Organizacja, która zdecyduje się na skorzystanie ze zgody jako podstawy do przetwarzania danych osobowych, musi pamiętać o warunkach, jakich należy dochować przy jej odbieraniu. Zgoda wyrażana przez osobę fizyczną musi być jednoznaczna, świadoma i dobrowolna. Jeżeli przetwarzanie służy różnym celom, zgoda musi być udzielona na wszystkie te cele.
Odbierz pakiet bezpłatnych poradników i mikroszkoleń RODO
Jeżeli z kolei zgoda ma formę pisemną, to oświadczenia powinny być przechowywane przez organizację. Warto, aby organizacja prowadziła rejestr zgód. Pomocne w realizacji tego zadania mogą być dostępne na rynku programy do prowadzenia ewidencji. Dzięki rejestrowi jesteśmy w stanie szybko odszukać daną zgodę, jej treść i datę wyrażenia. Będzie to przydatne zwłaszcza, gdy osoba fizyczna zdecyduje się na realizację swoich praw.
Klauzule zgody:
Przykładowa klauzula zgody na przetwarzanie danych osobowych wyrażona dla spółki XYZ w zakresie uczestnictwa w przyszłych rekrutacjach: |
|
Badanie jakościowe konsumenta: |
Wyrażam zgodę na udział w badaniu dotyczącym opinii nt. produktów żywieniowych. |
Przykładowa klauzula zgody w zakresie przetwarzania danych przez aplikację medyczną: |
Wyrażam zgodę na przetwarzanie moich danych szczególnych kategorii w postaci danych o stanie zdrowia w celu korzystania z aplikacji „Żyj zdrowo”. |
Jedną z ważniejszych powinności spoczywających na administratorze danych osobowych jest konieczność dopełnienia obowiązku informacyjnego. Jak pokazują decyzje Prezesa Urzędu Ochrony Danych Osobowych (m.in. w sprawie firmy Bisnode), organ nadzorczy przywiązuje wagę nie tylko do spełnienia tego obowiązku, lecz także do treści klauzul. Przy tworzeniu klauzul warto posiłkować się wytycznymi Grupy Roboczej Art. 29 (obecnie Europejska Rada Ochrony Danych) w sprawie przejrzystości. Zgodnie z tymi zaleceniami klauzula powinna być czytelna i zrozumiała, co oznacza, że powinien ją zrozumieć przeciętny przedstawiciel grupy docelowych odbiorców. Informacje zawarte w klauzuli powinny być jak najbardziej precyzyjne. Należy unikać takich wyrazów określających, jak „może”, „niektóre”, „często” i „możliwe”. Co istotne, trzeba zadbać o właściwą strukturę akapitów i zdań, m.in. stosować wypunktowania i wcięcia, aby wskazać hierarchię partii tekstu.
Przykładowa klauzula dla pracownika
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: RODO) informujemy, że:
Administrator danych
Administratorem Pana/Pani danych jest spółka ABC z siedzibą w Warszawie, ul. ABC 2, 00-001 Warszawa.
Inspektor ochrony danych
W sprawach związanych z ochroną danych osobowych można kontaktować się z inspektorem ochrony danych pisemnie: za pośrednictwem poczty elektronicznej pod adresem e-mail: ........@...... lub poczty tradycyjnej pod adresem siedziby administratora danych.
Cele i podstawy przetwarzania
Przetwarzamy Pana/Pani dane osobowe na podstawie:
- art. 6 ust. 1 lit. b RODO w celu zawarcia i wykonywania umowy o pracę;
- art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b RODO w celu wykonania obowiązków wynikających z prawa pracy, przez co rozumiemy także:
- wykonywanie obowiązków z zakresu BHP,
- rozliczanie wszelkich należności,
- zgłaszanie pracowników do odpowiednich urzędów,
- archiwizowanie akt osobowych,
- wykonywanie obowiązków względem ZUS, urzędów skarbowych czy NFZ,
- ocenę zdolności pracownika do pracy,
- wypełnienie obowiązku prawnego wynikającego z art. 8 ustawy z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (t.j. Dz.U. z 2019 r. poz. 1352 ze zm.) oraz z regulaminu ZFŚS;
- art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO w celach wskazanych w treści zgód na przetwarzanie danych osobowych – jeśli takie zgody były wyrażane;
- 6 ust. 1 lit. c RODO w zakresie pozyskiwania informacji o niekaralności zgodnie z ustawą z dnia 12 kwietnia 2018 r. o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego (Dz.U. z 2018 r. poz. 1130) [UWAGA: na tej podstawie dane mogą przetwarzać jedynie podmioty wskazane w ustawie o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego];
- art. 6 ust. 1 lit. f RODO w celu realizacji prawnie uzasadnionego interesu administratora, tj.:
- dochodzenia ewentualnych roszczeń związanych z zawartą umową o pracę,
- stosowania monitoringu wizyjnego/monitoringu poczty elektronicznej/monitoringu Internetu/monitoringu lokalizacji pojazdów służbowych,
- realizacji umów z klientami, kontrahentami i dostawcami organizacji.
