OCHRONA DANYCH OSOBOWYCH W ORGANIZACJI POZARZĄDOWEJ

Transkrypt

1 OCHRONA DANYCH OSOBOWYCH W ORGANIZACJI POZARZĄDOWEJ PODSTAWOWE INFORMACJE O RODO ABC III SEKTORA

2 Stowarzyszenie Klon/Jawor Przedruki lub przenoszenie całości lub części tej publikacji na inne nośniki możliwe wyłącznie za zgodą właściciela praw autorskich. AUTORZY Jarosław Greser, Natalia Benderska JAROSŁAW GRESER Doktor nauk prawnych. Od 11 lat współpracuje z organizacjami pozarządowymi w zakresie obsługi prawnej, szczególnie w obszarze ochrony danych osobowych, praw autorskich i zwalczania nieuczciwej konkurencji. Prowadzi od strony prawnej procesy komercjalizacji wiedzy w branży chemicznej, spożywczej i nowych technologii. Pracownik naukowy Uniwersytetu im. Adama Mickiewicza specjalizujący się w zagadnieniach związanych z ochroną i wdrażaniem innowacji oraz prawnych regulacji internetu rzeczy. Prowadzi szkolenia dla organów administracji publicznej, firm oraz organizacji pozarządowych. Autor artykułów i opracowań dotyczących wdrażania RODO w różnych branżach. NATALIA BENDERSKA Absolwentka prawa na Uniwersytecie Humanistycznospołecznym w Poznaniu oraz administracji na Uniwersytecie im. Adama Mickiewicza w Poznaniu. Aktywnie udziela się w sektorze pozarządowym (prezes Fundacji Gubińskie Mokradła, prezes Towarzystwa Przyrodniczego Czajka ). Jako prawniczka prowadzi szkolenia oraz wspiera organizacje. Jej zainteresowania związane są z szeroko pojętym prawem ochrony środowiska, ze szczególnym uwzględnieniem prawa łowieckiego (twórca portalu Monitor Łowiecki). Zajmuje się także problematyką ochrony danych osobowych. REDAKCJA, KOREKTA Renata Niecikowska, Olga Ślifirska SKŁAD Laszuk, Hegman K+S WYDAWCA Stowarzyszenie Klon/Jawor ul. Szpitalna 5/5, Warszawa tel portal organizacji pozarządowych ngo.pl Stowarzyszenie Klon/Jawor jest członkiem Sieci SPLOT. Niniejsza publikacja powstała z zachowaniem wszelkiej staranności o rzetelność, jednak wydawca nie ponosi odpowiedzialności za skutki zastosowania się do zamieszczonych porad. ISBN Warszawa 2018, wyd. I

3 OCHRONA DANYCH OSOBOWYCH W ORGANIZACJI POZARZĄDOWEJ PODSTAWOWE INFORMACJE O RODO Jarosław Greser, Natalia Benderska Stan prawny: wydanie I Warszawa 2018

4 SPIS TREŚCI Wstęp 7 I. Nowe przepisy w zakresie ochrony danych osobowych Terytorialny zakres stosowania Jak rozumieć preambułę do RODO? Czym jest Grupa Robocza art. 29? najważniejszych zmian w ochronie danych osobowych. O czym musi wiedzieć Twoja organizacja 15 II. Identyfikacja danych osobowych Czym są dane osobowe Jakie informacje nie są danymi osobowymi Szczególne kategorie danych osobowych Zbiór danych 23 III. Ustalenie podmiotów i osób odpowiedzialnych za ochronę danych osobowych Administrator danych osobowych Współadministrator Podmiot przetwarzający Przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii 30 IV. Przetwarzanie danych osobowych Na czym polega przetwarzanie danych osobowych Zasady dotyczące przetwarzania danych osobowych Podstawy przetwarzania danych osobowych 39 Przetwarzanie danych osobowych zwykłych 39 Przetwarzanie szczególnych kategorii danych osobowych (wrażliwych) Powierzenie przetwarzania 44 Dalsze powierzenie przetwarzania Zgoda na przetwarzanie danych Warunki wyrażenia zgody Warunki wyrażenia zgody przez dziecko w przypadku usług społeczeństwa informacyjnego Zatrudnianie pracowników na umowę o pracę 49 4

