Rozporządzenie o ochronie danych osobowych (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE) nakłada na podmioty przetwarzające dane osobowe szereg nowych obowiązków. Rozporządzenie kładzie nacisk na to, aby osoby, których dane są przetwarzane, miały większy dostęp do informacji na temat podejmowanych przez Administratorów działań związanych, z udostępnionymi danymi. Kwestię tę poruszono już w preambule do Rozporządzenia, gdzie wskazano, iż skuteczna ochrona danych osobowych w Unii Europejskiej zależy przed wszystkim od tego, jak bardzo wzmocnione oraz doprecyzowane zostaną prawa osób, których dane dotyczą.

Prawo dostępu do danych.
Prawo to zostało uregulowane w artykule 15 RODO i wskazuje, że osoby, których dane dotyczą mają możliwość uzyskania od Administratora Danych Osobowych informacji, czy ich dane są przetwarzane i w jakim zakresie. Ponadto osoba taka może żądać od Administratora uzyskania dostępu do tych danych oraz uzyskania ich kopii.

Prawo do sprostowania danych.
Artykuł 16 RODO dotyczy prawa do poprawiania danych osoby, której one dotyczą, jeżeli są one nieprawidłowe lub niekompletne. W tym przypadku osoba może żądać od Administratora ich sprostowania.

Prawo do bycia zapomnianym.
Osoby, których dane są przetwarzane mają prawo do żądania ich usunięcia – to prawo zwane jest także “prawem do bycia zapomnianym” i opisane zostało w artykule 17 RODO. W przypadku wystąpienia wskazanych okoliczności, osoba której dane dotyczą, może żądać od Administratora Danych usunięcia niektórych danych na swój temat, bądź całego ich zbioru. Proces usuwania powinien być przeprowadzony bez zbędnej zwłoki.

Przesłankami usunięcia danych są:

• brak podstawy prawnej do przetwarzania danych np. w sytuacji cofnięcia przez osobę, której dane dotyczą zgody na ich wykorzystywanie;
• kiedy zebrane dane nie są już potrzebne do celów, w których zostały one zgromadzone;
• kiedy dane zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego;
• kiedy ma miejsce wniesienie sprzeciwu przez osobę, której dane dotyczą;
• kiedy dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega Administrator;
• kiedy ma miejsce przetwarzanie danych niezgodnie z prawem.

W niektórych sytuacjach osoby, których dane dotyczą, nie mogą skorzystać z prawa do usunięcia danych osobowych. Mowa tu o przypadkach, kiedy przetwarzanie jest niezbędne:

• w celu korzystania z prawa do wolności wypowiedzi i informacji;
• do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej Administratorowi;
• z uwagi na interes publiczny w dziedzinie zdrowia publicznego;
• do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych;
• do ustalenia, dochodzenia lub obrony roszczeń.

Prawo do ograniczenia przetwarzania danych osobowych.
RODO przewiduje także możliwość wniesienia żądania ograniczenia przetwarzania danych. Sytuacje, w jakich osoba, której dane dotyczą może z tego prawa skorzystać wymienione są w art. 18 RODO:

• kiedy prawidłowość danych kwestionowana jest przez osobę, której one dotyczą – na okres pozwalający Administratorowi sprawdzić prawidłowość tych danych;
• w momencie, kiedy nie ma podstawy prawnej do przetwarzania danych;
• kiedy Administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
• w przypadku, kiedy osoba, której dane dotyczą zgłosiła sprzeciw wobec przetwarzania danych – ograniczenie obowiązuje do momentu ustalenia, czy sprzeciw ten jest zasadny.

Prawo do przenoszenia danych.
Artykuł 20 RODO wprowadził prawo do przenoszenia danych przez osoby, których one dotyczą. Podmiot danych może zatem nie tylko żądać przekazania mu danych przez niego uprzednio przekazanych, czego może domagać się w ramach prawa do uzyskania kopii danych, lecz także przekazania ich bezpośrednio innemu wskazanemu Administratorowi.

Prawo do sprzeciwu.
Osoba może sprzeciwić się temu, aby jej dane były przetwarzane przez Administratora. Skuteczny sprzeciw względem przetwarzania danych osobowych powinien spowodować zaprzestanie przetwarzania danych osobowych objętych sprzeciwem.

Zautomatyzowane przetwarzanie danych osobowych.
Na podstawie artykułu 21 RODO, osoby, których dane dotyczą mają prawo nie zgodzić się na to, aby ich dane były wykorzystywane do celów „podejmowania decyzji opartych na zautomatyzowanym przetwarzaniu”. Administrator w takim przypadku nie ma prawa do przetwarzania danych, pod warunkiem, że nie będą istniały inne ważne podstawy prawne do przetwarzania danych osobowych.

Wyjątek stanowi sytuacja, kiedy to przeprowadzenie profilowania jest wymagane w celu prawidłowego zawarcia bądź wykonania umowy – wtedy osoba, której dane dotyczą nie ma prawa do sprzeciwu wobec takiego przetwarzania.

Ograniczenia praw osób.
RODO zakłada, że prawa osób, których dane dotyczą mogą być ograniczone w szczególnych przypadkach, m.in:

• konieczność zapewnienia bezpieczeństwa narodowego lub publicznego;
• zapobieganie przestępczości;
• konieczność zapewnienia niezależności sądów;
• kiedy prawa osób, których dane dotyczą, utrudniają wypełnienie celów gospodarczych lub finansowych państwa członkowskiego lub Unii Europejskiej.

Wszelkie unormowania, które w jakikolwiek sposób ograniczają prawa osób, których dane dotyczą, powinny szczegółowo informować o tym, dlaczego wprowadzone zostało dane ograniczenie.