Source: http://docplayer.pl/413024-Abc-wybranych-zagadnien-z-ustawy-o-ochronie-danych-osobowych.html
Timestamp: 2016-10-25 06:43:20+00:00

Document:
⭐ABC wybranych zagadnień z ustawy o ochronie danych osobowych
Download "ABC wybranych zagadnień z ustawy o ochronie danych osobowych"
1 ABC wybranych zagadnień z ustawy o ochronie danych osobowych2 BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH ul. Stawki 2, Warszawa tel.: (22) fax: (22) Opracowanie: Monika Krasińska Dyrektor Departamentu Orzecznictwa, Legislacji i Skarg Sylwia Mizerek Zastępca Dyrektora Departamentu Orzecznictwa, Legislacji i Skarg Copyright by GIODO ISBN Druk: Wydawnictwo Sejmowe Wydanie drugie poprawione Warszawa, grudzień 20113 Spis treści Wstęp. 5 I. Procedura rozpatrywania skarg w sprawach ochrony danych osobowych. 6 II. Zakres stosowania ustawy o ochronie danych osobowych. 10 III. Zasady przetwarzania danych osobowych Zasada legalności Zasada celowości Zasada merytorycznej poprawności (prawdziwości) Zasada adekwatności Zasada ograniczenia czasowego. 18 IV. Wykonywanie obowiązku informacyjnego. 19 V. Sposób realizacji obowiązków administratora danych i praw osób, których dane dotyczą pytania i odpowiedzi. 254 5 Wstęp W polskim ustawodawstwie zasada ochrony danych osobowych została wprowadzona Konstytucją RP z dnia 2 kwietnia 1997 r. w art. 51, z którego wynika, że nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby (ust. 1), każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych; ograniczenie tego prawa może określić ustawa (ust. 3) oraz każdy ma prawo do żądania sprostowania i usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą (art. 51 ust. 4). Konkretyzacją normy konstytucyjnej są przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Z 2002 r. nr 101, poz. 926 ze zm.) stanowiące jednocześnie implementację dyrektywy Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. (95/46/WE) w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych. Dyrektywa ta miała służyć zapewnieniu jednolitego minimalnego poziomu ochrony prywatności osób fizycznych, których dane osobowe są przetwarzane oraz zapewnić swobodny przepływ tych danych pomiędzy krajami członkowskimi Unii Europejskiej. Od chwili wejścia w życie przepisów o ochronie danych osobowych zostały ujednolicone standardy w zakresie przetwarzania i ochrony danych osobowych. Osoby, których dane dotyczą wyposażone zostały w instrumenty kontroli przebiegu procesu przetwarzania ich danych, zaś na administratorów danych nałożono szereg obowiązków. Precyzując zakres obowiązków podmiotów przetwarzających dane, ustawa określiła także zakres ich praw. Koncepcja ochrony danych osobowych prezentowana w świetle omawianej ustawy opiera się bowiem na balansowaniu interesów, tj, z jednej strony na prawie do ochrony prywatności a z drugiej na prawie do informacji o osobie, której dane dotyczą. Wyważenie tych praw jest często bardzo trudne, o czym świadczą rozbieżne stanowiska doktryny oraz niejednolitość orzecznictwa sądowo administracyjnego w sprawach prowadzonych przez Generalnego Inspektora Ochrony Danych Osobowych. W obliczu postępującej informatyzacji życia społecznego, rozwoju nowych technologii, globalizacji, funkcjonowanie jednostki w strukturze społeczeństwa staje się w zasadzie niemożliwe bez szerokiej ingerencji w jej sferę prywatności. Każda osoba, której prawa zostaną naruszone może się jednak zwrócić o zbadanie procesu przetwarzania jej danych, a rozpatrywanie skarg i przeprowadzanie czynności kontrolnych mających na celu zbadanie czy nie doszło do naruszeń 56 ustawy o ochronie danych osobowych jest jednym z naczelnych zadań Generalnego Inspektora Ochrony Danych Osobowych. I. Procedura rozpatrywania skarg w sprawach ochrony danych osobowych 1. Skargi Do zadań Generalnego Inspektora Ochrony Danych Osobowych należy m.in. stosownie do art. 12 pkt 2 ustawy o ochronie danych osobowych wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Postępowania wszczynane jest zwykle na wniosek osób zainteresowanych. Podejmowane są również czynności z urzędu, w związku z powzięciem informacji o naruszeniu przepisów ustawy. 2. Formalne warunki skargi Wszczęcie postępowania administracyjnego na wniosek wiąże się z koniecznością dopełnienia przez osobę zainteresowaną określonych prawem wymogów. Zgodnie z art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego 1, o ile przepisy ustawy nie stanowią inaczej. W korespondencji kierowanej do Generalnego Inspektora drogą elektroniczną lub tradycyjną, w celu zainicjowania postępowania administracyjnego, stosownie do art Kodeksu postępowania administracyjnego, wymagane jest wskazanie co najmniej: a) osoby, od której dane pochodzą (imienia i nazwiska), adresu (kodu pocztowego, miejscowości, ulicy i numeru domu), b) podpisu tej osoby, c) przedmiotu sprawy, której skarga dotyczy. Skarga wniesiona pisemnie albo ustnie do protokołu powinna być podpisana przez wnoszącego, a protokół ponadto przez pracownika, który go sporządził. 