Information

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz w sprawie swobodnego przepływu takich danych, uchylające dyrektywę 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej „Rozporządzenie GDPR”) oraz ustawa nr 18/2018 Dz. U. o ochronie danych osobowych oraz zmianie i uzupełnieniu niektórych ustaw (dalej „Ustawa”) gwarantują Państwu jako osobie, której dane dotyczą, następujące prawa:

a) Prawo osoby, której dane dotyczą, do dostępu do danych osobowych, które obejmuje:

• prawo uzyskania od administratora potwierdzenia, czy dane osobowe, które dotyczą osoby, której dane dotyczą, są przetwarzane;

• w przypadku, gdy dane osobowe osoby, której dane dotyczą, są przetwarzane, prawo uzyskania dostępu do przetwarzanych danych osobowych oraz prawo uzyskania następujących informacji:

  • informacja o celach przetwarzania;

  • informacja o kategoriach danych osobowych, które dotyczą osoby, której dane dotyczą;

  • informacja o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną udostępnione, w tym w przypadku odbiorców w krajach trzecich lub organizacjach międzynarodowych;

  • jeżeli to możliwe, informacja o przewidywanym czasie przechowywania danych osobowych lub, jeżeli to niemożliwe, informacja o kryteriach ustalania tego okresu;

  • informacja o istnieniu prawa do żądania od administratora sprostowania danych osobowych dotyczących osoby, której dane dotyczą, ich usunięcia lub ograniczenia przetwarzania, a także o istnieniu prawa do wniesienia sprzeciwu wobec takiego przetwarzania;

  • informacja o prawie do wniesienia skargi do organu nadzorczego;

  • jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą, jakiekolwiek dostępne informacje na temat ich źródła;

  • informacja o istnieniu zautomatyzowanego podejmowania decyzji, w tym profilowania, o którym mowa w artykule 22 ust. 1 i 4 Rozporządzenia, oraz w tych przypadkach co najmniej ogólne informacje na temat zastosowanej procedury, a także znaczenia i przewidywanych konsekwencji takiego przetwarzania danych osobowych dla osoby, której dane dotyczą;

• prawo do informacji o odpowiednich gwarancjach zgodnie z artykułem 46 Rozporządzenia, w przypadku transferu danych osobowych do kraju trzeciego lub organizacji międzynarodowej;

• prawo do otrzymania kopii przetwarzanych danych osobowych, przy czym prawo do otrzymania kopii przetwarzanych danych osobowych nie powinno niekorzystnie wpływać na prawa i wolności innych osób;

Prawo osoby, której dane dotyczą, do dostępu do danych osobowych zasadniczo oznacza, że osoba, której dane dotyczą, ma prawo uzyskać od nas potwierdzenie, czy jej dane osobowe są przetwarzane, a jeśli tak, ma prawo do uzyskania dostępu do tych danych. Na żądanie osoby, której dane dotyczą, przekażemy kopię przetwarzanych danych osobowych. Za jakiekolwiek dodatkowe kopie, o które osoba, której dane dotyczą, poprosi, możemy pobrać odpowiednią opłatę, pokrywającą koszty administracyjne. Jeśli osoba, której dane dotyczą, złoży wniosek drogą elektroniczną, informacje zostaną przekazane w powszechnie stosowanej formie elektronicznej, chyba że osoba ta poprosi o inny sposób. Informacje muszą zostać udzielone niezwłocznie, najpóźniej w ciągu 1 miesiąca. Mamy prawo przedłużyć czas realizacji wniosku o kolejne 2 miesiące, jeśli wniosek jest skomplikowany lub częsty. Musimy jednak poinformować osobę, której dane dotyczą, o przyczynie przedłużenia w ciągu 1 miesiąca. W przypadku nieuzasadnionego lub nadmiernie częstego wniosku mamy prawo pobrać odpowiednią opłatę lub odmówić jego realizacji. Musimy wyjaśnić powód odmowy oraz prawo osoby, której dane dotyczą, do złożenia skargi do organu nadzorczego.

b) Prawo osoby, której dane dotyczą, do sprostowania danych osobowych, które obejmuje:

• prawo do tego, aby administrator niezwłocznie sprostował błędne dane osobowe, które dotyczą osoby, której dane dotyczą;

• prawo do uzupełnienia niekompletnych danych osobowych osoby, której dane dotyczą, także poprzez dostarczenie dodatkowego oświadczenia osoby, której dane dotyczą;

Prawo osoby, której dane dotyczą, do sprostowania danych osobowych oznacza, że osoba, której dane dotyczą, może w dowolnym momencie zażądać od nas sprostowania lub uzupełnienia swoich danych osobowych, jeśli są one nieścisłe lub niepełne. Osoba, której dane dotyczą, ma prawo do uzupełnienia niekompletnych danych osobowych, także poprzez dostarczenie dodatkowego oświadczenia.

