Spis treści

RODO to unijne rozporządzenie o ochronie danych osobowych ............. 5

Rys historyczny............................................................................................ 5
Kiedy i jak zacząć się przygotowywać ....................................................... 8
24 najważniejsze zmiany w prawie ............................................................ 8
1 - Jednolite prawo w całej Europie........................................................... 9
2 - Przystępny język................................................................................... 10
3 - Prawo dostosowane do wielkości przedsiębiorstwa......................... 10
4 - Większy zasięg prawa........................................................................... 11
5 - Nowa nazwa organu i większa moc sprawcza.................................... 11
6 - Nowe sankcje to większa siła oddziaływania prawa.......................... 13
7 - Kompleksowa współpraca organów (tzw. one stop shop)................. 15
8 - Nowe obowiązki i ograniczenia procesorów...................................... 16
9 - Współadministratorzy i grupy przedsiębiorstw.................................. 17
10 - Inspektor ochrony danych zamiast administratora
bezpieczeństwa informacji................................................................ 18
11 - Ochrona prywatności by design i by default (projektowanie od
podstaw i domyślność)...................................................................... 20
12 - Dokumentacja i rejestr przetwarzania.............................................. 21
13 - Szacowanie ryzyka – ocena skutków przetwarzania danych
i uprzednie konsultacje...................................................................... 22
14 - Raportowanie naruszenia bezpieczeństwa danych
do Prezesa Urzędu ............................................................................. 24
15 - Pseudonimizacja danych................................................................... 25
16 - Retencja i usuwanie danych.............................................................. 26
17 - Większe zaufanie do podmiotów certyfikowanych.......................... 26
18 - Ułatwione przekazywanie danych do państw trzecich
– wiążące reguły korporacyjne i standardowe klauzule umowne... 27
19 - Szerszy katalog danych szczególnej kategorii.................................. 29
20 - Zakres i sposób informowania osób, których dane dotyczą............ 30
21 - Ograniczenie profilowania................................................................... 31
22 - Doprecyzowane warunki uzyskiwania zgody na przetwarzanie
danych osobowych............................................................................ 32
23 - Prawo do przenoszenia danych......................................................... 34
24 - Rozszerzone prawo do usunięcia danych i ograniczenia
przetwarzania..................................................................................... 35
Zakończenie.............................................................................................. 36
Notatki....................................................................................................... 37
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

Patron poradnika
ODO 24 sp. z o. o. oferuje kompleksowe rozwiązania
w zakresie ochrony danych osobowych i bezpieczeń-
stwa informacji. Dzięki doświadczonemu zespołowi
ekspertów z zakresu m.in. prawa, informatyki, zarządza-
nia kryzysowego oraz ciągłości działania dostarcza or-
ganizacjom praktyczne rozwiązania, pozwalające sku-
tecznie zabezpieczyć posiadane zasoby informacyjne.

Niniejszy poradnik powstał, aby poinformować polskich przedsiębiorców o zmia-

nach w przepisach o ochronie danych osobowych, które będą miały zastosowanie
od 25 maja 2018 r. oraz pozwolić im należycie i na czas się do nich przygotować.

Autor poradnika
Leszek Kępa – ekspert bezpieczeństwa informacji, autor kilku książek i wielu pu-
blikacji na temat ochrony danych osobowych i bezpieczeństwa informacji. Posia-
da, uznane na całym świecie, certyfikaty CISA (Certified Information Security Au-
ditor), CISM (Certified Information Security Manager) oraz CEH (Certified Ethical
Hacker). Jest członkiem ISACA. Absolwent Szkoły Głównej Handlowej, Politechni-
ki Częstochowskiej oraz Akademii Podlaskiej.

Ilustracje
Karol Banach (www.karolbanach.com)

Projekt i skład
Radosław Zbytniewski (www.zbytniewski.com.pl)

Redakcja i korekta
Aleksandra Kaniewska

ISBN: 978-83-943435-3-8

Wydanie II – Warszawa, czerwiec 2017 r.

Wszelkie prawa zastrzeżone.

Zarówno publikacja w całości jak też każdy jej fragment nie mogą być powie-
lane ani rozpowszechniane w żadnej formie i w żaden sposób bez uprzedniego
pisemnego zezwolenia ODO 24 sp. z o.o. Wszelkie znaki towarowe, znaki gra-
ficzne, nazwy własne, logotypy i inne dane są chronione prawem autorskim
i należą do ODO 24 sp. z o.o.

4
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

Wszyscy przedsiębiorcy oraz instytucje, które przetwarzają dane osobowe, powinni przygotować się na rewolucyjne
zmiany. 25 maja 2016 r. weszły w życie, a od 2018 r. zaczną obowiązywać przepisy europejskiego rozporządzenia
o ochronie danych osobowych.1 Pełna nazwa tego aktu to: Rozporządzenie Parlamentu Europejskiego i Rady
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego prze-
pływu takich danych oraz uchylenia dyrektywy 95/46/WE2 (ogólne rozporządzenie o ochronie danych), które dalej
określane jest w skrócie jako Rozporządzenie lub RODO.

RODO to europejskie rozporządzenie o ochronie

danych osobowych
Zastąpi ono Dyrektywę 95/46 WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych
i swobodnego przepływu tych danych, której zapisy sięgają 1995 roku, kiedy internet dopiero raczkował, a sposób
prowadzenia biznesu mocno różnił się od dzisiejszego. Czas między przyjęciem przepisów, a ich stosowaniem ma
służyć głównie dostosowaniu przepisów krajowych, a także umożliwić administratorom danych przygotowanie się
do realizacji nowych obowiązków, co też zostało wybitnie podkreślone w motywie 171 preambuły: przetwarzanie,
które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia
niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów.
Proces dostosowywania jest długotrwały, przygotowania należy zacząć jak najszybciej i dlatego oddajemy w Pań-
stwa ręce przewodnik po kluczowych założeniach nowego prawa, w którym przedstawiamy, w jaki sposób wpłynie
ono na funkcjonowanie organizacji oraz w którym radzimy jak przygotować się do funkcjonowania w nowej rzeczy-
wistości prawnej.

Rys historyczny
Reforma przepisów o ochronie danych osobowych, której jesteśmy świadkami, następuje po ponad 20 latach od
uchwalenia dyrektywy 95/46/WE , która jest fundamentalnym aktem prawnym regulującym kwestie ochrony danych
osobowych w całej Europie.
Wszystko zaczęło się 4 listopada 2010 r., kiedy Komisja Europejska – po przeprowadzeniu szeroko zakrojonych kon-
sultacji społecznych – opublikowała komunikat zatytułowany Całościowe podejście do kwestii ochrony danych oso-
bowych w Unii Europejskiej. W ten sposób zapowiedziana została kompleksowa nowelizacja europejskiego prawa
w zakresie ochrony danych osobowych, która odpowiadałaby zmieniającej się rzeczywistości jednolitego rynku cy-
frowego. Niedługo później, 6 lipca 2011 r., Parlament Europejski przyjął rezolucję, w której poparł stanowisko Komi-
sji3, a 24 lutego 2011 r. swoje poparcie dla zmian wyraziła Rada Unii Europejskiej. Wśród unijnych instytucji panowała
zgodność co do tego, że przepisy o ochronie danych osobowych potrzebują odświeżenia i ujednolicenia.

1) http://ec.europa.eu/health/data_collection/docs/com_2010_0609_pl.pdf
2) http://eur-lex.europa.eu/legal-content/pl/ALL/?uri=CELEX:31995L0046
3) http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2011-0323+0+DOC+XML+V0//PL

5
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

24.10 Uchwalenie dyrektywy 95/46/WE

1995
Przyjęcie polskiej ustawy 29.08
o ochronie danych osobowych 1997
Zainicjowanie kompleksowego
04.11
2010 podejścia do kwestii ochrony
danych w Europie

25.01
Propozycja reformy
2012
Ustawa o ułatwieniu wykony-
07.11 wania działalności gospodarczej
2014 przygotowująca w Polsce grunt
pod przepisy europejskie
Wejście w życie przepisów 01.01
tej ww. ustawy 2015
27.04
2016 Uchwalenie RODO

25.05
Obowiązywanie RODO
2018

25 stycznia 2012 r. Komisja Europejska przedstawiła Unii Europejskiej, Parlamentem Europejskim i Komisją
opis najważniejszych elementów reformy ochrony da- Europejską, mające na celu ustalenie ostatecznej wersji
nych.4 Miały się na nią składać dwa nowe akty prawne: pakietu dokumentów.8

• europejskie rozporządzenie o ochronie danych,
zastępujące Dyrektywę 95/46/WE5,
• dyrektywa określająca przepisy o ochronie danych
osobowych przetwarzanych do celów zwalcza-
nia przestępczości, zastępująca decyzję ramową
2008/977/WSiSW6.
W marcu 2014 r. Parlament Europejski już w pierwszym
czytaniu zajął pozytywne stanowisko w sprawie projek-
tów Rozporządzenia i dyrektywy, a rok później, w czerw-
cu, Rada zgodziła się z wnioskami Parlamentu i zatwier-
dziła ogólne, całościowe podejście do ochrony danych
osobowych w Unii.7 Tuż przed świętami, 15 grudnia 2015
r., zakończyły się trójstronne negocjacje pomiędzy Radą
Po przyjęciu przez Radę dokumentów, w kwietniu 2016r.
Parlament przegłosował pakiet nowych unijnych ram
prawnych dla ochrony danych osobowych, czyli dyrek-
tywę i Rozporządzenie. Z perspektywy polskich podmio-
tów, istotniejszym dokumentem jest Rozporządzenie
(zwane skrótowo RODO), ponieważ zmienia i ujednolica
obowiązujące przepisy dotyczące ochrony danych oso-
bowych w całej Unii Europejskiej oraz projekt ustawy
o ochronie danych osobowych, która zostanie przyjęta,
aby doprecyzować w Polsce stosowanie europejskich
przepisów.
Aby zrozumieć, jaki wpływ na obywateli mają zapi-
sy Rozporządzenia, warto zapoznać się z konstrukcją

4) Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu ekonomiczno-społecznego i Komitetu regionów – Ochrona prywatno-
ści w połączonym świecie – europejskie ramy ochrony danych w XXI wieku – http://orka.sejm.gov.pl/sue7.nsf/pliki-zal/com_2012_9_pl_acte_f.pdf/$file/
com_2012_9_pl_acte_f.pdf
5) Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady – Zawiera definicje podstawowych terminów odnoszących się do dziedziny danych osobowych, ustala
zasady zbierania, gromadzenia, przechowywania i udostępniania danych osobowych. Określa zasady i warunki zgodności przetwarzania danych osobowych z
prawem oraz prawa osób, których dane dotyczą – http://www.giodo.gov.pl/568/id_art/603/j/pl/
6) http://www.giodo.gov.pl/234/id_art/2501/j/pl/
7) http://www.consilium.europa.eu/press-releases-pdf/2015/6/40802199180_pl.pdf oraz http://data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/pl/pdf
8) Nawiasem mówiąc, w pewnym momencie śledzenie, na jakim etapie znajdują się zmiany, było ogromnym wyzwaniem, gdyż w obiegu były trzy projekty
rozporządzenia.

6
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
przepisów prawa Unii Europejskiej. Składają się na nie:
• rozporządzenia,
• dyrektywy,
• decyzje,
• opinie,
• zalecenia.
Dyrektywy europejskie mają moc wiążącą wyłącznie
co do rezultatu, dlatego ich rolą jest harmonizacja pra-
wa. Oznacza to, że państwa członkowskie mają obo-
wiązek wdrożyć opisane w dyrektywie przepisy, ale po-
siadają przy tym swobodę sposobu ich implementacji.
Przykładowo, Dyrektywa 95/46/WE weszła do polskiego
porządku prawnego przez uchwalenie w 1997 r. ustawy
o ochronie danych osobowych.
Rozporządzenia europejskie są podobne do polskich
ustaw, mają charakter wiążący i — co najważniejsze
— obowiązują bezpośrednio. Oznacza to, że do rozpo-
rządzenia UE w Polsce (i w innych krajach Unii Euro-
pejskiej) należy stosować się tak samo, jakby to była
polska ustawa.
Warto pamiętać, że władze krajowe mają obowiązek
uchylenia wszelkich przepisów niezgodnych z tre-
ścią rozporządzenia, mają też zakaz wydawania ak-
tów prawnych niezgodnych z jego postanowieniami.
Hasłem przyświecającym idei stworzenia jednego unij-
nego rozporządzenia w zakresie ochrony danych osobo-
wych była bowiem zasada: jeden kontynent – jedno prawo.
Rozporządzenie pozostawiło państwom członkow-
skim, w tym Polsce, pewną swobodę w stosowaniu
przepisów i dlatego w marcu 2017 r. pojawił się projekt
ustawy o ochronie danych osobowych, jako uzupełnie-
nie Rozporządzenia. W uzasadnieniu do tego projektu
podkreśla się, że „przepisy nowej ustawy o ochronie da-
nych osobowych, mają zapewnić skuteczne stosowanie
w polskim porządku prawnym rozporządzenia”.
7
Do RODO należy stosować
się tak, jakby to była
polska ustawa
Analizowane w niniejszym poradniku Rozporządzenie jest
próbą odpowiedzi na nowe wyzwania ery cyfrowej, m.in.:
• wzrost skali wymiany danych,
• szybki postęp technologiczny,
• różnice w poziomie ochrony danych osobowych
w państwach Unii.
Ujednolicenie i uproszczenie przepisów nie oznacza
jednak, że Rozporządzenie zastąpi całkowicie krajowe
przepisy o ochronie danych osobowych – przewidu-
je się bowiem pewien obszar dla lokalnych regulacji
krajowych, które mogą dotyczyć kwestii takich jak
np. ustanowienie niezależnego organu nadzorczego
(dzisiaj GIODO) i zapewnienia mu odpowiednich środ-
ków technicznych, kadrowych i finansowych. Kraje
członkowskie mają również prawo uregulować indywi-
dualnie (jednak w określonych ramach) granicę wieku
dziecka, od którego może ono samodzielnie wyrazić
zgodę na przetwarzanie danych.
Należy przypomnieć, że głównym celem Dyrektywy
95/46/WE, która jest matką europejskich ustaw o ochro-
nie danych osobowych, była harmonizacja podstawo-
wych praw i wolności osób fizycznych oraz gwarancja
swobodnego przepływu danych osobowych w ramach
Unii Europejskiej. Mimo rewolucji w europejskich prze-
pisach o ochronie danych osobowych, te cele wciąż są
aktualne i pozostały niezmienione.
Warto zauważyć, że w chwili gdy znana była propozycja
zmian w europejskich przepisach, w Polsce rozpoczęto
działania tworzące grunt pod rewolucję i w listopadzie
2014 r. znowelizowano ustawę o ochronie danych oso-
bowych wprowadzając wiele rozwiązań, które widzimy
dzisiaj w Rozporządzeniu.
ODO24.pl/blog
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

Kiedy i jak zacząć się przygotowywać

Obecne przetwarzanie danych osobowych należy dostosować w ciągu dwóch lat od wejścia w życie nowych przepi-
sów. Proces dostosowywania jest długotrwały, dlatego przygotowania należy zacząć jak najszybciej.

Przygotowania do RODO trzeba zacząć już teraz,

aby 25 maja 2018 być w zgodzie z przepisami

Aby być dobrze przygotowanym należy m.in:
• zapewnić zgodność przetwarzania z obecnie obo-
wiązującymi przepisami, tj. ustawą o ochronie
danych osobowych – ułatwi to przygotowania do
zapewnienia zgodności z Rozporządzeniem,
• poznać dobrze wymagania Rozporządzenia,
by wiedzieć do czego należy się przygotować
– niniejszy Poradnik powinien ułatwić to zadanie,
• przeszkolić zespół który będzie koordynował przy-
gotowania do Rozporządzenia,
• zrozumieć gdzie i jakie dane są przetwarzane,
• dokonać przeglądu własnych zleceniobiorców
(tzw. procesorów) i współpracować z nimi, aby tak-
że dostosowali swoje procesy do Rozporządzenia,
• przeanalizować obecne procesy zbierania danych,
• przejrzeć istniejące procedury i dokumentację,
• przeanalizować kto i za co jest odpowiedzialny
w procesach przetwarzania,
• wdrożyć procesy analizy i szacowania ryzyka,
• wzmocnić zabezpieczenia (tam gdzie to potrzebne,
bazując na ocenie ryzyka) i zapewnić, że bezpieczeń-
stwo będzie wbudowane we wszystkie nowe procesy,
• dokumentować naruszenia bezpieczeństwa i pro-
wadzić rejestr incydentów,
• przygotować procesy zarządzania incydentami
bezpieczeństwa.
Nie trzeba tłumaczyć, że dostosowanie się do Rozpo-
rządzenia nie jest kwestią wyłącznie działu prawnego
czy IT. Zapewnienie zgodności wymaga współpracy
w całej organizacji – poziom kar oraz potencjalny
wpływ na funkcjonowanie organizacji uczynił z Roz-
porządzenia problem na poziomie zarządu, a nie po-
jedynczych działów.
Administratorzy oraz podmioty
przetwarzające dane
muszą się przygotować
Podkreślenia wymaga to, że przygotować muszą się
zarówno administratorzy danych jak i podmioty, które
przetwarzają dane na zlecenie, szczególnie że w stosun-
ku do tych ostatnich Rozporządzenie definiuje bardzo
dużo nowych obowiązków.