1 Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2000 r. nr 98, poz ze zm.). 67 Gdy podanie wnosi osoba, która nie może lub nie umie złożyć podpisu, podanie lub protokół podpisuje za nią inna osoba przez nią upoważniona, czyniąc o tym wzmiankę obok podpisu. Podanie (w tym skarga) wniesione w formie dokumentu elektronicznego powinno być uwierzytelnione przy użyciu mechanizmów określonych w ustawie o informatyzacji działalności podmiotów realizujących zadania publiczne 2 oraz zawierać dane w ustalonym formacie, zawartym we wzorze podania określonym w odrębnych przepisach, jeżeli te przepisy nakazują wnoszenie podań według określonego wzoru. Nieuzupełnienie wskazanych braków w wyznaczonym dla tej czynności terminie skutkuje pozostawieniem skargi bez rozpoznania. Osoba składająca skargę jest zobowiązana także wnieść opłatę skarbową 3 do organu podatkowego (jest nim Prezydent m.st. Warszawy) a fakt ten udokumentować Generalnemu Inspektorowi Ochrony Danych Osobowych w momencie wniesienia skargi. Opłata skarbowa pobierana jest za dokonanie przez Generalnego Inspektora Ochrony Danych Osobowych czynności urzędowej w postaci wydania decyzji administracyjnej w wysokości 10 zł. Obowiązek zapłaty powstaje z chwilą złożenia skargi do Generalnego Inspektora. Ponadto, w wysokości 17 zł pobierana jest opłata skarbowa za złożenie dokumentu stwierdzającego udzielenie pełnomocnictwa albo jego odpisu, wypisu lub kopii w postępowaniu administracyjnym. Obowiązek zapłaty powstaje z chwilą złożenia dokumentu w organie administracji publicznej (art. 6 ust. 1 pkt 4 ustawy). W przypadku nieuiszczenia opłaty (pomimo wezwania), skarga podlega zwrotowi. 3. Terminy rozpatrzenia skargi. Ustawowym terminem do załatwienia sprawy jest okres 1 miesiąca. W przypadku sprawy szczególnie skomplikowanej termin może ulec przedłużeniu do 2 miesięcy. 2 Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących cele publiczne (Dz.U. z 2005 r. nr 64, poz. 565 ze zm.). 3 Stosownie do przepisów ustawy z dnia 16 listopada 2006 r. o opłacie skarbowej (Dz.U. nr 225, poz ze zm.). 78 4. Pisemność postępowania. Postępowanie jest prowadzone w formie pisemnej (stosownie do art kpa). W toku postępowania organ ochrony danych osobowych podejmuje czynności niezbędne do wyjaśnienia wszystkich istotnych okoliczności związanych ze złożoną skargą: np. zwraca się do stron o złożenie pisemnych wyjaśnień, przysłanie dokumentów, przeprowadzane są czynności kontrolne w siedzibie administratora danych. 5. Rozstrzygnięcie i odwołanie W przypadku naruszenia przepisów o ochronie danych osobowych GIODO nakazuje, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, poprzez: a) usunięcie uchybień, b) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, c) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, d) wstrzymanie przekazywania danych osobowych do państwa trzeciego, e) zabezpieczenie danych lub przekazanie ich innym podmiotom, f) usunięcie danych osobowych. W przypadku usunięcia uchybień w toku postępowania lub jeszcze przed jego wszczęciem, postępowanie podlega umorzeniu. Od wydanej decyzji stronom przysługuje prawo wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji, a następnie w przypadku utrzymania przez Generalnego Inspektora w mocy zaskarżonej decyzji, składana w terminie 30 dni skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie. W związku z wprowadzeniem w 2004 r. w Polsce dwuinstancyjnego postępowania sądowo-administracyjnego, od wyroku wydanego w I instancji przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego, w terminie 30 dni od dnia doręczenia stronom odpisu orzeczenia z uzasadnieniem. 89 Ograniczenia w zakresie wydawania decyzji administracyjnej przez GIODO: decyzje Generalnego Inspektora nie mogą ograniczać swobody działania podmiotów zgłaszających kandydatów lub listy kandydatów w wyborach na urząd Prezydenta Rzeczypospolitej Polskiej, do Sejmu, do Senatu i do organów samorządu terytorialnego, a także w wyborach do Parlamentu Europejskiego, pomiędzy dniem zarządzenia wyborów a dniem głosowania (art. 18 ust. 2 ustawy), w odniesieniu do zbiorów, które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych do tych czynności, decyzje Generalnego Inspektora nie mogą nakazywać usunięcia danych osobowych zebranych w toku tych czynności prowadzonych na podstawie przepisów prawa (art. 18 ust. 2a ustawy), w przypadku, gdy przepisy innych ustaw przewidują odmienny tryb przywracania stanu zgodnego z prawem, stosuje się te przepisy a nie wydaje nakazy z ustawy o ochronie danych osobowych (art. 18 ust. 3 ustawy). 