RODO

Rozporządzenie Ogólne o Ochronie Danych Osobowych

Co to jest RODO?

RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych) w sposób bezpośredni i kompleksowy reguluje ochronę danych osobowych w Unii Europejskiej. Założeniem dokumentu było ograniczenie zróżnicowania przepisów między poszczególnymi państwami członkowskimi. RODO przynosi nowe rozwiązania i wzmacnia dotychczasowe wymagania.

 

Najistotniejsze zasady RODO

Administrator danych osobowych

Administratorem Danych Osobowych (ADO), w zależności od zawartych umów lub świadczonych usług, są Spółki Grupy PZU. Kontakt z administratorem jest możliwy za pośrednictwem adresu e-mail lub pisemnie na podany poniżej adres siedziby danego administratora (Spółki Grupy).

Wybierz spółkę, aby skontaktować się z Administratorem Danych Osobowych:

PZU SA

PZU SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

PZU Życie SA

PZU Życie SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

PTE PZU SA

PTE PZU SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

TFI PZU SA

TFI PZU SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

PZU Zdrowie SA

PZU Zdrowie SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

TUW PZUW

TUW PZUW, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

PZU Pomoc SA

PZU Pomoc SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

PZU CASH SA

PZU Cash SA, ADO

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

Link4 TU SA

Link4 TU SA, ADO

ul. Postępu 15

02-676 Warszawa

 

Podstawa prawna przetwarzania danych osobowych

Przetwarzanie danych osobowych przez ich administratora (Spółkę) musi być zgodne z prawem, w tym przede wszystkim z przepisami RODO. Musi odbywać się z zachowaniem co najmniej jednej z przesłanek legalności przetwarzania. Przykładami podstaw przetwarzania są umowa, przepisy prawa bądź dobrowolna i świadoma zgoda osoby, której dane dotyczą.

Informowanie o celach oraz podstawach prawnych przetwarzania

Osoby, których dane dotyczą mają prawo do uzyskania szerokiego wachlarza informacji na temat przetwarzania ich danych osobowych przez administratora. Osoba, której dane dotyczą, musi być poinformowana o fakcie prowadzenia operacji przetwarzania jej danych osobowych i o celach takiego przetwarzania. Administrator powinien podać wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i kontekst przetwarzania danych osobowych.

Korespondencja e-mailowa i tradycyjna

więcej

Kontakt telefoniczny

więcej

Monitoring wizyjny oraz kontrola wstępu

więcej

Rekrutacja

więcej

Zbieranie danych w związku ze świadczeniem usług lub wykonywaniem innych umów

więcej

Zbieranie danych w innych przypadkach

więcej

 

Przysługujące prawa

Każda osoba, której dane osobowe są przetwarzane ma swoje prawa. Prawa te to prawo dostępu do danych osobowych, prawo do sprostowania danych osobowych, prawo do usunięcia danych osobowych, prawo do ograniczenia przetwarzania danych osobowych, prawo do przenoszenia danych osobowych oraz prawo do sprzeciwu na zasadach określonych w RODO.

Polityki zabezpieczenia danych

Administrator musi samodzielnie określić i opisać odpowiednie środki techniczne i organizacyjne chroniące dane osobowe. Jest odpowiedzialny za wykazanie, że są one skuteczne i zgodne z RODO.

Rejestr czynności przetwarzania

Obowiązkiem administratora jest prowadzenie rejestru, który ma dokumentować najważniejsze czynności związane z przetwarzaniem danych osobowych. Rejestr musi zawierać m. in. sposoby zabezpieczania danych osobowych oraz odbiorców tych danych.

Procesor danych osobowych

Administrator danych może powierzać do przetwarzania dane osobowe tylko podmiotom, które zapewniają rzetelne stosowanie RODO.

Inspektor Ochrony Danych

Spółki (administratorzy) Grupy PZU, z uwagi na charakter oraz zakres przetwarzania danych osobowych, są zobowiązane do wyznaczenia inspektorów ochrony danych (IOD), którzy są odpowiedzialni za zapewnienie przestrzegania przepisów RODO, udzielanie zaleceń co do oceny skutków dla ochrony danych, jak i współpracę z organem nadzorczym.

