Fakty i mity o RODO. Co się zmieniło?

W Polsce trwała walka z czasem i w iście ekspresowym tempie wprowadzano nową ustawę o ochronie danych osobowych. 10 maja Sejm uchwalił ten akt prawny,23 maja podpisał go prezydent, 24 maja opublikowano go w Dzienniku Ustaw (Dz. U 2018, poz. 1000). Zdążyliśmy więc dostosować polskie przepisy przed 25 maja. Co prawda Ustawa o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 (RODO), która zawiera zmiany dotyczące Kodeksu Pracy jeszcze nie została jeszcze uchwalona, ale jest już w procedowaniu w Sejmie. Niestety wykreślono z niej korzystne dla hotelarzy zapisy, dotyczące przetwarzania danych w hotelowym SPA, oraz obowiązku powiadomienia w ciągu 30 dni osoby której dane dotyczą w przypadku pozyskania jej danych od strony trzeciej (Booking, HRS, itp.)

Pierwotnie taki zapis pojawił się w nowelizowanej Ustawie o świadczeniu usług Turystycznych.

Ważna rola edukacyjna IGHP

Izba Gospodarcza Hotelarstwa Polskiego przeprowadziła szeroko zakrojoną akcję edukacyjną – w tym szereg szkoleń – szereg szkoleń na terenie całej Polski zakończoną sporym sukcesem. Ponadto opracowuje kodeks postępowania branżowego, który po zatwierdzeniu przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO) ma zostać udostępnionym wszystkim hotelarzom, a nie tylko członkom IGHP. Na razie termin udostępnienia kodeksu niestety nie jest jeszcze znany. 

Nadinterpretacje 

Oczywiście przy okazji wprowadzania RODO pojawiły się różne nadinterpretacje, a „specjaliści” od wdrożeń zalecali, aby np. w szpitalu nie umieszczać imienia i nazwiska na kroplówce dla pacjentów, zakryć nagrobki, na których są imiona i nazwiska osób żyjących. Nie wiadomo, czy śmiać się, czy płakać nad taką kreatywnością. Wiele hoteli dostało zaś od swoich kluczowych kontrahentów do podpisania umowy powierzenia danych. Niektórzy prawnicy stwierdzili, że kontrahent, który rezerwuje nocleg, przekazując dane osobowe pracownika przedsiębiorstwa, powierza jego dane i dochodzi do umowy powierzenia, a hotel staje się podmiotem przetwarzającym. Niezbędne były tłumaczenia, że w takim przypadku dochodzi do przekazania danych pomiędzy dwoma administratorami. Na szczęście większość podmiotów zrozumiała od razu swoje błędne podejście, a reszta wycofała się z tego pomysłu po mniej więcej miesiącu od wejścia RODO.  

Pierwsze pozwy

Kilka godzin po wejściu w życie RODO Max Shrems, austriacki prawnik i aktywista na rzecz ochrony prywatności, oraz założyciel organizacji NOYB (None of Your Business, czyli po polsku Nie Twój Interes), złożył pozwy przeciwko amerykańskim gigantom na łączną kwotę 7,6 mld euro. Przed francuskim organem nadzorczym CNIL (odpowiednik polskiego Urzędu Ochrony Danych Osobowych – 
UODO) został złożony pozew przeciwko Google na kwotę 3,7 mld euro, a przed belgijskim, niemieckim i austriackim organem złożono pozwy na łączną kwotę 3,9 mld euro przeciwko Facebookowi (Facebook, Instagram, WhatsApp – po 1,3 mld przeciwko każdemu). 

Tak wysokie kwoty wynikają z wyliczenia 4% rocznego obrotu tych firm.

Warto przypomnieć, że w marcu tego roku Facebook przegrał przed belgijskim sądem sprawę za naruszanie prywatności obywateli belgijskich. Facebooka oskarżyła belgijska organizacja zajmująca się prawami człowieka. Sąd nakazał też firmie usunięcie wszelkich danych dot. belgijskich obywateli, które Facebook zebrał nielegalnie – włąc...