applying-rodo

applying-rodo

RODO (GDPR) — rozporządzenie 2016/679 — jest stosowane bezpośrednio w Polsce. Ustawa z 10.05.2018 o ochronie danych osobowych (UODO) jest aktem uzupełniającym, głównie w zakresie wymaganym przez sam RODO (np. art. 8 ust. 1 — wiek zgody dzieci dla usług społeczeństwa informacyjnego, art. 88 — dane w kontekście zatrudnienia).

Kluczowe URL

Podstawy prawne — szybki wybór (art. 6 RODO)

Zasada: wybierać najniższą ingerencyjną podstawę. Zgoda — tylko dla tego, gdzie inne podstawy nie pasują; zgoda wymaga dobrowolności (nie wymuszona, możliwa do odwołania).

Art. 9 — dane szczególnych kategorii

Dane ujawniające:

• Pochodzenie rasowe / etniczne.
• Poglądy polityczne, przekonania religijne / światopoglądowe.
• Członkostwo związkowe.
• Dane genetyczne, biometryczne (w celu jednoznacznej identyfikacji).
• Dane o zdrowiu, seksualności, orientacji seksualnej.

Podstawy art. 9 ust. 2:

• a) wyraźna zgoda.
• b) obowiązki prawne z zakresu prawa pracy, zabezpieczenia społecznego.
• c) żywotne interesy osoby niezdolnej do wyrażenia zgody.
• d) podmioty nienastawione na zysk (polityczne, światopoglądowe, religijne, związki zawodowe).
• e) oczywiście upublicznione przez osobę.
• f) dochodzenie roszczeń przed sądem.
• g) ważne interesy publiczne.
• h) cele zdrowotne (diagnoza, opieka, leczenie, zarządzanie systemami zdrowia).
• i) zdrowie publiczne, transgraniczne zagrożenia.
• j) cele archiwalne, naukowe, historyczne, statystyczne.

Prawa osoby — terminy i zakres

Forma odpowiedzi: pisemna (e-mail dopuszczalny), zrozumiała, bezpłatna. Żądanie nieuzasadnione / powtarzające się — administrator może odmówić lub naliczyć opłatę.

Klauzula informacyjna — checklist (art. 13 lub 14)

Umowa powierzenia (art. 28) — elementy obowiązkowe

1. Przedmiot, czas, charakter, cel, rodzaj danych, kategorie osób.
2. Obowiązki procesora (art. 28 ust. 3 lit. a-h):
   • a) Przetwarzanie wyłącznie na udokumentowane polecenie administratora.
   • b) Tajemnica.
   • c) Środki bezpieczeństwa (art. 32).
   • d) Subprocesorzy — warunki.
   • e) Pomoc w prawach osób (art. 15-22).
   • f) Pomoc w obowiązkach administratora (art. 32-36).
   • g) Zwrot / usunięcie danych po zakończeniu.
   • h) Udostępnianie informacji + umożliwienie audytów.
3. Prawa administratora (inspekcje, audyty).
4. Odpowiedzialność.
5. Warunki rozwiązania.

DPIA — kiedy jest obowiązkowa (art. 35 ust. 3)

• Systematyczna, kompleksowa ocena osobowa + decyzje (profilowanie z konsekwencjami).
• Duża skala przetwarzania danych szczególnych (art. 9) lub danych karnych (art. 10).
• Systematyczny monitoring na dużą skalę miejsc publicznych.
• Komunikat PUODO z 17.06.2019 — lista operacji wymagających DPIA (np. duża skala danych zdrowotnych, geolokalizacji, biometrii).

Naruszenia — 3 kroki

1. Stwierdzenie — rejestr wewnętrzny (art. 33 ust. 5 RODO) — wszystkie naruszenia, niezależnie od ryzyka.
2. Ocena ryzyka:
   • Mało prawdopodobne → bez zgłoszenia PUODO.
   • Ryzyko → zgłoszenie do PUODO w 72 h (art. 33).
   • Wysokie ryzyko → dodatkowo zawiadomienie osób (art. 34).
3. Zgłoszenie:
   • Formularz na uodo.gov.pl (lub e-PUAP).
   • Treść: charakter, kategorie osób, liczba, konsekwencje, środki zaradcze.

72 godziny — od stwierdzenia. Po 72 h można, z uzasadnieniem opóźnienia.

Transfery — decyzja o adekwatności lub SCC

Państwa z decyzją adekwatności (stan na 2026-04):

• UK (Decyzja 2021/1772; weryfikować termin obowiązywania i ewentualne przedłużenia).
• Szwajcaria, Japonia, Izrael, Korea Płd., Kanada (prywatny sektor), Argentyna, Nowa Zelandia, Andora, Urugwaj, Wyspa Man, Guernsey, Jersey, Wyspy Owcze.
• USA — EU-US Data Privacy Framework (Decyzja 2023/1795 z 10.07.2023). Firmy certyfikowane — transfer dopuszczalny bez dodatkowych zabezpieczeń.

