Source: http://ochrona-danych-osobowych.pl/tag/ustawa-o-ochronie-danych-osobowych/
Timestamp: 2015-02-01 16:36:36+00:00

Document:
ustawa o ochronie danych osobowych | Ochrona danych osobowych w biznesie
ustawa o ochronie danych osobowychAll posts tagged ustawa o ochronie danych osobowych	Bezpieczeństwo informacji w przedsiębiorstwie cz. 3: Dane osobowe klientów	Posted by KW on Styczeń 14, 2013
Posted in: Bezpieczeństwo informacji w przedsiębiorstwie.	Tagged: dane osobowe definicja, dane osobowe klientów firmy, ochrona danych osobowych, ustawa o ochronie danych osobowych.	1 komentarz
W poprzednich artykułach z cyklu „bezpieczeństwo informacji w przedsiębiorstwie” omówiliśmy zagadnienia związane z audytem początkowym oraz z przetwarzaniem danych osobowych pracowników. Kolejną kategorią danych osobowych, które spotkać można niemal w każdej firmie są dane osobowe klientów. W zależności od tego dla jakich celów te dane osobowe są zbierane i przetwarzane będą rodziły różne obowiązki dla przedsiębiorcy.
Definicja danych osobowych i zbiorów danych osobowych
Na początek dla przypomnienia przedstawiam ustawową definicje danych osobowych (art. 6): „ W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.”
Jeżeli przedsiębiorca prowadzi działalność i w jej zakresie zawiera umowy, wystawia faktury czy tez prowadzi ogólno pojęty marketing swoich usług to w dużej mierze będzie się to wiązało z przetwarzaniem danych osobowych osób fizycznych (imię, nazwisko, adres). Może się to odbywać na podstawie przepisów o prowadzeniu ksiąg rachunkowych, w ramach realizacji umowy lub na podstawie zgody danej osoby ale zawsze będziemy mieli do czynienia z danymi osobowymi.
Kolejna kwestia to czy dane osobowe klientów przetwarzane są w zbiorach, o których mowa w art. 2 ust. 2 ustawy. Zgodnie z jej brzmieniem: „Ustawę stosuje się do przetwarzania danych osobowych w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych”. Zbiór danych jest to natomiast „każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie”. Jak już stwierdzono w poprzednim artykule, pojecie „zbioru danych osobowych” należy traktować szeroko i będzie to każdy zestaw posiadający uporządkowany charakter. Zdecydowana większość przedsiębiorców przetwarza dane osobowe swoich klientów właśnie w zbiorach i w związku z tym zobowiązani są do stosowania przepisów ustawy.
Jeżeli po przeprowadzonym audycie okazuje się, iż w naszej firmie przetwarzane są dane osobowe klientów (a w zdecydowanej większości sytuacji tak właśnie jest!) to trzeba się zastanowić na jakiej podstawie tak się dzieje. Najbardziej znaną podstawą przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą, ale czy jest ona zawsze wymagana?
Art. 23 ustawy o ochronie danych osobowych wymienia przypadki kiedy przetwarzanie danych osobowych jest dopuszczalne. Nas interesują trzy z nich:
Zgodnie z tym zapisem ustawy możemy przetwarzać dane osobowe tylko na tej podstawie (bez dodatkowej zgody), iż jest to niezbędne dla realizacji usługi. Trzeba jednak to przetwarzanie traktować ściśle i np. przetwarzanie danych osobowych w celach marketingowych niekoniecznie musi być związane z realizacją zawartej wcześniej umowy i może się tak zdarzyć że dla takiego celu przetwarzania będziemy potrzebowali odrębnej zgody.
Jeżeli chodzi o dane osobowe klientów, to tak samo jak dane osobowe pracowników muszą być one przetwarzane przy zachowaniu odpowiednich zabezpieczeń fizycznych, systemowych i proceduralnych. O takich obowiązkach przedsiębiorcy jeszcze będzie szczegółowo mowa w kolejnych edycjach tej serii artykułów. Na tym etapie można stwierdzić, że dane osobowe klientów pod warunkiem, że nie zawierają tzw. danych wrażliwych (ten temat również zostanie w przyszłości rozwinięty) są kategorią danych, których zabezpieczenie wymaga środków podobnych jak w przypadku danych osobowych pracowników.
