RODO: co to jest i kogo dotyczy? Prosto wyjaśnione

RODO to unijne rozporządzenie, które określa, kiedy i jak wolno przetwarzać dane osobowe ludzi w Unii Europejskiej. Pełna nazwa brzmi: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, a w innych krajach mówi się o nim GDPR. Stosuje się je od 25 maja 2018 r. bezpośrednio w Polsce, bez potrzeby przenoszenia do polskiej ustawy. Uzupełnia je ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, a pilnuje go Prezes Urzędu Ochrony Danych Osobowych (UODO).

Przykład z życia

Weźmy wymyśloną kancelarię „Przykładowa Kancelaria Radcy Prawnego” z Poznania. Pani Anna Kowalska przychodzi z umową najmu i sporem z wynajmującym. Kancelaria zapisuje jej imię i nazwisko, PESEL, adres, numer telefonu, skan umowy i notatki ze spotkania.

Wszystko to są dane osobowe pani Kowalskiej, więc kancelaria podlega RODO. Musi mieć podstawę prawną, żeby te dane przechowywać, nie może ich wykorzystywać do niezwiązanych celów, musi je zabezpieczyć i powinna je usunąć, gdy przestaną być potrzebne. Jeśli kancelaria korzysta z zewnętrznego systemu do poczty, księgowości albo AI, ten dostawca też dotyka danych pani Kowalskiej. Wtedy potrzebna jest umowa powierzenia przetwarzania danych.

To przykład poglądowy, osoby i kancelaria są zmyślone.

Najważniejsze zasady, w skrócie

Kogo dotyczy RODO

RODO dotyczy każdego, kto przetwarza dane osobowe w ramach działalności: firm, gabinetów lekarskich, kancelarii, urzędów, fundacji, jednoosobowych działalności. Nie dotyczy czysto prywatnych spraw, na przykład listy kontaktów w Twoim własnym telefonie. Dotyczy też firm spoza UE, jeśli oferują towary lub usługi osobom w Unii albo monitorują ich zachowanie.

Kto jest kim

Administrator danych decyduje, po co i jak dane są przetwarzane. W przykładzie to kancelaria.
Podmiot przetwarzający przetwarza dane w imieniu administratora i wyłącznie na jego polecenie, na przykład dostawca oprogramowania. Relację między nimi reguluje umowa powierzenia przetwarzania z art. 28 RODO.
Osoba, której dane dotyczą, to pani Kowalska. Ma swoje prawa.

Zasady przetwarzania (art. 5 RODO)

Dane mają być przetwarzane zgodnie z prawem, rzetelnie i przejrzyście, tylko w konkretnych celach, w minimalnym potrzebnym zakresie, prawidłowe, przechowywane nie dłużej niż to konieczne i odpowiednio zabezpieczone. Administrator musi umieć wykazać, że tych zasad przestrzega.

Podstawy prawne (art. 6 RODO)

Przetwarzanie jest dozwolone tylko wtedy, gdy istnieje podstawa prawna, na przykład zgoda, wykonanie umowy, obowiązek prawny albo prawnie uzasadniony interes administratora. Dla danych o zdrowiu i innych danych wrażliwych obowiązują ostrzejsze reguły z art. 9 RODO.

Prawa osób

Każdy ma prawo wiedzieć, co się dzieje z jego danymi, uzyskać ich kopię, poprawić je, żądać usunięcia, ograniczenia przetwarzania, przeniesienia danych i wnieść sprzeciw. Skargę można złożyć do Prezesa UODO.

Naruszenia i kary

Wyciek danych, który stwarza ryzyko dla ludzi, trzeba co do zasady zgłosić do UODO w ciągu 72 godzin (art. 33 RODO). Kary administracyjne sięgają 20 mln euro albo 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Polska ustawa o ochronie danych osobowych przewiduje dodatkowo odpowiedzialność karną (art. 107): kto przetwarza dane osobowe, choć nie jest to dopuszczalne albo nie jest do tego uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

To informacja ogólna, a nie porada prawna.

Czego RODO nie chroni

RODO chroni ludzi, a dokładniej: informacje, które pozwalają ustalić, o kogo chodzi. To ma konsekwencję, o której mało kto mówi.