6. Wykonalność decyzji Przed upływem terminu do wniesienia odwołania decyzja nie ulega wykonaniu. Wniesienie odwołania w terminie wstrzymuje wykonanie decyzji. Decyzja podlega wykonaniu przed upływem terminu do wniesienia odwołania, gdy jest zgodna z żądaniem wszystkich stron. Sąd administracyjny może wstrzymać wykonanie decyzji. 7. Inne uprawnienia organu ochrony danych osobowych W przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych Generalnemu Inspektorowi Ochrony Danych Osobowych przysługuje również możliwość: a) zawiadomienia organów ścigania o popełnieniu przestępstw określonych w przepisach karnych ustawy 4, b) składania wniosków o ukaranie dyscyplinarne, c) występowania do administratorów danych o zmianę niewłaściwych praktyk (tzw. sygnalizacje), 4 Artykuł 49 54a ustawy o ochronie danych osobowych. 910 d) występowania do właściwych organów z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie bądź zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych. II. Zakres stosowania ustawy o ochronie danych osobowych 1. Zakres podmiotowy a) podmioty publiczne organy państwowe (np. NIK, Kancelaria Sejmu, Kancelaria Senatu, ZUS), organy samorządu terytorialnego (np. wójt, burmistrz, prezydent miasta), państwowe i komunalne jednostki organizacyjne (np. miejskie zakłady oczyszczania, miejskie zakłady komunikacji), b) podmioty prywatne podmioty niepubliczne realizujące zadania publiczne (np. prywatne zakłady opieki zdrowotnej, prywatne szkoły, itd.), osoby fizyczne, tj. bez względu na np. ich narodowość, obywatelstwo, zdolność do czynności prawnych, wiek itp. osoby prawne (np. stowarzyszenia, spółdzielnie, fundacje) i jednostki organizacyjne nie będące osobami prawnymi (np. nie mające osobowości prawnej spółki prawa handlowego) Wyłączenia stosowania ustawy: osoby nieżyjące ograniczenia w przetwarzaniu takich danych mogą jednak występować ze względu na ochronę powszechnych dóbr osobistych (kult pamięci osoby zmarłej), osoby fizyczne, prawne i jednostki organizacyjne niebędące osobami prawnymi, o ile nie przetwarzają danych w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, podmioty mające siedzibę albo miejsca zamieszkania w państwie trzecim, wykorzystujące środki techniczne znajdujące się na terytorium Rzeczypospolitej Polskiej wyłącznie do przekazywania danych, osoby fizyczne, które wykorzystują dane wyłącznie w celach osobistych lub domowych. 1011 2. Zakres przedmiotowy a) przetwarzanie danych osobowych w zbiorach prowadzonych w systemie papierowym (kartotekach, skorowidzach, księgach, wykazach i innych zbiorach ewidencyjnych), b) przetwarzanie danych osobowych w systemach informatycznych, także w przypadku przetwarzania danych osobowych poza zbiorem. Wyłączenia stosowania ustawy: przetwarzanie danych osobowych w zbiorach doraźnych, tj. wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, które po wykorzystaniu podlegają obowiązkowi niezwłocznego usunięcia albo anonimizacji nie podlega reżimowi ustawy o ochronie danych osobowych za wyjątkiem przepisów stanowiących o zabezpieczeniu takich zbiorów przez okres ich funkcjonowania (rozdział 5 ustawy), ustawy nie stosuje się do prasowej działalności dziennikarskiej w rozumieniu prawa prasowego, działalności literackiej lub artystycznej, za wyjątkiem przepisów dotyczących zabezpieczeń i umożliwiających organowi ochrony danych osobowych pozyskanie wyjaśnień oraz złożenie zawiadomienia o popełnieniu przestępstwa, o ile wolność wyrażania poglądów i rozpowszechniania informacji nie narusza istotnie praw i wolności osoby, której dane dotyczą, jeżeli umowa międzynarodowa, której stroną jest Rzeczpospolita jest stroną wyłącza stosowanie ustawy, jeżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują dalej idącą ich ochronę, niż wynika to z ustawy o ochronie danych osobowych, stosuje się przepisy tych ustaw. III. Zasady przetwarzania danych osobowych Główne zasady postępowania przy przetwarzaniu danych przy przetwarzaniu danych osobowych wyznacza art. 26 ust. 1 ustawy ujmując je w formę podstawowych obowiązków administratora danych. Z jego treści wynika, iż administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a co za tym idzie ma on przestrzegać pewnych zasad: 1112 1) zasady legalności przetwarzać dane zgodnie z prawem, 2) zasady celowości zbierać dane dla oznaczonych, zgodnych z prawem celów i nie poddawać ich dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2, 3) zasady merytorycznej poprawności dbać o merytoryczną poprawność danych, 4) zasady adekwatności danych dbać o adekwatność danych w stosunku do celów, w jakich są przetwarzane, 5) zasady ograniczenia czasowego przechowywać dane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Przetwarzanie danych w celu innym niż ten, dla którego zostały zebrane, jest dopuszczalne, jeżeli nie narusza praw i wolności osoby, której dane dotyczą, oraz następuje: 1) w celach badań naukowych, dydaktycznych, historycznych lub statystycznych, 2) z zachowaniem przepisów art. 23 i 25. Działania administratora polegające na respektowaniu interesów (zarówno majątkowych, jak i niemajątkowych) osób, których dane dotyczą, muszą się odznaczać szczególną starannością, a więc większą od zwykłej, przeciętnej, czy nawet należytej, o których mowa w kodeksie cywilnym. 