Nowe obowiązki przedsiębiorców. Duże zmiany w prawie

Nowe prawo o ochronie danych osobowych jest przełomem dla obywateli - każda osoba fizyczna będzie miała pełną kontrolę nad swoimi danymi osobowymi. Rodzi to nowe obowiązki dla przedsiębiorców.

RODO, czyli nowe rozporządzenie o ochronie danych osobowych, wprowadza zmiany, które dotyczą wszystkich obywateli - nie tylko tych, którzy prowadzą działalność gospodarczą i przetwarzają dane w celach zarobkowych, ale co bardzo istotne - każdej osoby fizycznej, której zagwarantowana ma być ochrona prywatności.

Od 25 maja, każdy obywatel zyskuje pakiet praw, z których może korzystać w celu świadomego zarządzania swoimi danymi osobowymi. Tym samym, nakłada to na przedsiębiorców nowe obowiązki związane z wypełnianiem postanowień rozporządzenia. Wprawdzie część praw, o których mówi RODO pokrywa się z wcześniejszymi regulacjami. Zmiany, które nadchodzą, wprowadzą mi.n. rygorystyczne ramy czasowe oraz skuteczniejsze narzędzia do karania ewentualnych błędów (nawet 3 lata więzienia za niewłaściwe przetwarzanie danych osobowych).

Jednym z praw osób fizycznych jest prawo dostępu do danych osobowych. Każda osoba, której dane dotyczą, ma prawo wystąpienia z wnioskiem do administratora danych, w celu uzyskania informacji czy jej dane osobowe są przetwarzane. Jeśli tak, może wystąpić z prośbą o udostępnienie jej m.in. informacji o celu przetwarzania danych osobowych, oraz o kategoriach przetwarzanych danych (np. imię i nazwisko, numer telefonu, numer PESEL). Co więcej, administrator musi wyjaśnić, czy dochodzi do przetwarzania tzw. szczególnych kategorii danych, a więc dawnych danych wrażliwych.

Czym są dane osobowe wrażliwe, a dane osobowe zwykłe? Przeczytaj.

Obywatel musi również zostać poinformowany o firmach współpracujących z danym podmiotem - czyli takich, które realizują przetwarzanie w imieniu przedsiębiorcy. Dodatkowo, będzie mógł również zażądać informacji na temat źródła pozyskania danych osobowych - dotyczy to sytuacji, w której dana osoba samodzielnie nie udostępniła swoich danych (np. zostały one zakupione w bazie danych).

Jakie obowiązki nakłada to na przedsiębiorców? Przede wszystkim wymaga przygotowania odpowiedniej procedury przekazania danych zainteresowanym. Musi ona gwarantować skuteczne przeszukanie wszystkich baz i systemów, aby nie pominąć żadnych informacji zbieranych w różnych okolicznościach. Chodzi między innymi o powiązanie danych o klientach z informacjami zebranymi w związku z uczestnictwem np. w szkoleniu albo zapisaniem się na newsletter. Każdy administrator musi najpóźniej w terminie 1 miesiąca udzielić odpowiedzi na zapytanie o dostęp do danych. Może ona zostać przesłana w formie elektronicznej (o ile wnioskodawca nie zaznaczy inaczej).

Profilowanie - czyli wykorzystywanie danych osobowych do podejmowania zautomatyzowanych decyzji. Nowe prawo pozwala uzyskać informacje nie tylko o danych przetwarzanych w takim procesie, ale również informacje dotyczące zasad podejmowania zautomatyzowanych decyzji, w tym także przewidywane konsekwencje takiego przetwarzania dla osoby, której dane dotyczą.

Zbieranie szczegółowych informacji na temat konsumentów i dopasowywanie oferty do konkretnej osoby wpływa na efektywność wielu biznesów. Z profilowania w dużej mierze korzysta branża e-commerce, gdzie w oparciu o dotychczasowe zakupy, dokonywana jest kategoryzacja klientów. Można założyć, że takie działanie przynosi obopólne korzyści - konsument otrzymuje dopasowane do swoich preferencji oferty, przedsiębiorca zwiększa zysk.