Osoby, których dane dotyczą mogą kontaktować się z wyznaczonym przez danego administratora Inspektorem Ochrony Danych.

Taki kontakt może się odbyć drogą elektroniczną lub pisemnie na podany poniżej adres inspektora powołanego w danej spółce Grupy PZU.

Wybierz spółkę, aby skontaktować się z Inspektorem Ochrony Danych:

PZU SA, IOD Grażyna Maśnica

PZU SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODpzu@pzu.pl

PZU Życie SA, IOD Grażyna Maśnica

PZU Życie SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODpzu@pzu.pl

PTE PZU SA, IOD Małgorzata Grzesiuk

PTE PZU SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODpte@pzu.pl

TFI PZU SA, IOD Krzysztof Andrzejczyk

TFI PZU SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODtfi@pzu.pl

PZU Zdrowie SA, IOD Mariusz Sarnecki

PZU Zdrowie SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODzdrowie@pzu.pl

PZU Pomoc SA, IOD Kamil Marciniak

PZU Pomoc SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IODpomoc@pzu.pl

PZU Cash SA, IOD Magdalena Zięcina

PZU Cash SA, IOD

Rondo Ignacego Daszyńskiego 4

00-843 Warszawa

e-mail: IOD_cash@pzu.pl

 

Przekazywanie danych poza EOG

Poziom ochrony danych osobowych poza Europejskim Obszarem Gospodarczym (obejmującym Unię Europejską, Norwegię, Liechtenstein i Islandię) różni się od tego zapewnianego przez prawo europejskie. Z tego powodu Administrator przekazuje dane osobowe poza EOG tylko wtedy, gdy jest to konieczne, i z zapewnieniem odpowiedniego stopnia ochrony, przede wszystkim poprzez:

  • współpracę z podmiotami przetwarzającymi dane osobowe w państwach, w odniesieniu do których została wydana stosowna decyzja Komisji Europejskiej;
  • stosowanie standardowych klauzul umownych wydanych przez Komisję Europejską;
  • stosowanie wiążących reguł korporacyjnych zatwierdzonych przez właściwy organ nadzorczy.

Administrator zawsze informuje o zamiarze przekazania danych osobowych poza EOG na etapie ich zbierania.

Przetwarzanie danych osobowych

Informacje o przetwarzaniu danych osobowych

Administratorem Pani/Pana danych osobowych, w zależności od zawartych umów lub świadczonych usług, są Spółki Grupy PZU. Każda ze Spółek będąca administratorem Pani/Pana danych osobowych, odpowiada za ich wykorzystanie w sposób bezpieczny, zgodny z umową oraz obowiązującymi przepisami prawa.

Zakres danych

Administrator zapewnia przejrzystość przetwarzania danych, w szczególności zawsze informuje o przetwarzaniu danych w momencie ich zbierania, w tym o celu i podstawie prawnej przetwarzania – np. przy zawieraniu umowy sprzedaży towarów lub usług. Administrator dba o to, by dane były zbierane tylko w zakresie niezbędnym do wskazanego celu i przetwarzane tylko przez okres, w jakim jest to niezbędne. Zakres danych będzie różny w zależności od tego, czy dane będą przetwarzane, aby zawrzeć i wykonywać umowę ubezpieczenia, korzystać z usług medycznych, czy w związku z zatrudnieniem.

Cel wykorzystywania danych

Administrator dba o to, by dane były zbierane tylko w zakresie niezbędnym do wskazanego celu, którym może być:

  • zawarcie i wykonanie umowy,
  • realizacja dyspozycji uczestnictwa w funduszach inwestycyjnych,
  • wypełnianie obowiązków wynikających z przepisów prawa, 
  • rozpatrzenie zgłoszenia o wypłatę odszkodowania świadczenia lub środków z funduszu emerytalnego,
  • marketing bezpośredni produktów i usług własnych,
  • wykrywanie i zapobieganie nadużyciom,
  • dochodzenie roszczeń lub obrona przed roszczeniami,
  • przygotowywanie analiz oraz statystyk,
  • obsługa zarejestrowanego zgłoszenia,
  • zapewnienie bezpieczeństwa osób i mienia.