24 najważniejsze zmiany w prawie

Przygotowanie się do zapewnienia zgodności z Rozporządzeniem, to nie tylko unikanie wysokich kar. Coraz wię-
cej uczestników rynku zdaje sobie sprawę z tego, jaka jest ekonomiczna wartość danych, które dzięki nowym
technologiom pozyskiwane i przetwarzane są z każdym rokiem coraz szybciej. Rośnie też świadomość klien-
tów (osób, których dane są przetwarzane), którzy zdają sobie sprawę z zagrożeń wynikających z udostępniania
danych. W związku z tym, coraz ważniejszym staje się zapewnienie ochrony ich prywatności, a tym samym
zdobycie ich zaufania.

Klienci oczekują ochrony ich danych osobowych

Każda organizacja, która chce spełnić oczekiwania swoich klientów, powinna zapoznać się z nowymi regulacjami,
w odpowiedni sposób przygotować się, a następnie wdrożyć przepisy Rozporządzenia. Poniżej przedstawiam
w skrócie najważniejsze zmiany, wraz z poradami, które powinny ułatwić cały proces.

8
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

za dobry kierunek zmian. Ujednolici to przepisy doty-

czące ochrony danych w krajach, które – wracając do
wcześniejszej obrazowej metafory – w końcu będą miały
identyczne mosty. Zmiany przepisów są szczególnie ko-
rzystne dla wszystkich przedsiębiorców, którzy aktywnie
działają na terenie całej Unii Europejskiej, tj. mają mię-
dzynarodowych partnerów, oddziały i sieć sprzedaży.

Do 25 maja 2018 r. należy

(wciąż) przestrzegać obecnie
obowiązujących przepisów
o ochronie danych osobowych
1 Jednolite prawo
w całej Europie Trzeba podkreślić, że przyjęcie rozporządzenia to zale-
dwie początek zmian w przepisach. Dzisiaj zasady prze
twarzania danych osobowych uregulowane są w kilku-
Mające obowiązywać od maja 2018 r. Rozporządzenie set aktach prawnych, nie tylko w ustawie o ochronie
będzie spójnym narzędziem do stosowania we wszyst- danych osobowych, jak zwykło się uważać – wszystkie
kich państwach członkowskich. Oznacza to, że 28 po- te przepisy muszą zostać dostosowane do Rozporzą-
rządków prawnych z dziedziny ochrony danych oso- dzenia. Oprócz tego wraz z Rozporządzeniem pojawią
bowych zostanie zastąpione jednym, obowiązującym się nowe krajowe przepisy, na które zezwala, bądź
w całej Unii, aktem prawnym.9 W efekcie wszyscy przed- których wymaga owe Rozporządzenie. Przykładowo
siębiorcy z każdego z unijnych państw członkowskich w marcu 2017 r. pojawił się projekt ustawy o ochronie
będą zobowiązani do stosowania się do tych samych danych osobowych.10 Wszystkie te zmiany warto śle-
zasad ochrony danych osobowych. dzić, aby wiedzieć jak się przygotować.
Do tej pory kwestie przetwarzania danych osobowych Dobrze też analizować sukcesywnie pojawiające się
w Europie regulowała Dyrektywa 95/46/WE. Jak wiemy, interpretacje i objaśnienia dotyczące Rozporządzenia,
dyrektywy wiążą w odniesieniu do rezultatu, który ma np. opinie i wytyczne przygotowane przez Grupę Robo-
być osiągnięty, co oznacza, że państwa członkowskie czą Art. 29 czy też Europejską Radę Ochrony Danych,
muszą wprowadzić w życie przepisy opisane w danej która docelowo Grupę Robocza ma zastąpić.11
dyrektywie, mając jednak przy tym swobodę wyboru
metod i środków jej wdrożenia. Tłumacząc obrazowo: Należy zaznaczyć, że do 25 maja 2018 r. nadal powinno
w przypadku Dyrektywy 95/46/WE każdy miał wybudo-
wać most na rzece, ale jego ostateczny kształt i rodzaj uży-
tych materiałów pozostawiono decyzji każdego z państw.
W preambule Rozporządzenia, w motywie 10, podkre-
ślono, że: aby zapewnić wysoki i spójny poziom ochrony
osób fizycznych oraz usunąć przeszkody w przepływie
danych osobowych w Unii, należy zapewnić równorzęd-
ny we wszystkich państwach członkowskich stopień
ochrony praw i wolności osób fizycznych w związku
z przetwarzaniem takich danych. Należy zapewnić
spójne i jednolite w całej Unii stosowanie przepisów
o ochronie podstawowych praw i wolności osób fizycznych
w związku z przetwarzaniem danych osobowych.
Fakt, że dyrektywę zastąpi Rozporządzenie, należy uznać

9) W chwili przygotowania publikacji nie do końca jasne było, jak traktować deklarację wyjścia Wielkiej Brytanii z Unii Europejskiej (tzw. „Brexit”). Do czasu
wyjścia jest ona członkiem Unii i musi szanować i przestrzegać europejskiego prawa.
10) https://mc.gov.pl/aktualnosci/projekt-ustawy-o-ochronie-danych-osobowych
11) Więcej na temat Grupy Roboczej Art. 20 na stronie internetowej GIODO – http://www.giodo.gov.pl/261/id_art/920/j/pl/

9
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI
się przestrzegać obecnie obowiązujących przepisów
o ochronie danych osobowych.
2 Przystępny język
Rozporządzenie napisano bardzo przystępnym języ-
kiem. Zaczyna się preambułą, która stanowi wstęp do
Rozporządzenia, wyjaśniający ogólne założenia i powo-
dy zmiany przepisów, a także dostarcza częściowej ich
interpretacji. Preambuła Rozporządzenia, składająca
się z 173 motywów to coś więcej niż uroczyste „wpro-
wadzenie” do tego aktu prawnego. Jej znajomość po-
zwala zrozumieć sens i cel stosowania wielu wymagań,
dlatego też nie powinno czytać się Rozporządzenia,
nie zapoznawszy się wcześniej z tekstem preambuły.
Po preambule znajduje się właściwa treść Rozporzą-
dzenia podzielona na 11 rozdziałów
Przedsiębiorcy dużo łatwiej
zinterpretują nowe przepisy,
które mają ich obowiązywać
Polskie tłumaczenie dokumentu czyta się dobrze. Ła-
two jest też zrozumieć poszczególne zapisy prawne,
zwłaszcza jeśli porównać je do innych polskich aktów
prawa. Doskonałym przykładem może być definicja
firmy. Według Rozporządzenia jest to osoba fizyczna
lub prawna, prowadząca działalność gospodarczą.
To zgodne z potocznym rozumieniem słowa firma, za
którą uważa się działające przedsiębiorstwo, czy za-
kład pracy. Natomiast w dotychczasowych przepisach
o ochronie danych osobowych zamiast słowa firma
pojawiało się coś, co dla osoby nie obytej z prawnymi
określeniami mogło stanowić dziwny twór językowy:
10
osoby fizyczne i prawne oraz jednostki organizacyjne nie-
będące osobami prawnymi. Wracając do firmy – Kodeks
cywilny w art. 432 określał, że przedsiębiorca działa pod
firmą, czyli przez pojęcie firmy rozumiano nazwę, której
w swojej działalności używał przedsiębiorca.
W Rozporządzeniu pojawiają się też definicje, których
wcześniej w polskich przepisach nie było. Mamy na
przykład podmiot przetwarzający, w polskiej ustawie
o danych osobowych określany jako podmiot, któremu
administrator danych powierzył, w drodze umowy zawar-
tej na piśmie, przetwarzanie danych osobowych. Ta defi-
nicja była zbyt długa, więc nie powinno dziwić, że w co-
dziennym użytku przyjął się anglicyzm procesor. Nowa
definicja jest krótsza, przez co łatwiejsza w użyciu.
Przedsiębiorcy dużo łatwiej zinterpretują nowe przepi-
sy, które mają ich obowiązywać już od 25 maja 2018 r.
Wiele zagadnień, które wcześniej wymagały interpre-
tacji specjalistów, jest wyjaśnionych wprost. Mimo to
wciąż jest to dość trudna lektura, co wynika z faktu, że
są to nowe przepisy, i nie ma jeszcze doświadczenia
w ich stosowaniu. Co więcej – w najbliższym czasie po-
jawi się dużo zmian w krajowych przepisach i trudno
wyobrazić sobie przygotowania bez pomocy profesjo-
nalisty, który na bieżąco śledzi i interpretuje zmiany.
Przystępny język objawia się nie tylko w formie treści
Rozporządzenia. Wymaga się od administratora da-
nych, aby osobom, których dane przetwarza przed-
stawiał informacje (zapytanie o zgodę, informowanie
o prawach art. 12 ust. 1, zawiadomienie o naruszeniu
bezpieczeństwa informacji) „jasnym i prostym” języ-
kiem. Przedsiębiorcy, którzy do tej pory używali bardzo
formalnego, a niekiedy nawet prawniczego języka, będą
musieli zastanowić się, jak przekazywać informacje.
Dotyczy to też organizacji o charakterze publicznym lub
państwowym, które chętnie używają urzędowego języ-
ka, o którym trudno powiedzieć, że jest „jasny i prosty”.
3 Prawo dostosowane
do wielkości
przedsiębiorstwa
Rozporządzenie w końcu zauważa małe, średnie oraz
mikro-przedsiębiorstwa. Dotychczasowe prawo defi-
niowało takie same wymagania ochrony danych oso-
bowych zarówno osobom fizycznym prowadzącym
działalność gospodarczą, jak i dużym, międzynarodo-
wym korporacjom. Skutkowało to tym, że większość
małych podmiotów tylko w znikomym stopniu speł-
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

i organy Unii, państwa członkowskie i ich organy nadzor-

cze, by stosując niniejsze rozporządzenie, uwzględniały
szczególne potrzeby mikroprzedsiębiorstw oraz małych
i średnich przedsiębiorstw.

Obowiązki w zakresie ochrony

danych będą zależeć od rodzaju
i skali przetwarzania,
a nie od formy organizacji
Dobrym kierunkiem jest też uzależnienie obowiązków od
rodzaju przetwarzania danych, a nie od formy organizacji.

4 Większy zasięg prawa

niało wymagania przepisów z zakresu ochrony danych Przedsiębiorcy spoza Unii Europejskiej też będą musieli
osobowych, gdyż wymagało to dużych nakładów pracy stosować się do Rozporządzenia, jeśli:
i nierzadko sporych nakładów finansowych. Doskona-
łym przykładem jest agent ubezpieczeniowy. Działa on • oferują towary lub usługi osobom w UE,
jako osoba fizyczna prowadząca jednoosobową działal- • monitorują („obserwują”) zachowania i zwyczaje
ność gospodarczą, ale zgodnie z przepisami musi sam osób z obszaru UE, na przykład przy pomocy geolo-
dla siebie (sic!) przygotować politykę bezpieczeństwa kalizacji, o ile do zachowania tego dochodzi w Unii.
oraz instrukcję zarządzania systemem informatycz-
nym służącym do przetwarzania danych osobowych. Przedsiębiorcy spoza Unii
Dla jednej osoby jest to nie lada wyzwanie, nie mówiąc
o tym, że nie do końca jest to racjonalne. Rozporządze- Europejskiej też będą musieli
nie zmienia tę sytuację i tak przykładowo: stosować się do RODO
• organizacje, które nie przetwarzają danych oso-
Do oceny, czy towary lub usługi są lub mogą być ofe-
bowych na dużą skalę, nie będą musiały powoły-
rowane w Unii, wystarczy według Motywu 23 Rozpo-
wać inspektora ochrony danych osobowych,
rządzenia m.in.: posługiwanie się językiem lub walutą
• rejestrowania czynności przetwarzania nie będą
powszechnie stosowanymi w co najmniej jednym pań-
dokonywać podmioty, które zatrudniają mniej niż
stwie członkowskim oraz możliwość zamówienia towa-
250 osób i spełniają warunki określone w art. 30
rów i usług w tym języku lub wzmianka o klientach lub
ust. 5 Rozporządzenia,
użytkownikach znajdujących się w Unii.
• grupa przedsiębiorstw będzie mogła powołać jed-
nego inspektora ochrony danych osobowych. Organizacje spoza Unii zobowiązane będą dokładnie
przeanalizować w jaki sposób powinny dostosować się
W preambule Rozporządzenia, w motywie 13, podkre- do nowych wymagań, w tym wyznaczyć swojego przed-
ślono, że: aby zapewnić spójny poziom ochrony osób stawiciela na terenie Unii.
fizycznych w Unii oraz zapobiegać rozbieżnościom ha-
mującym swobodny przepływ danych osobowych na
rynku wewnętrznym, należy przyjąć rozporządzenie,
które zagwarantuje podmiotom gospodarczym – w tym 5 Nowa nazwa
organu i większa
mikroprzedsiębiorstwom oraz małym i średnim przedsię-
biorstwom – pewność prawa i przejrzystość (…). Z uwagi
na szczególną sytuację mikroprzedsiębiorstw oraz ma-
łych i średnich przedsiębiorstw niniejsze rozporządzenie moc sprawcza
przewiduje wyjątek dotyczący rejestrowania czynności
przetwarzania dla podmiotów zatrudniających mniej Dotychczasowy GIODO – Generalny Inspektor Ochrony
niż 250 pracowników. Ponadto zachęca się instytucje Danych Osobowych – zyska nową nazwę: Prezes Urzędu

11
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

Ochrony Danych Osobowych. Zmianę wprowadza pro-

jekt ustawy o ochronie danych osobowych. W uzasad-
nieniu do niego dowiadujemy się, że zmiana nazwy
urzędu wynika z tego, że Rozporządzenie wprowadza in-
spektora ochrony danych osobowych i mogło to prowa-
dzić do niejasności jaka jest relacja między „zwykłym”
inspektorem a inspektorem „generalnym”. Co więcej
zaproponowano aby dawnych inspektorów GIODO na-
zwać „kontrolującymi”, aby nie mylono ich z inspektora-
mi ochrony danych, o których mowa w Rozporządzeniu.
Dla ułatwienia dalej w Poradniku będzie używane okre-
ślenie UODO – Urząd Ochrony Danych Osobowych – ma-
jąc na myśli Prezesa Urzędu, a tam gdzie mowa o dzisiej-
szym organie nadzoru, stosowana będzie dotychczasowa
nazwa GIODO. Trzeba pamiętać, że UODO jest propozycją
nazwy i może w przyszłości jeszcze się zmienić.
Zgodnie z zapisami Rozporządzenia krajowe organy
nadzorcze, których odpowiednikiem w Polsce jest • prowadzeniu rejestru naruszeń,
obecnie GIODO będą musiały być wyposażone w od- • obowiązku wzajemnej pomocy i współpracy z in-
powiednie zasoby techniczne, kadrowe i finansowe. nymi organami nadzorczymi.
Można przypuszczać, że biuro Generalnego Inspektora
zostanie rozbudowane. Na gruncie Rozporządzenia, Struktury Urzędu Ochrony Danych Osobowych zostaną
GIODO stanie się organem, z którego decyzjami przed- zapewne rozbudowane. Już wcześniej o to postulowa-
siębiorcy będą musieli się liczyć. Zyska „powagę” i na- no, w efekcie czego w ramach rozporządzenia z dn. 10
zwę podobną do UOKiK. października 2011 r. w sprawie nadania statutu Biuru Ge-
neralnego Inspektora Ochrony Danych Osobowych, usta-
lone zostały siedziby dwóch jednostek zamiejscowych –
GIODO stanie się UODO w Katowicach oraz w Gdańsku. Siedziby te co prawda jesz-
- organem, z którym trzeba cze nie powstały, ale przepisy otworzyły taką możliwość.
będzie się liczyć Motyw 127 Rozporządzenia podkreśla, że każde pań-
stwo członkowskie będzie musiało zapewnić organowi
Nowe uprawnienia UODO nie będą różnić się znacząco nadzorującemu ochronę danych osobowych warunki
od obecnych, chociaż pojawiły się pewne obowiązki i możliwości operowania odpowiednimi zasobami ludz-
wymienione wprost, które w dotychczasowych prze- kimi. Czytamy tam: każdy organ nadzorczy powinien
pisach nie występowały, np. Prezes Urzędu będzie zostać wyposażony w zasoby finansowe i kadrowe, po-
udzielać zaleceń dotyczących szczególnych operacji mieszczenia i infrastrukturę, niezbędne do skutecznego
przetwarzania (art. 57 ust. 1 Rozporządzenia). Nowe wykonywania zadań, w tym zadań związanych z wzajem-
przepisy dotyczące organów nadzorczych mówią o: ną pomocą i współpracą z innymi organami nadzorczymi
z całej Unii. Każdy organ nadzorczy powinien dysponować
• przyjmowaniu standardowych klauzul umownych, odrębnym, publicznym budżetem rocznym, który może być
• prowadzeniu wykazu ocen skutków przetwarzania, częścią ogólnego budżetu krajowego lub państwowego.
• udzielaniu zaleceń jak przetwarzać dane osobo-
we, o których mowa w art. 36 ust. 2 Rozporządze- Te specjalne warunki pracy UODO podkreślone są też
nia w związku z uprzednimi konsultacjami, w treści art. 52 ust.4, 5 i 6 Rozporządzenia.
• zachęcaniu do tworzenia i stosowania kodeksów
postępowania,12 Skargę do UODO będzie można
• zachęcaniu do mechanizmów certyfikacji (dziś nie
istnieją),
złożyć bezpłatnie, więcej skarg
• akredytacji podmiotów certyfikujących, to większe ryzyko kontroli

12) GIODO obecnie także zachęca i wspiera tworzenie kodeksów postępowania, ale nie ma to prawnego umocowania, takiego jakie wprowadza Rozporządzenie
13) We wcześniejszym tłumaczeniu określony jako zainteresowany organ nadzorczy, co wydaje się było lepszym tłumaczeniem terminu „supervisory authority
concerned”.

