Pan Janek, który jest moim klientem od samego początku, kiedy praktykuję zawód adwokata, zapytał mnie ostatnio do kogo jest skierowana ustawa o ochronie danych osobowych. To pytanie bardzo często wypływa z ust moich klientów, ale też, dla których prowadzę prelekcje czy szkolenia.
Zatem, ustawa o ochronie danych osobowych z 29 sierpnia 2017 r. ma zastosowanie, zarówno do organów sektora publicznego, jak i prywatnego, które mają siedzibę albo miejsce zamieszkania w Polsce. Prywatne podmioty są jednak zobowiązane do respektowania zasad ochrony danych osobowych, jeżeli wykonują zadania publiczne bądź przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub też dla realizacji celów statutowych.
Osoby fizyczne nie muszą stosować przepisów ustawy o ochronie danych osobowych, jeśli przetwarzają dane osobowe tylko i wyłącznie w celach osobistych lub domowych. W przypadku prowadzenia działalności literackiej, artystycznej lub też prasowej, również osoby te nie są objęte wymogami ustawy o ochronie danych osobowych. Co więcej jej zastosowanie w zasadzie jest wyłączone względem podmiotów stacjonujących lub mających miejsce zamieszkania w państwie trzecim, a jedynie przekazujących dane przez terytorium Polski przy wykorzystaniu narzędzi znajdujących się poza granicami naszego kraju.
Co to są dane osobowe? Mówi o tym art.6 ustawy o ochronie danych osobowych, który określa, iż dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, przy czym katalog danych osobowych nie jest zamknięty są to : cechy fizyczne, fizjologiczne, ekonomiczne, umysłowe, kulturowe czy też społeczne jeżeli pozwalają zidentyfikować konkretną osobę. Za daną osobową nie uważa się informacji umożliwiającej określenie tożsamości osoby, przy wykorzystaniu nadmiernych kosztów, czasu lub działań.
W wyniku tego, danymi osobowymi będą także te dane, które nie pozwalają na natychmiastową identyfikację człowieka, ale przy pewnym nakładzie finansów, czasu i  działań odpowiednie do jej ustalenia. Danymi osobowymi są informacje, które pozwalają na ustalenie tożsamości danej osoby, bez wkładania w to wysiłku i nakładów finansowych przy uwzględnieniu łatwo osiągalnych i powszechnie dostępnych źródeł.
Ciężko uznać zatem, za dane osobowe pojedyncze informacje takie jak imię czy nr telefonu. Natomiast w momencie kiedy zestawimy te dane z innymi informacjami, które pozwolą nam zidentyfikować określoną osobę, to staną się one wówczas danymi osobowymi. Wyjątkiem jest jednak nr identyfikacyjny PESEL, który jak wiadomo jest pojedynczą daną pozwala na identyfikację danej osoby. Pojawia się więc pytanie - czy adres poczty elektronicznej może być daną osobową? – absolutnie TAK! Jeśli mamy do czynienia z adresem kancelaria@adwokatlewandowska.pl wtenczas ustalenie, iż chodzi o mnie jest niezwykle proste. Natomiast jeśli jednak mamy do czynienia z adresem misiaczek000@tlenik.pl - to wówczas trudno określić kogo ta informacja dotyczy.
Muszę jeszcze na koniec zwrócić szczególną uwagę, na dane osobowe wrażliwe, których przetwarzanie jest możliwe jedynie wówczas, gdy np. osoba, której dotyczą wyrazi na przetwarzanie ich pisemną zgodę. Dotyczy to danych, które mówią o: pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych lub filozoficznych, przynależności partyjnej lub związkowej, stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym, wyrokach i orzeczeniach o ukaraniu lub innych orzeczeniach wydawanych w postępowaniu sądowym lub administracyjnym.