Bez adekwatności — SCC (Rozp. 2021/914). Po Schrems II (C-311/18) wymagany TIA (Transfer Impact Assessment):

1. Ocena prawa państwa docelowego (inwigilacja, dostęp władz).
2. Ocena, czy SCC + dodatkowe zabezpieczenia zapewnią ochronę równoważną.
3. Zawieszenie transferu, jeżeli nie.

UODO — szczególne krajowe

• Wiek zgody dzieci (art. 4 UODO w zw. z art. 8 RODO): 16 lat (Polska pierwotnie 16; zweryfikować aktualne brzmienie — przepisy zmieniano).
• Zadośćuczynienie (art. 92 UODO): roszczenie cywilne — sąd cywilny, od sprawcy naruszenia. Dochodzone obok / zamiast skargi do PUODO.
• Kary (art. 101-104 UODO): PUODO wydaje decyzję; skarga do WSA w Warszawie.
• IOD (art. 8-11 UODO): zgłoszenie do PUODO w 14 dni.
• Prawo pracy (KP art. 22¹-22⁴): dane osobowe pracownika ograniczone do wyliczonych w art. 22¹ KP; monitoring — art. 22² KP.

Cytowanie

• Artykuł RODO: art. [nr] [ust. / lit.] rozp. 2016/679 (RODO).
• Artykuł UODO: art. [nr] ustawy z 10.05.2018 o ochronie danych osobowych.
• Wyrok TSUE: wyrok TSUE z [data] w sprawie C-[nr]/[rok] [tytuł], ECLI:EU:C:[rok]:[nr].
• Decyzja PUODO: decyzja Prezesa UODO z [data], znak: [znak], dostępna: [URL na uodo.gov.pl].
• Wytyczne EDPB: Guidelines [nr]/[rok] on [temat], adopted on [data], [URL].

Najczęstsze błędy

• Zgoda na wszystko jako podstawa przetwarzania. Zgoda musi być dobrowolna — w relacji klient / usługodawca zwykle jest; ale jeżeli usługa jest niemożliwa bez przetwarzania (np. faktura), podstawą jest umowa / obowiązek prawny, nie zgoda.
• Pomijanie marketingu elektronicznego przez ePrivacy. Dla e-mail marketingu — dwa poziomy: art. 10 ustawy o świadczeniu usług drogą elektroniczną (wymaga zgody) + art. 172 Prawa telekomunikacyjnego (wymaga zgody). RODO jest dodatkowa, nie zastępuje tych ustaw.
• Klauzule informacyjne bez elementów obowiązkowych. Pominięcie np. okresu przechowywania, kontaktu do IOD, prawa skargi do PUODO = naruszenie.
• Brak umów powierzenia. Każdy dostawca IT, księgowości, chmury, mailingu = powierzenie. Bez umowy — oba podmioty są administratorami = podwójna odpowiedzialność.
• Traktowanie cookies wyłącznie jako RODO. Prawo telekomunikacyjne art. 173 — zgoda na cookies analityczne / marketingowe (opt-in). Cookie banner z „akceptuj wszystkie" domyślnie = naruszenie.
• Zgłoszenie naruszenia po 72 h bez uzasadnienia. Spóźnienie = powód zaostrzenia kary (decyzja PUODO z 10.09.2019 przeciwko MorelePL — 2,8 mln zł).
• DPIA pisana „na potem". DPIA powinna poprzedzać przetwarzanie. Pisanie po fakcie = brak rozliczalności.
• Transfer bez TIA. SCC same w sobie nie wystarczą (Schrems II); bez TIA — ryzyko podniesienia zarzutu podczas kontroli PUODO.
• Pomijanie obowiązku informacyjnego przy zbieraniu od osoby trzeciej (art. 14). Np. zakup bazy kontaktów B2B — obowiązek informacyjny wobec każdej osoby w ciągu 1 miesiąca.
• Niewystarczające zabezpieczenia techniczne (art. 32). „Rozsądne" nie wystarczy — trzeba udokumentować ocenę ryzyk i dobrane środki (szyfrowanie, MFA, kopie zapasowe, DLP, audyty).
• Mylenie administratora z procesorem. Administrator decyduje o celach i sposobach przetwarzania; procesor — przetwarza na polecenie. Dostawca CRM = zwykle procesor. Dostawca marketingu masowego = czasem administrator (własna baza, własne cele). Błędna kwalifikacja = niepoprawne umowy.