Pamiętać trzeba również o wymogu adekwatności danych osobowych klientów które zbieramy. Oznacza to, iż dane powinny być dostosowane do celu ich przetwarzania. W przypadku przetwarzania danych dla celu realizacji umowy adekwatne będą inne informacje o osobie niż w przypadku przetwarzania dla celów marketingowych. Należy pamiętać, że Główny Inspektor Ochrony Danych Osobowych zawsze wymaga adekwatności zbieranych danych osobowych i nie godzi się na kolekcjonowanie tych nieprzydatnych dla zadeklarowanych celów przetwarzania.
Ustawa o ochronie danych osobowych określa generalny obowiązek rejestracji wszystkich zbiorów danych osobowych (art. 40) i w przypadku danych osobowych klientów nie ma w tym zakresie żadnego wyłączenia. Zdecydowana większość tego typu zbiorów będzie podlegała zgłoszeniu do GIODO. Niejednokrotnie w przedsiębiorstwie będzie trzeba wydzielić osobne podzbiory i zarejestrować je osobno właśnie ze względu na różny cel przetwarzania. Osobno powinien być zarejestrowany zbiór danych osobowych klientów przetwarzanych dla celów wykonania umowy, a osobno zbiór danych przetwarzanych dla celów marketingowych. Należy pamiętać, że rejestracja zbioru jest jednym z najważniejszych obowiązków przedsiębiorcy, który przetwarza dane osobowe.
Bezpieczeństwo informacji w przedsiębiorstwie cz. 2: Dane osobowe pracowników	Posted by KW on Październik 24, 2012
Posted in: Bezpieczeństwo informacji w przedsiębiorstwie.	Tagged: administrator danych osobowych, ado, baza danych osobowych, bezpieczeństwo informacji, dane osobowe pracowników firmy, giodo, główny inspektor ochrony danych osobowych, ustawa o ochronie danych osobowych.	1 komentarz
W poprzedniej części cyklu artykułów dotyczących bezpieczeństwa informacji w przedsiębiorstwie zwróciliśmy uwagę na konieczność dokonania wnikliwego audytu wewnętrznego w firmie. Miał on polegać miedzy innymi na weryfikacji rodzaju przetwarzanych danych osobowych oraz ocenie aktualnych środków bezpieczeństwa. Dziś omówimy kategorie danych osobowych, które będą niewątpliwie jedną z najczęściej spotykanych w przedsiębiorstwach – dane osobowe pracowników.
Najważniejsze obowiązki nałożone na przedsiębiorcę przez przepisy o ochronie danych osobowych to w pewnym uproszczeniu:
- zapewnienie odpowiedniego poziomu bezpieczeństwa danych osobowych
- zgłoszenie posiadanych zbiorów danych osobowych Generalnemu Inspektorowi Ochrony Danych osobowych
- udostępnienie danych osobowych w określonych przypadkach
Aby rozważyć kwestię stosowania ustawy o ochronie danych osobowych do danych pracowników firmy zastanowimy się najpierw czy są to dane osobowe, czy są przetwarzane w zbiorach oraz jakie są obowiązki przedsiębiorcy, który przetwarza takie dane osobowe.
Definicja ustawowa danych osobowych zawarta jest w art. 6 ustawy. Zgodnie z jego brzmieniem:
„1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. 2. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.
Dane osobowe pracowników zatrudnionych w firmie przetwarzane zgodnie przepisami prawa dotyczącymi zatrudnienia zawsze będą uznawane za dane osobowe w rozumieniu ustawy. Kolejnym pytaniem, które należy sobie zadać jest to czy dane osobowe pracowników przetwarzane są w zbiorach, o których mowa w art. 2 ust. 2 ustawy. Zgodnie z jej brzmieniem:
„Ustawę stosuje się do przetwarzania danych osobowych:
1) zbiorze danych – rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie”
Pojęcie „zbioru danych osobowych” należy traktować szeroko. Zgodnie z interpretacjami Głównego Inspektora Ochrony Danych Osobowych cechą odróżniającą „zbiór danych osobowych”, do którego ma zastosowanie ustawa, od innego zestawienia danych jest jego uporządkowany charakter i możliwość wyszukiwania informacji za pomocą określonego kryterium. Wystarczające jest jedno takie kryterium (np. liczba porządkowa). Jeżeli zestawienie danych posiada taki uporządkowany charakter, to zgodnie z ustawą o ochronie danych osobowych jest zbiorem danych.
