Rozporządzenie RODO: co to jest, pełna nazwa i dane pracowników

Czym jest RODO?

Ogólne Rozporządzenie o Ochronie Danych (RODO) to zbiór przepisów mających zwiększać ochronę danych osobowych, ustanowiony przez Unię Europejską w 2016 roku, który w Polsce wszedł w życie 25 maja 2018 roku.

Pełna nazwa rozporządzenia brzmi: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Zawiera ono szczegółowe wymogi dla przedsiębiorstw oraz organizacji dotyczące gromadzenia danych osobowych, przechowywania i zarządzania nimi. Ma zastosowanie zarówno do europejskich organizacji przetwarzających dane osobowe osób fizycznych w UE, jak i do organizacji spoza UE przetwarzających dane osobowe mieszkańców Unii.

Dlaczego powstały przepisy RODO?

Przepisy RODO chronią podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. Powstały jako odpowiedź na rosnącą potrzebę ochrony danych użytkowników technologii cyfrowych, Internetu i mediów społecznościowych. Jednolite prawo na terenie państw członkowskich UE zapewnia wszystkim mieszkańcom Unii jednakowy poziom ochrony danych, transparentność oraz ułatwia dochodzenie sprawiedliwości, gdy dojdzie do naruszeń w zakresie bezpieczeństwa danych.

Wymagania RODO

Zgodnie z art. 5 rozporządzenia RODO, dane osobowe muszą być:

przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą;
zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;
adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane;
prawidłowe i w razie potrzeby uaktualniane lub usuwane bądź prostowane;
przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane;
przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Dane osobowe mogą być przechowywane przez okres dłuższy, niż wymagany, o ile będą służyć one celom archiwalnym, statystycznym lub naukowym, ale z zastrzeżeniem, że będą odpowiednio chronione.

Każdy administrator danych w organizacji, odpowiedzialny za przestrzeganie przepisów, musi być w stanie udowodnić ich przestrzeganie. Do jego obowiązków należy też zadbanie o udzielanie rzetelnych informacji o statusie danych oraz dokumentowanie zgód użytkowników. W przypadku wycofania lub wygaśnięcia zgody na przetwarzanie danych administrator dba o ich usunięcie z zasobów organizacji.

Jakie wyzwania stawia RODO przed firmami?

Oto niektóre z kluczowych wyzwań, które RODO stawia przed firmami:

Firmy muszą mieć ważną podstawę prawną dla każdego przetwarzania danych. Jeśli tą podstawą jest zgoda (np. klienta albo kandydata na udział w przyszłych rekrutacjach), musi być wyraźna, świadoma, jednoznaczna i łatwa do wycofania.
RODO daje osobom możliwość żądania usunięcia ich danych, co oznacza, że firmy powinny posiadać opracowane skuteczne metody identyfikacji i usuwania danych ze wszystkich swoich systemów. Podobnie rzecz ma się z prawem do dostępu do danych i ich edycji lub ograniczenia przetwarzania.
Firmy muszą wdrażać środki ochrony danych już na etapie projektowania systemów oraz domyślnie zapewniać wysoki poziom ochrony, np.: ustalić procedury umożliwiające reagowanie na incydenty bezpieczeństwa. Za naruszenia przepisów firmom grożą znaczące kary.
RODO wymaga od firm zapewnienia odpowiedniego poziomu ochrony danych przy przekazywaniu danych poza UE.
Firma jest zobligowana do mianowania Inspektorów Ochrony Danych, jeśli:
- regularnie lub systematycznie monitoruje osoby fizyczne, bądź przetwarza szczególne kategorie danych;
- przetwarzanie danych stanowi główny przedmiot jej działalności;
- przetwarza dane na dużą skalę.
Firmy muszą nieustannie monitorować, oceniać i aktualizować swoje praktyki ochrony danych, aby utrzymać zgodność z RODO.

Aby sprostać tym wszystkim wyzwaniom, organizacje powinny:

✔️ podejść do tematu całościowo i przeorganizować swoje procesy pod kątem przepisów;

✔️ wprowadzić stosowne polityki bezpieczeństwa danych i ustanowić inspektora ochrony danych, jeśli to konieczne;

✔️ korzystać z narzędzi, które zapewniają zgodność z przepisami, np. wybrać platformę HR, która posiada odpowiednie funkcjonalności lub oprogramowanie umożliwiające szyfrowanie i anonimizację danych itp.;

✔️ edukować swoich pracowników, aby rozumieli oni znaczenie ochrony danych osobowych i wiedzieli, jak postępować zgodnie z RODO w codziennych operacjach.

Ogólne Rozporządzenie o Ochronie Danych (RODO): Podsumowanie

Ogólne rozporządzenie o ochronie danych osobowych to kamień milowy w ochronie prywatności, a jego rygorystyczne zapisy zapewniają wysoki poziom bezpieczeństwa. Zwiększa ono transparentność działań firm oraz daje większą kontrolę osobom, których dane dotyczą.

RODO stawia przed organizacjami szereg wyzwań. Jednak te, która odpowiednio zastosują się do jego zapisów, mogą liczyć na wzmocnienie swojej reputacji. Dbałość o bezpieczeństwo danych to atut, który buduje zaufanie między firmą, a jej klientami, pracownikami i kandydatami.

RODO a dane pracowników i kandydatów

W relacjach pracowniczych RODO działa razem z Kodeksem pracy. Art. 22¹ Kodeksu pracy określa, jakich danych pracodawca może żądać od kandydata (m.in. imię i nazwisko, dane kontaktowe, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia) i od pracownika. Inne dane można przetwarzać tylko w wyjątkowych sytuacjach, np. na podstawie zgody.

Sytuacja	Podstawa przetwarzania	Na co zwrócić uwagę
Rekrutacja	Art. 22¹ KP, zgoda na dodatkowe dane	Zgoda na udział w przyszłych rekrutacjach musi być osobna i z jasnym okresem
Zatrudnienie	Umowa o pracę i obowiązki prawne	Zgoda pracownika co do zasady nie jest potrzebna
Monitoring	Art. 22² i 22³ KP	Cel, zakres i sposób monitoringu należy określić w regulaminie i poinformować pracowników
Dostawcy usług	Umowa powierzenia przetwarzania	Dotyczy systemu HR, biura rachunkowego, agencji rekrutacyjnej

Kary za naruszenie RODO

Zgodnie z art. 83 RODO administracyjna kara pieniężna może wynieść do 20 mln euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. W Polsce kary nakłada Prezes Urzędu Ochrony Danych Osobowych. O naruszeniu ochrony danych należy powiadomić organ nadzorczy w ciągu 72 godzin od jego stwierdzenia.

RODO w PeopleForce

W Core HR dostęp do danych pracowników ustawia się za pomocą ról z uprawnieniami aż do pojedynczych pól profilu. W module Recruit dla każdego kandydata zapisywana jest zgoda na przetwarzanie danych ze statusem i terminem ważności. Sama platforma spełnia wymagania RODO.

Najczęstsze pytania

RODO co to jest?

RODO to unijne rozporządzenie o ochronie danych osobowych, stosowane w Polsce od 25 maja 2018 roku. Określa zasady przetwarzania danych osób fizycznych i ich prawa.

Jaka jest pełna nazwa RODO?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Kogo dotyczy RODO?

Każdej firmy i organizacji, która przetwarza dane osobowe osób w UE, niezależnie od wielkości. Dla pracodawcy oznacza to dane kandydatów, pracowników i współpracowników.