RODO: Kary do 20 mln euro i nowe prawa

Ogólne rozporządzenie o ochronie danych (RODO) to unijne prawo regulujące zasady przetwarzania danych osobowych osób fizycznych. Obowiązujące od 25 maja 2018 roku przepisy ujednolicają standardy prywatności w całej Unii Europejskiej, dbając o bezpieczeństwo cyfrowe oraz swobodny przepływ informacji na rynku.

Najważniejsze informacje

Rozporządzenie o ochronie danych osobowych wprowadza spójne standardy przetwarzania informacji w całej Unii Europejskiej. Nakłada na firmy konkretne obowiązki organizacyjne i prawne, a obywatelom zapewnia realny wpływ na to, jak wykorzystywane są ich dane w sieci oraz poza nią.

Bezpośrednie stosowanie – RODO obowiązuje we wszystkich państwach członkowskich bez potrzeby uchwalania dodatkowych ustaw krajowych.

Nowe uprawnienia – osoby fizyczne mogą żądać usunięcia swoich danych (prawo do bycia zapomnianym) oraz przenieść je do innego dostawcy usług.

Odpowiedzialność administratora – podmioty przetwarzające odpowiadają bezpośrednio za wdrożenie skutecznych zabezpieczeń i zachowanie pełnej rozliczalności procesów.

Wysokie sankcje – organy nadzorcze mogą nakładać kary finansowe wynoszące do 20 mln euro lub do 4% rocznego globalnego obrotu przedsiębiorstwa.

W Polsce egzekwowaniem tych przepisów zajmuje się Urząd Ochrony Danych Osobowych (UODO). Prawidłowe wdrożenie wymaga procedur technicznych oraz precyzyjnego podziału informacji na kategorie zwykłe i wrażliwe, ponieważ uchybienia niosą ryzyko kontroli oraz dotkliwych sankcji.

Co to jest RODO i kogo dotyczy?

RODO (ang. GDPR), czyli Ogólne rozporządzenie o ochronie danych osobowych, to unijny akt prawny standaryzujący zasady ochrony prywatności osób fizycznych. Zastąpiło ono dyrektywę 95/46/WE i od 25 maja 2018 roku obowiązuje bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej, gwarantując jednakowy poziom bezpieczeństwa oraz swobodny przepływ informacji.

Przepisy są w pełni neutralne technologicznie, co oznacza, że obejmują zarówno systemy informatyczne i usługi chmurowe, jak i tradycyjną dokumentację papierową. Każdy administrator danych musi stosować określone procedury techniczne i organizacyjne przy przetwarzaniu informacji o klientach, kontrahentach czy pracownikach, bez względu na branżę lub skalę prowadzonego biznesu.

Obowiązek wdrożenia zasad ochrony danych dotyczy każdego podmiotu wykonującego działalność gospodarczą, zawodową lub publiczną:

jednoosobowych działalności gospodarczych oraz spółek prawa handlowego,

jednostek sektora publicznego, urzędów, szkół i instytucji państwowych,

fundacji, stowarzyszeń oraz innych organizacji społecznych i pozarządowych.

Definicja danych osobowych i ich kategorie

Dane osobowe to wszelkie informacje, które pozwalają bezpośrednio lub pośrednio zidentyfikować osobę fizyczną. Każdy identyfikator lub zestaw cech umożliwiający ustalenie tożsamości nadaje człowiekowi status osoby, której dane dotyczą.

Unijne przepisy dzielą przetwarzane informacje na dwie odrębne grupy o zróżnicowanym poziomie ochrony:

Dane zwykłe – podstawowe informacje, takie jak imię, nazwisko, numer PESEL, a także identyfikatory cyfrowe, w tym adres IP oraz adres MAC.

Szczególne kategorie danych – tzw. dane wrażliwe objęte zaostrzonymi restrykcjami. Obejmują one m.in. informacje o stanie zdrowia, dane genetyczne oraz dane biometryczne.