c) Prawo osoby, której dane dotyczą, do usunięcia danych osobowych (tzw. prawo „do bycia zapomnianym”), które obejmuje:

• prawo do niezwłocznego usunięcia przez administratora danych osobowych, które dotyczą osoby, której dane dotyczą, w przypadku, gdy spełniony jest jeden z następujących warunków:

  • dane osobowe nie są już potrzebne do celów, w których zostały zgromadzone lub w inny sposób przetwarzane;

  • osoba, której dane dotyczą, wycofa zgodę, na podstawie której przetwarzanie odbywa się, pod warunkiem, że nie istnieje inna podstawa prawna do przetwarzania danych osobowych;

  • osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania danych osobowych na podstawie art. 21 ust. 1 Rozporządzenia, a nie istnieją nadrzędne prawnie uzasadnione podstawy przetwarzania danych osobowych, lub osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania danych osobowych na podstawie art. 21 ust. 2 Rozporządzenia;

  • dane osobowe zostały przetwarzane niezgodnie z prawem;

  • dane osobowe muszą zostać usunięte w celu wypełnienia obowiązku prawnego wynikającego z prawa Unii Europejskiej lub prawa państwa członkowskiego, któremu administrator podlega;

  • dane osobowe zostały zgromadzone w związku z ofertą usług społeczeństwa informacyjnego na podstawie art. 8 ust. 1 Rozporządzenia;

• prawo, aby administrator, który ujawnil dane osobowe osoby, której dane dotyczą, z uwzględnieniem dostępnej technologii i kosztów podjął odpowiednie środki, w tym środki techniczne, aby poinformować innych administratorów, którzy przetwarzają dane osobowe, że osoba, której dane dotyczą, żąda, aby usunęli wszystkie odniesienia do tych danych osobowych, ich kopie lub repliki.

Prawo osoby, której dane dotyczą, do usunięcia danych osobowych oznacza, że musimy usunąć dane osobowe, jeśli (i) nie są już potrzebne do celów, w których zostały zgromadzone lub w inny sposób przetworzone, (ii) przetwarzanie jest niezgodne z prawem, (iii) osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania i nie istnieją nadrzędne uzasadnione podstawy do przetwarzania, lub (iv) zobowiązuje nas do tego obowiązek prawny.

d) Prawo osoby, której dane dotyczą, do ograniczenia przetwarzania danych osobowych, które obejmuje:

• prawo do tego, aby administrator ograniczył przetwarzanie danych osobowych w przypadku:

  • osoba, której dane dotyczą, kwestionuje dokładność danych osobowych, na czas umożliwiający administratorowi sprawdzenie dokładności danych;

  • przetwarzanie danych osobowych jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych i żąda zamiast tego ograniczenia ich użycia;

  • administrator już nie potrzebuje danych osobowych do celów przetwarzania, ale osoba, której dane dotyczą, potrzebuje ich do dochodzenia roszczeń prawnych;

  • osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania na podstawie art. 21 ust. 1 Rozporządzenia, do momentu weryfikacji, czy uzasadnione podstawy administratora przeważają nad podstawami osoby, której dane dotyczą.

Prawo osoby, której dane dotyczą, do ograniczenia przetwarzania danych osobowych oznacza, że w przypadku nierozwiązania sporów dotyczących przetwarzania danych osobowych, musimy ograniczyć przetwarzanie danych osobowych, umożliwiając ich przechowywanie, ale nie dalsze przetwarzanie.

e) Prawo osoby, której dane dotyczą, do spełnienia obowiązku informacyjnego wobec odbiorców, które obejmuje:

Prawo, aby Administrator danych poinformował każdego odbiorcę, któremu dane osobowe zostały udostępnione, o każdej poprawce, usunięciu danych osobowych lub ograniczeniu ich przetwarzania zgodnie z artykułem 16, artykułem 17 ust. 1 oraz artykułem 18 Rozporządzenia, o ile nie będzie to niemożliwe lub nie będzie wymagało nadmiernego wysiłku;

Prawo, aby Administrator danych poinformował osobę, której dane dotyczą, o tych odbiorcach, jeśli osoba ta zażąda takiej informacji;

Prawo osoby, której dane dotyczą, do spełnienia obowiązku informacyjnego wobec odbiorców oznacza obowiązek Administratora danych poinformowania każdego odbiorcę, któremu udostępniono dane osobowe osoby, której dane dotyczą, o każdej poprawce, usunięciu danych osobowych lub ograniczeniu ich przetwarzania. Administrator danych nie ma tego obowiązku tylko w przypadku, gdy takie powiadomienie jest niemożliwe z obiektywnych powodów lub wymaga nadmiernego wysiłku.

f) Prawo osoby, której dane dotyczą, do przenoszenia danych osobowych, które obejmuje:

