Source: https://www.slideserve.com/oriole/ochrona-danych-osobowych
Timestamp: 2018-08-19 11:24:54+00:00
Document Index: 70471013

Matched Legal Cases: ['art. 29', 'Art. 81', 'art. 5', 'art. 12', 'art. 3', 'art. 2', 'Art. 6', 'art. 49', 'art. 31', 'art. 31', 'art. 31', 'art. 23', 'art. 27', 'art. 32', 'art. 32', 'art. 34', 'art. 23', 'art. 23', 'art. 26', 'Art. 49', 'Art. 51', 'art. 43', 'art. 49', 'art. 51', 'art. 32']

PPT - Ochrona danych osobowych PowerPoint Presentation - ID:2217391
Ochrona danych osobowych PowerPoint Presentation
<iframe src="https://www.slideserve.com/embed/2217391" width="600" height="485" frameborder="0" marginwidth="0" marginheight="0" scrolling="no" style="border:1px solid #CCC;border-width:1px 1px 0;margin-bottom:5px" allowfullscreen webkitallowfullscreen mozallowfullscreen> </iframe>
Ochrona danych osobowych - PowerPoint PPT Presentation
Ochrona danych osobowych. Szkolenie dla SBP wrzesień 2011 Karol Górski, CISM, CRISC kgorski1024@gmail.com. Geneza. Dyrektywa UE 95/46 Cele wyważenie prawa do prywatności i praw (interesów) przedsiębiorców, ochrona przed nadmiernym łączeniem danych przez rządy
PowerPoint Slideshow about 'Ochrona danych osobowych' - oriole
Szkolenie dla SBP
Karol Górski, CISM, CRISC
kgorski1024@gmail.com
Dyrektywa UE 95/46
wyważenie prawa do prywatności i praw (interesów) przedsiębiorców,
ochrona przed nadmiernym łączeniem danych przez rządy
zapewnienie konsumentom prostszej, administracyjnej drogi do ochrony ich praw niż w drodze procesów sądowych
Grupa ekspertów z art. 29
Implementacja praw człowieka
Konwencja rzymska z 1950 r. (Europejska Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności)
Art. 81. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych(UODO) (Dz.U. z 2002 r., nr 101, poz. 926 z późn. zm.)
Ostatnia nowelizacja w 2010 r., weszła w życie w marcu 2011 r.
zmienione rozporządzeniem MSWiA z dnia 11 maja 2011 r.
Akty normatywne cd.
Przepisy szczególne (branżowe, tematyczne)
lexspecialis derogat legi generali - mają pierwszeństwo przed UODO (art. 5 UODO)
Np. prawo telekomunikacyjne, ustawa o systemie informacji oświatowej
rozdział 10 dotyczy rozpowszechniania wizerunku
Generalny Inspektor Ochrony Danych Osobowych(GIODO)
Powoływany przez Sejm i Senat na 4-letnią kadencję
Obecnie: dr Wojciech Rafał Wiewiórowski (od 2010 r.)
Zadania (art. 12 UODO)
3) zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, o których mowa w pkt 2, przez stosowanie środków egzekucyjnych […]
Generalny Inspektor Ochrony Danych Osobowych cd.
Wytyczne dla administratorów danych (seria „ABC Ochrony danych osobowych”)
Infolinia (22 860 70 70)
Możliwość konsultacji telefonicznych
Platforma do składania wniosków o rejestrację zbiorów oraz do przeglądania rejestru zbiorów
Strony internetowe (publikacje, decyzje, statystyki, pytania i odpowiedzi)
Zakres obowiązywania – podmiotowy(art. 3 i 3a)
Zakres obowiązywania – przedmiotowy(art. 2 ust. 2)
UODO stosuje się tylko do przetwarzania danych żyjących osób fizycznych, zarówno obywateli polskich jak i cudzoziemców
Zakres obowiązywania - wyłączenia
Przetwarzanie przez osoby fizyczne wyłącznie w celach osobistych lub domowych
Prasowa działalność dziennikarska oraz działalność literacka i artystyczna (obowiązują tylko przepisy dot. zabezpieczenia i kontroli) – chyba że naruszone prawa i wolności innych
Podmioty z państw trzecich wykorzystujące środki techniczne na terytorium RP tylko do przekazywania danych
Jeśli umowa międzynarodowa stanowi inaczej
Zbiory doraźne – ALE TRZEBA ZABEZPIECZAĆ
Ograniczenie kompetencji GIODO wobec
Podmiotów zgłaszających kandydatów w okresie kampanii wyborczej
Nakazywania usunięcia danych zebranych w toku czynności operacyjno-rozpoznawczych
To, że zbiór jest zwolniony z obowiązku rejestracji
obowiązku spełnienia pozostałych postanowień ustawy, w tym dotyczących zabezpieczenia danych
Art. 6 1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
W przepisie karnym (art. 49) dane o skazaniach i orzeczeniach traktuje się tak jak dane zwykłe
posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie
jest daną osobową ?
