Ochrona danych osobowych w internecie ma dziś znaczenie dla każdego, kto korzysta z poczty e-mail, mediów społecznościowych, sklepów internetowych, aplikacji mobilnych, bankowości online lub usług cyfrowych. W sieci zostawiamy więcej informacji, niż często nam się wydaje. Mogą to być imię i nazwisko, numer telefonu, adres e-mail, adres IP, lokalizacja, historia zakupów, dane logowania, zdjęcia, informacje o płatnościach czy treści wiadomości. Każda z tych informacji może zostać wykorzystana, jeśli trafi w niepowołane ręce.
Prawo nie daje gwarancji zapewnienia pełnego bezpieczeństwa w każdej sytuacji, ale nakłada obowiązki na podmioty, które gromadzą i wykorzystują dane. Przepisy RODO wskazują, że administrator danych musi przetwarzać dane osobowe zgodnie z zasadami legalności, przejrzystości, minimalizacji i odpowiedniego zabezpieczenia. Oznacza to, że każda firma, urząd, sklep internetowy czy usługodawca powinien wiedzieć, jakie dane zbiera, po co je zbiera, jak długo je przechowuje i kto ma do nich dostęp.
Czym są dane osobowe i adres IP w internecie?
Danymi osobowymi są informacje dotyczące osoby fizycznej, którą można zidentyfikować bezpośrednio albo pośrednio. W praktyce oznacza to nie tylko imię, nazwisko, PESEL czy adres zamieszkania. W internecie danymi osobowymi mogą być również adres IP, identyfikatory plików cookies, login użytkownika, numer klienta, dane lokalizacyjne, historia aktywności w aplikacji, a czasem także informacje publikowane w mediach społecznościowych.
Szczególnie ważne jest to, że pojedyncza informacja nie zawsze pozwala od razu ustalić tożsamość użytkownika, ale w połączeniu z innymi danymi może prowadzić do zidentyfikowania konkretnej osoby lub urządzenia. Dlatego ochrona danych osobowych w sieci dotyczy nie tylko oczywistych formularzy kontaktowych, ale też analityki internetowej, systemów reklamowych, newsletterów, kont użytkowników, paneli klienta i narzędzi do monitorowania zachowania oraz działań użytkownika na stronie, gdzie pliki cookies i inne identyfikatory są wykorzystywane.
Co mówi RODO o ochronie danych osobowych?
RODO, czyli ogólne rozporządzenie o ochronie danych, określa zasady przetwarzania danych osobowych na terenie Unii Europejskiej. Jego celem jest ochrona prywatności osób fizycznych i zapewnienie im większej kontroli nad danymi. Przetwarzanie danych oznacza niemal każdą operację wykonywaną na danych, między innymi zbieranie, zapisywanie, przechowywanie, analizowanie, udostępnianie, poprawianie i usuwanie.
Administrator danych musi mieć podstawę prawną do przetwarzania danych. Może nią być zgoda użytkownika, gdy jest wymagana w określonych przypadkach, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, wykonanie zadania realizowanego w interesie publicznym albo prawnie uzasadniony interes administratora. W związku z RODO osoba może w dowolnym momencie wycofać zgodę, a po takim żądaniu dane nie mogą być dalej wykorzystywane. Za każdym razem użytkownik powinien otrzymać istotne informacje o tym, kto przetwarza jego dane, w jakim celu, przez jaki czas i komu mogą zostać przekazane, wraz z podstawą takiego działania.
Jakie prawa ma użytkownik internetu?
Osoba, której dane dotyczą, ma prawo do informacji, dostępu do danych, w tym do danych przechowywanych przez organizację, oraz do otrzymania ich kopii w czytelnym formacie, poprawienia nieprawidłowych danych, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz usunięcia danych. To ostatnie bywa nazywane prawem do bycia zapomnianym. W praktyce oznacza możliwość zażądania usunięcia danych, jeśli nie są już potrzebne do celu, w którym zostały zebrane, zgoda została cofnięta albo dane były przetwarzane niezgodnie z prawem.