Powyższe przepisy nie pozostawiają wątpliwości, iż dane osobowe pracowników przedsiębiorstwa są danymi osobowymi w rozumieniu ustawy, a ich przetwarzanie w niemal każdym przypadku będzie się odbywało w zbiorach danych co oznacza, że do tych danych należy stosować przepisy o ochronie danych osobowych. Wiąże się to z wyliczonymi na początku artykułu obowiązkami przedsiębiorcy. Dla danych osobowych trzeba bowiem zastosować odpowiednie środki ochrony i bezpieczeństwa, a także dokonać rejestracji zbioru.
Ustawa o ochronie danych osobowych określa generalny obowiązek rejestracji wszystkich zbiorów danych osobowych (art. 40) niemniej jednak administratorzy niektórych rodzajów danych osobowych są zwolnieni z tego obowiązku. Interesujący nas zapis znajduje się w art. 43 ust. 1 pkt 4:
„Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się.”
Powyższy przepis oznacza, iż pomimo przetwarzania tej kategorii danych osobowych i konieczności ich ochrony oraz wyodrębnienia jako zbiór, nie ma obowiązku zgłaszania ich do Generalnego Inspektora Danych Osobowych. W niniejszym artykule omawiamy kwestię danych osobowych pracowników (ogólnie) i zapis ustawowy jest również ogólny w tym zakresie. Będzie on dotyczył zarówno osób zatrudnionych na umowę o pracę jak i osoby zatrudnione na podstawie umów cywilnoprawnych (umowa zlecenie, umowa o dzieło), a także osoby pracujące na zasadach tzw. samozatrudnienia. Dodatkowo przepis ten odnosi się również do osób zrzeszonych (np. stowarzyszenia) jak i uczących się (np. placówki naukowe) ale to pozostaje poza zakresem interesującej nas tematyki.
Zbiór danych osobowych pracowników jest zazwyczaj tylko jednym ze zbiorów obecnych w przedsiębiorstwie obok np. zbioru danych osobowych klientów. W takiej sytuacji gdy obok danych pracowników zbieramy inne dane, które z obowiązku rejestracji nie są zwolnione, wtedy dokonujemy tylko zgłoszenia w tym zakresie obowiązkowym. Jeżeli z audytu wewnętrznego wynika, iż dane pracowników są jedynymi danymi osobowymi przetwarzanymi w firmie, w takiej sytuacji nie będziemy robić żadnego zgłoszenia do GIODO co nie zmienia jednak faktu, iż jesteśmy zobowiązani zapewnić odpowiednie bezpieczeństwo i procedury dla tych danych na poziomie wynikającym z ustawy i rozporządzeń. Do tej kwestii wrócimy w kolejnych częściach cyklu.
Legia Warszawa – wyciek danych osobowych dziennikarzy	Posted by KW on Marzec 8, 2012
Posted in: Aktualności.	Tagged: administrator danych osobowych, ado, baza danych osobowych, giodo, główny inspektor ochrony danych osobowych, kontrola giodo, legia warszawa, ochrona danych osobowych, prawo, ustawa o ochronie danych osobowych, zbiór danych osobowych.	Dodaj komentarz
W ostatnich dniach z medialnych doniesień możemy dowiedzieć się o wycieku danych osobowych niemal 1,2 tyś. akredytowanych dziennikarzy z bazy danych klubu piłkarskiego Legia Warszawa.
Sprawą zainteresował się Główny Inspektor Ochrony Danych Osobowych ponieważ wyciek dotyczył danych osobowych, których przetwarzanie w zbiorach jest regulowane ustawą o ochronie danych osobowych. Były to: imię i nazwisko, data urodzenia, PESEL i numer telefonu (źródło: Gazeta Wyborcza).
GIODO zapewnia, że obecne działania mają na celu usuniecie przyczyny wycieku, choć nie wyklucza rozszerzenia zakresu kontroli jeżeli okazałoby się, że wyciek był następstwem przestępstwa. Ustawa o ochronie danych osobowych nakłada na podmioty przetwarzające dane osobowe (administratora danych osobowych) konkretne obowiązki, a za ich niedochowanie grozi odpowiedzialność karna.