1. Zasada legalności Pierwszym obowiązkiem wymienionym w art. 26 ust. 1 jest obowiązek przetwarzania danych zgodnie z prawem określany także jako zasada legalności. Przetwarzanie danych osobowych przez administratora danych powinno odbywać się z zachowaniem przynajmniej jednej z przesłanek legalności przetwarzania określonych w ustawie o ochronie danych osobowych. W przypadku danych zwykłych, przesłanki te wymienia enumeratywnie art. 23 ustawy i są nimi: a) zgoda osoby, której dane dotyczą, chyba że chodzi o usunięcie dotyczących jej danych, b) niezbędność przetwarzania danych dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 1213 c) konieczność realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub gdy przetwarzanie jest niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, d) przetwarzanie danych jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, e) przetwarzanie danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel uważa się w szczególności marketing bezpośredni własnych produktów i usług administratora danych oraz dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 ustawy). Odrębny reżim przetwarzania danych odnosi się do danych szczególnie chronionych (danych wrażliwych, sensytywnych). Ich przetwarzanie co do zasady jest zabronione. Zgodnie z art. 27 ust. 1 ustawy, do danych szczególnie chronionych należy zaliczyć: dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną, związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Przetwarzanie tej kategorii jest jednak dopuszczalne po spełnieniu jednej z przesłanek określonych w art. 27 ust. 2 ustawy, jeżeli: osoba, której dane dotyczą wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych, przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony, przetwarzanie takich danych jest niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora, jest to niezbędne do wykonywania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji, lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo 1314 osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych, przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem, przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie, przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych, przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą, jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone, przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym. Zasada legalności: a) nie oznacza tylko zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych, ale także z wszelkimi obowiązującymi normami prawnymi, i to zarówno określonymi w przepisach o randze ustawy jak i aktach niższego rzędu (przepisy wykonawcze), b) nie obejmuje jednak postanowień umownych, c) zabrania (poza wyjątkami wskazanymi w ustawach odrębnych) zbierania danych w sposób ukryty, przez podsłuch, wariograf, czy z naruszeniem tajemnicy korespondencji. W wyroku z dnia 4 marca 2002 r. NSA podkreślił, że żadne względy natury organizacyjno finansowej nie powinny być traktowane jako podstawa do sprzecznego z prawem przetwarzania danych osobowych przez banki (II SA 3144/01). W zasadzie legalności szczególną rolę odgrywa przesłanka zgody osoby, której dane dotyczą. 1415 Zgodnie z art. 7 pkt 5 ustawy o ochronie danych osobowych, przez zgodę osoby, której dane dotyczą, rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie. Zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. W przypadku zgody na wykorzystywanie danych osobowych podlegających szczególnej ochronie zgoda musi być wyrażona na piśmie. Z definicji tej nie wynikają szczegółowe zasady formułowania zgody, jednakże podkreślić należy, że z treści klauzul zgody na przetwarzanie danych osobowych powinno w sposób nie budzący wątpliwości wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe mogą być przetwarzane. Wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi. Stanowisko takie wyraził także Naczelny Sąd Administracyjny w wyroku z dnia 4 kwietnia 2003 r. (sygn. akt II SA 2135/2002), w