Prawo do bycia zapomnianym nie działa jednak automatycznie w każdej sytuacji. Administrator może dalej przechowywać dane, jeśli wymagają tego przepisy prawa, obrona roszczeń, obowiązki księgowe, interes publiczny albo inne uzasadnione podstawy, które należy ocenić pod kątem podstawy prawnej. Dlatego żądanie usunięcia danych powinno być rozpatrywane indywidualnie. Jeżeli administrator odmawia, powinien wyjaśnić powód, wskazać dalsze możliwości działania oraz do jakich danych, którymi dysponuje organizacja, można żądać dostępu. Jeśli jesteś osobą, której dane dotyczą, możesz takie żądanie złożyć bezpośrednio do administratora.
Obowiązki firm i administratorów danych
Administratorów danych obowiązuje zasada rozliczalności. Oznacza to, że nie wystarczy deklarować zgodności z RODO. Trzeba umieć wykazać, że w swojej firmie wdrożono odpowiednie procedury, zabezpieczenia i praktyki, czyli odpowiednie rozwiązania techniczne i organizacyjne w zakresie zabezpieczenia danych osobowych. Dotyczy to zarówno dużych przedsiębiorstw, jak i mniejszych firm, które prowadzą stronę internetową, sklep online, newsletter, system rezerwacji, formularz kontaktowy albo profile w mediach społecznościowych. Firmy mogą gromadzić dane wyłącznie w określonym zakresie i na właściwej podstawie prawnej.
W zakresie ochrony danych ważne jest ograniczenie dostępu do danych tylko do osób, które rzeczywiście go potrzebują. Dane pracowników, klientów i użytkowników powinny być chronione przed przypadkową utratą, kradzieżą, nieuprawnionym dostępem oraz ujawnieniem. W praktyce oznacza to konieczność stosowania haseł, szyfrowania, kopii zapasowych, aktualizacji systemów, kontroli uprawnień, oceny ryzyka dla danych oraz przemyślanego korzystania z zewnętrznych narzędzi i aplikacji. W obszarze cookies i komunikacji elektronicznej znaczenie ma także dyrektywa ePrivacy, która wymaga zgody na pliki cookies oraz ogranicza spam.
Jak chronić i zapewnić zabezpieczenie danych osobowych w sieci?
Aby chronić dane osobowe w internecie, trzeba zacząć od podstaw. Użytkownik powinien uważać, gdzie podaje swoje dane, czytać komunikaty o prywatności i sprawdzać, czy dana strona lub aplikacja rzeczywiście potrzebuje konkretnych informacji. Przed ich podaniem warto też sprawdzić, czy witryna używa HTTPS zamiast HTTP, bo to pomaga uniknąć przechwycenia danych. Nie każda usługa musi znać datę urodzenia, adres zamieszkania, numer telefonu czy szczegóły życia prywatnego. Im mniej danych trafia do sieci, tym mniejsze ryzyko ich późniejszego wykorzystania.
Duże znaczenie ma zabezpieczenie kont. Silne i unikalne hasła, menedżer haseł, uwierzytelnianie dwuskładnikowe oraz regularna kontrola aktywnych sesji ograniczają ryzyko przejęcia konta. Hasła powinny być długie, różne dla każdego serwisu, zawierać litery, cyfry i znaki specjalne oraz być regularnie zmieniane. Jedną z najlepszych metod ochrony jest też szyfrowanie połączenia oraz używanie VPN, zwłaszcza gdy korzystamy z publicznych sieci Wi-Fi, bo przesyłanie wrażliwych danych w takich miejscach nie jest bezpieczne. Warto też uważać na wiadomości e-mail i SMS-y, które podszywają się pod banki, firmy kurierskie, operatorów lub urzędy – mogą one służyć do wyłudzeń. Przestępcy często próbują wyłudzić dane logowania, numery kart, kody autoryzacyjne albo dostęp do komputera. Oprogramowanie zabezpieczające, w tym program antywirusowy, zapora sieciowa i regularne aktualizacje, powinno działać na każdym urządzeniu.
