Ochrona danych osobowych – prawa osób fizycznych

Ochrona danych osobowych ma na celu ochronę prywatności jednostek. W związku z tym osobom fizycznym, których dane są przetwarzane, przysługuje szereg praw regulowanych przez rozrządzenie o ochronie danych osobowych (RODO). Administrator danych musi respektować te uprawnienia i zapobiegać naruszeniom RODO.

Oznacza ono, że osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę na ich przetwarzanie. Co ważne dla administratorów danych – musi to być tak samo łatwe, jak wyrażenie zgody. Wprowadzenie utrudnień realizacji prawa do wycofania zgody na przetwarzanie danych osobowych skutkuje administracyjną karę pieniężną. Przykładowo Prezes Urzędu Ochrony Danych Osobowych nałożył karę ponad 201 tys. zł na spółkę ClickQuickNow Sp. z o.o. z siedzibą w Warszawie.

Osoba, której dane dotyczą, ma uprawnienia do uzyskania od administratora potwierdzenia, czy przetwarzana on dane osobowe jej dotyczące. Jeżeli ma to miejsce, osoba ta musi mieć możliwość uzyskania informacji, o których mowa w art. 13 i 14 RODO, a więc do otrzymania tzw. klauzuli informacyjnej. Wskazuje ona m.in. cel przetwarzania danych.

Prawo to daje możliwość żądania od administratora niezwłocznego sprostowania nieprawidłowych danych osobowych. Obejmuje to uzupełnienie niekompletnych danych osobowych np. poprzez przedstawienie dodatkowego oświadczenia.

Inaczej „prawo do bycia zapomnianym”. Oznacza ono, że osoba fizyczna może żądać od administratora niezwłocznego usunięcia jej danych osobowych. To prawo nie obowiązuje bezwzględnie, tzn. że nie w każdym przypadku zostanie zrealizowane. Na przykład w sytuacji, gdy dłużnik zwraca się do komornika z żądaniem usunięcia jego danych osobowych, komornik ma obowiązek odmówić.

Administrator musi usunąć dane osoby tego żądającej bez zbędnej zwłoki m.in. gdy:

• ustał cel, dla którego dane zebrano i przetwarzano;
• wycofano zgodę na przetwarzanie danych w sytuacji, kiedy to właśnie owa zgoda stanowiła podstawę prawną przetwarzania;
• dane osobowe przetwarzano niezgodnie z prawem.

Ustawowa ochrona danych osobowych przewiduje prawo do żądania od administratora ograniczenia przetwarzania danych m.in. w następujących przypadkach:

• osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych (ograniczenie obowiązuje na okres pozwalający administratorowi sprawdzić prawidłowość tych danych);
• przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
• administrator nie ma potrzeby dalszego przetwarzania danych, ale potrzebuje ich osoba, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
• osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania (ograniczenie obowiązuje do czasu stwierdzenia, czy prawnie uzasadnione interesy administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą).

Prawo to powoduje, że osoba, której dane dotyczą, ma prawo otrzymać w ustrukturyzowanym i powszechnie używanym formacie nadającym się do odczytu maszynowego jej dane osobowe, które dostarczyła administratorowi. Ma też możliwość przesłać te dane innemu administratorowi w sytuacji, gdy:

• przetwarzanie odbywa się na podstawie zgody,
• przetwarzanie odbywa się w sposób zautomatyzowany.

Osoba fizyczna może też poprosić, aby administrator przesłał dane osobowe bezpośrednio innemu administratorowi, o ile aspekty techniczne na to pozwalają.

RODO przewiduje prawo, dzięki któremu w dowolnym momencie można wnieść sprzeciw wobec przetwarzania danych osobowych. Administrator musi się do tego sprzeciwu dostosować, chyba że wykaże:

• istnienie ważnych uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą; 
• wystąpienie podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Jeżeli dane osobowe przetwarza się na potrzeby marketingu bezpośredniego, to osoba fizyczna ma prawo w dowolnym momencie wnieść sprzeciw wobec ich przetwarzania i profilowania. Po otrzymaniu takiego sprzeciwu administratorowi nie wolno już przetwarzać tych danych do celów marketingu bezpośredniego.

Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje skutki prawne lub w podobny sposób istotnie wpływa na tę osobę. Chyba że decyzja ta jest:

• niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
• dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator;
• oparta na wyraźnej zgodzie osoby, której dane dotyczą.

Administratorzy danych w celu zapewnienia prawidłowej realizacji praw osób fizycznych, których dane osobowe przetwarzają, powinni wdrożyć odpowiednie procedury. Muszą one szczegółowo określać zasady postępowania w zakresie realizacji praw osób, których dane dotyczą. Ochrona danych osobowych to obowiązek każdego przedsiębiorcy, który takie dane przetwarza. Jeśli potrzebujesz pomocy w stworzeniu procedury dostosowanej do potrzeb Twojej organizacji, zapraszamy do kontaktu z Kancelarią Halaś i Wspólnicy.