RODO / GDPR

RODO (Rozporządzenie o Ochronie Danych Osobowych), po angielsku GDPR (General Data Protection Regulation), to unijne rozporządzenie 2016/679, które reguluje, jak organizacje mogą zbierać i wykorzystywać dane osobowe ludzi. Parlament Europejski przyjął je 27 kwietnia 2016 r., a obowiązuje od 25 maja 2018 r. we wszystkich krajach Unii Europejskiej. Jako rozporządzenie działa wprost — nie trzeba go przepisywać do prawa krajowego, choć kraje mogą dodać własne uściślenia (w Polsce m.in. ustawa o ochronie danych osobowych z 2018 r.).

Czego dotyczy RODO i kogo obejmuje?

RODO chroni dane osobowe — czyli każdą informację o konkretnej osobie lub o kimś, kogo da się rozpoznać. To nie tylko imię i nazwisko: także identyfikator, adres IP, dane o lokalizacji czy identyfikatory online. Osobno wyróżnia dane wrażliwe (np. o zdrowiu, pochodzeniu, poglądach, dane biometryczne), które chroni surowiej (art. 9).

Przepisy obowiązują szeroko (art. 3). Dotyczą firm i instytucji działających w UE, ale też organizacji spoza Unii, jeśli oferują towary lub usługi osobom w UE albo śledzą ich zachowanie. RODO rozróżnia dwie role. Administrator decyduje, po co i jak przetwarza dane. Podmiot przetwarzający robi to w imieniu administratora, na podstawie umowy powierzenia (art. 28) — tak działa np. dostawca chmury czy zewnętrzna firma IT.

Jakie są zasady przetwarzania danych według art. 5 RODO?

Artykuł 5 ustala siedem zasad. Administrator musi ich przestrzegać i umieć to wykazać:

1. Zgodność z prawem, rzetelność i przejrzystość — trzeba mieć podstawę prawną, działać uczciwie i jasno informować osobę, co się dzieje z jej danymi.
2. Ograniczenie celu — dane zbiera się w konkretnym, z góry określonym celu, a nie „na wszelki wypadek”.
3. Minimalizacja danych — bierze się tylko tyle danych, ile naprawdę potrzeba.
4. Prawidłowość — dane mają być poprawne i w razie potrzeby aktualizowane.
5. Ograniczenie przechowywania — nie trzyma się danych dłużej, niż jest to potrzebne.
6. Integralność i poufność — dane trzeba zabezpieczyć przed nieuprawnionym dostępem, utratą i zniszczeniem.
7. Rozliczalność — administrator odpowiada za zgodność i musi umieć ją udokumentować.

Rozliczalność spina całość. Nie wystarczy działać zgodnie z prawem — trzeba to umieć udowodnić: rejestrem czynności przetwarzania (art. 30), ocenami skutków i politykami.

Jakie są podstawy prawne przetwarzania danych (art. 6)?

Nie wolno przetwarzać danych „ot tak”. Każde przetwarzanie musi opierać się na co najmniej jednej z sześciu podstaw z art. 6:

• Zgoda — dobrowolna, konkretna, świadoma i jednoznaczna; można ją wycofać w każdej chwili.
• Wykonanie umowy — gdy dane są potrzebne, by zrealizować umowę lub przygotować ją do zawarcia.
• Obowiązek prawny — gdy przetwarzania wymaga prawo (np. przepisy podatkowe czy kadrowe).
• Żywotne interesy — ochrona życia lub zdrowia człowieka.
• Zadanie w interesie publicznym lub w ramach sprawowania władzy publicznej.
• Prawnie uzasadniony interes administratora lub kogoś trzeciego — o ile nie przeważają nad nim prawa i wolności osoby (wymaga to testu równowagi).

Dane szczególnych kategorii (art. 9) mają węższy zestaw przesłanek — np. wyraźną zgodę, przepisy prawa pracy albo cele medyczne.

Jakie prawa przysługują osobie, której dane dotyczą?

RODO daje ludziom konkretne prawa wobec swoich danych:

• Prawo do informacji (art. 13–14) i dostępu do danych (art. 15).
• Prawo do sprostowania błędnych danych (art. 16).
• Prawo do usunięcia danych — tzw. „prawo do bycia zapomnianym” (art. 17).
• Prawo do ograniczenia przetwarzania (art. 18).
• Prawo do przenoszenia danych w czytelnym, powszechnie używanym formacie (art. 20).
• Prawo do sprzeciwu wobec przetwarzania, w tym wobec marketingu bezpośredniego (art. 21).
• Prawo do niepodlegania decyzjom podejmowanym wyłącznie automatycznie, w tym profilowaniu (art. 22).

Jakie są obowiązki bezpieczeństwa według art. 32 RODO?

Artykuł 32 mówi, że administrator i podmiot przetwarzający muszą wdrożyć odpowiednie środki techniczne i organizacyjne — dopasowane do tego, jak duże jest ryzyko. RODO wprost wymienia:

• pseudonimizację i szyfrowanie danych osobowych,
• zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów,
• zdolność do szybkiego przywrócenia dostępu do danych po awarii lub incydencie,
• proces regularnego testowania i oceny, czy te środki naprawdę działają.

RODO nie narzuca konkretnych technologii. Stosuje podejście oparte na ryzyku (risk-based) i każe brać pod uwagę stan wiedzy technicznej, koszt wdrożenia oraz powagę zagrożeń dla praw ludzi.

Jak działa zgłaszanie naruszeń ochrony danych?

