CZĘŚĆ I PODSTAWOWE INFORMACJE O RODO
Kluczowe daty 01 02 03 04 14 kwietnia 2016 r. Parlament Europejski uchwalił ostateczny tekst RODO 5 maja 2016 r. Publikacja w Dzienniku Urzędowym UE 24 maja 2016 r. Wejście w życie 25 maja 2018 r. Rozpoczęcie obowiązywania PEŁNA NAZWA RODO Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (tzw. ogólne rozporządzenie o ochronie danych)
Najważniejsze zmiany DYREKTYWA ROZPORZĄDZENIE Bezpośrednie stosowanie Zasada pierwszeństwa Przepisy krajowe Jednorodne wymagania Podejście oparte na ryzyku Ograniczone sankcje Rozbudowane sankcje
Dane osobowe według RODO informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej Nie ma znaczenia, czy B2B, czy B2C Nie ma znaczenia, czy publicznie dostępne, czy prywatne
Szczególne kategorie danych nowy katalog Przynależność do ZWIĄZKÓW ZAWODOWYCH Dane ujawniające POCHODZENIE RASOWE lub ETNICZNE Dane ujawniające POGLĄDY POLITYCZNE Dane ujawniające PRZEKONANIA RELIGIJNE lub ŚWIATOPOGLĄDOWE Dane dotyczące ZDROWIA; dane genetyczne Dane BIOMETRYCZNE przetwarzane w celu jednoznacznego zidentyfikowania osoby Dane dotyczące SEKSUALNOŚCI lub ORIENTACJI SEKSUALNEJ
Przetwarzanie danych osobowych Zbieranie Utrwalanie Organizowanie Pobieranie Modyfikowanie Przeglądanie Przetwarzaniem danych osobowych jest zarówno wprowadzanie danych do komputera, jak również przechowywanie listy płac w segregatorze czy w pliku Excel na dysku. Porządkowanie Wykorzystywanie Przechowywanie Usuwanie Łączenie Udostępnianie
Kogo dotyczą regulacje ochrony danych osobowych? PODMIOT DANYCH ORGAN NADZORCZY Prezes Urzędu Ochrony Danych Osobowych PRZETWARZAJĄCY (PROCESOR) Przetwarza dane osobowe na zlecenie administratora ADMINISTRATOR DANYCH Decyduje o celach i sposobach przetwarzania INSPEKTOR OCHRONY DANYCH Odpowiada za ochronę danych osobowych w organizacji
Udostępnienie, powierzenie i podpowierzenie danych osobowych Administrator Administrator Administrator Procesor Procesor Podprocesor
Zasady przetwarzania danych Legalność Prawidłowość Celowość Retencja Minimalizacja Integralność i poufność
Obowiązek informacyjny art. 13 RODO art. 14 RODO Zbieranie danych od osoby, której dane dotyczą Pozyskiwanie danych w sposób inny niż od osoby, której dane dotyczą
Podstawy przetwarzania danych osobowych zwykłych Zgoda Interes publiczny Umowa Obowiązek prawny Usprawiedliwiony cel Ochrona żywotnych interesów
Przesłanki przetwarzania danych tzw. szczególnej kategorii Dane w sposób oczywisty upublicznione Szczególne prawa w dziedzinie prawa pracy i ubezpieczeń społecznych Ważny interes publiczny Cele naukowe, statystyczne i historyczne Wyraźna zgoda Dochodzenie roszczeń
Żądania osób fizycznych Prawo do bycia zapomnianym Prawo do informacji Prawo do przeniesienia danych Prawo do kopii danych Prawo do sprostowania Prawo do sprzeciwu Prawo do niepodlegania zautomatyzowanym decyzjom
Sankcje za naruszenie przepisów PREZES UODO Ostrzeżenie / upomnienie Nagana lub administracyjna kara pieniężna W razie poważnych naruszeń nakaz zaprzestania przetwarzania danych osobowych DODATKOWO: Sankcje karne Sankcje za utrudnianie prowadzenia kontroli Odszkodowanie dla osoby, która poniosła szkodę OSOBY FIZYCZNE I ORGANIZACJE SPOŁECZNE
Odpowiedzialność Pieniężne kary administracyjne do 20 mln EUR lub 4% obrotu światowego Odpowiedzialność cywilna Odpowiedzialność karna Nowe zasady ochrony danych osobowych i wdrożenie wymagań RODO w HR
