Od momentu wejścia w życie rozporządzenia RODO (Parlamentu Europejskiego i Rady (UE) 2016/679) w dniu 25 maja 2018 roku, kwestie ochrony danych osobowych w sieci nabrały nowego wymiaru. Przetwarzanie danych w środowisku internetowym – od prostych formularzy kontaktowych, przez newslettery, po zaawansowane systemy analityczne – wymaga przestrzegania precyzyjnych zasad określonych w RODO oraz polskiej ustawie o ochronie danych osobowych.

Od 2008 roku obserwujemy, jak prawo ochrony danych ewoluuje wraz z rozwojem technologii. W tym czasie wielokrotnie doradza­liśmy klientom w zakresie wdrażania procedur ochrony danych, audytów RODO, sporządzania dokumentacji oraz reprezentowania w postępowaniach przed Prezesem Urzędu Ochrony Danych Osobowych. Poniżej przedstawiamy najważniejsze zagadnienia związane z ochroną danych osobowych w Internecie.

Podstawowe obowiązki administratorów danych w sieci

Administrator danych osobowych – najczęściej właściciel serwisu internetowego, platformy e-commerce czy aplikacji mobilnej – ponosi szereg obowiązków wynikających bezpośrednio z RODO. Kluczowe znaczenie ma tu przede wszystkim obowiązek informacyjny. Każda osoba, której dane są zbierane online, musi otrzymać jasną i zrozumiałą informację o tym, kto jest administratorem, w jakim celu dane są przetwarzane, na jakiej podstawie prawnej oraz jakie przysługują jej prawa.

W praktyce oznacza to konieczność przygotowania odpowiedniej polityki prywatności, która nie może być jedynie ogólnikowym dokumentem przepisanym z szablonu. Polityka prywatności powinna konkretnie i szczegółowo opisywać praktyki przetwarzania danych w danym serwisie – od plików cookies, przez formularze rejestracyjne, po integracje z zewnętrznymi narzędziami analitycznymi czy marketingowymi.

Administratorzy prowadzący działalność w sieci muszą również wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych. Obejmuje to między innymi szyfrowanie połączeń (protokół HTTPS), bezpieczne przechowywanie haseł, regularne aktualizacje oprogramowania oraz procedury tworzenia kopii zapasowych.

Zgody marketingowe i cookies – najczęstsze problemy

Jednym z najczęściej spotykanych problemów w kontekście przetwarzania danych w sieci jest nieprawidłowe zbieranie zgód marketingowych oraz niewłaściwa konfiguracja mechanizmów związanych z plikami cookies. RODO wymaga, aby zgoda była dobrowolna, konkretna, świadoma i jednoznaczna. Oznacza to, że nie można stosować zgód domyślnie zaznaczonych, a sam fakt korzystania z serwisu nie może być uznany za wyrażenie zgody.

Szczególną uwagę należy zwrócić na rozróżnienie między cookies technicznymi (niezbędnymi do funkcjonowania strony) a cookies analitycznymi i marketingowymi. Te ostatnie wymagają uprzedniej zgody użytkownika, która powinna być zbierana za pomocą odpowiednio skonfigurowanego bannera cookie. Niestety, wiele serwisów internetowych nadal stosuje rozwiązania, które nie spełniają wymogów RODO i mogą prowadzić do nałożenia sankcji przez PUODO.

Warto również pamiętać, że zgodę można w każdej chwili wycofać, a administrator musi zapewnić mechanizm pozwalający na proste i szybkie cofnięcie zgody – równie łatwe jak jej udzielenie.

Prawa osób, których dane dotyczą

RODO przyznaje osobom fizycznym szereg uprawnień w zakresie kontroli nad własnymi danymi osobowymi. W kontekście działalności online administratorzy muszą być przygotowani na realizację następujących praw:

  • prawo dostępu do danych – osoba ma prawo uzyskać potwierdzenie, czy jej dane są przetwarzane, oraz otrzymać kopię tych danych
  • prawo do sprostowania – możliwość poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych
  • prawo do usunięcia danych ("prawo do bycia zapomnianym") – w określonych sytuacjach osoba może żądać usunięcia swoich danych
  • prawo do ograniczenia przetwarzania – w niektórych przypadkach osoba może żądać wstrzymania operacji na danych
  • prawo do przenoszenia danych – umożliwia otrzymanie danych w ustrukturyzowanym formacie i przekazanie ich innemu administratorowi
  • prawo sprzeciwu – w szczególności wobec przetwarzania danych do celów marketingowych

Administratorzy serwisów internetowych powinni wdrożyć procedury pozwalające na szybką i efektywną realizację tych praw. Niezastosowanie się do żądania osoby, której dane dotyczą, może skutkować skargą do organu nadzorczego oraz sankcjami finansowymi.

Przekazywanie danych do państw trzecich

Szczególnym wyzwaniem dla administratorów działających w sieci jest kwestia przekazywania danych osobowych poza Europejski Obszar Gospodarczy. Dotyczy to przede wszystkim korzystania z narzędzi analitycznych, systemów CRM, platform mailingowych czy usług hostingowych oferowanych przez podmioty z siedzibą w USA lub innych państwach trzecich.

RODO ustanawia surowe wymogi dotyczące transferu danych poza EOG. Przekazywanie danych możliwe jest jedynie do państw, które zapewniają odpowiedni poziom ochrony (na podstawie decyzji Komisji Europejskiej) lub po wdrożeniu odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską.

W praktyce oznacza to konieczność dokładnej analizy stosowanych narzędzi i usług pod kątem lokalizacji przetwarzania danych. Administratorzy często nie zdają sobie sprawy, że popularne systemy do obsługi czatu na stronie, narzędzia do testów A/B czy platformy webinarowe mogą przekazywać dane do USA, co wymaga dodatkowych działań po stronie administratora.

Inspektor ochrony danych (IOD) – kiedy obowiązkowy?

RODO wprowadza instytucję inspektora ochrony danych (IOD), który pełni rolę niezależnego eksperta monitorującego przestrzeganie przepisów o ochronie danych w organizacji. Obowiązek wyznaczenia IOD powstaje m.in. wtedy, gdy podstawowa działalność administratora polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób na dużą skalę.

W kontekście działalności internetowej może to dotyczyć np. platform e-commerce o znacznym ruchu, serwisów społecznościowych, portali agregujących dane użytkowników czy firm świadczących usługi analityki internetowej. Inspektor ochrony danych nie może wykonywać zadań powodujących konflikt interesów – nie może więc jednocześnie pełnić funkcji związanych z określaniem celów i sposobów przetwarzania danych.

Jeżeli w Twojej organizacji pojawia się wątpliwość, czy IOD jest konieczny, warto przeprowadzić analizę z udziałem specjalisty. Niewłaściwe określenie obowiązku wyznaczenia IOD może skutkować konsekwencjami ze strony organu nadzorczego.

Jesteśmy do dyspozycji w zakresie doradztwa dotyczącego wszystkich aspektów ochrony danych osobowych w Internecie – od audytów zgodności z RODO, przez przygotowanie dokumentacji, po reprezentację w sporach i postępowaniach administracyjnych.