OCHRONA DANYCH OSOBOWYCH W ORGANIZACJI POZARZĄDOWEJ PODSTAWOWE INFORMACJE O RODO ABC III SEKTORA
Stowarzyszenie Klon/Jawor Przedruki lub przenoszenie całości lub części tej publikacji na inne nośniki możliwe wyłącznie za zgodą właściciela praw autorskich. AUTORZY Jarosław Greser, Natalia Benderska JAROSŁAW GRESER Doktor nauk prawnych. Od 11 lat współpracuje z organizacjami pozarządowymi w zakresie obsługi prawnej, szczególnie w obszarze ochrony danych osobowych, praw autorskich i zwalczania nieuczciwej konkurencji. Prowadzi od strony prawnej procesy komercjalizacji wiedzy w branży chemicznej, spożywczej i nowych technologii. Pracownik naukowy Uniwersytetu im. Adama Mickiewicza specjalizujący się w zagadnieniach związanych z ochroną i wdrażaniem innowacji oraz prawnych regulacji internetu rzeczy. Prowadzi szkolenia dla organów administracji publicznej, firm oraz organizacji pozarządowych. Autor artykułów i opracowań dotyczących wdrażania RODO w różnych branżach. NATALIA BENDERSKA Absolwentka prawa na Uniwersytecie Humanistycznospołecznym w Poznaniu oraz administracji na Uniwersytecie im. Adama Mickiewicza w Poznaniu. Aktywnie udziela się w sektorze pozarządowym (prezes Fundacji Gubińskie Mokradła, prezes Towarzystwa Przyrodniczego Czajka ). Jako prawniczka prowadzi szkolenia oraz wspiera organizacje. Jej zainteresowania związane są z szeroko pojętym prawem ochrony środowiska, ze szczególnym uwzględnieniem prawa łowieckiego (twórca portalu Monitor Łowiecki). Zajmuje się także problematyką ochrony danych osobowych. REDAKCJA, KOREKTA Renata Niecikowska, Olga Ślifirska SKŁAD Laszuk, Hegman K+S WYDAWCA Stowarzyszenie Klon/Jawor ul. Szpitalna 5/5, 00-031 Warszawa tel. 22 828 91 28 portal organizacji pozarządowych ngo.pl Stowarzyszenie Klon/Jawor jest członkiem Sieci SPLOT. Niniejsza publikacja powstała z zachowaniem wszelkiej staranności o rzetelność, jednak wydawca nie ponosi odpowiedzialności za skutki zastosowania się do zamieszczonych porad. ISBN 978-83-62310-83-8 Warszawa 2018, wyd. I
OCHRONA DANYCH OSOBOWYCH W ORGANIZACJI POZARZĄDOWEJ PODSTAWOWE INFORMACJE O RODO Jarosław Greser, Natalia Benderska Stan prawny: 1.06.2018 wydanie I Warszawa 2018
SPIS TREŚCI Wstęp 7 I. Nowe przepisy w zakresie ochrony danych osobowych 11 1. Terytorialny zakres stosowania 12 2. Jak rozumieć preambułę do RODO? Czym jest Grupa Robocza art. 29? 13 10 najważniejszych zmian w ochronie danych osobowych. O czym musi wiedzieć Twoja organizacja 15 II. Identyfikacja danych osobowych 17 1. Czym są dane osobowe 17 2. Jakie informacje nie są danymi osobowymi 19 3. Szczególne kategorie danych osobowych 20 4. Zbiór danych 23 III. Ustalenie podmiotów i osób odpowiedzialnych za ochronę danych osobowych 27 1. Administrator danych osobowych 27 2. Współadministrator 28 3. Podmiot przetwarzający 29 4. Przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii 30 IV. Przetwarzanie danych osobowych 35 1. Na czym polega przetwarzanie danych osobowych 35 2. Zasady dotyczące przetwarzania danych osobowych 36 3. Podstawy przetwarzania danych osobowych 39 Przetwarzanie danych osobowych zwykłych 39 Przetwarzanie szczególnych kategorii danych osobowych (wrażliwych) 42 4. Powierzenie przetwarzania 44 Dalsze powierzenie przetwarzania 46 5. Zgoda na przetwarzanie danych 46 6. Warunki wyrażenia zgody 47 7. Warunki wyrażenia zgody przez dziecko w przypadku usług społeczeństwa informacyjnego 49 8. Zatrudnianie pracowników na umowę o pracę 49 4
V. Obowiązki informacyjne 57 1. Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą 58 2. Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą 60 Przykłady klauzul informacyjnych 61 VI. Prawa osób, których dane dotyczą 67 1. Tryb wykonywania praw 67 2. Prawo dostępu do danych osobowych 68 3. Prawo do sprostowania danych 69 4. Prawo do usunięcia danych ( prawo do bycia zapomnianym ) 70 5. Prawo do przenoszenia danych 72 6. Prawo do ograniczenia przetwarzania 73 7. Prawo do sprzeciwu 74 8. Zautomatyzowane podejmowanie decyzji 75 9. Profilowanie 77 10. Prawo do wniesienia skargi do organu nadzorczego 78 VII. Obowiązki administratora 81 1. Ogólne obowiązki administratora 81 2. Uwzględnienie ochrony danych w fazie projektowania oraz domyślna ochrona danych 81 Ochrona danych w fazie projektowania 82 Domyślna ochrona danych 82 3. Współpraca z organem nadzorczym 83 VIII. Ustalenie wewnętrznych zasad ochrony danych w organizacji, dokumenty 87 1. Analiza ryzyka 87 2. Ocena skutków dla ochrony danych 89 Schemat metodologii tworzenia oceny skutków dla ochrony danych (DPIA) 90 3. Rejestry przetwarzania 91 4. Pozostałe dokumenty 92 IX. Inspektor ochrony danych 95 1. Wyznaczenie inspektora ochrony danych 95 2. Status inspektora ochrony danych 98 3. Zadania inspektora ochrony danych 99 5
