Kogo obowiązuje RODO i kiedy należy stosować przepisy?

Odpowiedź w skrócie: kogo obowiązuje RODO? Podmioty publiczne i prywatne, które przetwarzają dane osób fizycznych w związku z działalnością w UE. Obejmuje to organizacje z siedzibą w Unii bez względu na lokalizację przetwarzania oraz podmioty spoza UE, które kierują ofertę do osób w UE lub monitorują ich zachowanie w Unii. RODO obowiązuje od 25 maja 2018 r. we wszystkich krajach UE, chroni osoby fizyczne w zakresie przetwarzania danych i zapewnia swobodny przepływ danych. Wyłączone są czynności osobiste lub domowe, wybrane obszary poza zakresem prawa UE i niektóre działania w obszarze bezpieczeństwa oraz dane osób zmarłych i osób prawnych. Aby przesądzić kiedy należy stosować przepisy, trzeba sprawdzić, czy przetwarzane są dane osobowe, czy istnieje związek z UE oraz czy nie zachodzi ustawowy wyjątek [1][2][3][4][5].

Czym jest RODO i od kiedy obowiązuje?

RODO to podstawowy akt prawa Unii regulujący przetwarzanie danych osobowych oraz prawa osób, których dane dotyczą, przy jednoczesnym zapewnieniu swobodnego przepływu danych w UE. Rozporządzenie stosuje się od 25 maja 2018 r. we wszystkich państwach członkowskich [5][1].

Kogo obowiązuje RODO?

RODO obejmuje podmioty publiczne i prywatne pełniące funkcję administratorów lub podmiotów przetwarzających, jeżeli w ich działalności dochodzi do przetwarzania danych osobowych. Co do zasady dotyczy to zdecydowanej większości procesów przetwarzania danych wykonywanych w ramach działalności organizacji [1][2].

Rozporządzenie stosuje się do informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Nie dotyczy to danych osób prawnych jako takich, ani danych osób zmarłych, w zakresie wskazanym przez prawo unijne i krajowe [1].

Jak działa zakres terytorialny RODO?

Zasięg terytorialny opiera się na dwóch filarach określanych jako kryterium ustanowienia oraz kryterium targetowania. Pierwsze z nich oznacza, że jeżeli administrator lub podmiot przetwarzający ma siedzibę lub stałe miejsce prowadzenia działalności w UE, RODO znajduje zastosowanie niezależnie od miejsca fizycznego przetwarzania danych. Drugie polega na objęciu rozporządzeniem podmiotów spoza UE, które oferują towary lub usługi osobom w Unii lub monitorują ich zachowanie na terytorium Unii [3][2][1].

Kiedy należy stosować przepisy?

Praktyczny test stosowania RODO ma trzy kroki, które pomagają precyzyjnie określić kiedy należy stosować przepisy [1][3][4]:

• Czy przetwarzane są dane osobowe, czyli informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej [1]?
• Czy występuje związek z UE poprzez kryterium ustanowienia lub targetowania, to znaczy siedziba w UE albo oferowanie towarów lub usług osobom w UE lub monitorowanie ich zachowania w Unii [3][2][1]?
• Czy nie zachodzi wyjątek wyłączający stosowanie rozporządzenia, w szczególności czynności czysto osobiste lub domowe, określone działania pozostające poza zakresem prawa UE oraz wybrane obszary związane z bezpieczeństwem i polityką zagraniczną, a także przetwarzanie dotyczące danych osób zmarłych lub danych osób prawnych w zakresie wskazanym w prawie [4][1]?

Jakie przetwarzanie danych obejmuje RODO?

Rozporządzenie ma zastosowanie do większości czynności wykonywanych na danych osobowych w kontekście działalności organizacji. Obejmuje to operacje takie jak zbieranie, utrwalanie, porządkowanie, przechowywanie, dopasowywanie, ograniczanie, usuwanie czy ujawnianie danych, jeżeli mają one związek z osobami fizycznymi. W praktyce, gdy organizacja gromadzi, przechowuje, analizuje lub udostępnia dane osobowe, powinna ocenić zgodność z RODO [1].

Jakie są główne wyjątki spod stosowania RODO?

Rozporządzenia nie stosuje się do czynności czysto osobistych lub domowych. Poza zakresem znajdują się ponadto działania niezwiązane z prawem Unii oraz wybrane obszary dotyczące bezpieczeństwa narodowego i polityki zagranicznej państw członkowskich. RODO nie obejmuje również danych osób zmarłych oraz nie dotyczy danych osób prawnych jako takich, w zakresie określonym w prawie [4][1][2].

Czy siedziba w UE oznacza stosowanie RODO niezależnie od miejsca przetwarzania?

Tak. Jeżeli administrator lub podmiot przetwarzający jest ustanowiony w UE, RODO stosuje się bez względu na to, gdzie fizycznie zlokalizowane są systemy lub dostawcy przetwarzający dane. Decydujący jest związek z rynkiem unijnym wynikający z ustanowienia, a nie sama lokalizacja serwera czy infrastruktury [1][2][3].

Czy podmioty spoza UE muszą stosować RODO?

Tak, jeśli ich działalność polega na oferowaniu towarów lub usług osobom przebywającym w Unii lub na monitorowaniu ich zachowania na terytorium UE. W obu sytuacjach powstaje obowiązek stosowania rozporządzenia w zakresie tych operacji przetwarzania, które dotyczą osób w UE [2][1][3].

Dlaczego rozdzielenie „kto” i „kiedy” ma znaczenie dla zgodności?

Skuteczna zgodność zaczyna się od dwóch pytań: kogo obowiązuje RODO oraz kiedy należy stosować przepisy. Ponieważ rozporządzenie obejmuje większość procesów przetwarzania danych osobowych, zwłaszcza w działalności związanej z usługami, handlem, marketingiem, analityką i monitorowaniem, właściwe rozpoznanie kryteriów ustanowienia i targetowania oraz wyjątków pozwala ograniczyć ryzyka prawne i operacyjne [1][3][4].

Jak łączyć obowiązki RODO z realiami operacyjnymi organizacji?

W pierwszej kolejności należy ustalić, czy w procesach występują dane osobowe i jaka jest rola organizacji wobec tych danych. Następnie trzeba ustalić zasięg terytorialny, czyli czy wchodzi w grę ustanowienie w UE albo targetowanie osób w UE. Na końcu należy zbadać, czy dany proces nie wchodzi do jednej z kategorii wyłączonych przez prawo. Taki porządek analizy ogranicza niepewność i ułatwia późniejsze działania wdrożeniowe [1][2][3][4][6].

Gdzie szukać oficjalnych wskazówek dotyczących stosowania RODO?

Podstawowe i wiarygodne wytyczne znajdują się w serwisach Komisji Europejskiej, portalu dla przedsiębiorców UE oraz w wytycznych Europejskiej Rady Ochrony Danych dotyczących zakresu terytorialnego. Krajowe portale informacyjne i urzędowe materiały pomagają w doprecyzowaniu wyjątków i praktyki stosowania przepisów [2][1][3][7][6].