Przetwarzanie danych z kategorii szczególnych jest co do zasady prawnie zabronione. Administrator może po nie sięgnąć wyłącznie wtedy, gdy zachodzi jeden z wyjątków określonych w art. 9 RODO. Każde takie działanie wymaga spełnienia rygorystycznych wymogów formalnych i proceduralnych.

Administrator danych osobowych a podmiot przetwarzający

Administrator danych osobowych samodzielnie decyduje o celach i sposobach przetwarzania informacji, natomiast podmiot przetwarzający wykonuje operacje wyłącznie na jego udokumentowane polecenie. Granice tych działań ściśle wyznacza zlecający.

Zasady tej współpracy określa umowa powierzenia przetwarzania danych, zobowiązująca do utrzymania odpowiednich środków bezpieczeństwa technicznego i organizacyjnego. Prawidłowe zarządzanie procesami wymaga wdrożenia przejrzystej dokumentacji:

Polityka prywatności – określa podstawy prawne, czas retencji oraz prawa osób, których dane dotyczą.

Polityka cookies – reguluje zapis i odczyt identyfikatorów cyfrowych na urządzeniach użytkowników.

Wyznaczenie Inspektora Ochrony Danych (IOD) – obowiązkowe m.in. przy przetwarzaniu na dużą skalę lub operacjach na danych wrażliwych.

Inspektor ochrony danych działa w organizacji jako niezależny doradca monitorujący zgodność procedur z prawem i stanowi główny punkt kontaktowy dla organu nadzorczego.

Jakie są podstawowe zasady przetwarzania danych osobowych?

Legalne przetwarzanie danych osobowych w organizacji opiera się na fundamentalnych zasadach RODO. Każdy administrator ma obowiązek wdrożyć i stale stosować reguły zapewniające bezpieczeństwo informacji.

zgodność z prawem, rzetelność oraz przejrzystość procesów,

ograniczenie celu do wyraźnie określonych i uzasadnionych zamiarów,

minimalizację zakresu danych do poziomu niezbędnego do realizacji celów,

dbałość o prawidłowość danych oraz sprawne usuwanie błędów,

ograniczenie okresu przechowywania informacji do wymaganego minimum,

integralność i poufność zapewniające odpowiednie bezpieczeństwo techniczne oraz organizacyjne.

Każda operacja na danych osobowych wymaga ważnej podstawy prawnej. W codziennej praktyce najczęściej jest to dobrowolna zgoda osoby, realizacja warunków zawartej umowy lub ciążący na administratorze obowiązek prawny.

Standardy ochrony nakładają na firmy dokładny obowiązek informacyjny wobec użytkowników. Przepisy zabezpieczają także osoby fizyczne przed negatywnymi skutkami, jakie może nieść w pełni zautomatyzowane podejmowanie decyzji połączone z profilowaniem.

Zasada minimalizacji danych i ograniczenia celu

Zasada minimalizacji danych zobowiązuje administratora do zbierania wyłącznie informacji ściśle adekwatnych i niezbędnych do realizacji określonego celu. Wyklucza to gromadzenie rekordów „na zapas”. Równolegle zasada ograniczenia celu zabrania dalszego przetwarzania zasobów w sposób niezgodny z ich pierwotnym, jasno sprecyzowanym przeznaczeniem.

Przeniesienie tych wymogów prawnych na grunt inżynierii oprogramowania opiera się na wdrożeniu dwóch kluczowych standardów:

Privacy by Design – uwzględnianie mechanizmów bezpieczeństwa i ochrony prywatności już na najwcześniejszym etapie planowania architektury systemu.

Privacy by Default – automatyczne stosowanie najbardziej restrykcyjnych ustawień zabezpieczeń bez konieczności podejmowania działań konfiguracyjnych przez użytkownika.

Takie całościowe podejście techniczne oraz organizacyjne skutecznie ogranicza wolumen przetwarzanych rekordów i precyzyjnie zawęża krąg uprawnionych do nich podmiotów, co bezpośrednio redukuje ryzyko naruszenia poufności w bazach danych.