X. Relacje z organem nadzoru 103 1. Organ nadzoru 103 2. Postępowanie w przypadku naruszenia ochrony danych osobowych 103 Informowanie organu nadzoru 104 Informowanie osób poszkodowanych 105 3. Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych 106 Przekazywanie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony 107 Przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń 107 4. Certyfikacja i kodeksy postępowania 108 Certyfikacja 108 Kodeksy postępowania 110 XI. Odpowiedzialność za naruszenie przepisów o ochronie danych osobowych 113 1. Odpowiedzialność cywilna 113 2. Odpowiedzialność administracyjna 114 3. Odpowiedzialność karna 117 Źródła 119 6
WSTĘP Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) znane jako RODO weszło w życie 25 maja 2018 r. Dotyczy ono wszystkich podmiotów, które przetwarzają dane osobowe, niezależnie od ich formy prawnej. Dlatego również organizacje pozarządowe zarejestrowane w Polsce lub działające na terytorium Polski zostały nim objęte. Treść RODO ma charakter uniwersalny zawarte w nim pojęcia i klauzule są na tyle ogólne, że z jednej strony umożliwia to dostosowanie nowych przepisów do specyfiki różnych branż, porządków prawnych i postępu technologicznego, z drugiej zaś mało precyzyjne zapisy mogą sprawić, że wprowadzenie RODO będzie dla organizacji pozarządowych wyzwaniem. Publikacja uwzględnia stan prawny przepisów związanych z ochroną danych osobowych na dzień 1 czerwca 2018 r. Ponieważ RODO jest aktem nowym, brakuje związanej z nim praktyki stosowania, w szczególności orzeczeń sądów i interpretacji Urzędu Ochrony Danych Osobowych (UODO). Staraliśmy się jednak uwzględnić wszystkie najnowsze trendy i poglądy doktryny, aby jak najbardziej dostosować przekaz do specyfiki środowiska organizacji pozarządowych. Tę wersję poradnika traktujemy jako rozwojową. Będziemy wdzięczni za wszelkie uwagi i komentarze, które prosimy przesyłać na adres: klon@klon.org.pl. WSTĘP 7
I. NOWE PRZEPISY W ZAKRESIE OCHRONY DANYCH OSOBOWYCH W tym rozdziale dowiesz się: Od 25 maja 2018 r. zaczęło być stosowane Rozporządzenie 2016/679 1 inaczej nazywane RODO oraz weszła w życie Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych 2. Tym samym straciły moc obowiązującą: Dyrektywa 95/46/WE, Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych 3 oraz wydane do niej akty wykonawcze (takie jak np. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych oraz Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji). RODO obejmuje ochroną osoby fizyczne, które przebywają na terenie Unii Europejskiej niezależnie od ich obywatelstwa czy miejsca zamieszkania. Ochrona ta jest udzielana w związku z przetwarzaniem danych osobowych tych osób. 1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz. Urz. UE L 119, s. 1. 2 Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000). 3 Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922). I. NOWE PRZEPISY W ZAKRESIE OCHRONY DANYCH OSOBOWYCH 11
ABC III SEKTORA Nowoczesne poradniki dla stowarzyszeń i fundacji oraz osób zajmujących się działalnością społeczną. SIĘGNIJ PO ABC Poradniki z serii ABC III SEKTORA to połączenie ponad 18 lat praktyki w doradzaniu organizacjom pozarządowym z wiedzą ekspertów specjalistów w zakresie zarządzania, finansów, prawa dotyczącego organizacji pozarządowych oraz współpracy z administracją. W SERII UKAZAŁY SIĘ TYTUŁY: o nich wiedzieć pozarządowych JAK ZAMAWIAĆ? Poradniki ABC III SEKTORA oraz inne wydawnictwa Stowarzyszenia Klon/Jawor można zamawiać w sklepie internetowym sklep.ngo.pl. Zapraszamy na pozarządowe zakupy! ISBN 978-83-62310-83-8