Source: https://www.eporady24.pl/prowadzenie-sklepu-internetowego-a-odstapienie-od-rejestracji-zbioru-danych-osobowych,pytania,17,110,20935.html
Timestamp: 2019-09-16 08:03:42+00:00
Document Index: 116818192

Matched Legal Cases: ['art. 2', 'art. 7', 'art. 7', 'art. 40', 'art. 43', 'art. 43']

Autor: Łukasz Marciniak • Opublikowane: 26.11.2017
Zgodnie z art. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (dalej: „uodo”) ustawę stosuje się do przetwarzania danych osobowych osób fizycznych, zarówno w sposób tradycyjny (w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych), jak i w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych.
W Pańskim przypadku trzeba odpowiedzieć na pytanie, czy w tym przypadku dochodzi do przetwarzania danych oraz czy mamy do czynienia ze zbiorem danych.
Ustawa definiuje zbiór danych (art. 7 nr 1 uodo) jako każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Natomiast przez przetwarzanie danych (art. 7 nr 2 uodo) ustawa rozumie jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, Mając na uwadze powyższe, stwierdzić trzeba, że aby usunąć pewne dane należy je wpierw zebrać – stanowi to już przetwarzanie danych. Zasadnicze znaczenie ma ustalenie, czy posiadane przez Pana dane są zachowane w spójnej strukturze, tj. dane są przetwarzane w zbiorze danych. Znając powyższe definicje, musi Pan odpowiedzieć sobie na następujące kwestie:
w jaki sposób dane zamówienia trafiają do Pana, jak są zapisywane i jak przebiega proces realizacji zamówienia?
czy prowadzi Pan rejestr zamówień, w których gromadzone są informacje o zamówieniu (jakie zawiera on informację)?
jak gromadzone i przechowywane są dane zamawiających oraz dane odbiorców?
czy dane odbiorców są przechowywane razem z danymi zamawiających czy osobno?
Konsekwencją stwierdzenia, że mamy do czynienia ze zbiorem danych, zgodnie z art. 40 uodo, jest obowiązek zgłoszenia zbioru danych do rejestracji u Generalnego Inspektora Ochrony Danych Osobowych, chyba że zachodzi jeden z ustawowych wyjątków.
Taki wyjątek ma miejsce m.in. w sytuacji powołania w Pańskiej firmie Administratora Bezpieczeństwa Informacji oraz zgłoszenia tego faktu GIODO (art. 43 ust. 1a uodo). Inne wyjątki zostały wskazane w art. 43 ust. 1 uodo, jednak w mojej ocenie żaden ze wskazanych tam przypadków nie znajdzie zastosowania w Pańskiej sytuacji.