Zasada rozliczalności, integralności i poufności

Zasada rozliczalności nakłada na administratora obowiązek wykazania zgodności przetwarzania danych z obowiązującymi przepisami. Ciężar dowodu spoczywa bezpośrednio na organizacji, która musi formalnie udokumentować wszystkie wdrożone zabezpieczenia.

Spełnienie tego wymogu opiera się na stałym nadzorze procesów oraz prowadzeniu szczegółowej dokumentacji:

rejestru czynności przetwarzania, który mapuje operacje wykonywane na zbiorach danych,

DPIA, czyli oceny skutków dla ochrony danych, wymaganej przy procesach o wysokim ryzyku naruszenia praw lub wolności,

systematycznej analizy ryzyka, ułatwiającej wykrywanie podatności systemów i dobór odpowiednich środków zaradczych.

Z kolei integralność i poufność chronią informacje przed nieautoryzowanym dostępem, modyfikacją lub zniszczeniem. W praktyce realizują je środki techniczne, przede wszystkim szyfrowanie danych w tranzycie i w spoczynku oraz pseudonimizacja, która uniemożliwia bezpośrednie przypisanie danych do konkretnej osoby bez oddzielnego klucza informacyjnego.

Jakie prawa przysługują osobom fizycznym na mocy RODO?

Europejskie przepisy gwarantują osobom fizycznym szereg uprawnień kontrolnych, które realnie wzmacniają pozycję konsumentów w relacjach z przedsiębiorstwami. Dzięki tym regulacjom jednostki zyskują większy wpływ na zarządzanie ich informacjami przez korporacje.

Katalog kluczowych praw obejmuje:

prawo do informacji o celach, odbiorcach i okresie retencji danych,

prawo dostępu do swoich danych oraz żądania ich kopii,

prawo do sprzeciwu wobec profilowania i działań marketingu bezpośredniego,

prawo do ograniczenia przetwarzania w razie zakwestionowania prawidłowości wpisów.

Osoba, której dane dotyczą, może w każdej chwili skierować formalny wniosek do firmy. Administrator ma 30 dni na udzielenie odpowiedzi i realizację żądania, co zapobiega arbitralnemu wykorzystywaniu danych i wzmacnia autonomię użytkownika.

Prawo do bycia zapomnianym i usunięcia danych

Prawo do bycia zapomnianym, uregulowane w art. 17 RODO, zobowiązuje administratora do trwałego usunięcia danych osobowych na wniosek osoby, której one dotyczą. Pozwala to zachować realną kontrolę nad własnym śladem cyfrowym.

Administrator musi skasować dane bez zbędnej zwłoki w następujących przypadkach:

ustał pierwotny cel ich przetwarzania,

cofnięto zgodę, a brakuje innej podstawy prawnej do ich zachowania,

dane były zbierane lub przetwarzane niezgodnie z prawem,

wniesiono skuteczny sprzeciw wobec przetwarzania, a administrator nie wykazał nadrzędnych podstaw prawnych.

Gdy dane zostały wcześniej upublicznione, administrator ma także obowiązek poinformować inne podmioty o żądaniu usunięcia wszelkich łączy, kopii i replikacji. Prawo to nie ma jednak charakteru bezwzględnego. Żądanie nie zostanie zrealizowane m.in. wtedy, gdy dalsze przetwarzanie danych wynika z przepisów prawa lub jest niezbędne do ustalenia, dochodzenia bądź obrony roszczeń.

Prawo do przenoszenia i sprostowania danych

Prawo do sprostowania danych wynikające z art. 16 RODO pozwala żądać od administratora niezwłocznego poprawienia błędnych informacji lub uzupełnienia niekompletnych wpisów. Każda osoba, której dane dotyczą, może w ten sposób:

skorygować błędy pisarskie,

zaktualizować dane kontaktowe,

dołączyć brakujące oświadczenia w profilu klienta.

Administrator nie może bezzasadnie opóźniać wprowadzenia takich poprawek.