Naruszenie ochrony danych (data breach) to incydent, w którym dane zostają przypadkowo lub bezprawnie zniszczone, utracone, zmienione albo ujawnione osobie nieuprawnionej. RODO przewiduje tu dwie ścieżki:

• Zgłoszenie do organu nadzorczego (art. 33) — bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od wykrycia naruszenia. Wyjątek: gdy jest mało prawdopodobne, by naruszenie groziło prawom i wolnościom osób. W Polsce organem jest PUODO (Prezes Urzędu Ochrony Danych Osobowych).
• Zawiadomienie samych osób, których dane dotyczą (art. 34) — gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności.

Te 72 godziny mają realne konsekwencje techniczne. Żeby zdążyć, trzeba umieć szybko wykryć incydent i ocenić jego zasięg — to już nie jest tylko sprawa prawna, lecz operacyjna. Tu RODO styka się wprost z monitoringiem bezpieczeństwa.

Kim jest inspektor ochrony danych (DPO)?

Inspektor ochrony danych (Data Protection Officer, IOD/DPO) to osoba, która pilnuje, by przetwarzanie było zgodne z RODO. Trzeba go powołać (art. 37), gdy: dane przetwarza organ lub podmiot publiczny; główna działalność polega na regularnym, systematycznym monitorowaniu osób na dużą skalę; albo główna działalność polega na przetwarzaniu na dużą skalę danych wrażliwych. DPO działa niezależnie, doradza i jest punktem kontaktowym dla organu nadzorczego.

Jakie są kary za naruszenie RODO?

RODO przewiduje administracyjne kary pieniężne w dwóch progach (art. 83):

• Próg niższy: do 10 mln EUR lub 2% rocznego światowego obrotu (liczy się wyższa kwota) — np. za braki w rejestrach, słabe zabezpieczenia czy uchybienia podmiotu przetwarzającego.
• Próg wyższy: do 20 mln EUR lub 4% rocznego światowego obrotu (liczy się wyższa kwota) — za złamanie zasad przetwarzania, brak podstawy prawnej, naruszenie praw osób czy zasad transferu danych poza EOG.

Najwyższa dotychczas kara nałożona na podstawie RODO wyniosła 1,2 mld EUR i została nałożona w 2023 r. na Meta Platforms Ireland w związku z przekazywaniem danych użytkowników z UE/EOG do USA. Do innych wysokich kar należą m.in. Amazon (746 mln EUR), Meta/Instagram (405 mln EUR), TikTok (345 mln EUR) i WhatsApp (225 mln EUR). Poza karami osoba poszkodowana ma też prawo do odszkodowania za szkodę (art. 82).

Jak RODO ma się do ISO 27001 i NIS2?

RODO mówi, co trzeba osiągnąć (bezpieczeństwo danych dopasowane do ryzyka), ale nie mówi, jak. ISO/IEC 27001 daje gotowe ramy zarządzania bezpieczeństwem informacji (ISMS) i często służy do spełnienia wymogów art. 32. Sam certyfikat nie jest jednak formalnym dowodem zgodności z RODO — to mocny argument przy wykazywaniu rozliczalności, ale nie zwolnienie z odpowiedzialności.

Dyrektywa NIS2 reguluje cyberbezpieczeństwo podmiotów kluczowych i ważnych i nakłada własne obowiązki, w tym zgłaszanie incydentów. NIS2 i RODO mogą patrzeć na ten sam incydent z różnych stron: NIS2 chroni ciągłość i bezpieczeństwo usług, RODO — prawa osób, których dane wyciekły. W praktyce jeden incydent może wymagać dwóch osobnych zgłoszeń.

Dlaczego RODO jest istotne dla monitoringu i bezpieczeństwa sieci?

RODO to akt prawny, ale ma bardzo konkretne skutki techniczne. Zasada integralności i poufności (art. 5), środki z art. 32 i 72-godzinny termin zgłoszenia (art. 33) wymagają, żeby umieć wykryć naruszenie, sklasyfikować je i ocenić jego zasięg niemal na bieżąco. Pomagają w tym telemetria sieciowa, logi dostępu i monitoring ruchu — pozwalają ustalić, czy ktoś nieuprawniony dostał się do danych, jak daleko sięgnął i czy dane zostały wyniesione (eksfiltracja).

Jest tu jednak haczyk. Same dane telemetryczne — np. adresy IP czy identyfikatory online — często są danymi osobowymi w rozumieniu RODO. Dlatego sam monitoring bezpieczeństwa też musi być zgodny z rozporządzeniem: mieć podstawę prawną, zbierać tylko to, co potrzebne, i nie trzymać logów dłużej niż trzeba.

Dowiedz się więcej

• Compliance i regulacje z Sycope — Opisuje spełnianie wymogów zgodności, w tym zasad ochrony danych osobowych z RODO.
• Data Retention — Retencja danych musi uwzględniać ograniczenie przechowywania danych osobowych wymagane przez RODO.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędy konfiguracji sieci mogą osłabiać ochronę danych osobowych i naruszać wymagania RODO.
• Data mining — Analiza danych musi uwzględniać legalność przetwarzania danych osobowych zgodnie z RODO.
• Shadow IT — Shadow IT utrudnia kontrolę przetwarzania danych osobowych i zgodność z RODO.
• Man-in-the-Middle (MitM) — Ataki MitM mogą ujawnić dane osobowe, co stanowi ryzyko naruszenia RODO.
• Deep Packet Inspection — DPI wspiera kontrolę ruchu, ale musi uwzględniać zasady ochrony danych z RODO.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Monitoring sieci pomaga wykrywać incydenty wpływające na bezpieczeństwo danych objętych RODO.