną odpowiednio działać. Ponadto można też się spodziewać, że na początku poszczególne firmy czy organizacje będą najpierw edukowane i proszone o naprawianie ewentualnych uchybień, a dopiero potem karane – wyjaśnia mecenas Marcin Szaliński z Uniwersytetu im. Adama Mickiewicza w Poznaniu.

Słownik pojęć

• RODO - Rozporządzenie Ogólne o Ochronie Danych Osobowych (RODO) - prace nad dokumentem były prowadzone przez cztery lata. I choć został on uchwalony przez Parlament Europejski i przyjęty przez Radę Unii Europejskiej dwa lata temu, to samo rozporządzenie w państwach członkowskich zacznie obowiązywać od 25 maja 2018 r.
• Zasady RODO - W przepisach zostały sformułowane m.in. takie zasady jak: zgodność z prawem, rzetelność i przejrzystość, minimalizacji danych, ograniczenia przechowania danych czy ich rozliczalność.
• Administrator i procesor - Administrator to na przykład przedsiębiorca, który przechowuje, zarządza i przetwarza dane osobowe osób fizycznych. Procesorem jest podmiot przetwarzający dane osobowe w imieniu i na rzecz administratora. Ze względów m.in. bezpieczeństwa administrator może powierzyć, na podstawie umowy, przetwarzanie danych innemu podmiotowi, czyli właśnie procesorowi, którym może być centrum danych, takim jak Beyond.pl.
• Chmura obliczeniowa - Usługa polegająca na przetwarzaniu danych w oparciu o sprzęt i oprogramowanie dostarczone przez usługodawcę. W praktyce klient potrzebuje jedynie urządzenia końcowego i dostępu do sieci, aby móc korzystać ze swoich danych zlokalizowanych w zewnętrznym data center. Największą zaletą chmury jest jej skalowalność, co przekłada się na stały dostęp do danych nawet w chwili wzmożonego ruchu np. na stronie internetowej. To także usługa o wysokim poziomie bezpieczeństwa.