Dane anonimowe są poza RODO. Motyw 26 RODO mówi wprost, że zasad ochrony danych nie stosuje się do informacji anonimowych. Gdy z dokumentu znikną imię, PESEL i wszystko, co prowadzi do osoby, reszta przestaje być chroniona.
Reszta ma wartość. Diagnoza, dawka leku, kwota sporu, klauzula umowy: to zostaje po anonimizacji i to właśnie można legalnie łączyć w duże zbiory, licencjonować i sprzedawać.
Regulaminy często dają licencję. Wiele usług zapisuje w warunkach korzystania, że może wykorzystywać Twoje treści do tworzenia danych „zagregowanych” lub „pozbawionych cech identyfikujących”. Jeśli taka licencja istnieje, droga od Twojego pliku do zbioru na sprzedaż jest legalna.
Pseudonimizacja to nie anonimizacja. Zamiana nazwiska na kod nie wyprowadza danych spoza RODO. Różnicę wyjaśniamy w tekście o pseudonimizacji i anonimizacji danych.

Jak to wygląda krok po kroku, pokazujemy na stronie ślad danych, a mechanizm prawny wraz ze źródłami opisujemy na stronie legalne na sprzedaż.

Co to oznacza przy narzędziach AI

Zanim wkleisz dane klienta lub pacjenta do dowolnego narzędzia AI, sprawdź:

Czy dostawca działa jako podmiot przetwarzający i podpisuje umowę powierzenia z art. 28 RODO, czy jako niezależny administrator Twoich treści?
Czy regulamin daje mu licencję na wykorzystywanie treści, także w formie zanonimizowanej lub zagregowanej?
Czy treści służą do trenowania modeli? Trening to też ponowne wykorzystanie.
Gdzie dane są przetwarzane i jak długo są przechowywane u dostawcy i u dostawców modeli?

Wysor jest zbudowany tak, żeby te pytania miały prostą odpowiedź. Działamy jako podmiot przetwarzający, wyłącznie na polecenie klienta (art. 28 RODO), a podmiot przetwarzający nie może sprzedawać ani ponownie wykorzystywać tego, co przechowuje. Nie bierzemy żadnej licencji na ponowne wykorzystanie Twoich treści, przetwarzamy je tylko po to, żeby świadczyć Ci usługę. Nigdy na nich nie trenujemy i nigdy ich nie sprzedajemy, ani w postaci jawnej, ani zanonimizowanej. Te zobowiązania są zapisane w umowie i wiążą każdego, kto kiedykolwiek mógłby przejąć Wysor. Dane są szyfrowane w tranzycie i w spoczynku, hostowane w UE, a każdy podłączony dostawca modeli AI działa z zerową retencją danych: przetwarza i usuwa. W jednym miejscu masz kilka modeli, w tym GPT, Claude i Gemini. Więcej o korzystaniu z AI zgodnie z RODO znajdziesz na stronie AI zgodne z RODO.

Najczęstsze pytania

Co to jest RODO w skrócie? RODO to unijne rozporządzenie o ochronie danych osobowych (2016/679), stosowane od 25 maja 2018 r. Określa, kiedy wolno przetwarzać dane osobowe, jakie prawa mają ludzie i jakie obowiązki mają firmy oraz instytucje.

Co oznacza skrót RODO? RODO to skrót od „Rozporządzenie o Ochronie Danych Osobowych”. W języku angielskim ten sam akt nazywa się General Data Protection Regulation, w skrócie GDPR.

Kogo dotyczy RODO? Każdego, kto zawodowo lub w ramach działalności przetwarza dane osobowe: przedsiębiorców, lekarzy, prawników, szkoły, urzędy i organizacje. Nie dotyczy działań czysto osobistych lub domowych.

Kto kontroluje przestrzeganie RODO w Polsce? Prezes Urzędu Ochrony Danych Osobowych (UODO). Przyjmuje skargi, prowadzi kontrole i może nakładać kary administracyjne.

Czy RODO chroni dane zanonimizowane? Nie. Zgodnie z motywem 26 RODO dane, które nie dotyczą już możliwej do zidentyfikowania osoby, są poza zakresem rozporządzenia. Dlatego mogą być legalnie dalej wykorzystywane i sprzedawane.

Czytaj dalej

Masz pytania o RODO i AI w swojej pracy? Napisz na [email protected] lub skorzystaj z formularza kontaktowego w aplikacji.

Wypróbuj Wysor za darmo →