uzasadnieniu którego zawarł stwierdzenie, iż zgoda na przekazywanie danych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania. Czynności takiej nie legalizuje późniejsze poinformowanie o treści regulaminu, ani możliwość zgłoszenia zastrzeżeń wobec pewnych form przetwarzania danych. Ponadto, oświadczenie o wyrażeniu zgody musi być przejawem wolnej i nieskrępowanej woli osoby je składającej. Nie może ona czuć się zmuszona do złożenia oświadczenia o wyrażeniu zgody na przetwarzanie jej danych osobowych. Przykładowa treść klauzuli zgody na przetwarzanie danych osobowych Wyrażam zgodę na przetwarzanie moich danych osobowych w zakresie obejmującym imię, nazwisko i adres zamieszkania, przez XYZ Sp. z o.o. z siedzibą w Warszawie (00-111), ul. Kwiatowa 1, w celach przesyłania ofert marketingowych, jak również na przekazywanie ich innym podmiotom. Warszawa, dnia 5 lipca 2007 r. Anna Kowalska Wyrażenie zgody jest zbędne w sytuacji gdy: przetwarzanie danych jest dopuszczalne na podstawie odrębnych przepisów prawa (np. za zbędne należy uznać wyrażenie zgody na przetwarzanie danych w celu przeprowadzenia wywiadu środowiskowego przez pracownika pomocy społecznej, wobec istnienia przepisów ustawy o pomocy społecznej nakładającej obowiązek przeprowadzania takiego wywiadu), 1516 przetwarzanie danych jest dopuszczalne na podstawie innych przesłanek (np. w celu realizacji umowy). 2. Zasada celowości Zasada ta zwana również zasadą związania z celem oznacza, iż zbieranie danych osobowych powinno być dokonywane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Oznacza to, iż: zbierający dane nie może pominąć, ani zataić tego celu, nie można określać celu przetwarzania danych w sposób ogólnikowy, cel ten powinien być zakomunikowany zainteresowanemu przed tym zebraniem danych osobowych, niedopuszczalne jest uzależnianie zawarcia umowy od wyrażenia zgody na przetwarzanie danych w zupełnie innych celach (np. marketingu produktów i usług podmiotów trzecich). Wyjątki od zasady celowości: Przetwarzanie danych w celu innym niż ten, w którym zostały zebrane, jest dopuszczalne, jeżeli: 1) nie narusza praw i wolności osoby, której dane dotyczą, oraz następuje 2) w celach badań naukowych, dydaktycznych, historycznych lub statystycznych, 3) z zachowaniem przepisów art. 23 i 25 ustawy. 3. Zasada merytorycznej poprawności (prawdziwości). Administrator danych jest obowiązany również zapewnić poprawność danych osobowych, tj. aby dane były zgodne z prawdą, pełne (kompletne) i aktualne. W celu zapewnienia merytorycznej poprawności danych konieczne jest aby w procesie przetwarzania danych administrator danych: każdorazowo oceniał wiarygodność źródła pozyskania danych, wypracował tryb weryfikowania prawdziwości danych (w zależności od tego, czy dane są zwykłe czy szczególnie chronione) oraz ustalił zasady postępowania w przypadku stwierdzenia nieprawdziwości danych o dokonanym uaktualnieniu lub sprostowaniu danych, administrator danych jest obowiązany bez zbędnej zwłoki poinformować innych administratorów danych, którym udostępnił zbiór danych (art. 35 ust. 3 ustawy). 1617 Naruszeniem tej zasady jest zbieranie danych ze źródeł niewiadomego pochodzenia, które nie gwarantują poprawności danych osobowych. Również względy natury technicznej (np. konstrukcja programów informatycznych, za pomocą których przetwarzane są dane osobowe) nie mogą decydować o przetwarzaniu danych nieprawdziwych, niekompletnych, czy nieaktualnych, o czym przesądził Wojewódzki Sąd Administracyjny w wyroku z dnia 5 marca 2007 r., sygn. akt II SA/Wa 2328/06 (niepublikowany). 4. Zasada adekwatności Zgodnie z zasadą adekwatności administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel zbierania danych. Relewantność danych powinna być oceniania najpóźniej w momencie ich zbierania. Zatem administrator danych ma obowiązek dokonania w tym względzie oceny. Zakres danych osobowych adekwatnych do celu przetwarzania oceniać trzeba każdorazowo z uwzględnieniem określonego stosunku prawnego, w związku z którym administrator danych przetwarza dane osobowe (wyrok NSA z dnia 27 listopada 2003 r., II SA 209/2003). W odniesieniu do umów uwzględnić należy ich charakter i znaczenie (wyrok NSA z dnia 19 grudnia 2001 r., II SA 2869/2000, ONSA 2003, nr 1, poz. 29). Niekiedy ustawodawca wskazuje wprost w przepisach prawa na zakres danych adekwatnych do celu przetwarzania. Przepisy takie mają charakter lex specialis i wyłączają stosowanie zasady adekwatności. Przykładem takiej sytuacji jest art. 112b ustawy prawo bankowe, zgodnie z którym banki mogą przetwarzać, w celach prowadzonej działalności bankowej, informacje zawarte w dokumentach tożsamości osób fizycznych). posłużenie się określoną techniką