Data aktualizacji: 29.03.2022

25 maja 2018 r. przepisy dotychczasowej polskiej ustawy o ochronie danych osobowych zostaną zastąpione przez unijne Rozporządzenie o Ochronie Danych Osobowych (ustawa RODO). 

Kogo dotyczy ustawa RODO?

Nowe przepisy, które zaczną obowiązywać w maju, dotyczyć będą nas wszystkich, lecz głównie obejmą wszelkie przedsiębiorstwa gromadzące i przetwarzające dane osobowe osób fizycznych – zarówno wielkie korporacje, jak i małe, rodzinne biznesy. Do nowych przepisów, oprócz unijnych przedsiębiorców, będą musiały dostosować się także firmy spoza Europy świadczące usługi internetowe Europejczykom. Ustawa RODO będzie zatem dotyczyć wielu dziedzin naszego codziennego życia.

Ustawa RODO – jaki jest jej cel?

Rozwój i postęp wszechobecnej cyfryzacji, w pewnym sensie wymógł zmiany w kwestii przepisów, które często są przestarzałe i niedopasowane do obecnych realiów. Głównym celem RODO jest bezpieczeństwo i ochrona praw oraz danych w sieci, ujednolicenie prawa na terenie Unii Europejskiej i dostosowanie go do teraźniejszych warunków.

Ustawa RODO – co obejmą zmiany

Zmiany obejmą ochroną wszystkie, nawet cząstkowe informacje o użytkowniku, które mogłyby pozwolić na jego identyfikację, m.in. nazwisko, adres, adres mailowy, adres IP, pliki cookies, wszelkie numery identyfikacyjne, dokumentację zdrowotną, dane geolokalizacyjne, behawioralne, demograficzne, a nawet prywatne jak orientacje seksualna. Słowem wszelkie informacje definiowane jako Big Data.

Ustawa RODO – nowe procedury

Będziesz musiał dostosować się do dwóch nowych procedur: privacy by design i privacy by default.

Privacy by design – jako przedsiębiorca zobowiązany jesteś chronić dane osobowe swoich użytkowników i przemyśleć zabezpieczenia chroniące je już na etapie planowania i wprowadzania nowych dóbr i usług na rynek.

Privacy by default – reguluje warunki pobierania informacji o użytkownikach i zakłada domyślną ochronę danych w każdym systemie, jednocześnie informując konsumenta o celu, w którym są gromadzone.

Zgromadzonych danych nie możesz wykorzystać bez wiedzy i zgody użytkownika, a za nadużycia przewidziane są surowe kary. W przypadku naruszeń masz 72 godziny, aby samodzielnie zgłosić nieprawidłowość.

Ustawa RODO i jej wpływ na afiliację

Przetwarzając dane osobowe swoich klientów, musisz zapewnić im szereg praw, m.in. prawo do bycia zapomnianym – czyli usunięcie danych nie tylko z bazy, lecz także z wszelkich nośników jak serwery czy dyski komputerowe. Minimalizacja przetwarzanych danych znacznie utrudni firmom profilowanie, czyli wnioskowanie na podstawie dostępnym danych o cechach właściciela, co pozwala m.in. zaklasyfikować go do docelowej grupy reklamowej.

Wszelkie reklamy znajdujące się na stronie wydawcy przekierowują użytkownika przez sieć afiliacyjną do reklamodawcy i to on jest odpowiedzialny za ochronę danych klienta, a wydawca i sieć afiliacyjna nie będą miały dostępu do personaliów. Przetwarzając dane, reklamodawcy w jasny i zrozumiały sposób muszą powiadomić użytkowników, w jakim celu je gromadzą już podczas ich pozyskiwania.

Wydawcy natomiast muszą uaktualnić zasady korzystania, politykę prywatności i regulaminy swoich serwisów. Co ważne, bazy mailingowe powinny być odpowiednio zabezpieczone zgodnie z wymogami RODO, a organizacje administracyjne muszą wybrać Inspektora Ochrony Danych Osobowych. Każdy e-mail marketingowy powinien być zgodny z wytycznymi reklamodawcy, a treść wiadomości zaakceptowana przez niego przed wysłaniem konkretnej akcji.

Ustawa RODO Q&A

Oto kilka pytań i odpowiedzi, które pomogą Wam rozwiać wszelkie wątpliwości!

1. Czy będę musiał zbierać zgody na nowo?

Nie, jeśli dane były gromadzone prawidłowo. Zgoda na przetwarzanie danych i udzielenie szczegółowych informacji użytkownikowi będzie konieczna tylko w przypadku nowych osób zapisujących się na listę lub składających zamówienie. Pamiętaj, jeżeli wykryłeś jakieś nieścisłości, masz czas do 25 maja, aby je poprawić!