12
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
Co również ważne, według nowego prawa, skargę do
UODO będzie można złożyć bezpłatnie, a odbiorcą
takiej skargi będzie mógł też zostać dowolny organ
nadzorczy w UE. W takim przypadku będzie on, uprasz-
czając, brał udział w sprawie jako tzw. organ nadzorczy,
którego sprawa dotyczy.13
Osoby będą mogły skarżyć się bezpośrednio do sądu,
z pominięciem organu nadzorczego (UODO) (art. 79
Rozporządzenia). Dzisiaj wielu przedsiębiorców „korzy-
stało” z tego, że GIODO posiada ograniczone zasoby ka-
drowe i skargi rozpatruje bardzo powoli. To na pewno
się zmieni. Również dlatego, że art. 24 projektowanej
ustawy o ochronie danych osobowych umożliwia Pre-
zesowi UODO tymczasowe zobowiązanie administrato-
ra do ograniczenia przetwarzania danych osobowych
jeszcze w toku postępowania. Będzie to możliwe, jeśli
zostanie uprawdopodobnione, że przetwarzanie da-
nych osobowych narusza przepisy o ochronie danych
osobowych, a dalsze ich przetwarzanie może spowodo-
wać poważne i trudne do usunięcia skutki.
Kolejnym ciekawym zagadnieniem jest „uprawnie-
nie organizacji społecznej do wystąpienia z żądaniem
wszczęcia postępowania bądź udziału w postępowa-
niu, nie tylko w przypadku gdy przemawia za tym inte-
res społeczny, o czym stanowi art. 31 § 1 KPA, ale rów-
nież gdy przemawia za tym interes osoby, której prawa
zostały naruszone”. Może to oznaczać wysyp organizacji
wyszukujących wszelakich potknięć w przetwarzaniu
danych i szantażujących przedsiębiorców. Doświadczy-
liśmy tego wszyscy w związku z ustawą o świadczeniu
usług drogą elektroniczną.
Rozporządzenie określa, że organ nadzoru ma wykony-
wać zadania na rzecz osób, których dane dotyczą i jeżeli
istnieje, inspektora ochrony danych w sposób wolny od
opłat. Opłaty za wniesienie skargi mogą się pojawić
tylko wtedy, gdy wnioski skarżącego są ewidentnie nie-
uzasadnione lub nadmierne, ale uwaga – to na organie
13
nadzorczym będzie spoczywać ciężar udowodnienia,
że mają taki charakter.
Jako że większość kontroli następuje w efekcie postę-
powania skargowego, można zakładać, że łatwiejszy
sposób składania skarg przełoży się na większe praw-
dopodobieństwo kontroli, gdyż skargi do tej pory są
jednym z najważniejszych „wyzwalaczy” przeprowa-
dzanych przez organ kontroli. Na pewno przygotowując
się do wdrożenia nowych przepisów warto przeanalizo-
wać sposób reagowania na skargi klientów, szczególnie
na te związane z przetwarzaniem danych osobowych.
Warto rozważyć prowadzenie rejestru wszelkich skarg
na przetwarzanie danych osobowych, aby móc po-
znać skalę potencjalnego problemu, szczególnie że
w przyszłości w procesie obsługi takich skarg będzie
brał udział inspektor ochrony danych.
Trzeba zauważyć, że w projektowanych przepisach
przewiduje się, że w toku kontroli UODO kontrolujący
może korzystać z pomocy funkcjonariuszy innych orga-
nów kontroli państwowej lub Policji, a organy kontroli
państwowej lub Policja wykonują czynności na pole-
cenie kontrolującego. Co więcej, Prezes Urzędu będzie
uprawniony do przeprowadzania kontroli bez uprzed-
niego zawiadomienia o tym fakcie kontrolowanego.
6 Nowe sankcje jako
większa siła
oddziaływania
prawa
Za naruszenie istotnych przepisów ochrony danych
osobowych, Rozporządzenie przewiduje grzywnę do 20
mln EUR, a w przypadku przedsiębiorstwa – do 4% cał-
kowitego światowego obrotu z poprzedniego roku. Niż-
sze kary do 10 mln EUR lub do 2% światowego obrotu,
przewidziane są w sprawach mniejszej wagi.
Nowe rozporządzenie
wprowadza bardzo surowe kary
Każdy przypadek będzie indywidualnie rozpatrywany
i pod uwagę będą brane m.in. następujące elementy:
• skala naruszenia,
• umyślność działań,
• co zrobiono, żeby zminimalizować szkody ponie-
sione przez osoby, których dane dotyczą,
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI
• „recydywa”, czyli czy jest to pierwsze, czy kolejne
przewinienie,
• kategorie przetwarzanych danych osobowych,
• stopień współpracy z GIODO.
Organ nadzorczy może uwzględniać wszelkie okolicz-
ności obciążające lub łagodzące. Jeśli działanie było
celowe, nie zdarzyło się pierwszy raz, a winny nie bę-
dzie chciał z GIODO współpracować, to można zakła-
dać wyższe kary, przy czym trzeba pamiętać, że „jeżeli
administrator lub podmiot przetwarzający narusza
umyślnie lub nieumyślnie w ramach tych samych lub
powiązanych operacji przetwarzania kilka przepisów
niniejszego rozporządzenia, całkowita wysokość admi-
nistracyjnej kary pieniężnej nie przekracza wysokości
kary za najpoważniejsze naruszenie” (art. 83 ust. 3).
Kary dla administracji
publicznej będą znacznie
mniejsze w Polsce
W projekcie ustawy projektodawca ograniczył krąg
podmiotów publicznych wobec których możliwe jest
nakładanie administracyjnych kar pieniężnych za na-
ruszenia przepisów o ochronie danych osobowych,
a tam gdzie one pozostały, maksymalna granica moż-
liwej do nałożenia kary wynosi 100 tysięcy złotych (art.
50).Co ciekawe – w projekcie ustawy pojawiają się kary
dla niesolidnych świadków i biegłych –niestawienie się
bez podania przyczyny lub odmówienie zeznania może
prowadzić do grzywny do 500 zł.
Obecne kary za nieprzestrzeganie przepisów są względ-
nie niskie. Aby doszło do nałożenia grzywny, trzeba
uparcie nie przywracać „stanu zgodnego z prawem”,
czyli nie stosować się do decyzji wydanej przez GIODO.
W aktualnych przepisach o ochronie danych osobowych
istnieją jeszcze sankcje karne (grzywny, kara ogranicze-
14
nia lub pozbawienia wolności). Statystyki pokazują jed-
nak, że zawiadomienia o podejrzeniu popełnienia prze-
stępstwa należą do rzadkości, a jeśli już się zdarzają,
postępowanie bardzo często jest umarzane ze względu
na niską szkodliwość społeczną przewinienia. To dość
wygodna sytuacja dla wielu administratorów danych,
którzy często dochodzili do wniosku, iż korzyści (zazwy-
czaj finansowe) z nieprzestrzegania przepisów z zakresu
ochrony danych osobowych mogą być zdecydowanie
większe niż możliwe negatywne ich konsekwencje.
Trzeba pamiętać, że w obecnym stanie prawnym GIO-
DO nie może nakładać kar za niezgodność z przepisami,
a może jedynie nakazać zapewnienie z nimi zgodności.
Dopiero za uparte nieprzywracanie „stanu zgodnego
z prawem” organ nadzorczy może zastosować „środki
egzekucyjne przewidziane w ustawie z dnia 17 czerwca
1966 r. o postępowaniu egzekucyjnym w administracji”
Należy też podkreślić, że grzywna, czy ograniczenie lub
pozbawienie wolności określone w art. 49 do art. 54a
ustawy o ochronie danych osobowych mogą zostać
nałożone wyłącznie w drodze postępowania sądowego
zainicjowanego przez organy ścigania (Policję, Prokura-
turę). Nowe przepisy to zmieniają – teraz główny nacisk
postawiono na kary finansowe, w których upraszcza-
jąc, wszystko będzie zależeć od decyzji UODO. Zgodnie
z Rozporządzeniem: „państwa członkowskie przyjmują
przepisy określające inne sankcje za naruszenia niniej-
szego rozporządzenia, w szczególności za naruszenia
niepodlegające administracyjnym karom pieniężnym
na mocy art. 83, oraz podejmują wszelkie środki nie-
zbędne do ich wykonania. Sankcje te muszą być sku-
teczne, proporcjonalne i odstraszające (art. 84 ust. 1).
Przedsiębiorcy, którzy wcześniej mieli większy „apetyt
na ryzyko”, zmuszeni zostaną do ponownej jego kalku-
lacji. Warto to zrobić, bo może okazać się, że zapewnie-
nie zgodności z przepisami będzie lepszą strategią niż
nie inwestowanie w ochronę danych osobowych.
Można założyć, że wysokie kary zmotywują organizacje
do przykładania większej wagi i respektowania prze-
pisów o ochronie danych osobowych, a także – co za
tym idzie – do inwestycji w bezpieczeństwo i ochronę
informacji.
Organizacje będą musiały zastanowić się nad zwiększe-
niem budżetów na zabezpieczenie informacji, a w szcze-
gólności na rozwiązania informatyczne takie jak m.in.:
• systemy monitorowania zdarzeń w systemach
informatycznych (SIEM – Security Information
and Event Management),
• systemy zapobiegania wyciekom informacji
(tzw. DLP – ang. Data Lost Prevention),
• rozwiązania wykrywające i blokujące ataki sie-
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
ciowe (IDS/IPS – Intrusion Detection/Prevention
Systems),
• mechanizmy wspierające zarządzanie dostępami
do informacji (IdM – Identity Management).
W większych organizacjach zapewne trzeba będzie
rozbudować zespoły bezpieczeństwa informacji i zarzą-
dzania incydentami, szczególnie w świetle obowiązku
prowadzenia rejestru incydentów oraz raportowania
tych poważniejszych do organu nadzorczego (UODO).
Konieczne będzie wdrożenie i przetestowanie procedur
postępowania w sytuacjach kryzysowych, np. w przy-
padku wycieku danych. To o tyle ważne, że do ustalenia
wysokości kary Prezes Urzędu będzie brał pod uwagę
wiele czynników, m.in. sposób, w jaki dane były zabez-
pieczone na poziomie technicznym lub organizacyjnym
oraz jakie działania podjęte zostały, żeby zminimalizo-
wać szkody.
W uzasadnieniu do projektu ustawy podkreśla się, że
ogromne znaczenie Prezes Urzędu powinien przywią-
zywać do zebrania w toku postępowania dowodów
przemawiających nie tylko za wymierzeniem admini-
stracyjnej kary pieniężnej, ale również wymierzeniem
kary o takiej, a nie innej wysokości. Oczekuje się też
wyczerpujących uzasadnień wydanych rozstrzygnięć.
Będzie to bez wątpienia interesująca baza wiedzy dla
wszystkich zainteresowanych.
Dobrze też pamiętać, że wniesienie skargi do sądu ad-
ministracyjnego powoduje wstrzymanie wykonania de-
cyzji w zakresie dotyczącym administracyjnej kary pie-
niężnej, zatem jeśli ukarany podmiot wniesie skargę, to
jest szansa, że odroczy w czasie karę. Gdy o sankcjach
mowa, trzeba pamiętać, że sankcją dla podmiotu nie
musi być wyłącznie kara nałożona przez odpowiedni
15
organ. Swojego rodzaju sankcjami będą też odszkodo-
wania. Art. 82 Rozporządzenia określa, iż osoba, która
poniosła szkodę majątkową lub niemajątkową w wyniku
naruszenia przepisów Rozporządzenia ma prawo do uzy-
skania od administratora lub procesora odszkodowa-
nia za poniesioną szkodę. Co do zasady, administrator
odpowiada za szkody spowodowane przetwarzaniem
naruszającym przepisy, a procesor tylko wtedy, gdy nie
dopełnił obowiązków, które Rozporządzenie nakłada
bezpośrednio na niego lub gdy działał „poza zgodnymi
z prawem instrukcjami administratora lub wbrew tym
instrukcjom”. Oczywiście obaj zostają zwolnieni z od-
powiedzialności odszkodowawczej, jeżeli są w stanie
udowodnić, że w żaden sposób nie ponoszą winy za
zdarzenie, które doprowadziło do powstania szkody.
7 Kompleksowa
współpraca organów
(tzw. one stop shop)
Międzynarodowe organizacje, które działają na terenie
wielu państw Unii Europejskiej, będą mogły załatwić
wszystkie formalności w jednym punkcie, przy pomocy
tzw. organu wiodącego, który powinien współpracować
z innymi organami, których sprawa dotyczy. Przykłado-
wo polska międzynarodowa organizacja może udać się
do Prezesa UODO, aby załatwić kwestie związane z mię-
dzynarodowym przetwarzaniem danych i nie musi anga-
żować organów nadzorczych w innych krajach.
W preambule Rozporządzenia dowiadujemy się:
• (Motyw 135) Należy ustanowić mechanizm spójności
na potrzeby współpracy między organami nadzor-
czymi. Mechanizm ten powinien mieć zastosowanie
w szczególności wtedy, gdy organ nadzorczy zamie-
rza przyjąć środek mający wywoływać skutki praw-
ne w odniesieniu do operacji przetwarzania, które
znacznie wpływają na istotną liczbę osób, których
dane dotyczą w kilku państwach członkowskich.
• (Motyw 133) Organy nadzorcze powinny się wza-
jemnie wspierać w wykonywaniu swoich zadań
oraz świadczyć sobie wzajemną pomoc, by zapew-
nić spójne stosowanie i egzekwowanie niniejszego
rozporządzenia na rynku wewnętrznym.
Przywilej „załatwienia” sprawy z jednym organem nie
dotyczy tylko organizacji, osoby także maja takie prawo:
• (Motyw 130) Jeżeli organ nadzorczy, do którego
wniesiono skargę nie jest wiodącym organem nad-
zorczym, wiodący organ nadzorczy powinien ściśle
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

współpracować z organem nadzorczym, do które-

go wniesiono skargę (…)
• (Motyw 141) Każda osoba, której dane dotyczą,
powinna mieć prawo wniesienia skargi do jednego
organu nadzorczego oraz prawo do skutecznego
środka ochrony prawnej przed sądem, (…) w szcze-
gólności w państwie członkowskim, w którym ma ODO24.pl/szkolenia
miejsce zwykłego pobytu (...)

Warto pamiętać, że Grupa Robocza Art. 29 przygotowa-

ła „Wytyczne dotyczące ustalenia wiodącego organu
nadzorczego właściwego dla administratora lub pod-
miotu przetwarzającego”14 , które mogą pomóc w nie-
których skomplikowanych przypadkach transgranicz-
nego przetwarzania danych.
To jest ciekawa zmiana, która bez wątpienia będzie ko-
rzystna dla grup kapitałowych, czy też przedsiębiorstw
prowadzących biznes międzynarodowy, a także dla sa- Administrator musi wyrażać
mych osób fizycznych, których dane dotyczą. Wprowa-
dza ona jednocześnie coś, co do tej pory nie występo-
zgodę na dalsze powierzanie
wało w Polsce. Przykładowo dzisiaj mieszkaniec Berlina przetwarzania
skargę na działalność przedsiębiorcy z Polski musiałby
składać do GIODO, i pewnie by od tego odstąpił ze Podmiot przetwarzający (procesor) w razie stwierdze-
względu na np. bariery językowe, zaś od maja 2018 r. nia, iż doszło do naruszenia ochrony danych osobo-
wystarczy skierować skargę do lokalnego organu, który wych, zgłasza je administratorowi (art. 33 ust. 2 Rozpo-
będzie kontaktował się z UODO. I odwrotnie – obywa- rządzenia) i nie musi ich zgłaszać do UODO.
tele Polscy na działalność niemieckiego przedsiębiorcy Już wcześniej umowa z podmiotem przetwarzającym
skargę będą niedługo mogli składać do UODO. dane osobowe w imieniu administratora (procesorem)
musiała być zawarta na piśmie (art. 31 ust. 1 ustawy
o ochronie danych osobowych). Rozporządzenie uzu-
pełnia, że taka umowa może też zostać uregulowana
8 Nowe obowiązki innym instrumentem prawnym.

i ograniczenia
Obowiązkiem podmiotu przetwarzającego będzie pro-
wadzenie rejestru wszelkich kategorii czynności prze-

dla procesorów twarzania, dokonywanych w imieniu administratora.

