RODO i przetwarzanie danych osobowych

1) Co reguluje RODO i kto jest przedmiotem

• użytkownik jest zainstalowany w UE/EOG lub docelowych użytkownikach w UE (towary/usługi, monitorowanie zachowań);
• jesteś kontrolerem (zdefiniuj cele/sposoby przetwarzania) lub procesorem (przetwarzaj PD w imieniu administratora).

• Kontroler: właściciel celów/środków, odpowiedzialny za legalność i przejrzystość.
• Procesor: działa na udokumentowanych instrukcji kontrolera, kończy DPA.
• DPO (inspektor ochrony danych): niezależny nadzór, DPIA/DSR, konsultacje, łącznik z nadzorem.

2) Zasady przetwarzania (art. 5)

1. Legalność, sprawiedliwość, przejrzystość.
2. Ograniczenie celu. Jasno opisane, zgodne cele.
3. Minimalizacja danych. Tylko to konieczne.
4. Dokładność. Aktualizacja i korekta.
5. Ograniczenie przechowywania. Zatrzymanie i usunięcie/anonimizacja.
6. Uczciwość i poufność. Domyślne zabezpieczenie.
7. Odpowiedzialność. Sprawdzalność zgodności (polityki, dzienniki, DPIA).

3) Podstawy prawne (st.6) - macierz dla iGaming/fintech

4) Kategorie specjalne i biometria (art. 9)

Przetwarzanie kategorii specjalnych (zdrowie, przekonania itp.) jest zabronione, chyba że istnieje odrębny powód.
Biometria służąca do niepowtarzalnej identyfikacji (na przykład szablon twarzy dla livability/face-match) wymaga bezpośredniej zgody lub innych wąskich ram prawnych (w zależności od kraju). W miarę możliwości należy przechowywać wzory, a nie obrazy „surowe”.

5) Profilowanie i zautomatyzowane rozwiązania (art. 22)

• przejrzyste ujawnianie logiki (w rozsądnych granicach), znaczenia i konsekwencji;
• prawo do interwencji człowieka i zaskarżenia decyzji;
• DPIA z dużym prawdopodobieństwem ryzyka praw/wolności (profilowanie na dużą skalę).
• Zalecenia: przechowywanie kodów uzasadnienia, modele wersji/zasady, przeprowadzanie kontroli uprzedzeń.

6) DPIA/DTIA: obowiązkowe

DPIA prowadzi, jeśli ryzyko jest wysokie: profilowanie na dużą skalę, biometria, „obserwacja systematyczna”, nowe źródła danych.
Szablon DPIA: cel i opis leczenia → podstawy prawne → ryzyko uczestników → środki ograniczające → resztkowe ryzyko → plan.
DTIA (ocena transmisji transgranicznej): otoczenie prawne kraju odbiorcy + środki umowne/te (SCC/równoważne, szyfrowanie, separacja kluczy).

7) Przekładnie transgraniczne (Ch. V)

Mechanizmy: SCC, BCR, decyzje dotyczące adekwatności, analogi lokalne.
Środki techniczne: szyfrowanie typu end-to-end, separacja kluczy, minimalizacja pola, pseudonimizacja przed transmisją.
udokumentować rejestr transferu i wyniki DTIA; regularne przeglądy ryzyka.

8) Prawa podmiotów (DSR)

Prawo dostępu, korekty, usunięcia, ograniczenia, przenoszenia, sprzeciwu, nieobsługi.
Terminy: zwykle do 30 dni (można przedłużyć o kolejne 60, jeśli jest to trudne, z powiadomieniem).
Sprawdź tożsamość wnioskodawcy (nie ujawniając zbyt wiele).
Wyjątki: przechowywanie ze względu na AML/podatek itp. dokument.

9) Cookie/SDK i marketing

Kategoryzowanie plików cookie jako obowiązkowych/funkcjonalnych/analitycznych/marketingowych.
W przypadku EU/EEZ analytics/marketing - opt-in (wybór rzeczywisty), dziennik zgody, szczegółowe opisy.
Szacunek nie śledzić/Opt-out; używać analizy po stronie serwera i minimalizacji danych.
E-mail/SMS marketing - odrębna zgoda; przechowywać dowód zgody i znaczniki czasowe.

10) Bezpieczeństwo i „prywatność według projektu/domyślnie”

Szyfrowanie w tranzycie i w stanie spoczynku, tokenizacja szczegółów płatności, izolacja stref danych (PII-analytics).
Kontrola dostępu RBAC/ABAC, MFA, dostęp JIT, dziennik aktywności, archiwum WORM.
Kontrola przez DLP przesyłek i giełd; zakazać nieautoryzowanych kopii danych produkcyjnych na dev/etapie.
Zminimalizuj pola, kruszywo i anonimizuj tam, gdzie nie ma potrzeby identyfikacji.

