Twoje dane (RODO)

Narzędzia

Twoje prawa

• Podstawa prawna przetwarzania

  GDPR Art. 6 · CELEX 32016R0679

  Organizacja może przetwarzać Twoje dane osobowe tylko wtedy, gdy ma jedną z sześciu podstaw prawnych: Twoją zgodę; wykonanie umowy z Tobą; obowiązek prawny; ochronę żywotnych interesów; zadanie w interesie publicznym; albo własny prawnie uzasadniony interes, wyważony wobec Twoich praw i wolności. Podstawę musi ustalić przed rozpoczęciem przetwarzania i wskazać, na którą się powołuje. Organy publiczne nie mogą powoływać się na prawnie uzasadniony interes w ramach swoich zadań, a podstawy nie wolno podmienić później, by uratować zakwestionowane wykorzystanie danych.

• Szczególne kategorie danych (dane wrażliwe)

  GDPR Art. 9 · CELEX 32016R0679

  Danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe czy przynależność do związków zawodowych — a także danych genetycznych, danych biometrycznych służących do identyfikacji oraz danych o zdrowiu, życiu seksualnym lub orientacji seksualnej — co do zasady w ogóle nie wolno przetwarzać. Staje się to zgodne z prawem tylko w wąskich wyjątkach: najczęściej przy Twojej wyraźnej zgodzie, na podstawie prawa pracy lub zabezpieczenia społecznego, dla ochrony żywotnych interesów, gdy sam(a) upubliczniłeś(-aś) te dane, dla dochodzenia roszczeń albo w opiece zdrowotnej sprawowanej przez osobę objętą tajemnicą zawodową. Zwykła zgoda ukryta w regulaminie tu nie wystarczy — musi być wyraźna.

• Co muszą Ci powiedzieć (obowiązek informacyjny)

  GDPR Art. 13, Art. 14 · CELEX 32016R0679

  Organizacja musi z własnej inicjatywy — bez pytania z Twojej strony — powiedzieć Ci, kim jest, po co przetwarza Twoje dane, na jakiej podstawie prawnej, kto otrzymuje dane, jak długo je przechowuje, czy trafiają poza UE, czy decyzje o Tobie są zautomatyzowane oraz jakie masz prawa, w tym prawo wycofania zgody i wniesienia skargi do organu nadzorczego. Jeśli zebrała dane bezpośrednio od Ciebie, musi to zrobić w momencie ich zbierania. Jeśli pozyskała je skądinąd — od brokera danych, z rejestru publicznego, od innej firmy — musi dodatkowo wskazać źródło, w rozsądnym terminie, najpóźniej w ciągu miesiąca, albo przy pierwszym kontakcie z Tobą, jeśli nastąpi wcześniej.

• Prawo dostępu

  GDPR Art. 15 · CELEX 32016R0679

  Możesz zapytać każdą firmę lub organizację, czy przetwarza Twoje dane osobowe, i otrzymać ich kopię wraz z celami, kategoriami, odbiorcami, okresem przechowywania i źródłem. Odpowiedź musi nadejść w ciągu miesiąca (z możliwością przedłużenia o kolejne dwa miesiące w sprawach złożonych, art. 12 ust. 3) i jest co do zasady bezpłatna.

• Prawo do sprostowania

  GDPR Art. 16 · CELEX 32016R0679

  Możesz żądać od organizacji niezwłocznego sprostowania nieprawidłowych danych osobowych, które Cię dotyczą, oraz uzupełnienia danych niekompletnych.

• Prawo do usunięcia danych („prawo do bycia zapomnianym”)

  GDPR Art. 17 · CELEX 32016R0679

  Możesz żądać usunięcia swoich danych osobowych, a organizacja musi to zrobić bez zbędnej zwłoki — chyba że zachodzi wyjątek, np. prawny obowiązek przechowywania danych (choćby podatkowy), wolność wypowiedzi albo obrona roszczeń. Odmowa musi być uzasadniona; „po prostu nie chcemy” nie jest podstawą.

• Prawo do przenoszenia danych

  GDPR Art. 20 · CELEX 32016R0679

  Możesz otrzymać dane osobowe, które dostarczyłeś usłudze, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i przenieść je do innego dostawcy. Dotyczy to danych przetwarzanych automatycznie na podstawie zgody lub umowy; transfer bezpośrednio między dostawcami — tylko gdy jest to technicznie wykonalne.

• Prawo do sprzeciwu

  GDPR Art. 21 · CELEX 32016R0679

  Możesz sprzeciwić się przetwarzaniu opartemu na „prawnie uzasadnionych interesach” oraz każdemu przetwarzaniu na potrzeby marketingu bezpośredniego. Przy marketingu bezpośrednim organizacja musi po prostu przestać; w pozostałych przypadkach — chyba że wykaże ważne, nadrzędne podstawy.

• Prawo do ograniczenia przetwarzania

  GDPR Art. 18 · CELEX 32016R0679

  Zamiast usunięcia możesz żądać zamrożenia przetwarzania: organizacja może nadal przechowywać Twoje dane, ale poza tym nie wolno jej nic z nimi robić. Możesz tego żądać, gdy kwestionujesz prawidłowość danych i trwa ich weryfikacja, gdy przetwarzanie jest niezgodne z prawem, a Ty wolisz ograniczenie niż usunięcie, gdy organizacja nie potrzebuje już danych, ale Ty potrzebujesz ich do dochodzenia roszczeń, albo gdy trwa ocena Twojego sprzeciwu z art. 21. W czasie ograniczenia cokolwiek poza przechowywaniem jest dopuszczalne tylko za Twoją zgodą, dla dochodzenia roszczeń, dla ochrony praw innej osoby lub z uwagi na ważny interes publiczny — a o uchyleniu ograniczenia organizacja musi Cię uprzedzić.