Procesor będzie miał również obowiązek udostępnić
taki rejestr na żądanie UODO, a także powołać inspek-
Ustawodawca w unijnym Rozporządzeniu wprowadził sze- tora ochrony danych osobowych, jeśli zaistnieje przy-
reg nowych regulacji dla procesora, czyli podmiotu prze- najmniej jeden z czynników, o których stanowi art. 37
twarzającego dane w imieniu administratora danych. Nie ust. 1 Rozporządzenia.
będzie wolno powierzać dalej przetwarzania danych oso-
Na plus warto zaliczyć fakt dokładnego sprecyzowania
bowych bez zgody administratora. Podmiot przetwarzający
obowiązków wszystkich stron. Podmiot przetwarzający
nie korzysta z usług innego podmiotu przetwarzającego bez
będzie bezpośrednio odpowiedzialny za nałożone na
uprzedniej szczegółowej lub ogólnej pisemnej zgody admini-
niego obowiązki z zakresu ochrony danych osobowych.
stratora. W przypadku ogólnej pisemnej zgody podmiot prze-
Będzie m.in. zobowiązany wdrażać stosowne środki
twarzający informuje administratora o wszelkich zamierzo-
techniczne i organizacyjne, prowadzić rejestr czynności
nych zmianach dotyczących dodania lub zastąpienia innych
przetwarzania, w konkretnych okolicznościach powołać
podmiotów przetwarzających, dając tym samym administra-
IOD, spełnić te same wymagania przekazywania danych
torowi możliwość wyrażenia sprzeciwu wobec takich zmian.

14) http://www.giodo.gov.pl/1520282/id_art/9742/j/pl/

16
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
do państw trzecich jak administrator, czy notyfikować
administratora o incydentach. Prezes UODO będzie
mógł egzekwować stosowanie RODO bezpośrednio
w stosunku do przetwarzającego. Wcześniej takie zobo-
wiązania trzeba było formułować samodzielnie i nie za-
wsze pamiętano o wszystkich kluczowych elementach,
które powinny znaleźć się w prawidłowo skonstruowa-
nej umowie powierzenia. Teraz zaś art. 28 ust. 3 RODO
określa szczegółowy zakres umowy powierzenia.
Rozporządzenie wyraźnie podkreśla, że jeżeli podmiot
przetwarzający naruszy niniejsze rozporządzenie przy
określaniu celów i sposobów przetwarzania, uznaje się
go za administratora w odniesieniu do tego przetwarza-
nia (ale to nie wyklucza stosowania przepisów art. 82,
83 i 84 – poświęconych sankcjom, karom, odszkodowa-
niom i odpowiedzialności). Oznacza to przykładowo, że
jeśli pewien zakład ubezpieczeń dane powierzy agento-
wi oferującemu ubezpieczenia, a on zmieni pierwotny
cel przetwarzania i wykorzysta te dane osobowe, żeby
zaoferować konsumentom zupełnie inne produkty
i usługi, niż te z oferty ubezpieczyciela, to agent auto-
matycznie stanie się dodatkowym administratorem
tych danych. Taki stan obowiązywał już wcześniej, ale
nie jako bezpośredni zapis prawny, a efekt interpretacji
przepisów. To kolejny dowód na to, że Rozporządzenie
zostało napisane przystępnym językiem oraz w taki
sposób, aby wyjaśniać i regulować kwestie niejasne
i wymagające wcześniej interpretacji.
W ramach przygotowań administratorzy i procesorzy
powinni zinwentaryzować wszystkie przypadki powie-
rzenia przetwarzania danych, zapewnić że są w formie
umowy na piśmie oraz ocenić w jakim stopniu regulują
kwestie zdefiniowane przez Rozporządzenie. Jeśli oka-
że się, że umowy nie zawierają wszystkich wymagany
elementów, powinny zostać zmienione (aneksowane).
Administratorzy powinni na bieżąco oceniać zgodność
współpracujących podmiotów z obecnymi i przyszłymi
przepisami. Podmioty przetwarzające dane osobowe
usługowo (np. biura księgowe, call center, telemarketing)
powinny szczególnie przyłożyć się do analizy Rozporzą-
dzenia, gdyż nakłada na nie sporo nowych obowiązków.
9 Współadministra-
torzy i grupy
przedsiębiorstw
W Rozporządzeniu pojawiają się definicje współadmini-
stratorów oraz grup przedsiębiorstw.
Jeżeli co najmniej dwóch administratorów wspólnie
17
ustala cele i sposoby przetwarzania danych osobowych,
są oni współadministratorami. W drodze wspólnych
uzgodnień w przejrzysty sposób określają odpowiednie
zakresy swojej odpowiedzialności dotyczącej wypełnia-
nia obowiązków wynikających z niniejszego rozporzą-
dzenia, w szczególności w odniesieniu do wykonywania
przez osobę, której dane dotyczą, przysługujących jej
praw oraz ich obowiązków w odniesieniu do podawania
informacji, o których mowa w art. 13 i 14, chyba że przy-
padające im obowiązki i ich zakres określa prawo Unii
lub prawo państwa członkowskiego, któremu admini-
stratorzy ci podlegają. W uzgodnieniach można wskazać
punkt kontaktowy dla osób, których dane dotyczą.
Grupa przedsiębiorstw oznacza przedsiębiorstwo sprawu-
jące kontrolę oraz przedsiębiorstwa przez nie kontrolowane.
RODO wprowadza
współadministratorów danych
Wcześniej współadministratorzy nie występowali
w Polskich przepisach (mimo, że Dyrektywa na nich po-
zwalała), a nawet jeśli w jakimś procesie dwa podmioty
wspólnie przetwarzały dane osobowe, to i tak z punktu
widzenia przepisów traktowano ich jako dwóch odręb-
nych administratorów danych. Rozporządzenie wprowa-
dza współadministratorów i pozwala im dzielić się pra-
wami i obowiązkami, pod warunkiem, że osoby, których
dane się przetwarza, będą poinformowane o tym, kto
i za co odpowiada. Stanowi o tym art. 26 ust. 2 Roz-
porządzenia: zasadnicza treść uzgodnień jest udostęp-
niana podmiotom, których dane dotyczą. Jest to za-
gadnienie, które należy uwzględnić podczas przeglądu
tzw. obowiązków informacyjnych, o których będzie dalej.
Grupy przedsiębiorstw pojawiają się także przy kwe-
stiach dotyczących tzw. wiążących reguł korporacyj-
nych, ułatwiających międzynarodowe transfery danych
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

między przedsiębiorstwami w ramach grupy. Wspo-

mniane reguły to polityki ochrony danych osobowych
stosowane przez administratora lub podmiot przetwa-
rzający, którzy posiadają jednostkę organizacyjną na
terytorium państwa członkowskiego, przy jednorazo-
wym lub wielokrotnym przekazaniu lub przekazywaniu
danych osobowych administratorowi lub podmiotowi
przetwarzającemu w co najmniej jednym państwie
trzecim w ramach grupy przedsiębiorstw lub grupy
przedsiębiorców prowadzących wspólną działalność
gospodarczą (art. 4 pkt 20 Rozporządzenia).

10 Inspektor ochrony
danych zamiast
administratora
bezpieczeństwa
informacji
Rozporządzenie zastępuje administratora bezpieczeń-
stwa informacji inspektorem ochrony danych w litera-
turze określanego najczęściej jako DPO (ang. data pro-
tection officer), chociaż być może z czasem przyjmie się
polski skrót IOD (inspektor ochrony danych). Zmiana
polega nie tylko na nowym „tytule”, zmieniają się zna-
cząco wymagania, jakie ma spełniać i sytuacje, w któ-
rych należy go obowiązkowo powołać.
IOD ma być wyznaczany
na podstawie kwalifikacji
- wiedzy i doświadczenia
Inspektora ochrony danych należy wyznaczyć w przy-
padku, gdy:
• przetwarzania dokonują organ lub podmiot pu-
bliczny, z wyjątkiem sądów w ramach sprawowa-
nia przez nie wymiaru sprawiedliwości, albo
• główna działalność administratora lub podmiotu
przetwarzającego polega na operacjach przetwarza-
nia, które ze względu na swój charakter, zakres lub
cele wymagają regularnego i systematycznego mo-
nitorowania podmiotów danych na dużą skalę, albo
• główna działalność administratora lub podmiotu
przetwarzającego polega na przetwarzaniu na
dużą skalę danych osobowych szczególnych kate-
gorii, o których mowa w art. 9 ust. 1, oraz danych
o wyrokach skazujących za przestępstwa i o prze-
stępstwach, o których mowa w art. 9a.
Należy zwrócić uwagę na to, że także zleceniobiorcy
(podmioty przetwarzające) będą musieli wyznaczać
inspektora ochrony danych, w przypadku zaistnienia
jednego z powyższych czynników.
Grupa robocza art. 29 w połowie grudnia 2016 r. opu-
blikowała „Wytyczne dotyczące inspektorów ochro-
ny danych (»IOD«)”15 Dokument ten rozwiewa wiele
wątpliwości związanych z tym kiedy dokładnie należy
powołać inspektora. Przykładowo trzeba go powołać,
gdy główna działalność (…) polega na przetwarzaniu na
dużą skalę szczególnych kategorii danych osobowych.
W przypadku szpitala główną działalnością jest zapew-
nianie opieki medycznej, ale jej efektywne prowadze-
nie „nie byłoby możliwe bez przetwarzania danych me-
dycznych jak np. historii choroby pacjenta. W związku
z tym działalność polegająca na przetwarzaniu historii
choroby pacjenta również powinna zostać zaklasyfiko-
wana jako działalność główna. Oznacza to, że szpitale
będą miały obowiązek powołania IOD.
Z Wytycznych dowiadujemy się także m.in. że:
• jeśli z przepisów nie wynika, że trzeba powołać IOD,
to warto udokumentować tego rodzaju decyzję,
• można dobrowolnie powołać IOD, nawet jeśli ta-
kiego obowiązku nie ma,

15) http://www.giodo.gov.pl/456/id_art/9694/j/pl oraz http://ec.europa.eu/newsroom/document.cfm?doc_id=44100 (wersja z dn. 5 kwietnia 2017 r.)

18
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
• IOD powinien brać udział w spotkaniach przedsta-
wicieli wyższego i średniego szczebla organizacji,
• zaleca się inspektorowi „ustalanie priorytetów
w swojej pracy i koncentrowania się na aspektach
pociągających za sobą większe ryzyko”.
Wytyczne podkreślają, że „administrator lub podmiot
przetwarzający zapewniają, by takie zadania i obowiąz-
ki nie powodowały konfliktu interesów.” Oznacza to, że
inspektor nie może zajmować w organizacji stanowiska
pociągającego za sobą określanie sposobów i celów
przetwarzania danych. W Wytycznych zauważa się,
że „za powodujące konflikt interesów uważane będą
stanowiska kierownicze (dyrektor generalny, dyrektor
ds. operacyjnych, dyrektor ds. medycznych, kierow-
nik działu marketingu, kierownik działu HR, kierownik
działu IT)”. Oznaczałoby to, że większość dyrektorów,
którzy mają coś wspólnego z przetwarzaniem danych -
nie może być inspektorami ochrony danych.
W określonych przypadkach
także procesorzy muszą powołać
inspektora ochrony danych
Administrator lub podmiot przetwarzający publikują
dane kontaktowe inspektora ochrony danych i zawia-
damiają o nich organ nadzorczy, co w Polsce nie jest
nowością, bo już dzisiaj administratora bezpieczeń-
stwa trzeba zgłaszać do rejestracji w GIODO. Informacje
o sposobie kontaktu z inspektorem trzeba będzie poda-
wać podczas zbierania danych osobowych.
Rozporządzenie określa, że osoby, których dane się
przetwarza, mogą kontaktować się z inspektorem
ochrony danych we wszystkich sprawach związanych
z przetwarzaniem ich danych oraz z korzystaniem z praw
przysługujących im na mocy niniejszego rozporządzenia.
Osoby będą mogły kontaktować
się bezpośrednio z inspektorem
ochrony danych
Trzeba pamiętać, że tam, gdzie inspektor będzie powo-
łany, osoby, których dane się przetwarza, będą mogły
się z nim bezpośrednio kontaktować. Rozporządzenie
nie określa, jakie dane kontaktowe inspektora trzeba
będzie podać. Nie ma obowiązku podawania jego imie-
nia i nazwiska, chociaż zaleca się, aby to były takie dane,
które pozwolą na nawiązanie kontaktu w łatwy sposób.
Bardzo możliwe, że wystarczy bezpośredni adres mailo-
wy. Nie tylko jego dane będą musiały znaleźć się na for-
mularzach zgody, będzie on musiał mieć odpowiednie
19
zasoby do interakcji z klientami tak aby móc odpisywać
na ich pisma bądź udzielać telefonicznych wyjaśnień.
Inspektora ochrony danych należy zaangażować, do-
konując oceny skutków przetwarzania danych, o której
mowa w art. 35 ust. 1 Rozporządzenia (np. gdy prze-
twarza się szczególne kategorie danych na dużą skalę),
oczywiście, jeżeli został on wyznaczony.
Nowością jest konieczność powołania inspektora także
przez procesora, czyli podmiot przetwarzający.
Pojawiają się też jednak ułatwienia. Grupa przedsię-
biorstw będzie mogła powołać jednego inspektora
ochrony danych pod warunkiem, że z każdej siedziby
będzie można się z nim łatwo skontaktować. Inspektor
może być pracownikiem lub wykonywać zadania na
podstawie umowy o świadczenie usług. Trzeba jednak
podkreślić, że w każdym przypadku należy zapewnić
mu zasoby niezbędne do podtrzymania jego wiedzy
fachowej. To bez wątpienia dobra nowina dla inspek-
torów (w końcu ktoś podkreślił wyraźnie, że muszą się
rozwijać zawodowo), a mniej dobra dla administrato-
rów – teraz będą musieli uwzględnić plany rozwoju in-
spektorów i znaleźć na nie środki finansowe.
Wedle nowych przepisów, inspektor ma być zaangażo-
wany we wszystkie sprawy związane z ochroną danych
osobowych. Ma mieć odpowiednie zasoby do wykony-
wania pracy, której wyniki raportuje do najwyższego
kierownictwa. Może wykonywać inne obowiązki, o ile
nie powodują konfliktu interesów.
Na pewno będzie łatwiej tym organizacjom, które
już wcześniej powołały ABI i zgłosiły go do rejestracji
w GIODO, gdyż obecny sposób uregulowania statusu
i funkcji ABI w polskich przepisach w dużym stopniu od-
powiada rozwiązaniom przyjętym w Rozporządzeniu.
Dzisiaj powołanie ABI jest w pełni dobrowolne, dlate-
go wprowadzenie konieczności powołania inspektora
ochrony danych to dodatkowy obowiązek dla przed-
siębiorstw i organizacji. Przede wszystkim potrzebna
będzie ocena zarówno przez administratora danych jak
i podmiot przetwarzający, czy musi on być powołany,
a jeśli tak – to należy zatrudnić osobę z odpowiednią
wiedzą i doświadczeniem, zgłosić ją do GIODO, za-
pewnić zasoby i niezależność, poinformować klientów
o sposobie kontaktu z nią oraz angażować we wszystkie
istotne kwestie dotyczące przetwarzania danych.
Funkcję inspektora ochrony
danych można outsource’ować
Nic nie stoi na przeszkodzie, aby funkcję inspektora ochro-
ny danych pełnił podmiot zewnętrzny, Rozporządzenie
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

zezwala na taki outsourcing i prawdopodobnie będzie to

najlepsze rozwiązanie szczególnie dla tych podmiotów,
które nigdy wcześniej nie powoływały administratora
bezpieczeństwa informacji. Stanowisko takie przedsta-
wione jest także w Wytycznych grupy roboczej art. 29 na
stronie 22. gdzie podkreśla się, że „usługowy” inspek-
tor ochrony danych pozwala wykorzystać siłę tkwiącą
w zespole jaki razem z nim świadczy usługi, co pozwala
w efekcie mu lepiej wykonywać swoje zadania.
ODO24.pl/system
Jeśli chodzi o obecnych ABI - projekt ustawy zakłada, że
osoby te, o ile 24 maja 2018 r. pełnią funkcję administra-
tora bezpieczeństwa informacji, pełnią funkcję inspekto-
ra ochrony danych do dnia 1 września 2018 r. „Do tego
czasu, każdy z inspektorów ochrony danych ma czas na
podjęcie decyzji o dalszym pełnieniu takiej funkcji (i do-
konaniu stosowanego zawiadomienia do Prezesa Urzę-
du). W razie braku do tego czasu jakiejkolwiek aktywno-
ści z ich strony, w dniu 1 września 2018 r. z mocy prawa
przestaną pełnić funkcję inspektorów ochrony danych”. 16 dla klientów oraz precyzować, aby w jej wdrażanie zaan-
gażowane były odpowiednie osoby, które ocenią zgod-
ność procesu z Rozporządzeniem, a także które zweryfi-
11 Ochrona prywatności kują techniczne i organizacyjne zabezpieczenia danych.
Rozporządzenie stanowi, że wywiązywanie się z tych
by design i by default obowiązków można wykazać między innymi poprzez
wprowadzenie zatwierdzonego mechanizmu certyfika-
(projektowanie od podstaw cji, określonego w art. 42 Rozporządzenia.
i domyślność) Co ciekawe, już wcześniej mówiło się o koncepcie
privacy by design, ale skoro prawo dotyczy ochrony
Ochrona danych ma być wbudowywana w politykę przed-
danych osobowych, a prywatność to szersze pojęcie,
siębiorstwa już na etapie projektowania systemu ochrony
przemianowano go późnej na data protection by design
danych osobowych (by design), a także ma być aktywna
and by default – w polskiej wersji przetłumaczone jako
domyślnie (by default), czyli bez konieczności podejmo-
uwzględnianie ochrony danych w fazie projektowania
wania działań przez osoby, których dane dotyczą.
oraz domyślna ochrona danych (art. 25).
Uwzględnianie ochrony w fazie projektowania jest ni-
Domyślna ochrona danych funkcjonuje już gdzienie-
czym innym jak dobrą praktyką, którą można by zobra-
gdzie w praktyce. Przykładowo, producenci domowych
zować stwierdzeniem, że „lepiej zapobiegać niż leczyć”,
routerów sieci bezprzewodowej nie ustalają już takich
gdyż w procesie wprowadzania produktu, usługi lub sys-
samych haseł dla każdego urządzenia, ponieważ użyt-
temu informatycznego późniejsze wdrażanie mechani-
kownicy często korzystali z ustawień domyślnych. Uła-
zmów gwarantujących ochronę danych osobowych jest
twiało to dostęp do sieci, a przez to też do informacji
na pewno dużo droższe i trudniejsze. Od maja 2018 r.
prywatnych, osobom nieupoważnionym. Teraz przy-
ta dobra jedynie praktyka stanie się obowiązkiem.
szedł czas na dane osobowe.
W preambule (motyw 78) czytamy, że: administrator
powinien przyjąć wewnętrzne polityki i wdrożyć środki, Domyślnie mogą być
które są zgodne w szczególności z zasadą uwzględnia-
przetwarzane wyłącznie
nia ochrony danych w fazie projektowania oraz z zasadą
domyślnej ochrony danych. Procedury opisane w przed- te dane, które są niezbędne
miotowym dokumencie powinny obejmować m.in. sy- do przetwarzania
tuację, w której organizacja projektuje nową aplikację