zbierania danych (np. kopiowanie dokumentów) nie przesądza o naruszeniu zasady adekwatności (wyrok NSA z dnia 19 grudnia 2001 r., II SA 2869/2000, ONSA 2003, nr 1, poz. 29), dane osobowe nie mogą być zbierane na zapas, na wszelki wypadek, tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych. Przykładowo za nieadekwatne uznać należało pozyskiwanie danych o wykształceniu i stanie cywilnym przy zawieraniu umów odpowiedzialności cywilnej posiadacza pojazdu mechanicznego (wyrok WSA z dnia 5 lutego 2003 r., 1718 sygn. akt II S.A. 3505/01), czy też zbieranie przez bank danych osobowych klientów w zakresie poprzednich adresów zameldowania, kategorii i daty nadania uprawnienia do kierowania pojazdem silnikowym oraz danych zawartych w świadectwie pracy, dotyczących przebiegu zatrudnienia (wyrok WSA z dnia 24 listopada 2005 r., sygn. akt II SA /Wa 1335/05). 5. Zasada ograniczenia czasowego Ustawa nakłada na administratora danych obowiązek przechowywania danych w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż to jest niezbędne do osiągnięcia celu przetwarzania. Po osiągnięciu celu (np. wykonaniu zawartej umowy, upływie wskazanego w przepisach prawa okresu przechowywania danych) dane powinny zostać usunięte, zanonimizowane lub też przekazane podmiotowi uprawnionemu ustawowo do ich przejęcia od administratora (np. przekazane do archiwum państwowego). W tym celu administrator danych jest zobowiązany do stałego nadzorowania zawartości swoich zbiorów pod kątem konieczności usuwania danych zbędnych, albo do których przetwarzania przestał być upoważniony ustawowo lub w drodze umowy. Przykładowo, w kontekście przetwarzania danych osobowych przez Biuro Informacji Kredytowej Sąd wskazał, iż ( ) z chwilą całkowitej spłaty kredytu (zamknięcia rachunku bankowego) kończy się prawne zezwolenie na przetwarzanie danych osobowych tych osób, których rachunki zostały zamknięte. Osiągnięty zostaje wówczas cel, w jakim dane te były przetwarzane (wyrok WSA z dnia 22 lutego 2005 r., sygn. akt II SA /Wa 2030/04, LEX nr ). Uwaga! W razie wykazania przez osobę, której dane osobowe dotyczą, iż są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego zostały zebrane, administrator danych jest obowiązany, bez zbędnej zwłoki, do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru, chyba że dotyczy to danych osobowych, w odniesieniu do których tryb ich uzupełnienia, uaktualnienia lub sprostowania określają odrębne przepisy (art. 35 ust. 1 ustawy). W przypadku, gdy administrator odmawia wypełnienia powyższego obowiązku, na wniosek podmiotu danych, Generalny Inspektor Ochrony Danych Osobowych wydaje decyzję administracyjną nakazującą przywrócenie stanu zgodnego z prawem. 1819 IV. Wykonywanie obowiązku informacyjnego Istotnym obowiązkiem, jaki z mocy ustawy spoczywa na administratorze danych jest obowiązek informacyjny, o którym mowa w art. 24 ustawy o ochronie danych osobowych (gdy dane zbierane są bezpośrednio od osoby, której one dotyczą) i 25 ustawy o ochronie danych osobowych (w przypadkach gromadzenia danych ze źródeł pośrednich, np. od innych osób, niż ta której dotyczą zbierane dane osobowe). Funkcją tych przepisów jest to, aby na podstawie uzyskanych informacji zainteresowany miał możliwość właściwego ocenienia sytuacji i podjęcia decyzji co do udostępnienia danych, a także, aby mógł wykonywać prawa przyznane mu w art. 32 ustawy o ochronie danych osobowych. Dla wykonania obowiązku informacyjnego nie ma znaczenia: w jaki sposób dane są zbierane (drogą pisemną, telefonicznie, czy też w kontaktach bezpośrednich), w jaki sposób są utrwalane, ani też jaką postać ma zbiór, do którego są one wprowadzane (czy jest to zbiór prowadzony metodą tradycyjną, manualnie, czy też dane przetwarzane są w systemie informatycznym), czy zbiór już istnieje, czy dopiero powstanie na podstawie gromadzonych danych. Art. 24 ust. 1 ustawy o ochronie danych osobowych stanowi, iż w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Informacje te należy przekazać osobie, której dane dotyczą. Poinformowanie powinno mieć charakter indywidualny w tym znaczeniu, iż nie może być zastąpione np. ogłoszeniem, czy też adnotacją umieszczoną w regulaminie, jeśli osoba nie ma możliwości bezpośrednio zapoznania się z jego treścią. 