Dane wrażliwe i szczególnie chronione informacje
Niektóre informacje wymagają większej ostrożności niż zwykłe dane kontaktowe. Do wrażliwych danych należą między innymi dane o zdrowiu, poglądach, religii, biometrii, orientacji seksualnej czy pochodzeniu. Ich przetwarzanie jest co do zasady bardziej ograniczone, ponieważ ujawnienie takich informacji może poważnie naruszać prywatność, bezpieczeństwo albo sytuację życiową konkretnej osoby.
W internecie wrażliwe informacje mogą pojawić się nie tylko w dokumentach medycznych czy formularzach urzędowych. Często sami użytkownicy publikują je w komentarzach, grupach tematycznych, aplikacjach zdrowotnych, ankietach, na portalach lub w wiadomościach prywatnych, także gdy z takich usług korzystają dzieci. W przypadku niektórych usług online używanych przez osoby małoletnie zgoda rodzica lub opiekuna może być wymagana. Dlatego szczególnie ważne jest zachowanie ostrożności przy przesyłaniu danych, publikowaniu zdjęć, udostępnianiu dokumentów i korzystaniu z usług, które proszą o szeroki dostęp do informacji.
Naruszenie ochrony danych. Co można zrobić?
Naruszenie ochrony danych osobowych może polegać na utracie danych, ich przypadkowym ujawnieniu, kradzieży, wysłaniu do niewłaściwego odbiorcy, przejęciu konta albo nieuprawnionym dostępie do systemu. Jeżeli taka sytuacja wystąpi u administratora, powinien on ocenić ryzyko dla praw i wolności osób fizycznych. Taka ocena obejmuje także możliwe skutki, w tym utratę prywatności lub inne szkody w związku z naruszeniem. W określonych przypadkach konieczne jest zgłoszenie naruszenia do organu nadzorczego oraz poinformowanie osób, których dane dotyczą.
Osoba fizyczna, która uważa, że jej dane są przetwarzane niezgodnie z prawem, może skontaktować się z administratorem i zażądać wyjaśnień. Może też skorzystać ze swoich praw, na przykład poprosić o dostęp do danych, ich poprawienie, ograniczenie przetwarzania albo usunięcie. Jeżeli odpowiedź nie rozwiązuje problemu, istnieje możliwość wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, który ma obowiązek rozpatrzyć ją w ciągu trzech miesięcy. Jeśli prawa tej osoby nie są respektowane, może ona dochodzić roszczeń także przed sądem. W poważniejszych przypadkach warto także zabezpieczyć dowody, zmienić hasła, zastrzec dokumenty i monitorować, czy dane nie zostały wykorzystane do oszustwa.
Przykładem był wyciek 21,5 mln rekordów z amerykańskiego Biura Zarządzania Personelem w 2015 roku.
Dlaczego świadomość użytkowników ma znaczenie?
Korzystanie z dobrodziejstw internetu wymaga nie tylko przestrzegania przepisów, ale też ostrożności i świadomych wyborów użytkownika. Prawo wyznacza zasady, ale codzienne bezpieczeństwo zależy także od zachowania użytkowników i administratorów. Nawet najlepsze regulaminy nie pomogą, jeśli firma nie aktualizuje systemów, pracownicy wysyłają dokumenty na błędne adresy, a użytkownicy używają tego samego hasła w wielu serwisach.
Świadomość zasad ochrony prywatności jest dziś jednym z podstawowych elementów bezpieczeństwa cyfrowego. Dane osobowe mogą zostać wykorzystane do kradzieży tożsamości, przejęcia konta, oszustw finansowych, szantażu, spamu lub profilowania reklamowego – zagrożenia te dotyczą użytkowników na całym świecie. Dlatego warto traktować je jak realną wartość. Ilekroć podajesz dane w internecie, sprawdź, komu je przekazujesz, w jakim celu, czy po zmianie danych nie trzeba ich zaktualizować i czy rzeczywiście jest to konieczne.