16) https://mc.gov.pl/aktualnosci/projekt-ustawy-o-ochronie-danych-osobowych

20
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
Pierwotnie ta koncepcja dotyczyła korzystania z usług
świadczonych drogą elektroniczną, szczególnie porta-
li społecznościowych takich jak Facebook. Miała ona
chronić użytkowników przed nieświadomym upublicz-
nianiem swoich danych, bowiem często okazywało się,
że nie byli oni świadomi zastosowanych domyślnie
ustawień prywatności. Rozporządzenie ostatecznie
rozszerzyło tę koncepcję i w myśl Rozporządzenia (art.
25 ust. 2) domyślnie mogą być przetwarzane wyłącznie
te dane, które są niezbędne.17
Domyślną ochronę danych osobowych można łatwo
zobrazować przykładem z serwisów społecznościo-
wych. Każdy nowy post, który tam umieszczamy,
powinien być z założenia niewidoczny. Dopiero sam
użytkownik powinien móc każdorazowo zmieniać usta-
wienia prywatności, decydując się np. na widoczność
tylko dla znajomych, czy dla wszystkich osób.
Przygotowując się należy przeanalizować jak przebie-
gają obecne procesy tworzenia nowych produktów
czy usług, w których przetwarza się dane osobowe.
Na pewno jednym z pomysłów może być zapewnienie,
że wymagania i realizację wymagań w zakresie pry-
watności będzie nadzorował np. inspektor ochrony
danych (o ile go powołano). Bez wątpienia ostrożniej
trzeba będzie projektować nowe produkty czy usługi,
a w każdym przypadku szacować potencjalne ryzyko.
Niekiedy pewne rozwiązania mogą wymagać konsulta-
cji z UODO, co może okazać się czasochłonne. Bardzo
ważnym elementem jest technologia komputerowa –
zwłaszcza architekci rozwiązań informatycznych oraz
17) Oczywiście o niezbędności danych należy mówić w kontekście domyślnego przetwarzania, nie należy uznawać, że jest to likwidacja obowiązującej wcześniej
zasady adekwatności danych.
21
programiści powinni być świadomi nowych regulacji.
Mimo, że w wielu organizacjach bezpieczeństwo infor-
macji traktuje się bardzo poważnie i stosuje się zasadę
„security by design”, to należy pamiętać, że nie jest ono
tożsame z „privacy by design” i będzie wymagać dosto-
sowania do Rozporządzenia.
12 Dokumentacja
i rejestr
przetwarzania
Zamiast rejestrowania zbiorów w GIODO, administra-
tor danych osobowych będzie musiał prowadzić rejestr
czynności przetwarzania danych osobowych. Obowią-
zek ten będzie także spoczywać na podmiotach przetwa-
rzających (procesorach) – co jest absolutną nowością.
W preambule (motyw 98) podkreśla się: Dyrektywa
95/46/WE przewidywała ogólny obowiązek zawiada-
miania organów nadzorczych o przetwarzaniu danych
osobowych. Obowiązek ten powoduje jednak obciąże-
nia administracyjne i finansowe, i nie zawsze przyczy-
niał się do poprawy ochrony danych osobowych. Dla-
tego należy znieść te powszechne, ogólne obowiązki
zawiadamiania i zastąpić je skutecznymi procedurami i
mechanizmami, koncentrującymi się w zamian na tych
rodzajach operacji przetwarzania, które ze względu na
swój charakter, zakres, kontekst i cele mogą nieść duże
zagrożenie dla praw i wolności osób fizycznych.
Likwiduje się rejestrację zbiorów, a wprowadza rejestr
czynności przetwarzania
Rozporządzenie wskazuje, iż rejestr powinien być pro-
wadzony w formie pisemnej, w tym w formie elektro-
nicznej. Rejestr przetwarzania ma zawierać m.in. nastę-
pujące kategorie informacji:
• informacje o administratorze i ew. współadmini-
stratorach,
• dane inspektora ochrony danych,
• opis celów przetwarzania,
• kategorie osób, których dane się przetwarza,
• kategorie danych osobowych,
• informacje o odbiorcach (także w państwach trzecich),
• planowane terminy usuwania poszczególnych ka-
tegorii danych,
• opis środków bezpieczeństwa.
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI
Procesorzy także będą musieli
prowadzić rejestr czynności
przetwarzania
W rejestrze prowadzonym przez podmioty przetwa-
rzające nie podaje się celu przetwarzania i kategorii
odbiorców, którym dane osobowe zostały lub zostaną
udostępnione oraz planowanych terminów usunię-
cia poszczególnych kategorii danych z uwagi na to, że
o tych kwestiach decyduje administrator.
Rozporządzenie zwalnia z obowiązku prowadzenia re-
jestru w sytuacji, gdy dana organizacja zatrudnia mniej
niż 250 osób. Jest jednak od tego wyjątek: taki rejestr
musi być prowadzony, jeśli przetwarzanie danych w or-
ganizacji może powodować ryzyko naruszenia praw lub
wolności osób, których dane dotyczą, przetwarzanie
nie ma charakteru sporadycznego lub obejmuje szcze-
gólne kategorie danych osobowych lub dane osobowe
dotyczące wyroków skazujących i naruszeń prawa.
Podkreślenia wymaga to, że rejestr czynności przetwa-
rzania będzie musiał być udostępniony GIODO, kiedy
tylko tego zażąda.
Zgodnie z (jeszcze obowiązującą) ustawą oraz przepi-
sami wykonawczymi na dokumentację przetwarzania
składają się m.in. polityka bezpieczeństwa, instrukcja
zarządzania systemem informatycznym służącym do
przetwarzania danych osobowych, imienne upoważ-
nienia, ewidencja upoważnień, etc. Od 25 maja 2018r.
prowadzenie takiej dokumentacji nie będzie obowiąz-
kowe. Nie zmienia to jednak faktu, że administrator
będzie musiał wykazać w jaki sposób przestrzega prze-
pisy. W tym celu na pewno będzie wymagana jakaś do-
ODO24.pl/RODO
22
kumentacja, zapewne najłatwiej będzie za wzór przyjąć
uznane standardy dokumentacji w zakresie bezpie-
czeństwa np. zgodne z normą ISO 27001.
Przygotowując się do rozporządzenia warto przygoto-
wywać krok po kroku opis istniejących procesów prze-
twarzania dotyczący m.in.:
• celów przetwarzania danych,
• rodzaju przetwarzanych danych,
• podstaw prawnych,
• okresu przez jaki dane będą przetwarzane,
• sposobu przetwarzania (komputerowo, papierowo),
• lokalizacji danych,
• zarządzania dostępem,
• stosowanych zabezpieczeń.
13 Szacowanie ryzyka –
ocena skutków
przetwarzania
danych i uprzednie
konsultacje
Każdy, kto przetwarza dane osobowe w sposób usys-
tematyzowany (uporządkowany) zobowiązany jest
zgłosić ten fakt do określonego organu administra-
cji publicznej – znamy to dzisiaj jako rejestrowanie
zbiorów danych. Proces ten to tzw. wstępna kontro-
la przetwarzania, gdyż organ państwowy ocenia, czy
przetwarzanie nie będzie niosło za sobą zagrożeń dla
prywatności osób i nie narusza ustawy. Organ admi-
nistracji publicznej prowadzi rejestr i umożliwia wgląd
do niego każdemu zainteresowanemu, co może ułatwić
rozeznanie, kto przetwarza dane osobowe w sposób
zorganizowany.
Ten model kontroli, który wynikał z dyrektywy 95/46/
WE, zgłaszanie w tym celu zbiorów danych osobowych
do rejestracji GIODO przejdzie do historii 25 maja 2018
r. Rozporządzenie wprowadza w to miejsce – jako ele-
menty nowej procedury opartej na ocenie ryzyka pla-
nowanych operacji przetwarzania danych osobowych
– nowe rozwiązania: ocenę skutków przetwarzania dla
ochrony danych osobowych dokonywaną przez admi-
nistratora (art. 35 Rozporządzenia) oraz uprzednie kon-
sultacje z organem nadzorczym.
Zdaniem autora obowiązujący jeszcze (częściowo) mo-
del rejestrowania zbiorów można porównać do wpro-
wadzanej przez Rozporządzenie oceny skutków prze-
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
twarzania danych osobowych, tyle że ta ocena była
przeprowadzana przez GIODO. Jeśli uznawał on, że ist-
nieje zagrożenie dla praw i wolności osób, których dane
dotyczą, odmawiał rejestracji zbioru. Rozporządzenie
zlikwiduje rejestrację zbiorów, a w jego miejsce nakła-
da obowiązek dokonania oceny wpływu przetwarzania
i oszacowania związanego z tym ryzyka, z tym, że teraz
ten obowiązek ciążyć będzie na administratorze danych.
Art. 35 ust. 1 Rozporządzenia określa, że jeżeli dany
rodzaj przetwarzania danych – zwłaszcza z użyciem no-
wych technologii – ze względu na swój charakter, zakres,
kontekst i cele z dużym prawdopodobieństwem może
powodować wysokie ryzyko naruszenia praw lub wolno-
ści osób fizycznych, administrator przed rozpoczęciem
przetwarzania dokonuje oceny skutków planowanych
operacji przetwarzania dla ochrony danych osobowych.
Pokazuje to, że bardzo ważną i szczególnie akcentowa-
ną koncepcją w Rozporządzeniu jest podejście oparte
na ryzyku – tylko po oszacowaniu ryzyka można dobrać
odpowiednie środki bezpieczeństwa. Jest to prawdzi-
wa rewolucja nie tylko w przepisach, ale także dla or-
ganizacji, bo rzadko która organizacja szacuje ryzyko,
a jeśli już, to niezmiernie rzadko uwzględnia w nim ryzy-
ko dla ochrony danych osobowych.
Podczas przetwarzania danych osobowych trzeba brać
pod uwagę istniejące i potencjalne ryzyka dla ochro-
ny po to, aby zastosować odpowiednie do nich środki
bezpieczeństwa. Można to zobrazować przykładem
domu – jeśli znajduje się w nim wartościowe wyposa-
żenie – będzie zapewne wyposażony w drzwi i okna ze
zwiększoną odpornością na włamanie, będzie też mo-
nitorowany przez system kamer przemysłowych oraz
służby ochrony, natomiast niewielkie i słabo wyposa-
żone mieszkanie nie będzie wymagało takich zabez-
pieczeń. Takiego racjonalnego podejścia nieco brakuje
w dotychczasowych przepisach i cieszy fakt, że pojawia
się ono w Rozporządzeniu.
Jeśli ocena skutków
przetwarzania potwierdzi
wysokie ryzyko, trzeba będzie
konsultować się z UODO
Podmiotem zobowiązanym do dokonania oceny ryzyka
przed rozpoczęciem przetwarzania jest administrator
danych, niezależnie od tego, czy zamierza przetwarzać
dane osobowe samodzielnie, czy w przetwarzaniu bę-
18) W chwili przygotowania tego Poradnika jednym z nielicznym materiałów była publikacja brytyjskiego organu dostępna pod adresem https://ico.org.uk/for-or-
ganisations/guide-to-data-protection/privacy-by-design/
23
dzie brał udział podmiot działający w jego imieniu.
Jeszcze nie wiemy dokładnie jak dokonywać oceny
skutków, warto jednak śledzić pojawiające się sukce-
sywnie publikacje na stronach internetowych GIODO
czy Grupy Roboczej Art. 28.18
W stosunku do niektórych operacji od razu będzie wia-
domo, że należy kierować pierwsze kroki do UODO, musi
ono jednak wcześniej ustalić wykaz operacji przetwarza-
nia, które będą podlegały wymogowi oceny skutków dla
ochrony danych (na mocy art. 35 ust. 4 Rozporządzenia).
Dzisiaj wiemy jedynie, że mogą to być w szczególności:
• profilowanie, będące podstawą decyzji wywołują-
cej skutki prawne wobec osoby,
• przetwarzanie na dużą skalę szczególnych katego-
rii danych,
• monitorowanie na dużą skalę miejsc publicznych.
Obowiązek przeprowadzenia takiej oceny powinien
mieć charakter okresowy, podobnie jak ocena ryzyka.
Organizacje i przedsiębiorcy powinni konsultować się
z UODO, jeżeli ocena skutków dla ochrony danych wska-
że, że przetwarzanie powodowałoby wysokie ryzyko,
gdyby administrator nie zastosował środków w celu zmi-
nimalizowania tego ryzyka (…) (art. 36 ust. 1).
Rejestracja zbiorów danych
osobowych zostanie
zlikwidowana, ale pojawią
się nowe obowiązki
np. udokumentowana ocena
skutków przetwarzania
Dokonanie oceny skutków wymagać będzie zaangażo-
wania inspektora ochrony danych, jeśli został powo-
łany. Jeśli nie, jest mało prawdopodobne, żeby przed-
siębiorca, który nie posiada specjalistycznej wiedzy
eksperckiej, sam był wstanie dokonać odpowiedniej
analizy skutków przetwarzania danych – dzisiaj można
założyć, że do przygotowania się w tym obszarze nie-
zbędne będzie profesjonalne wsparcie.
Na ocenę skutków przetwarzania, powinny się składać m.in.:
• opis planowanych operacji przetwarzania i ich
celów (udokumentowanie jakie dane osobowe
przetwarza się i w jakich celach),
• ocena proporcjonalności operacji przetwarzania
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI
w stosunku do celów (samoocenę, czy dane oso-
bowe są niezbędne a sposób ich przetwarzania
jest odpowiedni do celu przetwarzania),
• ocena zagrożenia dla praw i wolności osób,
• ocena środków mających zmniejszyć zagrożenia
i chronić dane osobowe.
Co więcej, w stosownym przypadku administrator zasięga
opinii osób, których dane dotyczą lub ich przedstawicieli
w sprawie zamierzonego przetwarzania. Zaś jeśli ocena
skutków wskaże, że przetwarzanie niosłoby duże zagro-
żenie, gdyby administrator nie przedsięwziął środków
w celu zminimalizowania tego zagrożenia, to przed prze-
tworzeniem danych osobowych administrator konsul-
tuje się z organem nadzorczym. Oznacza to, że zawsze
w razie wątpliwości warto skonsultować się z UODO.
Bez wątpienia niezbędne będzie przygotowanie się
przedsiębiorców do tego, w jaki sposób dokonywać
oceny skutków. Z czasem będą pojawiać się kolejne
Wytyczne, które uregulują ten obszar, nic nie stoi jed-
nak na przeszkodzie, aby przygotować dokumentację,
która będzie pomocna przy wdrażaniu Rozporządzenia,
na którą składać będzie się:
• opis jakie dane osobowe są przetwarzane w organizacji,
• opis jaki jest cel przetwarzania tych danych i jakie
są przesłanki legalności,
• uzasadnienie zakresu zbieranych danych w uwzględ-
nieniem ich adekwatności i niezbędności,
• ustalenie w jakich miejscach te dane się znajdują
(w tym systemy informatyczne),
• oszacowanie wpływu na osoby w przypadku np.
wycieku czy utraty tych danych,
• określenie i ocenę stosowanych zabezpieczeń
tych danych.
24
14 Zgłaszanie
naruszenia
ochrony danych
do Prezesa Urzędu
W sytuacji, w której naruszenie ochrony danych osobo-
wych prawdopodobnie będzie skutkować ryzykiem na-
ruszenia praw lub wolności osób fizycznych, zgłasza się
je do Prezesa Urzędu Ochrony Danych Osobowych bez
zbędnej zwłoki – ale nie później niż w ciągu 72 godzin.
Motyw 75 Rozporządzenia opisuje stosunkowo wyczer-
pująco i dość dokładnie w jakich przypadkach takie ry-
zyko może występować.
W Rozporządzeniu przez naruszenie ochrony danych
osobowych należy rozumieć naruszenie bezpieczeństwa
prowadzące do przypadkowego lub niezgodnego z pra-
wem zniszczenia, utracenia, zmodyfikowania, nieupraw-
nionego ujawnienia lub nieuprawnionego dostępu do
danych osobowych przesyłanych, przechowywanych lub
w inny sposób przetwarzanych.
Takim zdarzeniom poświęcony jest art. 33 Rozporządzenia.
Naruszenie ochrony danych
należy zgłosić w ciągu 72 godzin
do UODO. W szczególnych
przypadkach trzeba będzie
też informować klientów
W ust. 5 omawianego przepisu ustanowiono obowią-
zek prowadzenia przez administratora danych doku-
mentacji wszelkich naruszeń ochrony danych osobo-
wych. Oznacza to, że nawet jeśli administrator danych
osobowych nie ma obowiązku poinformowania UODO
o konkretnym negatywnym zdarzeniu, musi i tak je od-
notować we własnym rejestrze.
W sytuacji, w której naruszenie niesie ze sobą wysokie
„ryzyko naruszenia praw lub wolności osób fizycznych”,
administrator powinien również bez zbędnej zwłoki
zawiadomić osobę, której dane dotyczą o takim naru-
szeniu – jasnym i prostym językiem (art. 34 ust. 1 i 2
Rozporządzenia).
Raportowanie incydentów związanych z naruszenia-
mi danych osobowych nie jest wcale nowe. Przepisy
polskiego prawa nakazują zgłaszanie takich naruszeń
operatorom telekomunikacyjnym. Według prawa tele-
komunikacyjnego (Dz. U. Nr 171, poz. 1800 z późn. zm.),
w przypadku stwierdzenia naruszenia bezpieczeństwa
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
danych osobowych przedsiębiorca telekomunikacyjny
ma obowiązek powiadomić o tym zdarzeniu GIODO,
a także (w niektórych sytuacjach) abonenta lub użyt-
kownika końcowego.
W preambule Rozporządzenia (motyw 87) czytamy, że
należy się upewnić, czy wdrożono wszelkie odpowiednie
techniczne środki ochrony i wszelkie odpowiednie środki
organizacyjne, by od razu stwierdzić naruszenie ochro-
ny danych osobowych. Nie bardzo wiadomo, co należy
przez tę deklarację rozumieć. Być może takie przepisy
będą uzupełniane przez dokładną interpretację GIODO.
Możliwe też, że konieczne stanie się wdrażanie rozwią-
zań, pozwalających dokładnie monitorować stan bez-
pieczeństwa, takich jak systemy klasy SIEM.
Trzeba pamiętać, że informowanie o naruszeniu bezpie-
czeństwa, szczególnie wszystkich klientów, może być bar-
dzo kosztowne, zarówno operacyjnie, jak i wizerunkowo.
Dlatego też warto dołożyć wszelkich starań, aby zmini-
malizować ryzyko wycieków danych. Z tym zaś wiąże się
konieczność wdrożenia rozmaitych zabezpieczeń tech-
nicznych i organizacyjnych. Można śmiało powiedzieć,
iż w świetle nowych przepisów organizacje będą musiały
uwzględnić większy budżet na wdrożenie mechanizmów
zabezpieczenia danych osobowych niż dotychczas.
Sposób, w jaki organ nadzorczy dowiedział się o na-
ruszeniu, w szczególności, czy i w jakim stopniu ad-
ministrator danych lub podmiot przetwarzający zgło-
sili naruszenie, będzie brany pod uwagę przez organ
nadzorczy przy ustalaniu wysokości ewentualnej kary
finansowej. A jeśli zostanie wykazane, iż do naruszenia
doszło z zaniedbania administratora czy podmiotu prze-
twarzającego, można liczyć się z ryzykiem nałożenia ad-
ministracyjnych kar finansowych (art. 83 Rozporządze-
25
nia). Jest to bez wątpienia powód dla którego już dzisiaj
warto odpowiednio dokumentować a także prowadzić
rejestr incydentów – to pozwoli przygotować się na
sprawne raportowanie w wymaganym czasie. Koniecz-
ne będzie przygotowanie planów awaryjnych, które
pozwolą sprawnie zareagować w przypadku incydentu.
15 Pseudonimizacja
danych
Rozporządzenie wprowadza pojęcie pseudonimizacji
danych, które oznacza przetworzenie danych osobo-
wych w taki sposób, by nie można ich było już przypisać
konkretnej osobie, której dane dotyczą, bez użycia do-
datkowych informacji, pod warunkiem że takie dodat-
kowe informacje są przechowywane osobno i są objęte
środkami technicznymi i organizacyjnymi uniemożliwia-
jącymi ich przypisanie zidentyfikowanej lub możliwej do
zidentyfikowania osobie fizycznej.
W preambule (motyw 26) wskazano, iż spseudonimizowa-
ne dane osobowe, które przy użyciu dodatkowych informa-
cji można przypisać osobie fizycznej, należy uznać za infor-
macje o możliwej do zidentyfikowania osobie fizycznej.
Pseudonimizacja danych
będzie jednym z mechanizmów
ochrony danych
Dodatkowo, ustawodawca wskazał w treści Rozporzą-
dzenia pseudonimizację jako przykład jednego z me-
chanizmów, mających za zadanie zapewnić taki stopień
bezpieczeństwa danych, który odpowiada ryzyku ich
naruszenia (art. 32 ust. 1 lit. a).
Przykład danych pseudonimizowanych to np. stoso-
wanie wewnętrznego numeru zamiast jego danych
osobowych. Nawet jeśli doszłoby do wycieku takich
informacji jak np. ID 129871 = wynagrodzenie 3400zł,
osoba nieupoważniona niewiele by się z nich dowie-
działa. Cóż bowiem znaczyłaby dla niej informacja, że
ktoś o numerze identyfikacyjnym 129871 zarabia 3400
zł? Okazuje się więc, że zastosowanie danych pseudoni-
mizowanych zmniejsza możliwość naruszenia bezpie-
czeństwa informacji. Pseudoanonimizacja danych od
pewnego czasu stosowana jest w szkołach, gdzie oceny
publikuje się wraz z identyfikatorem ucznia zamiast
jego imienia i nazwiska.
Warto zwrócić uwagę, że Rozporządzenie zauważa też
dane anonimowe już w samej preambule (motyw 26). Czy-
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