RODO w praktyce ŻĄDANIA OSÓB FIZYCZNYCH ZASADY RODO Zgody i klauzule informacyjne Umowy powierzenia przetwarzania danych Rejestr czynności przetwarzania danych osobowych Polityki i procedury ochrony danych osobowych i bezpieczeństwa Zgłaszanie naruszeń danych osobowych w ciągu 72 h Usuwanie danych po określonym czasie (retencja) Zmiany w systemach IT ROZLICZALNOŚĆ
Zgody i klauzule informacyjne Podanie adresu e-mail oznacza wyrażenie zgody na otrzymywanie informacji handlowych w ramach newslettera od [***], treści marketingowych dotyczących towarów i usług [***] oraz partnerów biznesowych [***] 1. Administratorem danych osobowych jest [***] z siedzibą w [***], ul. [***]. Pani / Pana dane będą przetwarzane w celu wykonania zamówionej usługi oraz kierowania treści marketingowych w formie newslettera, w tym poprzez profilowanie. Więcej informacji na temat przetwarzania danych osobowych znajduje się w Polityce Prywatności. 1 Aktualizowana na bieżąco lista tych podmiotów znajduje się na stronie internetowej [***].
Umowy powierzenia przetwarzania danych osobowych Wymagana pisemna umowa Obowiązek weryfikacji procesora (ankiety) Elementy zmienne umowy: środki organizacyjne i techniczne zabezpieczenia, zakres danych powierzonych do przetwarzania Lista podmiotów przetwarzających
Rejestr czynności przetwarzania danych osobowych REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH OSOBOWYCH Lp. Czynność przetwarzania Należy wskazać czynność przetwarzania, tzn. czynność obejmującą wiele operacji przetwarzania podejmowanych dla realizacji jednolitych celów przetwarzania danych osobowych. 1 Rekrutacja pracowników 2 Rekrutacja współpracowników 3 Obsługa kadrowo-płacowa pracowników Jednostka wewnętrzna Należy uzupełnić dominującą jednostkę wewnętrzną odpowiedzialną za daną czynność przetwarzania Zespół ds. Zasobów Ludzkich Zespół ds. Zasobów Ludzkich Zespół ds. Zasobów Ludzkich Współadministrator Cele przetwarzania Należy wypełnić tylko w przypadku, gdy w procesie występuje Należy wskazać, w punktach, wszystkie cele przetwarzania współdadministrator; w ramach opisywanej czynności. w pozostałych przypadkach wskazać: n/d n/d n/d n/d 1. Realizacja procesu rekrutacyjnego. 2. Rozbudowa bazy CV. 3. Dochodzenie i obrona przed ewentualnymi roszczeniami. 1. Realizacja procesu rekrutacyjnego. 2. Rozbudowa bazy CV. 3. Dochodzenie i obrona przed ewentualnymi roszczeniami 1. Wykonanie umowy o pracę. 2. Realizacja ustawowych obowiązków Administratora, w tym wynikających przede wszystkim z przepisów prawa pracy, bezpieczeństwa i higieny pracy i ubezpieczeń społecznych oraz prawa podatkowego. 3. Wewnętrzne cele administracyjne Administratora. 4. Realizacja świadczeń dodatkowych (benefitów) na rzecz pracowników. 5. Dochodzenie i obrona przed ewentualnymi roszczeniami. Czynność przetwarzania Jednostka wewnętrzna Współadministrator Cele przetwarzania Opis kategorii osób, których dane dotyczą Opis kategorii danych Odbiorcy danych Transfer do państwa trzeciego Okresy retencji Środki bezpieczeństwa 4 Obsługa kadrowo-płacowa współpracowników Zespół ds. Zasobów Ludzkich n/d 1. Wykonanie umowy o pracę. 2. Realizacja ustawowych obowiązków Administratora, w tym wynikających przede wszystkim z przepisów bezpieczeństwa i higieny pracy i ubezpieczeń społecznych oraz prawa podatkowego. 3. Wewnętrzne cele administracyjne Administratora. 4. Dochodzenie i obrona przed ewentualnymi roszczeniami.