RODO obowiązuje i wszyscy musimy go przestrzegać…
W dzisiejszych czasach już praktycznie wszyscy przyzwyczailiśmy się do obowiązywania Ogólnego Rozporządzenia o Ochronie Danych Osobowych, czyli w skrócie RODO. Akt obowiązuje, a unijne organy odpowiedzialne za kontrolę jego przestrzegania dobrze się sprawują. Na tyle dobrze, że organizacje zaczęły uważniej podchodzić do tematu ochrony danych osobowych. Również w Polsce UODO w ostatnim czasie zaczął sprawniej działać, co przekłada się na zainteresowanie przedsiębiorców zgodnym z prawem postępowaniem. Pamiętać musimy, że pod przepisy unijne podlegają wszystkie firmy, nawet te nie mające swojej siedziby w państwie członkowski, ale kierujące oferty do mieszkańców takich państw. Co w takim razie powinna zrobić firma nie mająca swojego oddziału na terenie UE, a chcąca prowadzić handel w tej części Europy? Wspomniane RODO nie zapomina o takich osobach. Już w art. 3 ust. 2 wskazuje kogo ten akt dotyczy. Przeczytać tam możemy, że dotyczy tych organizacji, które w ramach swoich czynności przetwarzają dane w ramach:
- oferowania towarów lub usług takim osobom, których dane dotyczą, w Unii – niezależnie od tego, czy wymaga się od tych osób zapłaty; lub
- monitorowania ich zachowania, o ile do zachowania tego dochodzi w Unii.
Sporadyczność przetwarzania pozwala na stosowanie wyjątków…
Oczywiście, wszyscy fachowcy, a jest ich wielu, przeczytawszy powyższe zaraz powiedzą hola, hola, nie każdy musi. Tak nie każda organizacja niemająca swojego przedstawicielstwa w UE będzie podlegać pod te wymagania. Wyjątki istnieją jak w prawie każdym innym akcie prawnym. RODO daje tutaj również możliwość ich zastosowania, ale tylko w sytuacji, gdy przetwarzanie:
- ma charakter sporadyczny i nie obejmuje przetwarzania na dużą skalę szczególnych kategorii danych osobowych oraz przetwarzania danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa i jest mało prawdopodobne, by ze względu na swój charakter, kontekst, zakres i cele powodowało ryzyko naruszenia praw lub wolności osób fizycznych. Należy podkreślić, że przesłanki te muszą zachodzić łącznie, aby podmiot został zwolniony z powyższego obowiązku.
- jeżeli administrator jest organem lub podmiotem publicznym.
Przedstawicielem administratora danych może być…
Wiemy już, kiedy podlegamy pod RODO oraz kiedy powinniśmy będąc organizacją spoza UE dostosować się do jego wymagań. Skoro, to już wiemy, to nasuwa się pytanie jak zrobić, aby było dobrze? Nikt przecież nie chce narazić się na postępowanie danego Urzędu Nadzorczego przeciw niemu tylko za błąd. Po raz kolejny z pomocą przychodzi nam RODO. Art. 27 tego aktu mówi nam o Przedstawicielach administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii. Co ważne, trzeba pamiętać, że nie tylko administrator, ale również podmiot przetwarzający będzie podlegał pod ten obowiązek. Konieczność wyznaczenia Przedstawiciela administratora potwierdzona i wyjaśniona jest również w motywie 80 RODO. Przedstawicielem może być zarówno osoba fizyczna mająca miejsce zamieszkania na terenie UE jak i osoba prawna mająca siedzibę na terenie UE. Należy przy tym uznać, że na gruncie RODO pojęcie to będzie obejmowało nie tylko statutową siedzibę, ale również miejsce prowadzenia głównego przedsiębiorstwa.