Zbiory danych osobowych – interpretacja definicji ustawowej	Posted by KW on Styczeń 27, 2012
Posted in: Ustawa o ochronie danych osobowych.	Tagged: definicja, giodo, główny inspektor ochrony danych osobowych, ustawa o ochronie danych osobowych, zbiór danych osobowych, zbiory danych osobowych.	1 komentarz
Gdy wiemy już co to są dane osobowe to kolejnym elementem istotnym do analizy jest definicja „zbioru danych osobowych”. Jest tak dlatego ponieważ ustawa o ochronie danych osobowych ma przeważająco zastosowanie właśnie do zbiorów danych osobowych. Art. 2 ust. 2 ustawy o ochronie danych osobowych
Dane osobowe – interpretacja definicji ustawowej	Posted by KW on Styczeń 20, 2012
Posted in: Ustawa o ochronie danych osobowych.	Tagged: co to są dane osobowe?, dane osobowe definicja, ochrona danych osobowych, pesel, prawo, ustawa o ochronie danych osobowych.	1 komentarz
Rozważając problematykę ochrony danych osobowych należy zacząć od definicji tego pojęcia, czyli pytania: czym tak naprawdę są „dane osobowe”?. Ustawa o ochronie danych osobowych zawiera ogólny opis ale nie przedstawia nam precyzyjnego wyliczenia danych, które należy uważać za „dane osobowe”. Art. 6. ustawy o ochronie danych osobowych
„Unia chce rewolucji w ochronie danych osobowych” – RP.pl	Posted by KW on Grudzień 9, 2011
Posted in: Aktualności.	Tagged: ochrona danych osobowych, ochrona danych osobowych kary finansowe, ochrona danych osobowych obowiązki, prawo, ustawa o ochronie danych osobowych.	Dodaj komentarz
W internetowym wydaniu dziennika Rzeczpospolita możemy znaleźć informację o planowanym rozporządzeniu Unijnym, które miałoby wprowadzić kary dla przedsiębiorców, którzy nie wypełniają swoich obowiązków związanych z ochroną danych osobowych. Miałyby one wynosić nawet do 5% obrotu – podobne rozwiązanie funkcjonuje w przypadku kar nakładanych przez Urząd Ochrony Konkurencji i Konsumentów. Zmian idących w tym kierunku mogliśmy się spodziewać gdyż aktualnie ustawa o ochronie danych osobowych jest przestrzegana w zbyt małym stopniu. Kary finansowe zmobilizują przedsiębiorców jak żaden inny instrument. Choć rozporządzenie ma wejść w życie dopiero w 2014 roku to już teraz należałoby pomyśleć o wdrożeniu ochrony danych osobowych w przedsiębiorstwie gdyż jest to wymóg aktualny również teraz a proces wdrożenia może potrwać nawet kilka miesięcy.
„Wprowadzony ma być obowiązek zawiadamiania krajowego regulatora danych osobowych, w Polsce GIODO, a w szczególnych wypadkach także osoby, której dane dotyczą, o każdym przypadku naruszenia danych np. przez wyciek. I to bardzo szybko, gdyż w ciągu 24 godzin. W niektórych wypadkach może to oznaczać obowiązek doniesienia na siebie (firmę, pracodawcę). Takie rygory stosują już teraz niektóre kraje.
Zliberalizowany ma być natomiast transgraniczny przesył danych poza Unię, co teraz zwykle wymaga zgody krajowego regulatora. Liberalizacja polegać ma m.in. na wprowadzeniu tzw. wiążących reguł korporacyjnych, czyli wewnętrznego regulaminu w międzynarodowych firmach. Wystarczy zatwierdzenie regulaminu w jednym z krajowych urzędów, by na tych zasadach przesyłać dane między oddziałami firmy. Ma być też dodana elastyczna klauzula na przesłanie danych poza UE, mianowicie „w słuszny interes”. Ta furtka ma dotyczyć tylko jednostkowych przekazów. Nowością jest także rezygnacja z obowiązku rejestracji baz danych i ustanowienie Europejskiej Rady ds. Danych Osobowych.”
Strona: Oferta dla firm – ochrona danych osobowych	Posted by KW on Sierpień 26, 2011
Posted in: Aktualności.	Tagged: główny inspektor ochrony danych osobowych, polityka bezpieczeństwa informacji, prawo, rejestracja bioru danych osobowych, ustawa o ochronie danych osobowych, zbiór danych osobowych.	Dodaj komentarz
Ze względu na powtarzające się zapytania postanowiłem utworzyć podstronę bloga z opisem szczegółowej oferty dla przedsiębiorców w zakresie wdrożenia i utrzymania polityki bezpieczeństwa informacji wymaganej przepisami prawa w niemal każdej firmie, która przetwarza dane osobowe. Zapraszam do zapoznania się tutaj: Oferta dla firm – ochrona danych osobowych.
The Parament Theme.	Ochrona danych osobowych w biznesie	Blog na WordPress.com. The Parament Theme.	Obserwuj

References: art. 2

Art. 23
 art. 6
 art. 2
 art. 43
 Art. 2
 Art. 6