1920 Obowiązek ten powinien być wykonany w zasadzie przed rozpoczęciem zbierania danych. Ustawa nie zawiera bowiem w tym zakresie żadnych wskazówek, podobnie jak nie przesądza, w jakiej formie obowiązek informacyjny powinien być spełniony. Skoro zaś ustawodawca nie narzuca żadnej formy, należy uznać, iż jest ona w zasadzie dowolna (informacje mogą być udzielone np. ustnie). Uwaga! Z punktu widzenia dowodowego wskazane jest posłużenie się forma pisemną. W razie bowiem ewentualnego sporu co do dopełnienia obowiązku informacyjnego, ciężar udowodnienia, że obowiązek ten w rzeczywistości został wykonany spoczywał będzie na administratorze danych. Ważne jest także, aby przekazana osobie zainteresowanej informacja była pełna i zawierała wszystkie elementy wskazane w cytowanym art. 24 ustawy o ochronie danych osobowych. Konieczne jest też, aby była ona w dostateczny sposób wyodrębniona spośród innych informacji przekazywanych osobie zainteresowanej przez administratora danych, a także, aby była wyrażona w formie zrozumiałej dla adresata. Dopełnienie obowiązku informacyjnego, o którym mowa w art. 24 ust. 1, powinno nastąpić z inicjatywy administratora danych. Nie jest tu potrzebna prośba, czy też wniosek ze strony zainteresowanego. Wyłączenia obowiązku informacyjnego (art. 24 ust. 2 ustawy o ochronie danych osobowych): 1) przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania, 2) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. W tym drugim przypadku, wyłączenia obowiązku informacyjnego nie można oprzeć na subiektywnym odczuciu administratora danych, że osoba zainteresowana jest świadoma wszystkich okoliczności związanych ze zbieraniem jej danych osobowych. Musi być to okoliczność stwierdzona w sposób obiektywny i sprawdzona, czy rzeczywiście podmiotowi danych wszystkie informacje wymienione w art. 24 ust. 1 są znane. 20 Pokazać jeszcze
ABC rejestracji zbiorów danych osobowych BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH ul. Stawki 2, 00-193 Warszawa tel.: (22) 860 70 81 fax: (22) 860 70 86 kancelaria@giodo.gov.pl www.giodo.gov.pl Bardziej szczegółowo dr Jarosław Ruszewski dr Piotr Sitniewski www.jawnosc.pl Ustawa o dostępie do informacji publicznej w orzecznictwie
dr Jarosław Ruszewski dr Piotr Sitniewski www.jawnosc.pl Ustawa o dostępie do informacji publicznej w orzecznictwie Ustawa o dostępie do informacji publicznej w orzecznictwie Orzecznictwo sądów odgrywa Bardziej szczegółowo Dz.U. 1960 Nr 30 poz. 168. USTAWA z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego. DZIAŁ I Przepisy ogólne
Kancelaria Sejmu s. 1/57 USTAWA z dnia 14 czerwca 1960 r. Opracowano na podstawie: t.j. Dz. U. z 2013 r. poz. 267z 2014 r. poz. 183, 1195. Kodeks postępowania administracyjnego DZIAŁ I Przepisy ogólne Bardziej szczegółowo Ponowne wykorzystanie informacji sektora publicznego
Krzysztof Siewicz Ponowne wykorzystanie informacji sektora publicznego 1. Wprowadzenie Informacja potrzebna jest każdemu z nas w życiu prywatnym oraz zawodowym. Dzięki informacji swoją działalność prowadzą Bardziej szczegółowo Dz.U. 2002 Nr 153 poz. 1270. USTAWA z dnia 30 sierpnia 2002 r. Rozdział 1 Przepisy ogólne
Kancelaria Sejmu s. 1/71 Dz.U. 2002 Nr 153 poz. 1270 USTAWA z dnia 30 sierpnia 2002 r. Opracowano na podstawie: t.j. Dz. U. z 2012 r. poz. 270, 1101, 1529, z 2014 r. poz. 183, 543. Prawo o postępowaniu Bardziej szczegółowo Dz.U. 2001 Nr 130 poz. 1450 USTAWA. z dnia 18 września 2001 r. o podpisie elektronicznym 1) Rozdział I. Przepisy ogólne
Kancelaria Sejmu s. 1/32 Dz.U. 2001 Nr 130 poz. 1450 USTAWA Opracowano na podstawie: tj. Dz. U. z 2013 r. poz. 262, 2014 r. poz. 1662. z dnia 18 września 2001 r. o podpisie elektronicznym 1) Rozdział I Bardziej szczegółowo Dz.U. 2009 Nr 52 poz. 417. USTAWA z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Rozdział 1 Przepisy ogólne
Kancelaria Sejmu s. 1/32 USTAWA z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta Rozdział 1 Przepisy ogólne Art. 1. Ustawa określa: 1) prawa pacjenta; 2) zasady udostępniania dokumentacji Bardziej szczegółowo Prof. dr hab. Bogdan Dolnicki Dr Renata Cybulska Realizacja zasady jawności i dostępu do informacji publicznej w samorządzie terytorialnym
Prof. dr hab. Bogdan Dolnicki Dr Renata Cybulska Realizacja zasady jawności i dostępu do informacji publicznej w samorządzie terytorialnym 31.03.2011 r. 1 Celem niniejszej opinii jest przedstawienie zasady Bardziej szczegółowo Dz.U. 2001 Nr 49 poz. 508. USTAWA z dnia 30 czerwca 2000 r. Tytuł I Przepisy ogólne
Kancelaria Sejmu s. 1/99 USTAWA z dnia 30 czerwca 2000 r. Prawo własności przemysłowej Tytuł I Przepisy ogólne Art. 1. 1. Ustawa normuje: 1) stosunki w zakresie wynalazków, wzorów użytkowych, wzorów przemysłowych, Bardziej szczegółowo WYTYCZNE NR 3 KOMENDANTA GŁÓWNEGO POLICJI. z dnia 15 lutego 2012 r. w sprawie wykonywania czynności dochodzeniowo śledczych przez policjantów 1)
WYTYCZNE NR 3 KOMENDANTA GŁÓWNEGO POLICJI z dnia 15 lutego 2012 r. w sprawie wykonywania czynności dochodzeniowo śledczych przez policjantów 1) Na podstawie art. 5 ust. 2 ustawy z dnia 6 kwietnia 1990 Bardziej szczegółowo USTAWA. z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu.
