5 nieporozumień związanych z RODO

Wprowadzenie RODO wywołało w polskim społeczeństwie falę niepewności, która do dziś skutkuje powielaniem wielu mitów prawnych. Wiele osób traktuje przepisy o ochronie danych osobowych jako nieprzekraczalną barierę, co często prowadzi do paraliżu decyzyjnego w firmach oraz niepotrzebnego ograniczania praw obywatelskich. Zrozumienie, czym w rzeczywistości jest Ogólne Rozporządzenie o Ochronie Danych, pozwala na budowanie relacji opartych na zaufaniu i zgodności z prawem.

Mit 1: Dane osobowe to tylko nazwisko i pesel

Powszechnym błędem jest zawężanie definicji danych osobowych wyłącznie do najbardziej oczywistych identyfikatorów. W rzeczywistości daną osobową jest każda informacja, która pozwala na bezpośrednie lub pośrednie zidentyfikowanie osoby fizycznej. Do tej kategorii zaliczamy również:

• Adresy IP oraz pliki cookies wykorzystywane do profilowania.
• Wizerunek utrwalony na nagraniach z monitoringu.
• Dane lokalizacyjne oraz identyfikatory internetowe.

Warto pamiętać, że zakres tych informacji jest niezwykle szeroki i zależy od kontekstu, w jakim dane są przetwarzane.

Mit 2: RODO zabrania robienia zdjęć i nagrywania

Nagminnie spotykamy się z przekonaniem, że fotografowanie lub filmowanie w miejscach publicznych wymaga każdorazowej, pisemnej zgody wszystkich osób znajdujących się w kadrze. To nieprawda. RODO nie zakazuje utrwalania wizerunku, o ile odbywa się to w celach osobistych, artystycznych lub dziennikarskich. Problemy zaczynają się dopiero w momencie komercyjnego wykorzystania wizerunku bez odpowiedniej podstawy prawnej, takiej jak zgoda lub uzasadniony interes administratora.

Mit 3: Zgoda jest jedyną podstawą przetwarzania danych

Wiele podmiotów błędnie zakłada, że każda operacja na danych wymaga uzyskania odrębnej zgody od użytkownika. Jest to jedno z najbardziej kosztownych nieporozumień. RODO przewiduje aż sześć różnych podstaw prawnych przetwarzania danych. Zgoda jest tylko jedną z nich i często wcale nie jest tą najwłaściwszą. Często wystarczające są:

1. Wykonanie umowy, której stroną jest osoba, której dane dotyczą.
2. Wypełnienie obowiązku prawnego ciążącego na administratorze.
3. Realizacja prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią.

Mit 4: Prawo do bycia zapomnianym jest absolutne

Choć prawo do usunięcia danych brzmi dla użytkowników bardzo atrakcyjnie, nie oznacza ono, że każda firma musi niezwłocznie wykasować wszystkie informacje na każde żądanie. Administratorzy danych mają prawo odmówić usunięcia danych, jeśli przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego, ustalenia, dochodzenia lub obrony roszczeń. Przykładowo, sprzedawca nie ma obowiązku usuwać danych klienta z faktur, dopóki trwają ustawowe okresy przechowywania dokumentacji księgowej.

Mit 5: RODO to tylko kwestia dokumentacji

Największym błędem jest sprowadzanie RODO do posiadania grubego segregatora z procedurami. Ochrona danych to proces, a nie jednorazowe działanie administracyjne. Kluczowa jest rozliczalność, czyli faktyczne wdrożenie środków technicznych i organizacyjnych, które chronią dane w codziennej pracy. Posiadanie dokumentów, które nie mają pokrycia w rzeczywistych działaniach, jest nie tylko bezużyteczne, ale może być wręcz obciążające w przypadku kontroli organu nadzorczego.