Ochrona danych osobowych. Mandaty dla firm w wysokości 4 proc. obrotu

Piątkowa decyzja otwiera drogę do ostatecznego przyjęcia rozporządzenia oraz dyrektywy przez Parlament Europejski w przyszłym tygodniu. Jednocześnie umożliwi eurodeputowanym głosowanie nad dyrektywą o wymianie danych pasażerów linii lotniczych (PNR), której przyjęcia domagają się rządy państw unijnych, aby skuteczniej walczyć z terroryzmem. PE uzależniał jednak poparcie dla PNR od wzmocnienia przepisów o ochronie danych osobowych.

- Parlament Europejski zobowiązał się, że w kwietniu będzie głosować zarówno nad pakietem w sprawie ochrony danych, jak i nad PNR. Ataki terrorystyczne w Brukseli z 22 marca po raz kolejny uwidoczniły, jak pilne jest przyjęcie dyrektywy PNR - oświadczył w piątek minister sprawiedliwości pełniącej przewodnictwo w UE Holandii Ard Van der Steur.

Nowe przepisy o ochronie danych osobowych przystosowują obowiązujące od 1995 r. w UE zasady do rozwoju nowych technologii internetowych i cyfrowych.

Rozporządzenie przewiduje, że aby dane użytkownika mogły być przetworzone, musi on wyrazić na to wyraźną zgodę, np. poprzez zaznaczenie na stronie internetowej pola z potwierdzeniem wyrażenia zgody na przetwarzanie danych. Niewybranie żadnego pola albo pola zaznaczone automatycznie nie mogą być uznane za wyrażenie zgody. Nowe przepisy mają też ułatwić użytkownikowi wycofanie zgody na przetwarzanie danych; ma to być równie proste, jak wyrażenie tej zgody.

Dzieci poniżej określonego wieku nie będą mogły zakładać kont w mediach społecznościowych, jak Facebook czy Instagram, bez zgody rodziców. Kraje UE mają same określić wiek użytkownika, od którego nie będzie konieczna zgoda rodzica. Nie może być to jednak mniej niż 13 lat i więcej niż 16 lat.

Konsumenci będą też mieć "prawo do zapomnienia", czyli wymazania swych danych z baz firm je przetwarzających, pod warunkiem, że nie ma uzasadnionych powodów ich przechowywania. Firmy i instytucje muszą informować organy nadzorujące ochronę danych o poważnych incydentach, jak atak hakerski.

Przepisy umożliwią także nakładanie mandatów na firmy łamiące zasady ochrony danych obowiązujące w UE do wysokości odpowiadającej 4 proc. rocznego obrotu, co w wypadku światowych potentatów internetowych będzie wyrażać się w miliardach euro.

Firmy, które mają do czynienia ze znaczącą liczbą danych osobowych albo zajmują się profilowaniem (czyli określaniem preferencji konsumentów na podstawie ich zachowań w internecie), muszą powołać osobę odpowiedzialną za ochronę danych.

Przewidziano także uproszczony dla konsumentów mechanizm składania skarg w przypadku naruszenia ich prywatności. Tzw. zasada jednego okienka (ang. one stop shop) ma pozwolić obywatelom na składanie takich skarg do organu w swoim miejscu zamieszkania, nawet jeśli do złamania prawa doszło w innym państwie UE.

Parlament Europejski ma głosować nad pakietem w czwartek, 14 kwietnia. Po wejściu w życie rozporządzenia kraje członkowskie będą mieć dwa lata na jego wdrożenie.

Z kolei będąca częścią pakietu przepisów dyrektywa dotyczy ochrony danych osobowych wykorzystywanych do celów egzekwowania prawa, np. w dochodzeniach i postępowaniach karnych czy prewencji zagrożeń dla bezpieczeństwa publicznego. Ma ona zapewnić równowagę pomiędzy prawem do prywatności a koniecznością przetwarzania przez policję danych do celów dochodzeń.