tamy w niej, że: zasady ochrony danych nie powinny więc

mieć zastosowania do informacji anonimowych, czyli infor-
macji, które nie wiążą się ze zidentyfikowaną lub możliwą
do zidentyfikowania osobą fizyczną, ani do danych osobo-
wych zanonimizowanych w taki sposób, że osób, których
dane dotyczą, w ogóle nie można zidentyfikować lub już
nie można zidentyfikować. Niniejsze rozporządzenie nie do-
tyczy więc przetwarzania takich anonimowych informacji,
w tym przetwarzania do celów statystycznych lub naukowych.
To, jakie narzędzia stosować (pseudonimizację, anonimiza-
cję, szyfrowanie lub inne) wynikać będzie z analizy ryzyka.

16 Retencja i usuwanie
danych
Rozporządzenie bardzo mocno podkreśla wagę retencji
danych. Przykładowo podczas zbierania danych należy
podać okres, przez który dane osobowe będą przecho-
wywane, a gdy nie jest to możliwe, kryteria ustalania
tego okresu. Do tej pory konieczność podawania takich
informacji nie pojawiała się w przepisach.
Dalej przepisy stanowią, że podmiot przetwarzający
dane po zakończeniu świadczenia usług przetwarzania
danych, zależnie od decyzji administratora, usuwa lub
zwraca mu wszelkie dane osobowe oraz usuwa wszelkie
ich istniejące kopie, chyba że prawo Unii lub prawo pań-
stwa członkowskiego nakazują mu je przechowywać.
Podczas zbierania danych trzeba
poinformować osobę
o tym, jak długo jej dane będą
przechowywane
Jeśli mamy zacząć zbierać dane osobowe, wcześniej nale-
ży ustalić jak długo dane będą przechowywane, a gdy nie
jest to możliwe, przynajmniej określić kryteria ustalania
tego okresu. Mimo, iż może się to wydawać utrudnieniem,
tak naprawdę stanowi ułatwienie. Do tej pory organiza-
cje często zapominały o konieczności usuwania danych,
dowiadując się o takim obowiązku (wynikającym z art.
26. ust.1 pkt 4 ustawy o ochronie danych osobowych)
dopiero podczas kontroli GIODO i próbując w pośpiechu
wdrożyć jakieś mechanizmy ich usuwania. Teraz, w świe-
tle nowych przepisów, nie da się o tym zapomnieć.
Natomiast mniej korzystne jest to, że należy informo-
wać osoby o tym, kiedy ich dane będą usunięte, a jeśli
nie jest to możliwe, trzeba podać, jakie są warunki obli-
czania terminu usunięcia danych.
Jedną z nowych zasad przetwarzania danych osobo-
wych wskazanych w Rozporządzeniu jest prawo do
usunięcia danych (nazywane „prawem do zapomnie-
nia”) które określa kiedy dane osobowe należy usuwać.
Art. 17 Rozporządzenia podkreśla, że osoba, której
dane dotyczą, ma prawo żądania od administratora
niezwłocznego usunięcia dotyczących jej danych oso-
bowych, a administrator ma obowiązek bez zbędnej
zwłoki usunąć dane osobowe. Dane osobowe należy
usunąć wtedy, kiedy m.in:
• cel przetwarzania się skończył,
• zgoda została wycofana,
• dane są zebrane wbrew prawu.
Trzeba pamiętać, że czas przez który dane będą prze-
chowywane zazwyczaj jest dłuższy niż cel ich prze-
twarzania. Przykładowo umowa OC na samochód
zawierana jest na rok (cel przetwarzania), ale zakład
ubezpieczeń musi dane przechowywać prawie 6 lat ze
względu na przepisy podatkowe oraz 20 lat ze wzglę-
du na potencjalne roszczenia (okres przechowywania
danych) – wówczas administrator danych będzie dane
przechowywał na mocy art. 17 ust. 3 pkt b) – przepisy
podatkowe oraz pkt e) – dochodzenie roszczeń.
17 Większe zaufanie
do podmiotów
certyfikowanych
Rozporządzenie wprowadza kodeksy postępowania
i certyfikaty, które będą podnosić wiarygodność pod-
miotów przetwarzających dane osobowe, a właściwie

26
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
ODO24.pl/pomoc
które ułatwią UODO stwierdzenie czy podmiot realizuje
ciążące na nim obowiązki wynikające z Rozporządzenia.
W preambule określa się (motyw 100), że aby zwiększyć
przejrzystość i poprawić przestrzeganie niniejszego Roz-
porządzenia, należy zachęcać do ustanowienia mecha-
nizmów certyfikacji oraz do wprowadzenia znaków jako-
ści i oznaczeń w dziedzinie ochrony danych, pozwalając
w ten sposób osobom, których dane dotyczą, szybko oce-
nić poziom ochrony danych, której podlegają stosowne
produkty i usługi.
Kodeksy i certyfikaty ułatwią
udowodnienie, że stosuje się
przepisy RODO
Art. 24 ust. 3 Rozporządzenia wyraźnie podkreśla, cze-
mu te mechanizmy i oznaczenia mają służyć: stosowa-
nie zatwierdzonych kodeksów postępowania, o których
mowa w art. 40, lub zatwierdzonego mechanizmu certy-
fikacji, o którym mowa w art. 42, może być wykorzystane
jako element stwierdzenia przestrzegania przez admini-
stratora ciążących na nim obowiązków. Posiadanie ko-
deksów czy certyfikatów znacznie ułatwia też przekazy-
wanie danych osobowych do państw trzecich.
Absolutną nowością w sferze ochrony danych osobo-
wych jest certyfikacja na mocy art. 42 Rozporządzenia.
Może ona posłużyć także do wykazania przez admini-
stratora wywiązywania się z obowiązku uwzględniania
ochrony danych w fazie projektowania oraz wdrażania
19) http://www.giodo.gov.pl/1520255/id_art/9299/j/pl
27
mechanizmów domyślnej ochrony danych (art. 25 ust.
3 Rozporządzenia).
W Polsce zakłada się, że UODO nie będzie certyfikował
podmiotów przetwarzających dane osobowe, a jego
kompetencje zostaną „ograniczone wyłącznie do akre-
dytacji podmiotów certyfikujących, a certyfikacja nale-
żeć powinna do wyspecjalizowanych podmiotów zaj-
mujących się zawodowo ochroną danych osobowych”.
Wydaje się to racjonalne, bo zapewne ciężko byłoby in-
nym podmiotom konkurować z certyfikatem od UODO.
Oczywiście certyfikacja i akredytacja podmiotów cer-
tyfikujących będzie odpłatna.Posiadanie zatwierdzo-
nych kodeksów postępowania lub certyfikatów, o któ-
rych mowa w Rozporządzeniu, może znacząco ułatwić
przedsiębiorcom udowodnienie, iż wdrożyli wymagane
przepisami mechanizmy ochrony danych osobowych.
Wydaje się, że pomoże to również pozytywnie wpłynąć
na klientów, którzy chętniej będą wybierać podmioty
certyfikowane, jako te bardziej godne zaufania. Kodek-
sy postępowania mogą być przyjmowane przez zrzesze-
nia i inne podmioty reprezentujące określone kategorie
administratorów lub podmiotów przetwarzających.
Przykładowo 10 maja 2016 r. GIODO zawarł porozumie-
nie z Polską Izbą Ubezpieczeń, która zobowiązała się
do przygotowania kodeksu postępowania w zakresie
danych osobowych w działalności ubezpieczeniowej
i reasekuracyjnej, który ma być zgodny z wymaganiami
Rozporządzenia.19 Zatwierdzony kodeks będzie reje-
strowany i publikowany przez organ nadzorczy.
18 Ułatwione
przekazywanie
danych do państw
trzecich
– wiążące reguły korporacy-
jne i standardowe klauzule
umowne
Postępująca globalizacja gospodarki światowej ozna-
cza wzrost wymiany danych osobowych do państw
trzecich lub organizacji międzynarodowych. Tą kwe-
stią w całości zajmuje się rozdział V Rozporządzenia.
Dowiadujemy się m.in., że przekazywanie danych oso-
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

bowych do państwa trzeciego będzie mogło nastąpić Zmiany w tym obszarze są w zasadzie kosmetyczne.
na podstawie m.in: To przede wszystkim harmonizacja prawa, na którą
już wcześniej zostaliśmy przygotowani przez noweli-
• wydanej przez Komisję Europejską decyzji stwier-
zację polskiej ustawy o ochronie danych osobowych.
dzającej, iż dane państwo trzecie zapewnia odpo-
Rozporządzenie wprowadza kodeksy postępowania
wiedni stopień ochrony danych osobowych,
i certyfikacji, uznawane jako odpowiednie gwarancje.
• zatwierdzonych przez właściwy organ nadzorczy
Małą, choć uciążliwą zmianą, będzie ograniczone prze-
wiążących reguł korporacyjnych,
kazywanie danych do państw trzecich na podstawie
• standardowych klauzul ochrony danych przyję-
zgody. Według nowych przepisów, aby osoba, której
tych przez Komisję Europejską,
dane dotyczą (czyli osoba fizyczna, najczęściej konsu-
• standardowych klauzul ochrony danych przy-
ment) mogła wyrazić zgodę na przekazanie danych,
jętych przez organ nadzorczy i zatwierdzonych
musi wcześniej zostać poinformowana o ewentualnych
przez Komisję Europejską,
zagrożeniach, wynikających z przetwarzania danych
• zatwierdzonego kodeksu postępowania,
osobowych na terenie takiego państwa. Warto treść
• zatwierdzonego mechanizmu certyfikacji.
tego rodzaju zgód dopasować do tego wymagania już
dzisiaj. Im wcześniej, tym lepiej!
Wymiana danych Zgodnie z dyrektywą 95/46/WE, Komisja Europejska
w międzynarodowych może stwierdzić, że państwo trzecie zapewnia odpo-
organizacjach będzie wiedni stopień ochrony danych osobowych na pod-
stawie swojego prawa krajowego lub zobowiązań
znacznie ułatwiona międzynarodowych. W dniu 12 lipca 2016 r. Komisja
Europejska dała zielone światło dla nowych zasad
Wymiana danych na podstawie wiążących reguł kor- przekazywania danych osobowych z UE do USA. Nowy
poracyjnych albo z użyciem standardowych klauzul pakiet tzw. Privacy Shield (Tarcza Prywatności) zastą-
umownych będzie więc znacznie ułatwiona. pił dawniejszy Safe Harbour. Zatem jeśli amerykański
Wiążące reguły korporacyjne to polityki ochrony danych podmiot bierze udział w tym programie, to nie ma prze-
osobowych stosowane przez administratora lub podmiot szkód aby do niego przekazywać dane osobowe, należy
przetwarzający, którzy posiadają jednostkę organizacyjną jednak pamiętać, że program ten co roku jest weryfi-
na terytorium państwa członkowskiego Unii, przy jedno- kowany i może się okazać, że (nagle!) przestanie sta-
razowym lub wielokrotnym przekazaniu lub przekazywa- nowić podstawę do przekazywania danych. Tam gdzie
niu danych osobowych administratorowi lub podmiotowi to możliwe, lepiej stosować tzw. zatwierdzone klauzule
przetwarzającemu w co najmniej jednym państwie trzecim umowne. Teraz warto dokonać inwentaryzacji wszyst-
w ramach grupy przedsiębiorstw lub grupy przedsiębior- kich przypadków przekazywania danych do państw
ców prowadzących wspólną działalność gospodarczą. trzecich oraz podstaw prawnych ich przekazywania.
Wciąż aktualne pozostaje przekazywanie danych na
podstawie decyzji stwierdzającej odpowiedni poziom
ich ochrony.
Możliwe będzie przekazywanie danych osobowych do
podmiotu, który stosuje kodeks postępowania bądź
posiada odpowiedni certyfikat. Ma to się dziać na pod-
stawie zatwierdzonego kodeksu postępowania opartego
na art. 40 wraz z wiążącymi i egzekwowalnymi zobowią-
zaniami administratora lub podmiotu przetwarzającego
w państwie trzecim do stosowania odpowiednich gwa-
rancji, w tym w odniesieniu do praw osób, których dane
dotyczą; lub zatwierdzonego mechanizmu certyfikacji
opartego na art. 42 wraz z wiążącymi i egzekwowalnymi
zobowiązaniami administratora lub podmiotu przetwa-
rzającego w państwie trzecim do stosowania odpowied-
nich zabezpieczeń, w tym w odniesieniu do praw osób,
których dane dotyczą.