Odbiorcy danych
Dane osobowe mogą być przekazywane następującym odbiorcom danych:
- bankom – w celu wypłaty wynagrodzeń;
- organom państwowym (np. ZUS, urzędom skarbowym i innym uprawnionym na podstawie przepisów prawa) – w celu wykonania obowiązków ciążących na administratorze;
- podmiotom przyznającym benefity pracownikom;
- podmiotom świadczącym usługi grupowego ubezpieczenia pracowników i współpracowników;
- podmiotom świadczącym usługi pocztowe (tj. Poczcie Polskiej i kurierom);
- podmiotom obsługującym nasze systemy teleinformatyczne (tj. firmom hostingowym, dostawcom usług IT);
- podmiotom świadczącym dla nas usługi z zakresu pomocy prawnej, kadrowej, księgowości, podatków lub usługi doradcze.
Czas przetwarzania danych
Pana/Pani dane osobowe będą przechowywane przez okres zatrudnienia oraz po ustaniu okresu zatrudnienia:
- do momentu przedawnienia roszczeń z tytułu umowy o pracę m.in. zgodnie z art. 291 Kodeksu pracy, tj. co do zasady przez 3 lata, a w zakresie umów cywilnoprawnych m.in. zgodnie z art. 118 Kodeksu cywilnego, tj. co do zasady przez 3 lata;
- do momentu wygaśnięcia obowiązku ich archiwizacji, tj. akta kadrowe są archiwizowane przez 50 lat od dnia zakończenia pracy przez ubezpieczonego pracownika bądź do 10 lat m.in. dla umów zawieranych po 1 stycznia 2019 r.;
- dane osobowe zawarte w dokumentacji, na podstawie której przyznano świadczenia z ZFŚS, oraz w pozostałej dokumentacji, np. we wnioskach pracowników o świadczenia, będą przechowywane przez 5 lat;
- do dnia wniesienia uzasadnionego sprzeciwu lub cofnięcia zgody, w sytuacji gdy podstawą przetwarzania danych osobowych jest prawnie uzasadniony interes administratora lub dobrowolna zgody osoby, której dane dotyczą;
- nagrania z monitoringu wizyjnego będą przechowywane przez okres do 3 miesięcy, a jeśli będzie to niezbędne do ustalenia, dochodzenia lub obrony roszczeń – do czasu ostatecznego zaspokojenia dochodzonych roszczeń lub upływu terminu ich przedawnienia.
Prawa osób, których dane dotyczą
Przysługuje Panu/Pani (w sytuacjach wskazanych przepisami RODO):
- prawo dostępu do danych;
- prawo żądania sprostowania danych;
- prawo do usunięcia danych;
- prawo do ograniczenia przetwarzania;
- prawo do wyrażenia sprzeciwu wobec przetwarzania danych z przyczyn związanych z Pana/Pani szczególną sytuacją, zgodnie z art. 21 RODO;
- w zakresie, w jakim podstawą przetwarzania Pana/Pani danych osobowych jest zgoda wyrażona na podstawie przepisów RODO – prawo do wycofania takiej zgody. Wycofanie zgody nie ma wpływu na przetwarzanie, którego dokonano przed jej wycofaniem;
- prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), gdy uzna Pan/Pani, że przetwarzanie Pana/Pani danych osobowych narusza przepisy RODO.
Czy musi Pan/Pani podawać swoje dane osobowe?
Praktyczny kurs IOD
potwierdzi Twoje wysokie kompetencje
Przekazywanie danych osobowych do państw trzecich
Pana/Pani dane osobowe nie będą przekazywane do państw trzecich, a więc poza teren Unii Europejskiej.
Zautomatyzowane przetwarzanie, w tym profilowanie
Pana/Pani dane osobowe nie będą przetwarzane w sposób zautomatyzowany (w tym w formie profilowania), mogący wywoływać wobec Pana/Pani skutki prawne lub w podobny sposób istotnie wpływać na Pana/Pani sytuację.
Klauzula - ogólny wzór
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: RODO) informujemy, że:
- Administratorem Pana/Pani danych osobowych jest ……… [nazwa administratora danych osobowych] z siedzibą w ……… [adres].
- W sprawach związanych z ochroną danych osobowych można kontaktować się z inspektorem ochrony danych, pisząc na adres e-mail ……… [e-mail lub inne dane kontaktowe] lub adres siedziby.