11) Rejestr operacji (RoPA) i zatrzymanie

Utrzymanie RoPA: cel, podstawy, kategorie danych i podmiotów, odbiorcy, okresy zatrzymania, środki bezpieczeństwa, transfery za granicę.
Macierz retencji: dla każdej kategorii PD - termin (na przykład AML/KYC ≥ 5 lat po zakończeniu relacji), metoda usunięcia/anonimizacji, odpowiedzialny właściciel.

12) Przecieki i powiadomienia (Art.33/34)

Ocena ryzyka dla praw i wolności: jeśli istnieje prawdopodobieństwo uszkodzenia, powiadom o tym kierownika w ciągu 72 godzin, a jeśli ryzyko jest wysokie, powiadomić uczestników bez zbędnej zwłoki.
Plan reagowania: izolacja, badania sądowe, korekta, komunikacja, po morzu; przechowywać artefakty i rozwiązania.

13) Procesory, DPA i zarządzanie sprzedawcą

Z każdym procesorem zakończ DPA: temat, kategorie PD, podkontrolniki, bezpieczeństwo, pomoc DSR/incydent, audyt, usunięcie/zwrot danych.
Prowadzenie due diligence: lokalizacja, certyfikaty (ISO/SOC), incydenty, środki bezpieczeństwa, podwykonawcy.
Aktualizacja wyceny rocznie i w przypadku zmian (sankcje, M&A, geografia).

14) Matrix „Cele → Podstawy → Okres trwałości”

15) Dokumentacja dla wiki (szkielety)

1. Polityka prywatności (warstwowa): wersja krótka + pełna.
2. Polityka zarządzania plikami cookie/konsensusem.
3. Rejestr leczenia (RoPA).
4. Szablon DPIA/DTIA + kryteria wyzwalające.
5. Zasady DSR (SLA/procedury/szablony).
6. Polityka zatrzymywania i usuwania + gazociąg pracy.
7. Polityka incydentów i powiadamiania (RACI, formularze).
8. Szablon DPA i lista kontrolna due diligence sprzedawcy.
9. Zasady profilowania i zautomatyzowanych rozwiązań (wyjaśnienie, odwołania).

16) Metryka i kontrola

DSR SLA Wskaźnik żądania zamknięty ≤ 30 dni.
Zasięg zgody: odsetek zdarzeń z ważną opcją opt-in/opt-out.
Indeks minimalizacji danych - średnia liczba punktów danych na funkcję.
Dostęp Naruszenia/Eksport: dostęp i pobieranie incydentów, trend.
Zakres szyfrowania:% tabel/wiader/kopii zapasowych w szyfrowaniu.
Incydent MTTR/MTTD i powtarzalność.
Wskaźnik zgodności dostawcy i wyniki audytu.
Kompletność RoPA - Przyleganie do zachowania.

17) Listy kontrolne

• DPIA/podstawa legalności potwierdzona przez DPO.
• Cele/podstawy/zatrzymania są ujęte w RoPA.
• Minimalizacja/aliasing/izolacja stref danych.
• Baner Konsensusu i kategorie plików cookie są skonfigurowane.
• DPA/sprzedawcy uzgodnieni, podwykonawcy przetwórcy wymienione.
• Dzienniki, wpisy, audyt, usuwanie/anonimizacja - włączone.

• Przegląd dostępu (RBAC/ABAC), przywołanie nadwyżki.
• Test odzyskiwania kopii zapasowych.
• Przegląd wykazu DTIA/SCC i podwykonawców.
• Kontrola zatrzymywania danych (skreślona w terminie) i rejestr DSR.
• Szkolenie IR i aktualizacje odtwarzania.

• Weryfikacja wnioskodawcy.
• Zbieranie danych z systemów za pośrednictwem RoPA.
• Odpowiedź na czas z ustaleniem przyczyn wyjątków.
• Aktualizować zapisy i powiadomić strony (jeśli przenośne).

18) Plan działania na rzecz realizacji

1. Wykaz systemów i przepływów PD; Formacja RoPA.
2. Przydział IOD, zatwierdzenie polityki i RACI.
3. Uruchomienie obwodu DPIA/DTIA i zarządzanie konsolami.
4. Separacja strefy danych, szyfrowanie, DLP, dzienniki i archiwum WORM.
5. Rurociąg retencyjny i usuwanie/anonimizacja.
6. Przegląd sprzedawcy, DPA, rejestr podwykonawców.
7. Profilowanie: kody powodowe, odwołania, wyjaśnienie.
8. Regularne mierniki, raport zarządu, sesje audytu zewnętrznego/wewnętrznego.

Wynik

Zgodność RODO to nie tylko polityka na stronie, ale system zarządzania cyklem życia PD: prawidłowe podstawy, domyślne minimalizowanie i bezpieczeństwo, DPIA/DTIA, poszanowanie praw uczestników, kontrolowanych sprzedawców i mierzalne mierniki. Budując prywatność w architekturze i procesach, zachowujesz licencje, partnerstwa i zaufanie gracza - bez poświęcania szybkości i konwersji produktów.