Podstawowym rozporządzeniem, które określa zasady dotyczące przetwarzania danych, jest RODO. Regulacje dotyczące powyższego zagadnienia widnieją jednak także w innych dokumentach. Każda firma powinna zadbać o to, aby dopasować do nich swoje wewnętrzne zasady. Chcesz dowiedzieć się więcej? Przeczytaj ten poradnik i sprawdź, na czym polega ochrona danych osobowych oraz jakie obowiązki się z nią wiążą.

Spis treści:

• Dane osobowe i ich przetwarzanie
• RODO – podstawowe informacje
• UODO – co to takiego?
• Zasady dotyczące danych osobowych w Kodeksie Pracy
• Kontrole danych osobowych – w Internecie, SIS i VIS
• Jak firma powinna dostosować się do regulacji związanych z ochroną danych osobowych?
• Monitoring wizyjny a ochrona danych osobowych – o tym warto pamiętać

Dane osobowe i ich przetwarzanie

Zgodnie z ustawową definicją dane osobowe to wszelkiego rodzaju informacje na temat zidentyfikowanej lub też możliwej do zidentyfikowania za ich pomocą osoby fizycznej. Do tej kategorii zalicza się np.:

• dane personalne – imię i nazwisko,
• adres e-mail,
• nr identyfikacyjny,
• identyfikator internetowy.

Kategoria ta obejmuje także wszystkie te informacje, które w połączeniu ze sobą mogą pozwalać na ustalenie tożsamości konkretnej osoby. W obowiązujących obecnie przepisach wiele miejsca poświęca się zagadnieniu, jakim jest przetwarzanie danych osobowych. Dotyczy ono ich gromadzenia, utrwalania, przesyłania, archiwizowania, przechowywania, pobierania, przeglądania czy wykorzystywania. Przedsiębiorca może przetwarzać dane osobowe jako:

• administrator danych (np. zakład pracy czy właściciel strony internetowej), który decyduje o tym, w jakim celu i w jaki sposób je przetwarzać,
• podmiot przetwarzający dane (np. biuro rachunkowe) – podmiot zewnętrzny, który przetwarza dane osobowe na rzecz administratora i w jego imieniu.

Przepisy wskazują, że firmy przetwarzające dane osobowe na większą skalę, a także te, które gromadzą szczególne kategorie danych, powinny powołać Inspektora Ochrony Danych (IOD). Mowa tu m.in. o bankach, towarzystwach ubezpieczeniowych czy szpitalach.

RODO – podstawowe informacje

Podstawowym dokumentem określającym przepisy związane z przetwarzaniem danych na terenie Europy jest ogólne rozporządzenie o ochronie danych (RODO), które weszło w życie 25 maja 2018 roku. Opiera się ono na siedmiu podstawowych regułach:

• zasadzie rzetelności, zgodności z prawem i przejrzystości,
• zasadzie ograniczenia celu przetwarzania,
• zasadzie integralności i poufności,
• zasadzie minimalizacji danych,
• zasadzie prawidłowości,
• zasadzie ograniczenia przechowywania,
• zasadzie rozliczalności.

RODO zawiera ponadto szczegółowe definicje danych osobowych, a także zasady ich ochrony. Wskazuje również na zadania i obowiązki IOD. Warto wiedzieć, że rozporządzenie wyodrębnia tzw. dane szczególne, a zatem takie związane z pochodzeniem, genetyką, zdrowiem, przynależnością związkową czy religią. Tego typu informacje mogą być przetwarzane tylko w przypadkach wskazanych w rozporządzeniu.

UODO – co to takiego?

Organem zajmującym się ochroną danych osobowych jest UODO – Urząd Ochrony Danych Osobowych. Po 25 maja 2018 roku Prezes UODO zastąpił Generalnego Inspektora Danych Osobowych (GIODO). To do jego obowiązków należy kontrolowanie i egzekwowanie przepisów RODO, a także rozpowszechnianie wiedzy o ochronie danych osobowych, ryzyku i prawach związanych z ich przetwarzaniem czy przechowywaniem. Co więcej, to właśnie PUODO nakłada kary za ewentualne naruszenie przepisów RODO i prowadzi niezbędne kontrole oraz postępowania. Ustawa o ochronie danych osobowych (UODO) została uchwalona w celu lepszego sprecyzowania regulacji RODO i dopasowania ich do obowiązującego w Polsce prawa.

