Ochrona danych osobowych

Zagadnienia związane z ochroną danych osobowych uregulowane zostały na gruncie prawa krajowego w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz wydanych na jej podstawie aktach wykonawczych, a mianowicie rozporządzeniach Ministra Spraw Wewnętrznych i Administracji. Kwestie ochrony danych osobowych uregulowane zostały również na poziomie międzynarodowym (Konwencja nr 108 Rady Europy z dnia 28 stycznia 1981 r. o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych), a także na poziomie europejskim (dyrektywa Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. nr 95/46/EC). Treści wyrażone w dyrektywie zostały implementowane do polskiego porządku prawnego i znalazły odzwierciedlenie w ustawie o ochronie danych osobowych.

Zgodnie z wyżej wymienioną ustawą pod pojęciem danych osobowych rozumieć należy wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Są to m.in. imię, nazwisko, adres, numer PESEL, data urodzenia. Zbiorem danych jest natomiast zestaw danych o charakterze osobowym, które to dostępne są według określonych kryteriów.

Przykładem zbioru danych są akta policyjne czy też akta sądowe.

Poruszając tematykę ochrony danych osobowych można zadać sobie pytanie: czym jest przetwarzanie danych?

Czynność tę definiuje się jako operację wykonywaną na danych osobowych, taką jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. Chodzi tu zwłaszcza o takie operacje, które wykonuje się w systemach informatycznych.

Przetwarzanie danych osobowych dopuszczalne jest w sytuacji:

• gdy osoba, której dane dotyczą, wyrazi na to zgodę, przy czym zgoda ta musi być jasna i skonkretyzowana, a wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi,
• gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
• gdy jest to niezbędne do realizacji umowy, a osoba której dane dotyczą, jest stroną umowy,
• gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
• gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
• gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych lub odbiorców danych, przy czym przetwarzanie danych nie może w takiej sytuacji naruszać praw i wolności osoby, której dane dotyczą,
• gdy jest to niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, a nie jest możliwe uzyskanie zgody osoby zainteresowanej.

Spośród ogółu danych można wyróżnić tzw. dane wrażliwe, które są szczególnie chronione i w związku z tym mogą być przetwarzane tylko w ściśle określonych przypadkach. Do danych wrażliwych należą dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową oraz dane o stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym, dane o skazaniach, orzeczeniach o ukaraniach i mandatach karnych, a także o innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym.

Administrator danych, czyli podmiot decydujący o celach i środkach przetwarzania danych osobowych, zobowiązany jest podać osobie, której dane dotyczą pełną nazwę oraz adres swojej siedziby, poinformować o celu zbierania danych oraz o prawie dostępu do swoich danych oraz o możliwości ich poprawiania. Musi również powiadomić o tym, czy podanie danych jest dobrowolne czy też obowiązkowe. W przypadku istnienia obowiązku podania danych, konieczne jest również przywołanie podstawy prawnej. Administrator danych, który przetwarza dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Powinien on w szczególności zadbać o to, żeby dane osobowe wykorzystywane były zgodnie z prawem, dla jasno określonych celów, były aktualne, adekwatne do celu ich wykorzystania oraz nie były wykorzystywane dłużej niż to konieczne. Administrator jest również zobowiązany zastosować środki techniczne i organizacyjne, zapewniające ochronę danych osobowych.

Na administratorze danych spoczywa ponadto obowiązek zgłoszenia zbioru danych osobowych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, a także obowiązek zgłoszenia zmian w zbiorze danych.

Zwolnienie od obowiązku rejestracji zbioru danych ma miejsce tylko w ściśle określonych sytuacjach, np. gdy dane są powszechnie dostępne, gdy są objęte tajemnicą państwową ze względu na bezpieczeństwo i obronność państwa, bądź też gdy są to dane pracowników lub kandydatów do pracy.

Zgłoszenia dokonuje się na specjalnie do tego przeznaczonym formularzu, dostępnym na stronie internetowej Generalnego Inspektora Ochrony Danych Osobowych (www.giodo.gov.pl). Istnieje również możliwość zgłaszania zbiorów przez Internet, za pomocą systemu e - giodo. Za zgłoszenie zbioru danych do rejestracji, a także za zgłoszenie zmian w zbiorze danych nie pobiera się opłaty. Z chwilą zgłoszenia zbioru, administrator może rozpocząć przetwarzania danych, przy czym jeśli są to dane podlegające szczególnej ochronie – może to mieć miejsce dopiero po zarejestrowaniu zbioru.

Każdej osobie przysługuje natomiast prawo do kontroli przetwarzania danych, które jej dotyczą. Takie uprawnienie może polegać m.in. na możliwości uzyskania informacji dotyczących istnienia, celu, zakresu oraz sposobu przetwarzania danych, możliwości żądania uzupełnienia, uaktualnienia, sprostowania danych, które są niekompletne, nieaktualne lub nieprawdziwe.
Udostępnienie danych osobowych polega na okazaniu ich treści podmiotowi innemu niż administrator danych. Jest to jedna z form przetwarzania danych, w związku z czym konieczne jest spełnienie wyżej wymienionych warunków.

Kwestie związane z udostępnianiem danych osobowych regulowane są również w przepisach szczególnych. Należą do nich w szczególności: ustawa z dnia 29 września 1986 r. – Prawo o aktach stanu cywilnego, ustawa z dnia 17 maja 1989 r. – Prawo geodezyjne i kartograficzne, ustawa z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych.

Na straży zagwarantowanego w Konstytucji prawa do ochrony danych osobowych stoi Generalny Inspektor Ochrony Danych Osobowych. Jest on powoływany i odwoływany przez Sejm za zgodą Senatu. Do zadań Generalnego Inspektora Ochrony Danych Osobowych należy m.in. kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, prowadzenie rejestru zbiorów danych czy też udzielania informacji o zarejestrowanych zbiorach. Do zakresu jego kompetencji należy również wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, a także opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych. W przypadku, gdy strona jest niezadowolona z decyzji Generalnego Inspektora Ochrony Danych Osobowych, może ona wystąpić z wnioskiem o ponowne rozpatrzenie sprawy, a następnie, gdy zajdzie taka konieczność, ze skargą do sądu administracyjnego.

W ustawie o ochronie danych osobowych zawarte zostały również przepisy karne. Ich celem jest zapewnienie należytej ochrony przed bezprawnym przetwarzaniem danych osobowych oraz prawidłowego administrowania zbiorami danych. Osoba popełniająca jedno z przestępstw uregulowanych w ustawie naraża się na karę grzywny, ograniczenia wolności, a nawet karę pozbawienia wolności.

--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Anna Grzywińska, Kancelaria SSW
Twojeporady.pl
www.twojeporady.pl