Zasady ochrony danych osobowych.

Przepisy wskazane w rozporządzeniu o ochronie danych osobowych obowiązują organizacje, które przetwarzają dane osobowe w związku z działalnością prowadzoną w Unii Europejskiej, niezależnie od tego, czy samo przetwarzanie danych odbywa się w Unii. RODO dotyczy również podmiotów spoza Unii, jeżeli wykonywane przez nie czynności wiążą się z:

• oferowaniem towarów lub usług osobom, których dane dotyczą w Unii
• monitorowaniem zachowań osób fizycznych, o ile do zachowania tego dochodzi w Unii.

RODO ustala dla tych podmiotów zasady, dotyczące przetwarzania danych osobowych, a na Administratorach i osobach upoważnionych do przetwarzania danych osobowych ciąży obowiązek ich realizacji,  poprzez dołożenie szczególnej staranności w celu ochrony interesów osób, których dane dotyczą.

ZASADY OCHRONY DANYCH OSOBOWYCH.

Przetwarzane zgodnie z prawem.

Przetwarzanie należy realizować zgodnie z wszelkimi normami prawa, zarówno tymi już istniejącymi w momencie wejścia w życie Rozporządzenia UE, jak i z tymi, które dopiero później zostały wprowadzone do porządku prawnego.

Przetwarzanie jest dozwolone wyłącznie, jeżeli spełniony zostanie co najmniej jeden z warunków i wyłącznie w zakresie wynikającym z tego warunku:

• zgoda osoby, na przykład wysyłka newslettera,
• ochrona żywotnych interesów osoby, na przykład. monitorowanie epidemii,
• realizacja zadania w interesie osoby, której dane dotyczą, na przykład zapobieganie skutkom klęski żywiołowej,
• prawnie uzasadniony interes Administratora, na przykład wprowadzenie monitoringu wizyjnego,
• obowiązek wynikający z przepisów prawa, na przykład przeprowadzenie procesu rekrutacyjnego,
• czynności niezbędne do zawarcia lub wykonania umowy, na przykład ocena zdolności kredytowej.

Dane mogą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach. Nie mogą być przetwarzane niezgodnie z tymi celami. Ważne jest, aby zbierane dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są  przetwarzane.

PRZYKŁAD. Dane zebrane w celu wysyłki newslettera, nie mogą być wykorzystywane do innego celu (na przykład do kontaktu telefonicznego). Co więcej, należy pamiętać, by zbierane były tylko te dane, które są faktycznie niezbędne do wykonania danego celu (minimalizacja danych). Nie sposób uznać, aby adekwatne było na przykład zbieranie adresów zamieszkania osób, zapisujących  się do wysyłki newslettera.

Podejście oparte na ryzyku.

Rodo wprowadza skuteczne procedury dotyczące tych operacji przetwarzania, które mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Podejście oparte na ryzyku określa sposób, w jaki należy podchodzić do przetwarzania danych – w każdej sytuacji, kiedy zbieramy i korzystamy z danych osobowych, musimy przede wszystkim analizować ryzyko, jakie to przetwarzanie może spowodować dla prywatności osób, których te dane dotyczą.

Rozliczalność.

Każdy Administrator ma obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych służących ochronie danych osobowych. Rozporządzenie nie podaje jednak konkretnych przykładów najlepszych rozwiązań ani minimalnych standardów technicznych zabezpieczeń. Decyzja o tym jakie zabezpieczenia zostaną wprowadzone należy do Administratora i powinna mieć uzasadnienie w przeprowadzonej analizie ryzyka.

W szczególności Administrator powinien  zadbać o  zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów powszechnie obowiązującego prawa oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Dane należy przechowywać w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.

Privacy by design i privacy by default.

Zasada uwzględniania ochrony danych w fazie projektowania i zasada domyślnej ochrony danych oznacza dbałość o ochronę  prywatności przy prowadzeniu wszelkich projektów i działań.

Ochrona prywatności powinna być wbudowana w każdy nowy projekt. Oznacza to , że prywatność będzie chroniona nie przez dodatki do systemu lub nakładki na już istniejące rozwiązania, lecz będzie wbudowana w jego konstrukcję od samego początku – jeszcze w fazie pomysłu, jako składowa projektu.

Zasada domyślnej ochrony danych oznacza natomiast konieczność zapewnienia jak najdalej posuniętych zabezpieczeń prywatności w ustawieniach początkowych każdego systemu czy platformy internetowej.  Zabezpieczenia mają być ustawione domyślnie, czyli bez konieczności jakiegokolwiek działania osób, których dane dotyczą – i to w kluczowym dla użytkownika momencie przyłączenia się do danego systemu lub wejścia na stronę internetową.

Poufność. Rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom.

Integralność. Rozumie się przez to właściwość zapewniającą, że dane nie zostały zmienione lub zniszczone w sposób nieautoryzowany.

Dostępność. Gwarantuje, że osoby, które są upoważnione i którym informacje są potrzebne, mają do nich dostęp w odpowiednim miejscu i czasie.

Autentyczność. Właściwość zapewniająca, że tożsamość podmiotu lub procesu jest taka, jak deklarowana.

Rozliczalność działań na danych osobowych. Wszystkie istotne czynności wykonane przy przetwarzaniu danych osobowych, takie jak ich wprowadzanie lub edycja, muszą podlegać zarejestrowaniu tak, aby było możliwe zidentyfikowanie osoby, która daną czynność wykonała.