Kategorie osób, których dane przetwarzamy

Spółki Grupy PZU przetwarzają dane osobowe:

  • klientów zawierających umowy ubezpieczenia oraz inne, oferowane przez Spółki Grupy PZU,
  • osób zgłaszających roszczenia z tytułu zawartych umów,
  • osób korzystających z opieki zdrowotnej,
  • klientów będących uczestnikami funduszy inwestycyjnych,
  • klientów będących członkami funduszy emerytalnych,
  • osób uprawnionych do wypłaty środków z funduszy emerytalnych,
  • klientów zawierających umowy o produkt bankowy lub o kredyt konsumencki,
  • pracowników i współpracowników oraz całego otoczenia wspierającego,
  • kandydatów do pracy oraz współpracy.

Spółki Grupy PZU przetwarzają również dane osobowe innych administratorów danych, jeśli zostały powierzone im w celu świadczenia usług.

Dane przetwarzane są zgodnie z wymaganiami obowiązującego prawa oraz warunkami uzgodnionymi umownie.

Prawo sprzeciwu i inne

Zgodnie z przepisami prawa może Pani/Pan w dowolnym momencie wnieść sprzeciw:

  • wobec przetwarzania Pani/Pana danych (w tym profilowania) na potrzeby marketingu bezpośredniego,
  • wobec przetwarzania Pani/Pana danych osobowych (w tym profilowania), jeśli podstawą jest prawnie uzasadniony interes.

Każda osoba, której dane są przetwarzane przez Spółki Grupy PZU może złożyć wniosek dotyczący:

  • sprostowania (poprawienia) danych,
  • usunięcia danych,
  • ograniczenia przetwarzania,
  • dostępu do danych (informacja o przetwarzanych danych oraz o kopia danych),
  • przeniesienia danych do innego administratora danych.

Więcej o powyższych prawach w zakładce Prawa.

Zgoda na przetwarzanie danych

Jeśli podstawą prawną przetwarzania danych osobowych będzie zgoda, którą Pani/Pan udzielili, może być ona wycofana w dowolnym momencie. Nie wpływa to jednak na zgodność z prawem przetwarzania Pani/Pana danych przed cofnięciem takiej zgody.

Profilowanie i zautomatyzowane podejmowanie decyzji

Profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Profilowanie składa się z trzech elementów:

  • forma przetwarzania jest zautomatyzowana (co najmniej w części),
  • przetwarzanie dotyczy danych osobowych,
  • celem przetwarzania jest ocena czynników osobowych, przypisanie określonych cech lub przewidywanie zachowań.

O zautomatyzowanym przetwarzaniu danych mówimy wtedy, gdy dane przetwarzane są wyłącznie przez algorytm (komputer), tj. bez udziału człowieka.

Administrator danych osobowych ma obowiązek informowania o zautomatyzowanym przetwarzaniu, w tym o profilowaniu – jeśli takie przetwarzanie wywołuje skutki prawne lub istotnie wpływa na daną osobę fizyczną. Osoba, której dane są przetwarzane ma natomiast prawo do sprzeciwu na zautomatyzowane przetwarzanie, w tym profilowanie. RODO gwarantuje również prawo, aby nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu.

Przykłady profilowania i zautomatyzowanego podejmowania decyzji:

Profilowanie, bez podejmowania decyzji:

  • reklama internetowa (web tracking) w celu dostosowania wyświetlanych reklam do oczekiwań użytkownika,
  • marketing bezpośredni własnych produktów i usług,
  • analiza szkodowości klientów na wewnętrzne potrzeby statystyczne.

Decyzje w oparciu o zautomatyzowane przetwarzanie:

  • ocena ryzyka ubezpieczeniowego w celu wyliczenia składki,
  • analiza stylu jazdy (telematyka) w celu indywidualizacji składki,
  • automatyczne wzywanie pomocy w razie wypadku.

Prawa podmiotu danych

Realizacja praw podmiotów danych

W celu skorzystania z praw podmiotów danych należy skontaktować się z administratorem danych lub z Inspektorem Ochrony Danych.

