Kogo obowiązują przepisy RODO?

Kogo obowiązują przepisy RODO?

Przepisy RODO wskazują, że administratorem danych osobowych jest każda osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO).

Przy czym pojęcie "przetwarzania danych" ujęte jest w RODO bardzo szeroko i obejmuje: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych osobowych (art. 4 pkt 2 RODO).

Jedyne ograniczenie stosowania RODO wynika z art. 2 ust. 2 RODO, w którym wskazuje się szczególne kategorie danych osobowych, co do których rozporządzenie nie ma zastosowania (ograniczenia przedmiotowe).

Zgodnie z ww. przepisem RODO nie ma zastosowania do przetwarzania danych osobowych:

a) w ramach działalności nieobjętej zakresem prawa Unii;

b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE;

c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;

d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.

RODO nie przewiduje natomiast żadnych podmiotowych wyłączeń.

W efekcie można stwierdzić, że właściwie każdy podmiot w sektorze prywatnym, posiadający jakiekolwiek dane osobowe, wykorzystywane na użytek inny niż domowy będzie obowiązany stosować RODO.

Należy zaznaczyć, że RODO jako rozporządzenie UE jest stosowane bezpośrednio w państwach członkowskich UE (bez obowiązku wprowadzania jego postanowień w poszczególnych państwach w ustawie).

RODO pozwala państwom członkowskim jedynie doprecyzować pewne kwestie poprzez krajowe ustawodawstwo.

Realizacją takiego doprecyzowania jest m.in. art. 3 ust. 1 projektu ustawy o ochronie danych osobowych z 8 lutego 2018 roku (projekt jeszcze nie został uchwalony - obecnie trwają prace legislacyjne), w którym Polska zdecydowała się wyłączyć pewne, ściśle wskazane, przepisy RODO wobec podmiotów zatrudniających mniej niż 250 osób. Zgodnie z projektem są to: art. 13 ust. 2 lit a-b oraz d - f, art. 15 ust. 3 i 4, art. 19 oraz art. 34 RODO.

W praktyce wyłączenie sprowadza się do:

- ograniczenia tzw. obowiązku informacyjnego poprzez zwolnienie z wymogu wskazywania pewnych informacji np. nie trzeba wskazywać okresu, przez który dane będą przechowywane (art. 13 ust. 2 lit a-b oraz d - f),

- braku obowiązku dostarczenia osobie, której dane dotyczą kopii danych osobowych podlegających przetwarzaniu (art. 15 ust. 3 i 4 RODO),

- braku obowiązku informowania osoby, której dane dotyczą o sprostowaniu lub usunięciu jej danych osobowych lub ograniczeniu tego przetwarzania (art. 19 RODO),

- braku obowiązku informowania osoby, której dane dotyczą o zaistniałym naruszeniu ochrony jej danych osobowych (art. 34 RODO).

Takie wyłączenie powoduje jednak tylko złagodzenie pewnych wymogów, a nie wyłączenie stosowania RODO w całości.

Mając na uwadze powyższe, należy stwierdzić, że podmioty zatrudniające mniej niż 250 osób będą musiały dostosować m.in. proces udzielania zgód na przetwarzanie danych osobowych dla pracowników, uregulować sposób powierzenia danych osobowych osobom trzecim, a także sporządzić wskazane w RODO rejestry oraz stworzyć procedury zgłaszania naruszeń do organu nadzorczego. Obowiązkiem takich podmiotów będzie również spełnienie (w ograniczonym zakresie) tzw. obowiązku informacyjnego wobec wszystkich osób, do których należą dane osobowe są przetwarzane.

Poza prawnymi środkami jakie należy przedsięwziąć w celu wdrożenia RODO jest wprowadzenie fizycznych zabezpieczeń ochrony danych (hasła do komputerów, ochrona antywirusowa, polityka czystego biurka i ekranu, zamykanie dokumentacji w szafkach na klucz/sejfach itp.). Takie zabezpieczenia trzeba będzie dostosować odpowiednio do poziomu ryzyka jaki może zaistnieć w danym podmiocie i rodzaju danych jakie są przechowywane.

Bartosz Frączyk

Luty 2018

* * *

Kancelaria Radcy Prawnego Bartosza Frączyka z Krakowa jest jedną z pierwszych kancelarii specjalizujących się w kompleksowej obsłudze wspólnot mieszkaniowych w szerokim zakresie. Zobacz w czym możemy pomóc...