28
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
19 Szerszy katalog
danych szczególnej
kategorii
Tzw. dane wrażliwe, które w poprzednich przepisach nie
miały własnej nazwy, zostały w nowych przepisach okre-
ślone jako dane szczególnej kategorii i zostały poszerzo-
ne o dane biometryczne, a także dane genetyczne.
Zgodnie z treścią art. 9 ust. 1 Rozporządzenia zabrania
się przetwarzania danych osobowych ujawniających:
• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,
a także przetwarzania:
• danych genetycznych,
• danych biometrycznych,
w celu jednoznacznego zidentyfikowania osoby;
albo:
• danych dotyczących zdrowia,
• seksualności i orientacji seksualnej.
Dane o skazaniach, w tym dane o niekaralności, moż-
na przetwarzać wyłącznie pod nadzorem. Art. 10 mówi
o tym, że przetwarzania danych osobowych dotyczących
wyroków skazujących oraz naruszeń prawa lub powią-
zanych środków bezpieczeństwa na podstawie art. 6
ust. 1 wolno dokonywać wyłącznie pod nadzorem władz
publicznych lub jeżeli przetwarzanie jest dozwolone pra-
wem Unii lub prawem państwa członkowskiego przewi-
29
dującymi odpowiednie zabezpieczenia praw i wolności
osób, których dane dotyczą. Wszelkie kompletne rejestry
wyroków skazujących są prowadzone wyłącznie pod
nadzorem władz publicznych.
Dane biometryczne
staną się danymi
szczególnie chronionymi
Zupełną nowością jest włączenie do kategorii danych
wrażliwych danych biometrycznych. Wcześniej były
one uznane za dane zwykłe, a wszelkie ograniczenia
w ich przetwarzaniu miały charakter indywidualnych
decyzji GIODO. Biometrię potocznie kojarzy się z od-
ciskami palców bądź ze skanowaniem siatkówki lub
tęczówki oka. Ta szeroka dziedzina nauki zajmuje się
pomiarami istot żywych w celu określenia ich indywi-
dualnych cech. Bada wszystko, co pozwala na identy-
fikowanie indywidualnych cech, wśród których znaleźć
można m.in.:
• owal twarzy, rozkład punktów charakterystycz-
nych (oczy, usta) lub temperatur na twarzy,
•
•
geometria (kształt) ucha,
układ naczyń krwionośnych na dłoni lub przegu-
bie ręki,
• kształt linii zgięcia wnętrza dłoni,
• układ linii papilarnych.
Biometria interesuje się także cechami behawioralny-
mi, związanymi z zachowaniem, takimi jak:
• sposób chodzenia,
• podpis odręczny,
• sposób pisania na klawiaturze,
• cechy charakterystyczne ruchu ust i poruszania
gałki ocznej.
Do tej pory zasady przetwarzania danych biometrycz-
nych były dość niejasne, ponieważ brakowało odpo-
wiednich przepisów. Prób jakiejkolwiek regulacji po-
dejmowało się GIODO i Grupa Robocza Art. 29, ale tak
naprawdę, jeśli czegoś nie ma w prawie, to jakby nie ist-
niało, więc w tym obszarze panowała duża dowolność.
Analiza danych biometrycznych wykorzystywana jest
głównie w takich dziedzinach jak: weryfikacja tożsa-
mości, autoryzacja dostępu do systemów informatycz-
nych czy identyfikacja. Rozporządzenie z pewnością
utrudni korzystanie czy wdrażanie tego rodzaju syste-
mów, i jest to obszar, który bez wątpienia należy prze-
analizować pod kątem zgodności z Rozporządzeniem.
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

20 Zakres i sposób sformułowane jasnym i prostym językiem. Zasada ta

dotyczy w szczególności informowania osób, których
informowania osób, dane dotyczą, o tożsamości administratora i celach
przetwarzania oraz podawania innych informacji mają-
których dane dotyczą cych zapewnić rzetelność i przejrzystość przetwarzania
w stosunku do osób, których sprawa dotyczy, a także pra-
Obowiązek informacyjny, narzucony na administratora wa takich osób do uzyskania potwierdzenia i informacji
podczas zbierania danych, zostanie znacznie poszerzo- o przetwarzanych danych osobowych ich dotyczących.
ny. Będzie trzeba więc informować o: W motywie 58 zaś czytamy: zasada przejrzystości wy-
maga, by wszelkie informacje kierowane do ogółu spo-
• inspektorze ochrony danych,
łeczeństwa lub osoby, której dane dotyczą, były zwięzłe,
• nazwie i danych kontaktowych przedstawiciela,
łatwo dostępne i zrozumiałe, by były formułowane ja-
jeżeli istnieje,
snym i prostym językiem, a w stosownych przypadkach,
• podstawie prawnej przetwarzania,
dodatkowo wizualizowane.
• prawnie uzasadnionym interesie administratora,
jeżeli na tej podstawie odbywa się przetwarzanie, Także art. 12 Rozporządzenia podkreśla to wyjątkowo
• informacji o zamiarze przekazywania danych do dobitnie: „aby w zwięzłej, przejrzystej, zrozumiałej i łatwo
państwa trzeciego, dostępnej formie, jasnym i prostym językiem – w szczegól-
• okresie, przez który dane osobowe będą przecho- ności gdy informacje są kierowane do dziecka – udzielić
wywane, bądź kryteria ustalania tego okresu, osobie, której dane dotyczą, wszelkich informacji”.
• profilowaniu, Administrator danych musi udzielić im informacji:
• o prawie wniesienia skargi do organu nadzorczego,
• na piśmie, elektronicznie lub ustnie, jeżeli pod-
• w przypadku istnienia obowiązku podania da-
miot danych tego zażąda,
nych osobowych: wskazaniu ewentualnych kon-
• w terminie jednego miesiąca od otrzymania wniosku,
sekwencji niepodania danych,
• bezpłatnie.
• prawach osoby, której dane dotyczą, tj. prawie do:
• usunięcia danych, Ta zmiana może być kosztowna dla przedsiębiorców,
• ograniczenia przetwarzania, gdyż oznaczać będzie wymianę wszelkich formularzy,
• prawie przenoszenia danych, zarówno tych papierowych, jak i elektronicznych, za-
• prawie do cofnięcia zgody (gdy osoba, której wierających zgody na przetwarzanie danych osobo-
dane dotyczą wyraża zgodę na przetwarza- wych. Trzeba będzie przejrzeć wszystkie formularze
nie danych). i umowy, gdziekolwiek zbiera się jakiekolwiek dane
i sporządzić ich listę oraz przygotować propozycje tre-
Osobom trzeba będzie ści obowiązków informacyjnych.
przekazywać więcej informacji
w sposób przyjazny i zrozumiały
Jeśli pozyskujemy dane osobowe nie bezpośrednio od
osoby, której dane dotyczą, obowiązek informacyjny
poszerza się jeszcze o informację o źródle pochodzenia
danych osobowych, a gdy ma to zastosowanie – czy po-
chodzą one ze źródeł publicznie dostępnych. Poszerza się
również prawo do udzielenia informacji na żądanie.
Rozporządzenie narzuca obowiązek komunikowania
się z osobami w sposób przyjazny, przystępnym i zro-
zumiałym językiem, tak aby przekaz do nich kierowany
można było odebrać i zrozumieć bez wysiłku.
Preambuła Rozporządzenia (motyw 39) stanowi: za-
sada przejrzystości wymaga, by wszelkie informacje
i wszelkie komunikaty związane z przetwarzaniem da-
nych osobowych były łatwo dostępne i zrozumiałe oraz

30
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany
21 Ograniczenie
profilowania
Przez „profilowanie” należy rozumieć dowolną formę
zautomatyzowanego przetwarzania danych osobowych,
które polega na wykorzystaniu tych danych do oceny nie-
których czynników osobowych osoby fizycznej, w szcze-
gólności do analizy lub prognozy aspektów dotyczących
efektów pracy tej osoby fizycznej, jej sytuacji ekonomicz-
nej, zdrowia, osobistych preferencji, zainteresowań, wia-
rygodności, zachowania, lokalizacji lub przemieszczania
się. Upraszczając jest to zautomatyzowany proces pro-
wadzący do wnioskowania o posiadaniu przez człowie-
ka określonych cech. Przykładem może być aplikacja
bankowa, która na podstawie pozyskanych informacji
automatycznie ocenia, że dana osoba nie powinna do-
stać kredytu, ze względu na jej niskie wynagrodzenie
i liczną rodzinę. Bardzo istotne jest tutaj zautomaty-
zowanie procesu, jeśli wyłącznie maszynowo (kom-
puterowo) dokonuje się oceny i podejmuje decyzje,
bez istotnego udziału człowieka, to co do zasady jest
to zabronione, ale jeśli profilowanie wykonuje człowiek
(a nie komputer), to nie stawia się tutaj ograniczeń.
Dalej dowiadujemy się z art. 22 Rozporządzenia,
że osoba, której dane dotyczą, ma prawo do tego, by
nie podlegać decyzji, która opiera się wyłącznie na zau-
tomatyzowanym przetwarzaniu, w tym profilowaniu,
20) Ta zmiana bardzo cieszy autora tego poradnika, bo określanie marketingu bezpośredniego mianem czegoś prawnie usprawiedliwionego (a więc wynikającego
z prawa) było nienaturalne.
31
i wywołuje wobec tej osoby skutki prawne lub w podob-
ny sposób istotnie na niego wpływa. Chodzi tutaj o to,
aby osoby miały prawo nie zgodzić się na to, że dana
decyzja zostanie podjęta wyłącznie przez automat, co
zresztą można wywnioskować ze stwierdzenia, że przy
automatycznym przetwarzaniu administrator wdraża
właściwe środki ochrony praw, wolności i uzasadnionych
interesów osoby, której dane dotyczą, a co najmniej pra-
wa do uzyskania interwencji ludzkiej ze strony admini-
stratora, do wyrażenia własnego stanowiska i do zakwe-
stionowania danej decyzji.
Należy jednak zwrócić uwagę, że ten zapis nie ma zasto-
sowania, jeśli decyzja jest niezbędna do zawarcia lub
wykonania umowy między podmiotem danych, a admi-
nistratorem lub opiera się na wyraźnej zgodzie osoby.
Do profilowania co do zasady nie wolno używać danych
wrażliwych, chyba, że osoba, której dane dotyczą:
• wyraziła na to zgodę,
• jest to podyktowane ważnym interesem publicznym.
O profilowaniu trzeba
informować na etapie
zbierania danych
W Polsce pojęcie automatycznego przetwarzania da-
nych obecne jest już od dawna w obowiązującej usta-
wie o ochronie danych osobowych. Europejskie Rozpo-
rządzenie jedynie uszczegółowiło cały proces i warunki,
w jakich może do niego dochodzić. Jeżeli profilowanie
odbywa się w celu marketingu bezpośredniego (który
do tej pory stanowił w polskim prawie tzw. usprawiedli-
wiony prawnie cel przetwarzania, zaś Rozporządzenie
określa go jako tzw. cel wynikający z uzasadnionych in-
teresów administratora danych20), można zgłosić sprze-
ciw w związku z takim przetwarzaniem. Niekorzystny
wpływ tej zmiany na funkcjonowanie przedsiębiorstw
łagodzi możliwość korzystania z profilowania, o ile jest
to niezbędne do zawarcia umowy – tak będzie zapewne
w przypadku np. ubezpieczeń.
O profilowaniu należy informować na etapie zbiera-
nia danych osobowych, a także na wniosek osoby fi-
zycznej, której dane dotyczą. Spowoduje to z pewno-
ścią konieczność modyfikacji istniejących formularzy
i pism dotyczących zbierania oraz przetwarzania da-
nych osobowych, zatem aby przygotować się do wdro-
żenia zasad opisanych w rozporządzeniu należy przede
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI
wszystkim ocenić, w jakich procesach „szufladkuje”
się (profiluje) klientów oraz gdzie na takiej podstawie
podejmowane są automatyczne decyzje. Wszędzie tam
trzeba będzie informować już na etapie pozyskiwania
danych o podejmowaniu zautomatyzowanych decyzji
opartych o profilowanie.
22 Doprecyzowane
warunki
uzyskiwania zgody
na przetwarzanie
danych osobowych
Rozporządzenie zgodę definiuje następująco w art.
4 pkt 11) i jest nią dobrowolne, konkretne, świadome
i jednoznaczne okazanie woli, którym osoba, której dane
dotyczą w formie oświadczenia lub wyraźnego działania
potwierdzającego, przyzwala na przetwarzanie dotyczą-
cych jej danych osobowych.
W polskich przepisach, dotychczasowa definicja
brzmiała następująco: to oświadczenie woli, którego
treścią jest zgoda na przetwarzanie danych osobowych
tego, kto składa oświadczenie; zgoda nie może być do-
mniemana lub dorozumiana z oświadczenia woli o innej
treści. Jeśli dobrze przyjrzeć się obu definicjom, widać
w nich wyraźne podobieństwa, przy czym zamiast
oświadczenia woli mamy okazanie woli.
Rozporządzenie podkreśla w preambule (motyw 32),
że zgoda powinna być wyrażona w drodze jednoznacz-
32
nej, potwierdzającej czynności, która wyraża odnoszą-
ce się do określonej sytuacji dobrowolne, świadome
i jednoznaczne przyzwolenie osoby, których dane
dotyczą na przetwarzanie dotyczących jej danych
osobowych i która ma na przykład formę pisemnego
(w tym elektronicznego) lub ustnego oświadczenia.
Może to polegać na zaznaczeniu okienka wyboru pod-
czas przeglądania strony internetowej, na wyborze
ustawień technicznych do korzystania z usług społe-
czeństwa informacyjnego lub też na innym oświad-
czeniu bądź zachowaniu, które w danym kontekście
klarownie wskazuje, że osoba, której dane dotyczą, za-
akceptowała proponowane przetwarzanie jego danych
osobowych. Milczenie, okienka domyślnie zaznaczone
lub niepodjęcie działania nie powinny zatem oznaczać
zgody. Zgoda powinna dotyczyć wszystkich czynności
przetwarzania dokonywanych w tym samym celu lub
w tych samych celach. Jeżeli przetwarzanie służy roż-
nym celom, potrzebna jest zgoda na wszystkie te cele.
Jeżeli osoba, której dane dotyczą, ma udzielić zgody
w odpowiedzi na elektroniczne zapytanie, zapytanie
takie musi być jasne, zwięzłe i nie zakłócać niepotrzeb-
nie korzystania z usługi, której dotyczy.
Odwołanie zgody musi być tak
samo łatwe, jak jej udzielenie
Trzeba zauważyć, że art. 25. ust. 2 podkreśla, że: Admi-
nistrator wdraża odpowiednie środki techniczne i orga-
nizacyjne, aby domyślnie przetwarzane były wyłącznie
te dane osobowe, które są niezbędne dla osiągnięcia
każdego konkretnego celu przetwarzania. Obowiązek
ten odnosi się do ilości zbieranych danych osobowych,
zakresu ich przetwarzania, okresu ich przechowywania
oraz ich dostępności. Niezbędność w tym kontekście
należy rozpatrywać w odniesieniu do kwestii domyśl-
ności przetwarzania danych – zatem można pozyski-
wać dane adekwatne do celu, jednak domyślnie należy
przetwarzać dane niezbędne. Przykładowo bank zbiera
bardzo dużo rozmaitych danych osobowych, ale w mo-
bilnej aplikacji bankowej są jedynie dane niezbędne do
jej funkcjonowania (a nie wszystkie dane), właśnie jako
realizacja zasady domyślnego bezpieczeństwa.
Dalej czytamy, że (motyw 43): zgoda nie powinna sta-
nowić ważnej podstawy prawnej przetwarzania danych
osobowych w szczególnej sytuacji, w której istnieje wy-
raźny brak równowagi między osobą, której dane doty-
czą a administratorem, zwłaszcza gdy administrator jest
organem publicznym i dlatego jest mało prawdopodob-
ne, by w tej konkretnej sytuacji zgody udzielano dobro-
wolnie we wszystkich przypadkach.
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

Kolejną kwestią wyróżniającą nową definicję zgody jest

pewna kategoria zachowań, określona jako wyraźne dzia-
łanie potwierdzające. Oznacza to, że zgodę można wyra-
zić także poprzez działanie, a nie jedynie oświadczenie.