Temat jest stosunkowo prosty jeżeli w rezultacie automatycznej oceny preferencji zmienia się jedynie sposób prezentacji oferty - osoba, która kupiła buty do biegania, zobaczy w pierwszej kolejności odzież sportową. Problem zaczyna się wówczas, gdy w wyniku profilowania, dochodzi do zmiany oferty lub warunków finansowych - system hotelowy odrzucił rezerwację, ponieważ algorytm stwierdził, że dana osoba posiada dzieci w określonym wieku. Wówczas dochodzi do tzw. "profilowania twardego”, które może się odbywać wyłącznie na podstawie wyraźnej zgody.

RODO nie delegalizuje profilowania. Nadal można korzystać z algorytmów automatyzujących ocenę i decyzję. Jednak w usystematyzowany sposób. Profilowanie ma stać się jawne i zrozumiałe dla wszystkich. W tym celu, przedsiębiorcy powinni przeprowadzić audyt procesów przetwarzania danych osobowych, aby upewnić się czy są zgodne z RODO. Konieczne również jest wprowadzenie mechanizmu wyrażania zgody (może to być checkbox pod formularzem lub mail z informacją) oraz ustalenie celów profilowania i poinformowania o nich konsumentów.

Jeśli informacja o tym jak przebiega proces profilowania stanowi ściśle chronioną informację firmy (np. w sektorze ubezpieczeń), administrator musi przygotować czytelny i jednoznaczny opis, który pozwoli mu wejść w komunikację z osobami, których dane przetwarza, a przez odpowiedni poziom ogólności, nie narazi poufności tajemnicy przedsiębiorstwa.

W świetle nowego prawa, każda osoba, której dane są przetwarzane, może zażądać od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek zastosować się do jej żądania, bez zbędnej zwłoki.

Osoba, której dane dotyczą ma prawo żądać, aby jej dane zostały niezwłocznie usunięte, m.in. gdy nie są one już potrzebne do celów, w których były przetwarzane np. gdy zostały zebrane na potrzeby rekrutacji, która dobiegła końca. Dotyczy to również sytuacji wycofania zgody np. w celu otrzymywania ofert o charakterze marketingowym, a także, gdy dane są przetwarzane bez podstawy prawnej np. w przypadku rezygnacji z korzystania z usługi, której regulamin do tej pory taką podstawę stanowił. Ważne, że wystarczy jedna ze wspomnianym w RODO przesłanek, aby móc z powyższego prawa skorzystać.

Należy pamiętać, że prawo to dotyczy wszystkich form, w jakich zbierane są dane - nie tylko formy elektronicznej. Mowa tu również o wszystkich dokumentach, na których widnieją dane i wszelkich wydrukach, które jeśli zawierają dane osobowe, to podlegają ochronie, a w tym wypadku usunięciu.

Prawo do bycia zapomnianym nie zwalnia przedsiębiorców z innych wymogów prawa ani wiążących go umów. Wpłynięcie wniosku o bycie zapomnianym nie może doprowadzić do usunięcia danych, które są administratorowi niezbędne do realizacji umowy, egzekucji roszczeń czy też przetwarzanych dla potrzeb kontrolnych albo archiwalnych.

Zmian w prawie jest wiele, a dostosowanie się do wszystkich wymogów RODO może niejednokrotnie wymagać od przedsiębiorców dodatkowych środków finansowych - czy ze względu na zatrudnienie dodatkowych osób, czy zakup odpowiedniej technologii, która pomoże wywiązać się z nowych obowiązków. Bez względu na wysokość takiej inwestycji, jest to koszt do przewidzenia i zabudżetowania. W przeciwieństwie do nałożonej kary, za zlekceważenie praw obywatela i niewywiązanie się z postanowień rozporządzenia.