• Decyzje zautomatyzowane i profilowanie

  GDPR Art. 22 · CELEX 32016R0679

  Masz prawo nie podlegać decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli wywołuje ona wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływa — automatyczna odmowa kredytu, algorytmiczne odrzucenie kandydatury, automatyczne zamknięcie konta. Taka decyzja jest dopuszczalna tylko wtedy, gdy jest niezbędna do zawarcia lub wykonania umowy, dozwolona przez prawo UE lub krajowe z zabezpieczeniami, albo oparta na Twojej wyraźnej zgodzie; w przypadku umowy i zgody zawsze możesz żądać interwencji człowieka, przedstawić własne stanowisko i zakwestionować rozstrzygnięcie. Sam scoring wystawiony przez biuro informacji kredytowej może być taką decyzją, jeżeli firma, która go otrzymuje, w decydującym stopniu się nim kieruje (TSUE, SCHUFA, C-634/21).

• Ważna zgoda

  GDPR Art. 7, Art. 4(11) · CELEX 32016R0679

  Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona wyraźnym działaniem potwierdzającym. Zaznaczone z góry pola nie są ważną zgodą (TSUE, Planet49, C-673/17). Wycofanie zgody musi być równie łatwe jak jej wyrażenie — ukryty lub wieloetapowy „odrzuć” obok jednoklikowego „akceptuj” nie spełnia tego testu.

• Przejrzystość w pracy (monitoring pracowników)

  GDPR Art. 5(1)(a), Art. 88 · CELEX 32016R0679

  Dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i przejrzyście — niejawny monitoring pracowników jest zgodny z prawem tylko wyjątkowo, a o monitoringu co do zasady trzeba poinformować zanim się zacznie (w Polsce: art. 22² Kodeksu pracy). Szczegółowe zasady dla danych pracowniczych ustala prawo krajowe na podstawie art. 88 i różnią się one między państwami.

• Obowiązki odpowiedzi i terminy

  GDPR Art. 12 · CELEX 32016R0679

  Gdy korzystasz z prawa dotyczącego danych, organizacja musi odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (termin można przedłużyć o kolejne dwa miesiące w sprawach złożonych — o przedłużeniu muszą Cię poinformować). Jeśli odmawia, musi podać przyczyny oraz poinformować o prawie do skargi do organu nadzorczego i do środka ochrony prawnej przed sądem. Komunikacja musi być zwięzła, przejrzysta i napisana prostym językiem.

• Wyjątki od usunięcia danych

  GDPR Art. 17(3) · CELEX 32016R0679

  Odmowa usunięcia danych jest zgodna z prawem tylko wtedy, gdy przetwarzanie jest niezbędne do: korzystania z wolności wypowiedzi i informacji; wywiązania się z obowiązku prawnego lub zadania w interesie publicznym; ochrony zdrowia publicznego; archiwizacji w interesie publicznym, badań naukowych lub historycznych albo statystyki; bądź ustalenia, dochodzenia lub obrony roszczeń. Firma musi wskazać, na który wyjątek się powołuje — sama odmowa nie wystarczy.

• Prawo do skargi do organu nadzorczego

  GDPR Art. 77 · CELEX 32016R0679

  Jeśli uważasz, że Twoje prawa do ochrony danych zostały naruszone, możesz złożyć skargę do organu nadzorczego — w państwie, w którym mieszkasz, pracujesz albo w którym doszło do naruszenia. Skarga jest bezpłatna i nie wymaga prawnika.

• Naruszenie ochrony danych — kogo i kiedy trzeba powiadomić

  GDPR Art. 33, Art. 34 · CELEX 32016R0679

  Gdy dojdzie do naruszenia ochrony danych osobowych — wycieku, kradzieży, zmiany lub utraty — organizacja musi zgłosić je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie zagrażało prawom osób. Jeżeli naruszenie może powodować wysokie ryzyko dla Ciebie osobiście, organizacja musi zawiadomić także Ciebie — bez zbędnej zwłoki i prostym językiem: co się stało, jakie są prawdopodobne konsekwencje i co robi w reakcji. Może odstąpić od zawiadomienia Cię tylko wtedy, gdy dane były nieczytelne dla osoby, która je przejęła (np. właściwie zaszyfrowane), gdy podjęła następnie środki eliminujące wysokie ryzyko, albo — jeśli indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku — zastępując je publicznym komunikatem.

• Droga sądowa i odszkodowanie

  GDPR Art. 79, Art. 82 · CELEX 32016R0679

  Oprócz skargi do organu możesz pozwać organizację bezpośrednio — przed sądem państwa, w którym ma ona siedzibę, albo państwa Twojego zwykłego pobytu — i żądać odszkodowania za szkodę majątkową (realnie utracone pieniądze) lub niemajątkową (na przykład za doznaną krzywdę). Organizacja uwolni się od odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za szkodę. Samo naruszenie nie daje automatycznie prawa do pieniędzy: trzeba wykazać, że szkoda rzeczywiście wystąpiła, choć nie musi ona osiągnąć żadnego progu istotności (TSUE, Österreichische Post, C-300/21). Skarga do organu i pozew to niezależne drogi — możesz skorzystać z obu.