Dz.U.2014.1075 USTAWA z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (tekst jednolity) Mając na względzie: - zachowanie pamięci o ogromie Bardziej szczegółowo ANALIZY RAPORTY EKSPERTYZY. Nr 4/2009 PRAWA CUDZOZIEMCÓW W POSTĘPOWANIU PRZED ORGANAMI ADMINISTRACJI PUBLICZNEJ. Katarzyna Wencel
Nr 4/2009 ANALIZY RAPORTY EKSPERTYZY Katarzyna Wencel PRAWA CUDZOZIEMCÓW W POSTĘPOWANIU PRZED ORGANAMI ADMINISTRACJI PUBLICZNEJ 2 Trzeba pamiętać, Ŝe urzędnik, dysponujący znacznie większą wiedzą niŝ obywatel, Bardziej szczegółowo Regulamin otwierania i prowadzenia rachunków bankowych Getinonline dla osób fizycznych (nie prowadzących działalności gospodarczej)
Regulamin otwierania i prowadzenia rachunków bankowych Getinonline dla osób fizycznych (nie prowadzących działalności gospodarczej) 1 Postanowienia ogólne 1. Niniejszy Regulamin otwierania i prowadzenia Bardziej szczegółowo Proces prawotwórczy w świetle orzecznictwa Trybunału Konstytucyjnego
Proces prawotwórczy w świetle orzecznictwa Trybunału Konstytucyjnego Wypowiedzi Trybunału Konstytucyjnego dotyczące zagadnień związanych z procesem legislacyjnym Warszawa 2015 Opracowanie Biura Trybunału Bardziej szczegółowo Zarządzanie informacją o środowisku
Zarządzanie informacją o środowisku PRZEWODNIK Spis treści Dostęp do informacji o środowisku i jego ochronie 1. Prawo do informacji o stanie środowiska i jego ochronie 1.1. Informacja o środowisku i jego Bardziej szczegółowo Poradnik dla doradców współpracujących z grupami producentów rolnych
Poradnik dla doradców współpracujących z grupami producentów rolnych Mirosława Miłosławska-Kozak Wiesława Nowak Andrzej Dominik Paweł Gąsiorek Początki działania grupowego. Najprostszą formą działania Bardziej szczegółowo USTAWA z dnia 2015 r. o zawodzie fizjoterapeuty 1) Rozdział 1 Przepisy ogólne
Projekt USTAWA z dnia 2015 r. o zawodzie fizjoterapeuty 1) Rozdział 1 Przepisy ogólne Art. 1. 1. Ustawa określa zasady: 1) wykonywania zawodu fizjoterapeuty; 2) uzyskiwania prawa wykonywania zawodu fizjoterapeuty; Bardziej szczegółowo USTAWA z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów. Dział I Przepisy ogólne
Kancelaria Sejmu s. 1/1 USTAWA z dnia 16 lutego 2007 r. 1) 2) o ochronie konkurencji i konsumentów Dział I Przepisy ogólne Opracowano na podstawie: Dz.U. z 2007 r. Nr 50, poz. 331, Nr 99, poz. 660, Nr Bardziej szczegółowo REGULAMIN ŚWIADCZENIA USŁUG TELEKOMUNIKACYJNYCH PRZEZ STAN PC Wrocław, dnia 01.04.2015
REGULAMIN ŚWIADCZENIA USŁUG TELEKOMUNIKACYJNYCH PRZEZ STAN PC Wrocław, dnia 01.04.2015 Rozdział I [POSTANOWIENIA OGÓLNE] 1 [ZAKRES REGULAMINU] 1. Regulamin określa zasady świadczenia usług telekomunikacyjnych Bardziej szczegółowo 2. Charakterystyka projektu ustawy rzeczywisty stan oraz wskazanie różnic pomiędzy dotychczasowym a projektowanym stanem prawnym
Wersja z 16.03.2015 UZASADNIENIE 1. Potrzeba i cel projektu ustawy Projekt ustawy o zmianie ustawy o udzielaniu cudzoziemcom ochrony na terytorium Rzeczypospolitej Polskiej oraz niektórych innych ustaw, Bardziej szczegółowo Wymagania w zakresie. regulacji monitoringu
Wymagania w zakresie regulacji monitoringu Wstęp...2 1. Cel i zakres pożądanych regulacji...9 2. Proponowane definicje...16 3. Obowiązki informacyjne, jakie powinny wykonać podmioty stosujące monitoring, Bardziej szczegółowo ABC. bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych
ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych WYDAWNICTWO SEJMOWE Warszawa 2007 BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH ul. Stawki 2, 00-193 Warszawa Bardziej szczegółowo Prawo do informacji publicznej Efektywność regulacji i perspektywy jej rozwoju
Prawo do informacji publicznej Efektywność regulacji i perspektywy jej rozwoju Red. Mariusz Maciejewski Warszawa 2014 Prawo do informacji publicznej. Efektywność regulacji i perspektywy jej rozwoju Redakcja: Bardziej szczegółowo Praca. Poradnik dla osób starszych
Praca Poradnik dla osób starszych Warszawa 2012 BIULETYN RPO Materiały nr 74 Praca. Poradnik dla osób starszych Redaktor Naczelny: Stanisław Trociuk Opracowanie: Publikacja przygotowana w ramach prac Komisji Bardziej szczegółowo KOMENDA GŁÓWNA POLICJI ISSN 1506-5170 BIURO PRAWNE
KOMENDA GŁÓWNA POLICJI ISSN 1506-5170 BIURO PRAWNE Biuletyn Prawny Nr 27 W a r s z a w a 2 0 0 6 1 BIULETYN PRAWNY NR 27 K O L E G I U M R E D A K C Y J N E Bronisław KACHNIKIEWICZ, Hanna KARASZEWSKA, Bardziej szczegółowo 2016 © DocPlayer.pl Polityka prywatności | Warunki świadczenia usług | Zwrotny adres

References: art. 51
 art. 12
 art. 22
 ustawy 4
 art. 26
 art. 23
 art. 26
 art. 23
 art. 27
 art. 27
 art. 7
 art. 23
 art. 112
 art. 24
 art. 32
 Art. 24
 art. 24
 art. 24
 art. 24
 Art. 1
 Art. 1
 art. 5
 Art. 1