- Pana/Pani dane osobowe będą przetwarzane w celu ……… [cel przetwarzania], na podstawie ……. [podstawa prawna przetwarzania, np. art. 6 ust. 1 lit. a (b, d, e lub f) RODO. w razie podania art. 6 ust. 1 lit. f RODO należy wskazać uzasadniony interes administratora danych lub strony trzeciej].
- Odbiorcami Pana/Pani danych osobowych będą następujące podmioty: ……… [można wskazać kategorie odbiorców bądź konkretne podmioty].
- Pana/Pani dane osobowe będą przechowywane przez okres ……… [jeżeli nie ma możliwości wskazania sprecyzowanego okresu przechowywania, należy podać kryterium ustalania tego okresu, np. do czasu wyłonienia zwycięzcy konkursu, do czasu zakończenia rekrutacji itd.].
- Posiada Pan/Pani prawo:
- dostępu do swoich danych osobowych,
- sprostowania swoich danych osobowych,
- usunięcia swoich danych osobowych,
- ograniczenia przetwarzania swoich danych osobowych,
- cofnięcia zgody na przetwarzanie danych osobowych przez ……… [jeśli to możliwe, należy wskazać sposób, w jaki można cofnąć zgodę] – jeżeli uprzednio wyraził(a) Pan/Pani taką zgodę i przetwarzanie dotyczących Pana/Pani danych odbywa się na jej podstawie,
- przenoszenia swoich danych osobowych, g) wniesienia sprzeciwu wobec przetwarzania swoich danych osobowych z przyczyn związanych z Pana/Pani szczególną sytuacją, zgodnie z art. 21 RODO.
Niezależnie od powyższego przysługuje Panu/Pani uprawnienie do wniesienia skargi do organu nadzorczego, tj. Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), gdy uzna Pan/Pani, że przetwarzanie Pana/Pani danych osobowych narusza przepisy RODO.
- Podanie przez Pana/Panią danych osobowych jest ……… [należy wybrać odpowiednio: dobrowolne/wymogiem ustawowym/warunkiem wynikającym z zawartej umowy/ warunkiem zawarcia umowy]. W przypadku niepodania przez Pana/Panią danych osobowych ……… [jeżeli osoba, której dane dotyczą, jest zobowiązana do ich podania, należy wskazać ewentualne konsekwencje niepodania danych].
- [I wersja] Pani/Pana dane osobowe nie będą przekazywane poza terytorium Europejskiego Obszaru Gospodarczego/do organizacji międzynarodowej.
- [II wersja] Pani/Pana dane osobowe będą przekazywane poza terytorium Europejskiego Obszaru Gospodarczego/do organizacji międzynarodowej:na podstawie decyzji Komisji Europejskiej, stwierdzającej odpowiedni stopień ochrony ……… [wskazać odpowiednią decyzję].
[lub]
w tym zakresie nie został stwierdzony przez Komisję Europejską odpowiedni stopień ochrony w drodze decyzji, niemniej dane będą odpowiednio zabezpieczone za pomocą:- prawnie wiążącego i egzekwowalnego instrumentu między organami lub podmiotami publicznymi: ……… [wskazać jakiego] lub
- wiążących reguł korporacyjnych: ……… [wskazać jakich], lub
- zatwierdzonych przez Prezesa Urzędu Ochrony Danych Osobowych standardowych klauzul ochrony danych przyjętych przez Komisję Europejską: ……… [wskazać jakich], lub
- standardowych klauzul ochrony danych przyjętych przez Prezesa Urzędu Ochrony Danych Osobowych i zatwierdzonych przez Komisję Europejską: ……… [wskazać jakich], lub
- zatwierdzonego przez Prezesa Urzędu Ochrony Danych Osobowych kodeksu postępowania: ……… [wskazać jakiego], lub
- certyfikatu ochrony danych osobowych: ……… [wskazać jakiego].
- [I wersja] Pana/Pani dane osobowe nie będą przetwarzane w sposób zautomatyzowany (w tym w formie profilowania) tak, że w wyniku takiego zautomatyzowanego przetwarzania mogłyby zapadać jakiekolwiek decyzje.
- [II wersja] Pana/Pani dane będą przetwarzane w sposób zautomatyzowany, w tym również w formie profilowania. Zautomatyzowane decyzje będą podejmowane na zasadach ……… [należy podać zasady podejmowania decyzji], a konsekwencją takiego przetwarzania będzie ……… [należy wskazać informacje o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą].
Wiemy wszystko o RODO, dlatego jeśli szukasz wsparcia, Cezary Lutyński – nasz specjalista ds. ochrony danych – pokaże Ci, jak tę wiedzę wykorzystać w praktyce, choćby planując projekty.