2. Czy będę musiał wszędzie wpisywać skomplikowane formułki prawne?

Absolutnie nie! Wręcz przeciwnie – RODO wymaga, aby wszelkie komunikaty dotyczące ochrony danych osobowych były napisane w prosty i przystępny sposób. Dzięki temu nawet osoby bez odpowiedniej wiedzy bez trudu zrozumieją, o co chodzi!

3. Czy będę musiał stosować mnóstwo checkboxów?

Nie! Wraz z RODO pojawi się więcej obowiązków informacyjnych, ale liczba checkboxów nie powinna ulec zmianie, a w niektórych przypadkach może nawet się zmniejszyć. Zgoda na przetwarzanie danych osobowych nie musi być pisemna, może przybrać dowolną, byle jednoznaczną formę.

4. Czy profilowanie bez zgody będzie zakazane?

Profilowanie nadal będzie możliwie, będzie wymagało jedynie jawnego informowania użytkowników o jego celach. Pamiętaj jednak, że Twoi klienci nie muszą się na nie godzić, a wtedy musisz umożliwić im odmowę wobec profilowania.

5. Czy będę musiał publicznie udostępniać algorytmy profilowania, które stosuję?

Nie! Zgodnie z regułami RODO komunikaty informujące użytkownika o tym, jakie jego dane zbierasz i w jakim celu, powinny być proste i zrozumiałe.

6. Czy potrzebna będzie zgoda na cookies?

W kwestii ciasteczek nic się nie zmieni, o ile nie stosujesz ich do identyfikacji konkretnej osoby. Powstaje też projekt rozporządzenia e-Privacy, zgodnie z którym informacje o ciasteczkach będą udzielane jednorazowo przy każdym włączeniu przeglądarki internetowej, a nie podczas przeglądania każdej strony www.

7. Czy RODO to śmierć dla marketingu automation?

Ludzie lubią wiedzieć więcej, dlatego jawne i rzetelne informowanie ich o swoich zamiarach względem nich, może się wręcz przysłużyć 🙂 Spróbuj postrzec RODO jako szansę na zoptymalizowanie systemu marketing automation – musisz poinformować użytkowników Twojej strony o gromadzeniu ich danych i przechowywać je bezpiecznie, a używając do tego jednego narzędzia, będzie Ci łatwiej osiągnąć te cele bez ryzyka wycieków informacji.

8. Czy będzie możliwość korzystania z aplikacji amerykańskich?

Tak, jako przedsiębiorca europejski, będziesz mógł wymieniać dane z przedsiębiorcami amerykańskimi. Musisz spełnić tylko jeden z poniższych warunków:

• firma amerykańska widnieje na liście Privacy Shield

• wymiana danych z USA jest konieczna do zawarcia umowy pomiędzy Tobą i osobą, której dane dotyczą

• osoba, której dane dotyczą, wie o ewentualnym ryzyku i wyraźnie wyraziła zgodę na ich przekazanie (nie jest konieczna zgoda pisemna)

9. Czy prawo do bycia zapomnianym spowoduje konieczność usuwania danych z backupu?

Nie, prawo do bycia zapomnianym nie będzie aż tak rygorystycznie przestrzegane. Chodzi w nim o to, aby przestać przetwarzać dane konkretnej osoby, która się na to nie zgadza i usunąć je z bazy i innych nośników zewnętrznych. Jeśli okaże się to zbyt kosztowne i wymagające technicznie, obędzie się bez konieczności ingerowania w backup. Najlepiej ogranicz do niego dostęp, a uprawnienia przekaż tylko jednej osobie w firmie.

10. Co jeśli nie stać mnie na wdrożenie RODO?

Zastosowania reguł RODO wcale nie musi być bardzo kosztowne 🙂 Zanim zdecydujesz się na wyjątkowe, drogie rozwiązania zapewniające bezpieczeństwo, zastanów się nad sytuacją i działalnością swojej firmy indywidualnie, bo być może wcale ich nie potrzebujesz. Warto wdrożyć nowe zasady odpowiednio wcześnie i przede wszystkim z głową. Nie lekceważ jednak RODO – kary będą bardzo surowe!

Ustawa RODO krokiem w stronę bezpieczeństwa

Ochrona danych osobowych to niezwykle istotna kwestia, dotycząca wszystkich użytkowników Internetu – w tym także nas. Wprowadzenie RODO na terenie całej Unii Europejskiej jest odpowiedzią na potrzebę unowocześnienia przepisów chroniących prywatności i dane osobowe, pochodzących jeszcze z 1995 r. Wydaje się więc, że jest to słuszny krok w stronę bezpieczeństwa w sieci.