Z kolei prawo do przenoszenia danych na mocy art. 20 RODO umożliwia otrzymanie przetwarzanych informacji w ustrukturyzowanym, powszechnie stosowanym formacie nadającym się do odczytu maszynowego. Użytkownik ma pełną swobodę przekazania takiego pliku nowemu administratorowi bez utrudnień ze strony dotychczasowego dostawcy usług. Jeśli jest to technicznie wykonalne, podmiot ten musi również zapewnić bezpośredni transfer danych między kompatybilnymi systemami.

Regulacje te zabezpieczają cyfrową niezależność konsumentów, ograniczając ryzyko uzależnienia od jednego dostawcy usług i ułatwiając swobodne zarządzanie informacjami w sieci.

Jakie sankcje grożą za naruszenie przepisów RODO?

Bezprawne naruszenie ochrony danych osobowych wiąże się z surowymi sankcjami finansowymi i administracyjnymi. Jeśli incydent stwarza ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma 72 godziny na zgłoszenie zdarzenia odpowiedniemu organowi. Niedopełnienie tego obowiązku skutkuje natychmiastowym zaostrzeniem wymiaru kary.

Poważne konsekwencje grożą również za nielegalny transfer danych poza Europejski Obszar Gospodarczy. Przekazywanie informacji do państw trzecich wymaga wdrożenia konkretnych instrumentów prawnych:

standardowych klauzul umownych przyjętych przez Komisję Europejską,

zatwierdzonych wiążących reguł korporacyjnych w ramach grup kapitałowych,

oficjalnych mechanizmów certyfikacji potwierdzających bezpieczeństwo procesów.

Brak powyższych zabezpieczeń prowadzi do nakazu natychmiastowego wstrzymania transferu, a podmiot łamiący przepisy ponosi pełną odpowiedzialność cywilną za powstałe szkody.

Rola Urzędu Ochrony Danych Osobowych

Prezes Urzędu Ochrony Danych Osobowych (UODO) pełni funkcję niezależnego polskiego organu nadzorczego ustanowionego na mocy ustawy z 10 maja 2018 roku. Instytucja ta czuwa nad zgodnością procesów przetwarzania informacji z prawem krajowym oraz regulacjami unijnymi. W ramach swoich kompetencji UODO przeprowadza kontrole w podmiotach publicznych i sektorze prywatnym, a także wydaje wiążące decyzje administracyjne.

Do podstawowych zadań organu należą:

rozpatrywanie indywidualnych skarg obywateli dotyczących nieprawidłowości w przetwarzaniu danych osobowych,

przeprowadzanie audytów procedur bezpieczeństwa oraz nakładanie administracyjnych kar finansowych,

aktywny udział w pracach Europejskiej Rady Ochrony Danych.

Współpraca międzynarodowa umożliwia skuteczne egzekwowanie przepisów w sprawach o charakterze transgranicznym. Na mocy Rozporządzenia (UE) 2025/2518 organy nadzorcze państw członkowskich mogą szybko i sprawnie koordynować wspólne postępowania wyjaśniające wobec podmiotów działających na rynku globalnym.

Wysokość administracyjnych kar pieniężnych

Wysokość sankcji za naruszenie przepisów o ochronie danych osobowych zależy od charakteru, wagi oraz czasu trwania uchybienia. Unijne rozporządzenie RODO definiuje dwa poziomy odpowiedzialności finansowej stosowane przez organy nadzorcze wobec podmiotów łamiących prawo:

do 10 000 000 EUR lub 2% całkowitego rocznego obrotu światowego – za niedopełnienie obowiązków techniczno-organizacyjnych,

do 20 000 000 EUR lub 4% całkowitego rocznego obrotu światowego – za złamanie podstawowych zasad przetwarzania danych bądź naruszenie praw osób fizycznych.

W każdym przypadku zastosowanie ma wyższa z wyliczonych wartości.

Wymierzając karę administracyjną, regulator ocenia okoliczności konkretnej sprawy indywidualnie. Bierze pod uwagę przede wszystkim:

umyślny bądź nieumyślny charakter przewinienia,

skalę incydentu oraz rozmiar wyrządzonej szkody,

szybkość wdrożenia skutecznych środków naprawczych w celu ograniczenia skutków zdarzenia.