 
 

             Temat ochrony danych osobowych jest bardzo mocno, można powiedzieć namiętnie wręcz omawiany na różnych forach i na różnym gruncie. Osobiście w swojej praktyce zawodowej spotykam się z wieloma pytaniami dotyczącymi tek kwestii. Pomimo, że jest o tym bardzo głośno, to właściwie uważam, że brakuje kompleksowych informacji
o ochronie danych osobowych w praktyce. Poprzez ogólne zdezorientowanie pojawia się mnóstwo pytań.
            Powzięłam decyzję aby wyjść temu naprzeciw. Na początek należy wskazać, że ustawa o ochronie danych osobowych funkcjonująca na gruncie prawa polskiego istnieje od 1997r. I od tego właśnie czasu wszystkie osoby przetwarzające dane osobowe są zobowiązanie do przestrzegania tejże ustawy. W chwili obecnej, szum, który pojawił się wokół ochrony danych osobowych wziął się wobec zmian, które wchodzą w życie w maju 2018r. Powinno się tutaj wyraźnie zaznaczyć, że mają to być tylko zmiany, a nie zupełnie nowa regulacja, która wywróci do góry nogami cały system ochrony danych osobowych. Cały szereg istniejących dotąd rozwiązań z pewnością pozostanie niezmienionych, ale też będą takie, które będą musiały zostać dostosowane całościowo do wymogów unijnych. Wszystko za  sprawą Rozporządzenia Parlamentu Europejskiego i Rady ( UE) 2016/679
z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych ( tzw. Rozporządzenie RODO)  oraz uchylenia dyrektywy 95/46/WE oraz dyrektywy 2016/680 o ochronie danych
w ramach działalności policyjnej  i sądowej w sprawach karnych.
            Te osoby, które są przekonane, że w/w Rozporządzenie RODO powstało względem kaprysu Unii Europejskiej są w błędzie. Przecież od ponad 20 lat stosowana jest dyrektywa 95/46/WE zarówno przez Administratorów Danych Osobowych, podmioty danych, jak i niezależne grupy nadzorcze, więc to właśnie ta regulacja stanowi filar „nowego” prawa Ochrony Danych Osobowych w UE. Rozporządzenie RODO bazuje na gruncie podstawowych wartości i założeń tego, już istniejącego systemu, odtwarzając
i wzmacniając zawarte w nim zasady ochrony danych oraz podstawy prawne przetwarzania danych osobowych, przy jednoczesnym poddaniu ich koniecznym zmianom.
Jak już wcześniej wspomniałam, polska ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych funkcjonuje od wielu lat. Wszystkim osobom, których dane są przetwarzane deklaruje poszanowanie prawa do prywatności i ochrony ich danych. Rozporządzenie RODO, które ma ją zmienić w swych głównych założeniach nie jest rewolucyjne. Aczkolwiek zaprezentowane w RODO rozwiązania wobec zastosowania praktycznego, są w pewnej mierze kompleksowe. Zmienia się ciężar odpowiedzialności za przestrzeganie zasad i obowiązków wynikających z nowych regulacji. Dotychczas ( art.  26 ustawy o ochronie danych osobowych) Administrator Danych Osobowych był odpowiedzialny za ochronę danych w jednostce, natomiast po zmianie zostanie to dodatkowo uregulowane. Wprowadzane zmiany mają na celu zwiększać samodzielność Administratorów Danych Osobowych przy jednoczesnym zwiększeniu ich odpowiedzialności.
Dlatego też, okres dostosowania do rozporządzenia RODO, rozpoczęty
w momencie jego  wejścia w życie tj.  27 kwietnia 2016r. powinien stanowić czas dostosowania się dla wszystkich podmiotów przetwarzających dane osobowe, a nie okres oczekiwania na to, co się wydarzy. Jako że, wraz z wejściem w życie nowych rozwiązań, (tj . 25 maja 2018 r.) od wszystkich Administratorów Danych Osobowych wymagane będzie prawidłowe zastosowanie rozwiązań względem przetwarzania przez nich danych osobowych.