Wniosek dotyczący realizacji praw podmiotów danych można złożyć:

  • w formie pisemnej na adres: Rondo Ignacego Daszyńskiego 4, 00-843 Warszawa;
  • drogą e-mailową na adres: kontakt@pzu.pl,

wskazując Spółkę (Spółki) Grupy PZU, której dotyczy wniosek.

Jeżeli Administrator nie będzie w stanie zidentyfikować osoby składającej wniosek na podstawie dokonanego zgłoszenia, zwróci się do wnioskodawcy o dodatkowe informacje. Wniosek może być złożony osobiście lub za pośrednictwem pełnomocnika (np. członka rodziny). Ze względu na bezpieczeństwo danych Administrator zachęca do posługiwania się pełnomocnictwem w formie poświadczonej przez notariusza lub upoważnionego radcę prawnego bądź adwokata, co istotnie przyspieszy weryfikację autentyczności wniosku. Odpowiedź na zgłoszenie powinna zostać udzielona w ciągu miesiąca od jego otrzymania. W razie konieczności przedłużenia tego terminu Administrator informuje wnioskodawcę o przyczynach opóźnienia.

Odpowiedź udzielana jest za pośrednictwem poczty tradycyjnej, chyba że wniosek został złożony drogą e-mailową lub zażądano przekazania odpowiedzi w formie elektronicznej.

Prawo do informacji o przetwarzaniu danych osobowych

Na tej podstawie osobie zgłaszającej żądanie Administrator przekazuje informację o przetwarzaniu danych, w tym przede wszystkim o celach i podstawach prawnych przetwarzania, zakresie posiadanych danych, podmiotach, którym są ujawniane, i planowanym terminie usunięcia danych.

Prawo uzyskania kopii danych

Na tej podstawie Administrator przekazuje kopię przetwarzanych danych dotyczących osoby zgłaszającej żądanie.

Prawo do sprostowania

Administrator zobowiązany jest usuwać ewentualne niezgodności lub błędy przetwarzanych danych osobowych oraz uzupełniać je, jeśli są niekompletne.

Prawo do usunięcia danych

Na tej podstawie można żądać usunięcia danych, których przetwarzanie nie jest już niezbędne do realizowania żadnego z celów, dla których zostały zebrane.

Prawo do ograniczenia przetwarzania

W razie zgłoszenia takiego żądania Administrator zaprzestaje wykonywania operacji na danych osobowych – z wyjątkiem operacji, na które wyraziła zgodę osoba, której dane dotyczą – oraz ich przechowywania, zgodnie z przyjętymi zasadami retencji lub dopóki nie ustaną przyczyny ograniczenia przetwarzania danych (np. zostanie wydana decyzja organu nadzorczego zezwalająca na dalsze przetwarzanie danych).

Prawo do przenoszenia danych

Na tej podstawie – w zakresie, w jakim dane są przetwarzane w związku z zawartą umową lub wyrażoną zgodą – Administrator wydaje dane dostarczone przez osobę, której one dotyczą, w formacie pozwalającym na ich odczyt przez komputer. Możliwe jest także zażądanie przesłania tych danych innemu podmiotowi – jednak pod warunkiem, że istnieją w tym zakresie techniczne możliwości zarówno po stronie Administratora, jak również tego innego podmiotu.

Prawo sprzeciwu wobec przetwarzania danych w celach marketingowych

Osoba, której dane dotyczą, może w każdym momencie sprzeciwić się przetwarzaniu danych osobowych w celach marketingowych, bez konieczności uzasadnienia takiego sprzeciwu.

Prawo sprzeciwu wobec innych celów przetwarzania danych

Osoba, której dane dotyczą, może w każdym momencie sprzeciwić się przetwarzaniu danych osobowych, które odbywa się na podstawie uzasadnionego interesu Administratora (np. dla celów analitycznych lub statystycznych albo ze względów związanych z ochroną mienia). Sprzeciw w tym zakresie powinien zawierać uzasadnienie.

Prawo wycofania zgody

Jeśli dane przetwarzane są na podstawie wyrażonej zgody, osoba, której dane dotyczą, ma prawo ją wycofać w dowolnym momencie, co jednak nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

Prawo do skargi

W przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO lub inne przepisy dotyczące ochrony danych osobowych, osoba, której dane dotyczą, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

 
Zamknij