Właściwy wybór uchroni Cię przed niepotrzebnymi problemami…
Wybór osoby fizycznej wydaje się być tańszym wyborem. Jednakże, wybranie na Przedstawiciela administratora osoby fizycznej stwarza pewne zagrożenia. Dokonując wyboru Przedstawiciela administratora należy kierować się przede wszystkim kwalifikacjami tej osoby. Przydatne mogą być w tym zakresie kwalifikacje, które powinien posiadać Inspektor ochrony danych, np. wiedza w dziedzinie prawa. Po drugie, dostęp do Przedstawiciela administratora powinien być nie przerwany, a osoba fizyczna może pójść na urlop (na pewno pójdzie), może się rozchorować itp. Patrząc przez ten pryzmat właściwszym wyborem wydaje się wybór organizacji świadczącej takie usługi. Łatwo napisać organizacji, przejrzawszy Internet nie znalazłem zbyt wielu firm świadczących tego rodzaju usługi. Nie ma, bo i nie ma dużego zapotrzebowania. Na szczęście jest kilka i można dla przykładu zapoznać się z ofertą InspektorzyODO, którzy posiadają duże doświadczenie na polu ochrony danych osobowych. Świadczymy usługę jaką jest Przedstawiciel Administratora Danych. Przejęcie funkcji Przedstawiciela Administratora w Unii Europejskiej przez Inspektorzy ODO sp. z o. o. jest praktycznym rozwiązaniem zmierzającym do powierzenia nadzoru nad przestrzeganiem przepisów o ochronie danych osobowych specjalistycznej firmie, która posiada odpowiednie doświadczenie, a także merytoryczne przygotowanie do realizacji tego typu zadań.
Istotną kwestią jest właściwe ustanowienie Przedstawiciela administratora…
Wybierając organizację znającą się na rzeczy na pewno nas przeprowadzi przez całe pole zmagań związanych z poprawnym wyznaczeniem Przedstawiciela administratora. Decydując się jednak na wybór osoby fizycznej lub innej firmy trzeba pamiętać, że należy udzielić im upoważnienia na piśmie. Jeden przedstawiciel administratora danych może działać w imieniu kilku podmiotów. Przedstawiciela administratora nie trzeba ustanawiać w każdym państwie UE, w którym zamieszkują osoby, których dane dotyczą. Wystarczy zapewnić możliwość kontaktu z przedstawicielem administratora także tym osobom, które zamieszkują w innych państwach Unii. Do których firmy kierują swoje usługi i towary (albo które są monitorowane). WAŻNE – podmiot może dowolnie wybrać państwo UE, w którym ustanowi przedstawiciela administratora. Dobrą praktyką jest, by było to właśnie to państwo, w którym przebywają osoby, których dane dotyczą. By spełniać prawidłowo swoje zadania, przedstawiciel administratora danych musi być w stanie komunikować się z osobami, których dane dotyczą. Także z organami nadzorczymi w ich języku. I ta znajomość języków będzie również ważna przy wyborze pomiędzy osobą fizyczną, a organizacją.
Rolą przedstawiciela jest przede wszystkim ułatwianie komunikacji…
Jak wspomnieliśmy powyżej, przedstawiciel administratora danych musi umieć porozumiewać się zwłaszcza z organami nadzorczymi. Inaczej mówiąc musi znać ich język, czyli w Polsce będzie to język polski, w Niemczech – niemiecki, a we Francji – francuski. Zatem zadania przedstawiciela administratora polegają na reprezentowaniu Administratora danych osobowych lub podmiotu przetwarzającego w zakresie ich obowiązków wynikających z RODO. Oznacza to nie tylko kontakty z osobami, których dane dotyczą, ale także udział w postępowaniach przed organami nadzorczymi. Pamiętajmy, że na przedstawicielu administratora spoczywają i inne obowiązki:
Prowadzenie przedstawicielstwa w Polsce dla osób, których dane osobowe są przetwarzane w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane.
- prowadzenie Rejestru czynności przetwarzania,
- weryfikacja poprawności zawartych umów powierzenia,
- weryfikacja lub opracowanie obowiązków informacyjnych Administratora.
Informacja o powołaniu przedstawiciela administratora musi zostać przekazana w obowiązku informacyjnym skierowanym do osób, których dane dotyczą. W obowiązku informacyjnym powinna się znaleźć jego tożsamość i dane kontaktowe. Co ważne wyznaczenie przedstawiciela administratora nie wyłącza odpowiedzialności ww. podmiotów. Brak powołania przez administratora lub podmiot przetwarzający swojego przedstawiciela, jeśli zachodzą ku temu przesłanki, może prowadzić do zastosowania środków, o których jest mowa w art. 77 – 78 oraz może skutkować nałożeniem kary pieniężnej zgodnie z art. 83 ust. 4 lit. a) RODO.