5 V. Obowiązki informacyjne Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą 60 Przykłady klauzul informacyjnych 61 VI. Prawa osób, których dane dotyczą Tryb wykonywania praw Prawo dostępu do danych osobowych Prawo do sprostowania danych Prawo do usunięcia danych ( prawo do bycia zapomnianym ) Prawo do przenoszenia danych Prawo do ograniczenia przetwarzania Prawo do sprzeciwu Zautomatyzowane podejmowanie decyzji Profilowanie Prawo do wniesienia skargi do organu nadzorczego 78 VII. Obowiązki administratora Ogólne obowiązki administratora Uwzględnienie ochrony danych w fazie projektowania oraz domyślna ochrona danych 81 Ochrona danych w fazie projektowania 82 Domyślna ochrona danych Współpraca z organem nadzorczym 83 VIII. Ustalenie wewnętrznych zasad ochrony danych w organizacji, dokumenty Analiza ryzyka Ocena skutków dla ochrony danych 89 Schemat metodologii tworzenia oceny skutków dla ochrony danych (DPIA) Rejestry przetwarzania Pozostałe dokumenty 92 IX. Inspektor ochrony danych Wyznaczenie inspektora ochrony danych Status inspektora ochrony danych Zadania inspektora ochrony danych 99 5

6 X. Relacje z organem nadzoru Organ nadzoru Postępowanie w przypadku naruszenia ochrony danych osobowych 103 Informowanie organu nadzoru 104 Informowanie osób poszkodowanych Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych 106 Przekazywanie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony 107 Przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń Certyfikacja i kodeksy postępowania 108 Certyfikacja 108 Kodeksy postępowania 110 XI. Odpowiedzialność za naruszenie przepisów o ochronie danych osobowych Odpowiedzialność cywilna Odpowiedzialność administracyjna Odpowiedzialność karna 117 Źródła 119 6

7 WSTĘP Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) znane jako RODO weszło w życie 25 maja 2018 r. Dotyczy ono wszystkich podmiotów, które przetwarzają dane osobowe, niezależnie od ich formy prawnej. Dlatego również organizacje pozarządowe zarejestrowane w Polsce lub działające na terytorium Polski zostały nim objęte. Treść RODO ma charakter uniwersalny zawarte w nim pojęcia i klauzule są na tyle ogólne, że z jednej strony umożliwia to dostosowanie nowych przepisów do specyfiki różnych branż, porządków prawnych i postępu technologicznego, z drugiej zaś mało precyzyjne zapisy mogą sprawić, że wprowadzenie RODO będzie dla organizacji pozarządowych wyzwaniem. Publikacja uwzględnia stan prawny przepisów związanych z ochroną danych osobowych na dzień 1 czerwca 2018 r. Ponieważ RODO jest aktem nowym, brakuje związanej z nim praktyki stosowania, w szczególności orzeczeń sądów i interpretacji Urzędu Ochrony Danych Osobowych (UODO). Staraliśmy się jednak uwzględnić wszystkie najnowsze trendy i poglądy doktryny, aby jak najbardziej dostosować przekaz do specyfiki środowiska organizacji pozarządowych. Tę wersję poradnika traktujemy jako rozwojową. Będziemy wdzięczni za wszelkie uwagi i komentarze, które prosimy przesyłać na adres: klon@klon.org.pl. WSTĘP 7

8 I. NOWE PRZEPISY W ZAKRESIE OCHRONY DANYCH OSOBOWYCH W tym rozdziale dowiesz się: Od 25 maja 2018 r. zaczęło być stosowane Rozporządzenie 2016/679 1 inaczej nazywane RODO oraz weszła w życie Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych 2. Tym samym straciły moc obowiązującą: Dyrektywa 95/46/WE, Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych 3 oraz wydane do niej akty wykonawcze (takie jak np. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych oraz Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji). RODO obejmuje ochroną osoby fizyczne, które przebywają na terenie Unii Europejskiej niezależnie od ich obywatelstwa czy miejsca zamieszkania. Ochrona ta jest udzielana w związku z przetwarzaniem danych osobowych tych osób. 1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz. Urz. UE L 119, s Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000). 3 Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922). I. NOWE PRZEPISY W ZAKRESIE OCHRONY DANYCH OSOBOWYCH 11

9 ABC III SEKTORA Nowoczesne poradniki dla stowarzyszeń i fundacji oraz osób zajmujących się działalnością społeczną. SIĘGNIJ PO ABC Poradniki z serii ABC III SEKTORA to połączenie ponad 18 lat praktyki w doradzaniu organizacjom pozarządowym z wiedzą ekspertów specjalistów w zakresie zarządzania, finansów, prawa dotyczącego organizacji pozarządowych oraz współpracy z administracją. W SERII UKAZAŁY SIĘ TYTUŁY: o nich wiedzieć pozarządowych JAK ZAMAWIAĆ? Poradniki ABC III SEKTORA oraz inne wydawnictwa Stowarzyszenia Klon/Jawor można zamawiać w sklepie internetowym sklep.ngo.pl. Zapraszamy na pozarządowe zakupy! ISBN