Prywatność: odpowiedzialność za ochronę danych osobowych

GDPR (Ogólne Rozporządzenie o Ochronie Danych) określa zasady przetwarzania i swobodnego przepływu danych osobowych. Rozporządzenie to chroni podstawowe prawa i wolności osób fizycznych. Jego celem jest ochrona obywateli europejskich przed nieuprawnionym wykorzystaniem ich danych osobowych.

RODO chroni dane osobowe osoby fizycznej (podmiotu danych), a mianowicie wszelkie informacje, które odnoszą się do osoby fizycznej, którą można bezpośrednio lub pośrednio zidentyfikować na podstawie tych danych. Dane pseudoanonimowe mogą być klasyfikowane jako dane osobowe, jeśli mogą być wykorzystane do identyfikacji osoby, której dane dotyczą. Przykładami danych osobowych są imiona i nazwiska oraz adresy e-mail, informacje o lokalizacji, pochodzenie etniczne, płeć, dane biometryczne, przekonania religijne, poglądy polityczne i dane dotyczące zdrowia. Dane dotyczące zdrowia to dane osobowe, które odnoszą się do zdrowia fizycznego lub psychicznego danej osoby i ujawniają informacje o jej stanie zdrowia lub umożliwiają wywnioskowanie informacji o jej stanie zdrowia. Dane dotyczące zdrowia są klasyfikowane jako „dane wrażliwe” i jako takie podlegają szczególnie rygorystycznej ochronie na mocy RODO.

RODO posługuje się konkretnymi terminami w celu określenia różnych działań i obowiązków w procesie przetwarzania danych. „Przetwarzanie danych” odnosi się do wszelkich zautomatyzowanych lub ręcznych działań wykonywanych na danych (np. gromadzenie, rejestrowanie, organizowanie, usuwanie). „Administrator danych” to podmiot prawny, który decyduje, dlaczego i w jaki sposób dane osobowe będą przetwarzane, podczas gdy „podmiot przetwarzający dane” to organizacja, która przetwarza dane osobowe w imieniu administratora danych i zgodnie z jego instrukcjami. W zależności od charakteru danego przetwarzania danych, ResMed może być administratorem danych i/lub podmiotem przetwarzającym dane.

ResMed, podobnie jak każda inna osoba fizyczna lub organizacja, która przetwarza dane, jest zobowiązana na mocy GDPR do przestrzegania siedmiu zasad ochrony i rozliczalności:

• Zgodność z prawem, rzetelność i przejrzystość: przetwarzanie danych musi być zgodne z prawem, rzetelne i przejrzyste dla osoby, której dane dotyczą.
• Ograniczenie celu: dane muszą być przetwarzane w uzasadnionych celach wyraźnie określonych osobie, której dane dotyczą, w momencie ich gromadzenia.
• Zminimalizowanie zakresu danych: należy gromadzić i przetwarzać tylko tyle danych, ile jest absolutnie niezbędne do określonych celów.
• Dokładność: dane osobowe muszą być dokładne i aktualne.
• Ograniczenie przechowywania: dane osobowe muszą być przechowywane tylko tak długo, jak jest to konieczne do określonego celu.
• Integralność i poufność: przetwarzanie musi odbywać się w sposób zapewniający odpowiednie bezpieczeństwo, integralność i poufność.
• Odpowiedzialność: administrator danych jest odpowiedzialny za wykazanie zgodności z wszystkimi powyższymi zasadami RODO.

Administratorzy danych są odpowiedzialni za określenie, w jaki sposób i dlaczego dane te są gromadzone i przetwarzane, jak długo dane są przechowywane i kiedy są usuwane. Administratorzy danych muszą aktywnie wykazywać pełną zgodność ze wszystkimi zasadami ochrony danych wynikającymi z RODO, a jeśli zdecydują się powierzyć przetwarzanie danych stronie trzeciej, są również odpowiedzialni za zgodność z RODO podmiotu przetwarzającego dane. Oznacza to, że zarówno administrator danych, jak i podmiot przetwarzający dane ponoszą wspólną odpowiedzialność za zgodne z przepisami przetwarzanie danych wrażliwych.

Kary za naruszenie RODO są bardzo wysokie. Istnieją dwa poziomy kar, których maksymalna wysokość wynosi 20 milionów euro lub 4% globalnego przychodu ukaranej firmy (w zależności od tego, która kwota jest wyższa). Osoby, których dane dotyczą, mają również prawo do ubiegania się o odszkodowanie.