Prawo do uzyskania danych osobowych, które dotyczą osoby, której dane dotyczą, a które zostały przekazane Administratorowi, w formacie uporządkowanym, powszechnie stosowanym i nadającym się do odczytu maszynowego oraz prawo do przeniesienia tych danych do innego administratora bez przeszkód ze strony Administratora, jeżeli:

• Przetwarzanie opiera się na zgodzie osoby, której dane dotyczą, zgodnie z artykułem 6 ust. 1 lit. a) Rozporządzenia lub artykułem 9 ust. 2 lit. a) Rozporządzenia, lub na umowie zgodnie z artykułem 6 ust. 1 lit. b) Rozporządzenia, oraz jednocześnie;

• Przetwarzanie jest realizowane za pomocą środków automatycznych, oraz jednocześnie;

• Prawo do uzyskania danych osobowych w uporządkowanej, powszechnie stosowanej i nadającej się do odczytu maszynowego formie oraz prawo do przeniesienia tych danych do innego administratora bez przeszkód nie będzie miało negatywnego wpływu na prawa i wolności innych osób;

Prawo do przeniesienia danych osobowych bezpośrednio od jednego administratora do drugiego, o ile jest to technicznie możliwe;

Prawo do przenoszenia danych osobowych oznacza, że mają Państwo prawo do uzyskania od nas Państwa danych osobowych, które wcześniej Państwo nam przekazali, w formacie uporządkowanym, powszechnie stosowanym i nadającym się do odczytu maszynowego oraz prawo do żądania przeniesienia tych danych do innego administratora, pod warunkiem spełnienia ustawowych warunków; skorzystanie z tego prawa nie wpływa na Państwa prawo do usunięcia danych osobowych. Prawo do przenoszenia danych dotyczy jednak tylko danych osobowych, które uzyskaliśmy od Państwa na podstawie umowy, której są Państwo stroną.

g) Prawo osoby, której dane dotyczą, do sprzeciwu, które obejmuje:

Prawo do wniesienia sprzeciwu w dowolnym momencie, z powodu związanych z określoną sytuacją osoby, której dane dotyczą, przeciwko przetwarzaniu danych osobowych, które ją dotyczą, wykonywanemu na podstawie artykułu 6 ust. 1 lit. e) lub f) Rozporządzenia, w tym sprzeciwienia się profilowaniu opartemu na tych przepisach Rozporządzenia;

[w przypadku realizacji prawa do wniesienia sprzeciwu z dowolnych powodów związanych z określoną sytuacją osoby, której dane dotyczą, przeciwko przetwarzaniu danych osobowych, które ją dotyczą, wykonywanemu na podstawie artykułu 6 ust. 1 lit. e) lub f) Rozporządzenia, w tym sprzeciwu wobec profilowania na podstawie tych przepisów Rozporządzenia] Prawo, aby Administrator danych nie przetwarzał danych osobowych osoby, której dane dotyczą, dalej, chyba że wykaże niezbędne, uzasadnione powody do przetwarzania, które przeważają nad interesami, prawami i wolnościami osoby, której dane dotyczą, lub powody do wykazywania, dochodzenia lub obrony roszczeń prawnych;

Prawo do wniesienia sprzeciwu przeciwko przetwarzaniu danych osobowych, które dotyczą osoby, której dane dotyczą, w celach marketingu bezpośredniego, w tym profilowania w zakresie, w jakim jest to związane z marketingiem bezpośrednim; przy czym należy pamiętać, że jeżeli osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania danych osobowych do celów marketingu bezpośredniego, dane osobowe nie mogą być już przetwarzane do tych celów;

(w związku z korzystaniem z usług społeczeństwa informacyjnego) Prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych za pomocą środków automatycznych z użyciem specyfikacji technicznych;

Prawo do wniesienia sprzeciwu z powodów związanych z określoną sytuacją osoby, której dane dotyczą, przeciwko przetwarzaniu jej danych osobowych, jeżeli dane te są przetwarzane w celach badań naukowych lub historycznych albo do celów statystycznych na podstawie artykułu 89 ust. 1 Rozporządzenia, jednak z wyjątkiem przypadków, gdy przetwarzanie jest niezbędne do wypełnienia zadania z uwagi na interes publiczny;

Prawo osoby, której dane dotyczą, do sprzeciwu oznacza, że mogą Państwo wnieść sprzeciw wobec przetwarzania Państwa danych osobowych, które przetwarzamy w celach marketingu bezpośredniego lub z innych uzasadnionych powodów. W przypadku przetwarzania danych osobowych w celach marketingowych zaprzestaniemy tego niezwłocznie po otrzymaniu sprzeciwu.

h) Prawo osoby, której dane dotyczą, związane z automatycznym podejmowaniem decyzji indywidualnych, które obejmuje:

Prawo, aby na osobę, której dane dotyczą, nie były stosowane decyzje oparte wyłącznie na automatycznym przetwarzaniu danych osobowych, w tym profilowaniu, które mają skutki prawne dotyczące tej osoby lub w sposób podobny znacząco ją wpływają, z wyjątkiem przypadków określonych w artykule 22 ust. 2 Rozporządzenia [tzn. z wyjątkiem przypadków, gdy decyzja: (a) jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a Administratorem, (b) jest dozwolona prawem Unii Europejskiej lub prawem państwa członkowskiego, któremu podlega Administrator, i które jednocześnie przewiduje odpowiednie środki zapewniające ochronę praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą, lub (c) jest oparta na wyraźnej zgodzie osoby, której dane dotyczą];

Prawo osoby, której dane dotyczą, związane z automatycznym podejmowaniem decyzji indywidualnych oznacza, że mają Państwo prawo, aby nie były na Państwa stosowane decyzje wyłącznie oparte na automatycznym przetwarzaniu, w tym profilowaniu, które mają skutki prawne dotyczące Państwa lub w sposób podobny znacząco Państwa wpływają. W przypadkach, gdy takie przetwarzanie jest niezbędne do zawarcia lub wykonania umowy lub jest oparte na wyraźnej zgodzie osoby, której dane dotyczą, Administrator zastosuje odpowiednie środki ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą, w tym minimalne środki, takie jak prawo do ludzkiej interwencji ze strony Administratora, prawo osoby, której dane dotyczą, do wyrażenia swojego stanowiska oraz prawo do zakwestionowania decyzji.

Administrator poinformuje osobę, której dane dotyczą, o podjętych środkach na podstawie wniosków zgodnie z artykułami 15–22 Rozporządzenia, bez zbędnej zwłoki, w każdym przypadku w ciągu miesiąca od otrzymania wniosku. Okres ten może zostać wydłużony o kolejne dwa miesiące, w zależności od złożoności wniosku i liczby wniosków. Administrator poinformuje o każdym takim przedłużeniu okresu osobę, której dane dotyczą, w ciągu miesiąca od otrzymania wniosku wraz z uzasadnieniem opóźnienia. Jeśli osoba, której dane dotyczą, złożyła wniosek drogą elektroniczną, informacje te zostaną, o ile to możliwe, dostarczone drogą elektroniczną, chyba że osoba ta zażądała innego sposobu.

W przypadkach określonych powyżej Administrator może odmówić wykonania wniosku osoby, której dane dotyczą, zgodnie z artykułami 15–22 Rozporządzenia, tylko wówczas, gdy udowodni, że nie jest w stanie zidentyfikować osoby, której dane dotyczą.

i) Prawo osoby, której dane dotyczą, do złożenia wniosku o wszczęcie postępowania na podstawie przepisów § 100 ustawy o ochronie danych osobowych, które obejmuje:

Prawo osoby, której dane dotyczą, która uważa, że dochodzi do nielegalnego przetwarzania jej danych osobowych lub doszło do nadużycia jej danych osobowych, do złożenia wniosku do Urzędu Ochrony Danych Osobowych (dalej "Urzęd") o wszczęcie postępowania w sprawie ochrony danych osobowych;

Wniosek o wszczęcie postępowania można złożyć na piśmie, osobiście w formie ustnej do protokołu, za pomocą środków elektronicznych, który musi zostać podpisany za pomocą bezpiecznego podpisu elektronicznego, telegramem lub faksowo, jednakże należy go uzupełnić na piśmie lub ustnie do protokołu najpóźniej w ciągu 3 dni;

Wniosek musi zawierać, zgodnie z przepisami § 100 ust. 3 ustawy o ochronie danych osobowych:

• Imię, nazwisko, adres stałego pobytu i podpis wnioskodawcy;

• Określenie, przeciwko komu skierowany jest wniosek; nazwa lub imię i nazwisko, siedziba lub stały pobyt, ewentualnie forma prawna i numer identyfikacyjny;

• Przedmiot wniosku z określeniem, które prawa zostały naruszone w trakcie przetwarzania danych osobowych;

• Dowody na poparcie twierdzeń zawartych we wniosku;

• Kopię dokumentu potwierdzającego wykonanie prawa na podstawie § 28, jeżeli takie prawo było możliwe do wykonania, lub wskazanie powodów zasługujących na szczególne uwzględnienie;

Urząd rozpatrzy wniosek wnioskodawcy w terminie do 60 dni od dnia wszczęcia postępowania. W uzasadnionych przypadkach Urząd może przedłużyć ten termin o kolejne 6 miesięcy. O przedłużeniu terminu Urząd poinformuje uczestników postępowania na piśmie;

Wzór wniosku o wszczęcie postępowania ochrony danych osobowych jest dostępny na stronie internetowej Urzędu.