Przeczytaj również: RODO: co koniecznie musisz wiedzieć?
 

Zasady dotyczące danych osobowych w Kodeksie Pracy

Postanowienia związane z przetwarzaniem danych osobowych znajdują się również w Kodeksie Pracy i Ustawie o Zakładowym Funduszu Świadczeń Socjalnych. Przepisy wskazują m.in., jakiego rodzaju informacji pracodawca może żądać od kandydatów i pracowników, w jaki sposób powinien je przetwarzać i gromadzić, a także  dokumentować. Ustawy precyzują ponadto obowiązki informacyjne związane z przetwarzaniem danych osobowych, które pracodawca powinien wypełnić – zarówno wobec pracowników, jak i kandydatów. Warto przy tym nadmienić, że w myśl przepisów Kodeksu Pracy, dane osobowe pracownika mogą być przetwarzane jedynie po uzyskaniu jego uprzedniej zgody. Jej wycofanie nie może natomiast być przyczyną odmowy zatrudnienia czy rozwiązania umowy o pracę.

Kontrole danych osobowych – w Internecie, SIS i VIS

Urząd Ochrony Danych Osobowych w 2024 roku kontynuuje kontrole w firmach i instytucjach, które przetwarzają dane osobowe za pomocą internetowych aplikacji. Zakres prowadzonego postępowania obejmuje przede wszystkim sposób udostępniania oraz ochrony danych. Kontrole będą przeprowadzane również w państwowych organach, które do przetwarzania danych wykorzystują Wizowy System Informacyjny (VIS) lub System Informacyjny Schengen (SIS). Weryfikacji poddana zostanie zgodność przetwarzania danych z unijnymi i krajowymi przepisami, które obowiązują te organy. Co więcej, Urząd Ochrony Danych Osobowych zamierza kontrolować także prywatne podmioty. W tym przypadku ma on sprawdzać, czy prawidłowo spełniają one obowiązki informacyjne przewidziane przez RODO.

Przeczytaj również: RODO: Karna i cywilna odpowiedzialność za naruszenie ochrony danych osobowych
 

Jak firma powinna dostosować się do regulacji związanych z ochroną danych osobowych?

Każde przedsiębiorstwo powinno dostosować zakładowe przepisy do regulacji dotyczących ochrony danych osobowych – szczególnie RODO. Pracodawca, jako administrator danych osobowych swoich pracowników, ma obowiązek uwzględniać zasady rozporządzenia podczas przetwarzania danych. Ta zasada dotyczy zarówno osób już zatrudnionych, jak i tych ubiegających się o pracę w danej firmie. Co więcej, treść regulaminu pracy oraz układu zbiorowego czy innych regulacji wewnątrzzakładowych muszą być odpowiednio przeanalizowane pod względem zgodności z zasadami RODO. Niezbędne jest także rozszerzenie katalogu obowiązków pracodawcy i listy obowiązków pracownika o wymóg postępowania w zakresie ochrony danych osobowych zgodnie z zasadami rozporządzenia oraz przepisami krajowymi.

Monitoring wizyjny a ochrona danych osobowych – o tym warto pamiętać

Przepisy dotyczące RODO odnoszą się także do kwestii stosowania monitoringu wizyjnego. Pracodawca może stosować go w zakładzie pracy jedynie wówczas, gdy jest to potrzebne do:

• zapewnienia bezpieczeństwa pracowników,
• ochrony mienia,
• kontroli produkcji,
• zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić go na szkodę.

Monitoring nie może jednak znajdować się w pomieszczeniach sanitarnych, szatniach, palarniach czy stołówkach – chyba że jest to niezbędne do realizacji celu i w żaden sposób nie narusza wolności, godności czy dóbr osobistych osób zatrudnionych. Sposób, zakres oraz cele montażu monitoringu powinny być jasno określone w przepisach danego miejsca pracy. Co więcej, pracodawca ma obowiązek poinformować o wprowadzeniu kamer swoich pracowników, również w formie pisemnej – najpóźniej dwa tygodnie przed ich instalacją. Naruszenie jakiejkolwiek regulacji, która ma chronić dane osobowe, może skutkować surowymi karami finansowymi dla pracodawcy.