Dopuszczalna będzie zgoda

ustna lub wyrażona poprzez
działanie, np. wręczenie
wizytówki
Na pewno za takie działanie będzie uważać się „zazna-
czenie” zgody w elektronicznym formularzu. W świetle
nowych przepisów już samo przesłanie aplikacji do po-
tencjalnego pracodawcy może stanowić wyrażenie zgo-
dy na przetwarzanie danych w celu rekrutacji. W świetle
obecnie obowiązującego prawa takie czynności wyma-
gały zgody, którą dołączano do życiorysu z poczuciem, iż
działanie to jest pozbawione sensu. Bardzo ważne jest, że
na administratorze będzie ciążył dowód uzyskania zgody.
Według nowych przepisów zgodę na przetwarzanie
danych osobowych przy świadczeniu usług społeczeń-
stwa informacyjnego (takich jak Facebook, poczta elek-
troniczna, gry w sieci czy sprzedaż internetowa) może
wyrazić dziecko, które ukończyło 13 lat. W przeciwnym
wypadku zgodę musi zaaprobować lub wyrazić w jego
imieniu osoba sprawująca władzę rodzicielską lub
opiekę prawną. Rozporządzenie mówi o wieku 16 lat,
ale krajom członkowskim pozostawiło możliwość obni-
żenia progu do lat 13. Polska zamierza z tego skorzystać
i argumentuje się to następująco: „zgodnie z art. 15
ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny
(Dz.U. z 2016 r. poz. 380, z późn. zm.) osoba, która ukoń-
czyła 13 lat ma ograniczoną zdolność do czynności
prawnych, a zatem może zawierać umowy w drobnych
bieżących sprawach życia codziennego, może także
rozporządzać swoim zarobkiem. W ocenie projekto-
dawcy w tym kontekście uzasadnione jest przyjęcie
granicy lat 13 także dla skutecznego wyrażenia przez
dziecko zgody na przetwarzanie dotyczących go danych
osobowych, w związku z kierowanymi bezpośrednio
do dziecka usługami społeczeństwa informacyjnego.
Nie ma powodu, aby przyjąć, że osoba mogąca rozpo-
rządzić swoim zarobkiem oraz zawierać drobne umowy,
nie była jednocześnie uprawniona do wyrażenia zgody
na przetwarzanie dotyczących jej danych osobowych,
szczególnie, że zgodnie z przepisami rozporządzenia
2016/679 zgodę można w każdym czasie wycofać”.
Nowe przepisy podkreślają w preambule:
• Motyw 38: Zgoda osoby sprawującej odpowie-
dzialność rodzicielską lub opiekę nie powinna być
konieczna w przypadku usług profilaktycznych lub
doradczych oferowanych bezpośrednio dziecku.
• Motyw 58: Zważywszy, że dzieci zasługują na szcze-
gólną ochronę, wszelkie informacje i komunikaty –
gdy przetwarzanie dotyczy dziecka – powinny być
sformułowane tak jasnym i prostym językiem, by
dziecko mogło go bez trudu zrozumieć.
Po wprowadzeniu nowych przepisów trzeba będzie
podejmować racjonalne działania, żeby zweryfikować
wiek użytkownika, uwzględniając dostępną technolo-
gię. Oznacza to, że częściej będzie dochodzić do zbie-
rania dat urodzenia. W przypadku dziecka gromadzić
będzie się informacje głównie o rodzicu lub opiekunie
prawnym, tym bardziej, że administrator powinien wy-
kazać fakt, że zebrane zgody są prawidłowe.
Dane, które obecnie przetwarza się na podstawie zgody
będzie można dalej przetwarzać, o ile zgody spełniały
warunki określone w Rozporządzeniu. Można bardzo
ogólnie założyć, że jeśli zgody na przetwarzanie danych
były zgodne z obowiązującymi przepisami, to będą też
odpowiadać wymaganiom Rozporządzenia, ale trzeba
pamiętać o tym, że (art. 7. ust. 1) jeżeli przetwarzanie
odbywa się na podstawie zgody, administrator musi być
w stanie wykazać, że osoba, której dane dotyczą, wyra-
ziła zgodę na przetwarzanie swoich danych osobowych.
Przygotowując się należy dokonać inwentaryzacji pod-
staw prawnych przetwarzania danych. W przypadku
przetwarzania na podstawie zgody należy ocenić, czy
administrator będzie w stanie udowodnić wyrażenie
zgody oraz wykazać, że zgody spełniają wymagania
stawiane przez uchylaną dyrektywę 95/46/WE (motyw
171)– jeśli tak, dane można przetwarzać, jeśli nie – naj-
pewniej trzeba będzie zebrać je ponownie.

33
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

Należy też przeanalizować czy i w jakich przypadkach

zbiera się dane dzieci oraz przygotować na rozbudo-
wanie procesu o weryfikację wieku oraz zgody rodzica
bądź opiekuna prawnego.

23 Prawo
do przenoszenia
danych
Art. 20 Rozporządzenia wskazuje, że osoba, której dane
dotyczą, ma prawo otrzymać w ustrukturyzowanym, po-
wszechnie używanym formacie nadającym się do odczy-
tu maszynowego dane osobowe jej dotyczące, które do-
starczyła administratorowi, oraz ma prawo przesłać te
dane innemu administratorowi bez przeszkód ze strony
administratora, któremu dane te dostarczono. cyjnych systemów, a nie kompatybilnych systemów”,
Będzie to możliwe wtedy, kiedy: w Wytycznych czytamy, że chodzi o możliwość łatwego
przenoszenia, kopiowania lub przesyłania danych oso-
• przetwarzanie jest automatyczne, bowych z jednego środowiska IT do innego.22
• dane przetwarza się na podstawie zgody lub
Wszyscy przedsiębiorcy będą musieli zapewne odpo-
w celu zawarcia bądź realizacji umowy (dane zwy-
wiednio zmodyfikować systemy, aby te były w stanie
kłe), bądź na podstawie zgody (dane wrażliwe).
wygenerować dane do przeniesienia, a wszystko to bez
Ogólną zasadą jest to, że można przenosić takie dane, żadnej opłaty!
które przetwarzane są w pełni automatycznie i wyłącz-
Artykuł 12 ust. 3 podkreśla, że dane należy przekazać,
nie na podstawie zgody osoby, której dotyczą. Jed-
„bez zbędnej zwłoki” lub „w terminie miesiąca od
nak nie jest do końca jasne, co należy rozumieć przez
otrzymania żądania” lub w ciągu maksymalnie trzech
„w pełni automatyczne przetwarzanie”? Czy są to np.
miesięcy w przypadku naprawdę skomplikowanych
dane przetwarzane przez serwis aukcyjny Allegro?
spraw, pod warunkiem, że poinformuje się osobę
A może inne? Z odpowiedzią na takie pytania przycho-
o przyczynach takiego odległego terminu.
dzi opracowanie Grupy Roboczej Art. 29 zatytułowane
„Wytyczne dotyczące prawa do przenoszenia danych”.21 Wydawałoby się, że adresatem takich wymagań są
głównie serwisy społecznościowe, przykładowo dzisiaj
Facebook pozwala wykonać i ściągnąć kopię swoich
Celem przenoszenia danych
danych, okazuje się jednak, że to wymaganie dotyczy
jest ułatwienie zamiany bardzo wiele podmiotów, np. banki czy zakłady ubez-
jednego dostawcy usług pieczeń. W Wytycznych czytamy, że administratorzy
danych powinni zacząć opracowywać środki, które
na innego przyczynią się do udzielania odpowiedzi na wnioski
o przeniesienie danych, takie jak narzędzia do pobie-
Rzeczywiście głównym celem przenoszenia danych
rania i interfejsy programowania aplikacji (Application
jest ułatwienie zamiany jednego dostawcy usług na
Programming Interfaces - API). Powinni oni zagwaran-
innego, w ten sposób zwiększając konkurencję wśród
tować, że dane osobowe będą przekazywane w ustruk-
dostawców usług (ułatwiając osobom zmianę dostaw-
turyzowanym, powszechnie używanym formacie nada-
ców usług). Umożliwia ono tworzenie nowych usług
jącym się do odczytu maszynowego, oraz powinni być
w kontekście strategii jednolitego rynku cyfrowego.
zachęcani do zapewnienia interoperacyjności formatu
Przenoszenie ma też na celu tworzenie „interopera-

21) http://www.giodo.gov.pl/1520282/id_art/9741/j/pl/
22) Wytyczne dotyczące prawa do przenoszenia… str. 14.

34
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

danych przekazywanych w ramach realizacji wniosku
o przeniesienie danych.
Modyfikacja systemów informatycznych to niekiedy
proces długotrwały i pracochłonny. W wielu organiza-
cjach będzie to po prostu całkowita wymiana systemu.
W wielu innych – kosztowne zmiany.
Trzeba też pamiętać, że o prawie do przenoszenia da-
nych trzeba informować podczas zbierania danych (art.
13 i 14 ust. 2 pkt c).
ich replikację. Widać więc wyraźne wzmocnienie prawa
do usunięcia danych upublicznionych.
Art. 18 Rozporządzenia podkreśla, że przetwarzanie
danych osobowych można ograniczyć wyłącznie do
przechowywania, jeśli osoba kwestionuje prawdziwość
danych lub gdy cel przetwarzania wygasł, ale dane na-
leży dalej przechowywać, na wypadek potencjalnych
roszczeń.
O prawie do usunięcia danych (prawie do zapomnie-
nia) głośno dyskutowano przez ostatnie lata. Prawo do
usunięcia danych jest obecne w obowiązującej jeszcze

24 Rozszerzone prawo
polskiej ustawie o ochronie danych osobowych, jednak
w wersji znacznie uproszczonej (art. 35 ustawy o ochro-

do usunięcia danych nie danych osobowych). Rozporządzenie znacznie roz-

i ograniczenia
przetwarzania
Usuwaniu danych poświęcono w Rozporządzeniu całą
sekcję 3. Rozdziału III. W preambule (motyw 66) stwier-
dza się, że, aby wzmocnić prawo do bycia zapomnia-
nym w Internecie, należy rozszerzyć prawo do usunięcia
danych, poprzez zobowiązanie administratora, który
upublicznił te dane osobowe, do poinformowania admi-
nistratorów, którzy przetwarzają takie dane osobowe,
o usunięciu wszelkich łączy do tych danych, kopii tych
danych osobowych lub ich replikacji.
Art. 17. Rozporządzenia stanowi zaś: Osoba, której dane
dotyczą, ma prawo żądania od administratora, aby dane
zostały usunięte jeśli:
• nie są już potrzebne do celu przetwarzania,
• zgoda na przetwarzanie została cofnięta,
• dane są przetwarzane niezgodnie z prawem,
• dane zostały zebrane w związku z oferowaniem
usług społeczeństwa informacyjnego,
• osoba, której dane dotyczą wnosi sprzeciw wobec
przetwarzania,
• dane osobowe muszą zostać usunięte ze względu
na prawo Unii lub państwa członkowskiego, które-
mu podlega administrator.
szerzyło zakres tych przepisów.
Najciekawszą zmianą jest obowiązek informowania
innych podmiotów przetwarzających dane, że osoba,
której dane dotyczą, zawnioskowała o „bycie zapo-
mnianym”.
Trudno jest powiedzieć, jak praktycznie należałoby
przygotować się do realizacji prawa do usunięcia da-
nych. Na pewno trzeba posiadać procedury i procesy,
które są wymagane przez obecne prawo, a które doty-
czą usuwania danych w przypadku złożenia sprzeciwu
czy odwołania zgody. Inne podmioty, którym udostęp-
niono zbiór danych, musiały być jedynie informowa-
ne o uaktualnieniu lub sprostowaniu danych (art. 35
ust.3), nie było wprost w przepisach wyrażonego obo-
wiązku przekazywania żądania. Możliwe, że koniecz-
ne będzie utrzymywanie rejestru podmiotów, którym
dane udostępniono, aby móc im przekazać każdy wnio-
sek o usunięcie danych.

Uwagę zwraca możliwość zażądania, aby usunięto

dane zebrane w związku z oferowaniem usług społe-
czeństwa informacyjnego.
Wedle nowych przepisów, jeśli administrator upublicz-
nił dane osobowe, musi też podjąć racjonalne działa-
nia, w tym środki techniczne, by poinformować admi-
nistratorów przetwarzających te dane, że osoba, której
dane dotyczą wystąpiła o to, by administratorzy ci usu-
nęli wszelkie łącza do tych danych, kopie tych danych lub

35
ODO24.pl OCHRONA DANYCH OSOBOWYCH i BEZPIECZEŃSTWO INFORMACJI

Zakończenie
Rozporządzenie stanowi bez wątpienia poważne wyzwanie dla wszystkich instytucji przetwarzających dane osobo-
we. Mamy już coraz mniej czasu do 25 maja 2018 r., kiedy to przepisy zaczną już obowiązywać oraz kiedy to trzeba
będzie być w pełni z nimi zgodnym. To oznacza, że do tego terminu organizacje muszą być doskonale przygotowane
do rewolucji narzuconych regulacjami Rozporządzenia, a w odpowiedniej chwili zacząć je stosować.
Poradnik ten powstał aby pomóc w przygotowaniach. Gdzie tylko było to możliwe, proponowaliśmy rozwiązania lub
sposób podejścia do przygotowań. Mamy nadzieję, że poradnik pomoże Państwu w dostosowaniu się do wymagań
stawianych przez Rozporządzenie!

36
 Reforma ochrony danych osobowych w UE - 24 kluczowe zmiany

Notatki

37
POLECAMY
„Unijna reforma ochrony danych
osobowych – analiza zmian”
Książka opisuje najważniejsze zmiany jakie zajdą w przepisach ochrony danych osobowych po 25 maja 2018 r.
Przedsiębiorcy do tego czasu muszą dostosować procesy przetwarzania danych osobowych poprzez sukcesywne
wdrażanie wytycznych zawartych w ogólnym rozporządzeniu o ochronie danych. Książka ma ułatwić organiza-
cjom zrozumienie głównych motywów i założeń nowych przepisów w celu ich jak najefektywniejszej implemen-
tacji w funkcjonujący u nich model przetwarzania danych. Publikacja skierowana jest do wszystkich przedsię-
biorców, osób piastujących funkcję administratorów bezpieczeństwa informacji oraz osób odpowiedzialnych
za ochronę danych w organizacji.

Książka zawiera:
- analizę zmian jakie zajdą w przepisach o ochronie
danych,
- omówienie nowych obowiązków nałożonych
na administratorów danych,
- wzory dokumentów,
- wzory nowych klauzul zgód na przetwarzanie danych;
- analizę zmiany statusu administratora bezpieczeństwa
informacji na inspektora ochrony danych,
- omówienie nowych uprawnień GIODO, w tym wytycznych
dotyczących nakładania kar na administratorów danych
i podmioty przetwarzające;
- wyjaśnienie nowych zagadnień takich jak profilowanie
czy prawo do bycia zapomnianym,
- omówienie nowych obowiązków nałożonych na podmiot
przetwarzający (procesora),
- omówienie procedury postępowania w razie wystąpienia
incydentu w zakresie ochrony danych osobowych.

Autorzy
Specjaliści ds. ochrony danych w ODO 24 sp. z o.o.,
adwokaci, członkowie Okręgowej Rady Adwokackiej
w Warszawie, absolwenci Wydziału Prawa i Administra-
cji Uniwersytetu Warszawskiego. Zajmują się szeroko
pojętym zagadnieniem bezpieczeństwa informacji.
Doradzają w zakresie stosowania przepisów o ochro-
nie danych osobowych oraz prowadzą w tym obszarze
szkolenia. Współpracują m.in. z dużymi grupami ka-
pitałowymi gdzie przeprowadzają audyty w zakresie
bezpieczeństwa informacji, tworzą wewnętrzne pro-
cedury, dokumentację oraz opinie prawne. Posiadają
wieloletnie doświadczenia w prowadzeniu spraw roz-
strzyganych przed sądami powszechnymi. Adw. Anna Dmochowska Adw. Marcin Zadrożny