Ograniczenia w wykorzystywaniu baz danych związane ze zautomatyzowanym przetwarzaniem danych oraz wykorzystaniem chmury obliczeniowej w świetle RODO adwokat Krzysztof Muciak Kobylańska & Lewoszewski Kancelaria Prawna sp. j. 05.12.2018 BI Trends 2018 1
Bazy danych a dane osobowe bazy danych dane osobowe 05.12.2018 BI Trends 2018 2
Bazy danych a dane osobowe Ochrona danych osobowych a tworzenie baz danych występowanie danych osobowych w zbiorze danych objętych bazą konsekwencje z punktu widzenia stosowania przepisów RODO 05.12.2018 BI Trends 2018 3
Dane osobowe w praktyce business intelligence Dane osobowe (RODO) informacje o zidentyfikowanej osobie fizycznej informacje o możliwej do zidentyfikowania osobie fizycznej osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej analiza z perspektywy dysponenta danych 05.12.2018 BI Trends 2018 4
Dane osobowe w praktyce business intelligence Przetwarzanie danych osobowych operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie RODO ma zastosowanie do przetwarzania danych osobowych: w sposób całkowicie lub częściowo zautomatyzowany w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych 05.12.2018 BI Trends 2018 5
Dane osobowe w praktyce business intelligence Zautomatyzowane przetwarzanie danych osobowych aby zapobiec poważnemu ryzyku obchodzenia prawa, ochrona osób fizycznych powinna być neutralna pod względem technicznym i nie powinna zależeć od stosowanych technik ochrona osób fizycznych powinna mieć zastosowanie do: zautomatyzowanego przetwarzania danych osobowych przetwarzania ręcznego, jeżeli dane osobowe znajdują się lub mają się znaleźć w zbiorze danych zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są uporządkowane według określonych kryteriów nie powinny być objęte zakresem RODO 05.12.2018 BI Trends 2018 6
Dane osobowe w praktyce business intelligence Profilowanie dowolna forma zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do: analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się 05.12.2018 BI Trends 2018 7
Zasada ograniczenia celu przetwarzania dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami Zasada minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane Zasada rozliczalności administrator jest odpowiedzialny za przestrzeganie zasad przetwarzania i musi być w stanie wykazać ich przestrzeganie 05.12.2018 BI Trends 2018 8
Przekazywanie danych osobowych do państw spoza EOG przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy administrator i podmiot przetwarzający spełnią warunki określone w RODO przepisy dotyczące warunków dopuszczalności przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w RODO w przypadku przechowywania danych w chmurze obliczeniowej bierzemy pod uwagę lokalizację infrastruktury, w ramach której mają być przechowywane przekazane dane osobowe 05.12.2018 BI Trends 2018 9
Przekazywanie danych osobowych do państw spoza EOG gdy Komisja stwierdzi, że to państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub dana organizacja międzynarodowa zapewniają odpowiedni stopień ochrony wiążące reguły korporacyjne standardowe klauzule ochrony danych przyjęte przez Komisję standardowe klauzule ochrony danych przyjęte przez organ nadzorczy i zatwierdzone przez Komisję zatwierdzony kodeks postępowania zatwierdzony mechanizm certyfikacji 05.12.2018 BI Trends 2018 10
Prawa osób, których dotyczą dane osobowe dostępu do swoich danych osobowych sprostowania danych osobowych usunięcia danych osobowych ograniczenia przetwarzania danych osobowych przenoszenia danych osobowych zgłoszenia sprzeciwu wobec przetwarzania danych osobowych niepodlegania zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu 05.12.2018 BI Trends 2018 11
Prawo sprzeciwu zasada i szczególny przypadek marketingu bezpośredniego osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów 05.12.2018 BI Trends 2018 12
Obowiązek informacyjny administratora przy bezpośrednim pozyskiwaniu danych od osoby, której dotyczą po ich uzyskaniu z innego źródła (w terminie miesiąca / przy pierwszej komunikacji z tą osobą / przy pierwszym ujawnieniu innemu odbiorcy) różne zakresy informacji, a wśród nich: informacja o przysługujących prawach, ich znaczeniu i sposobie wykonywania informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz przynajmniej w tych przypadkach istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą 05.12.2018 BI Trends 2018 13
Profilowanie zwykłe vs. kwalifikowane osoba, której dane dotyczą, powinna mieć prawo do tego, by nie podlegać decyzji mogącej obejmować określone środki która ocenia jej czynniki osobowe, opiera się wyłącznie na przetwarzaniu zautomatyzowanym i wywołuje wobec osoby, której dane dotyczą, skutki prawne lub w podobny sposób znacząco na nią wpływa, jak na przykład automatyczne odrzucenie elektronicznego wniosku kredytowego czy elektroniczne metody rekrutacji bez interwencji ludzkiej do takiego przetwarzania zalicza się profilowanie które polega na dowolnym zautomatyzowanym przetwarzaniu danych osobowych pozwalającym ocenić czynniki osobowe osoby fizycznej, a w szczególności analizować lub prognozować aspekty dotyczące efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą o ile wywołuje skutki prawne względem tej osoby lub w podobny sposób znacząco na nią wpływa 05.12.2018 BI Trends 2018 14
Profilowanie kwalifikowane dopuszczalne gdy decyzja: jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą opiera się na wyraźnej zgodzie osoby, której dane dotyczą 05.12.2018 BI Trends 2018 15
Profilowanie kwalifikowane powinno zawsze podlegać odpowiednim zabezpieczeniom, obejmującym: informowanie osoby, której dane dotyczą prawo do uzyskania interwencji człowieka prawo do wyrażenia własnego stanowiska prawo do uzyskania wyjaśnienia co do decyzji wynikłej z takiej oceny prawo do zakwestionowania takiej decyzji zasadniczo nie powinno opierać się na szczególnych kategoriach danych osobowych 05.12.2018 BI Trends 2018 16
Ocena skutków planowanych operacji przetwarzania jeżeli dany rodzaj przetwarzania w szczególności z użyciem nowych technologii ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych ocena skutków jest wymagana w szczególności w przypadku systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną 05.12.2018 BI Trends 2018 17
Bezpieczeństwo danych osobowych obowiązek wdrożenia środków ograniczających ryzyko przypadkowego lub niezgodnego z prawem: zniszczenia utraty modyfikacji nieuprawnionego ujawnienia nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych 05.12.2018 BI Trends 2018 18
Bezpieczeństwo danych osobowych pseudonimizacja / szyfrowanie danych osobowych zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania obowiązek zgłaszania naruszeń bezpieczeństwa do organu nadzorczego / poszkodowanych 05.12.2018 BI Trends 2018 19