Czy spis kontaktów w telefonie komórkowym to zbiór danych osobowych ?
Czy wymaga rejestracji ?
A zbiór wizytówek na biurku ?
Czy zbieranie i przetwarzanie przez jednego z uczestników rozgrywanych rekreacyjnie meczy siatkarskich danych o innych uczestnikach, podlega ustawie ?
Czy potrzebna jest rejestracja takiego zbioru ?
Podstawowe pojęcia cd.
Wszystkie operacje na danych w tym zbieranie, usuwanie
Samo przechowywanie też stanowi przetwarzanie w rozumieniu UODO
Papierowo lub w systemach informatycznych (również poza zbiorem)
Odpowiedzialność podmiotu, któremu powierzono przetwarzanie:
Wobec AD za przetwarzanie niezgodnie z umową
Za nieprzestrzeganie przepisów o zabezpieczeniu danych
Umowa na piśmie, musi być wskazany cel i zakres przetwarzania
Niszczenie dokumentacji, serwis sprzętu czy oprogramowania to też mogą być przypadki powierzenia
Szczególnym przypadkiem jest udostępnienie odbiorcy danych – trzeba je odnotować
Może - ale nie musi - łączyć się z udostępnieniem
Administrator danych osobowych (AD)
Prowadzi nadzór nad przestrzeganiem przepisów o ochronie danych osobowych
Każdy komu udostępnia się dane z wyjątkiem: osoby, której dane dotyczą, osoby upoważnionej do przetwarzania danych, przedstawiciela, o którym mowa w art. 31a, podmiotu, o którym mowa w art. 31, organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem
Administrujący danymi osobowymi
Osoba fizyczna, która w momencie wystąpienia zdarzenia określonego w przepisach karnych zawiaduje danymi
Musi mieć odpowiednie kompetencje i zasoby, nie można „zepchnąć odpowiedzialności” na szeregowego pracownika nie dając mu możliwości odpowiedniego postępowania z danymi
Podmiot, któremu powierzono przetwarzanie danych
Dowolny ale AD musi zachować szczególną staranność również przy wyborze
Uwaga na podmioty zlokalizowane w państwach trzecich (poza EOG)
Należy zapewnić możliwość nadzoru AD nad przetwarzaniem danych przez ten podmiot
Przedstawiciel z art. 31
Wyznaczany w przypadku podmiotów mających siedzibę w państwie trzecim (poza EOG)
Podstawowe zasadyWAŻNE !!!
Dochowanie szczególnej staranności przy przetwarzaniu
W celu ochrony interesów osób, których dane dotyczą
więcej niż należyta staranność
Oznaczony cel, znany osobie której dane dotyczą
Nie można użyć do przetwarzania w „niezgodnym” celu
nie ma innej możliwości osiągnięcia legalnego celu bez przetwarzania określonych danych
Weryfikacja, aktualizacja danych, umożliwienie korygowania danych
Należy z góry określić kiedy dane będą usuwane
Jak długo dane będą przechowywane np. po zrealizowaniu umowy
Często wynika z przepisów o rachunkowości lub roszczeniach (cywilnych, pracowniczych) np. dokumentacja pracownicza – 50 lat, księgowa – 5 lat (od końca roku kalendarzowego)
Legalność – dane zwykłe(art. 23 UODO)
Zgoda osoby której dane dotyczą (chyba że chodzi o usunięcie jej danych)
Realizacja umowy której stroną jest osoba której dane dotyczą lub podjęcie działań przed zawarciem umowy na żądanie tej osoby
Wykonanie określonych prawem zadań realizowanych dla dobra publicznego
Wypełnienie prawnie usprawiedliwionego celu administratora danych lub odbiorcy danych jeśli nie narusza to praw i wolności osoby której dane dotyczą
Marketing bezpośredni produktów lub usług AD
Legalność – dane zwykłe cd.
Zalecane jest korzystanie z innych niż zgoda podstaw przetwarzania
Wymuszona zgoda może zostać zakwestionowana np. zgoda w relacjach pracodawca-pracownik (np. sprawa zaświadczeń o niekaralności)
Zgoda – oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie
Zgoda nie musi być na piśmie (chyba że chodzi o dane wrażliwe) ale powinno być możliwe udowodnienie, że została wyrażona - dlatego najczęściej dla celów dowodowych wymaga się zgody na piśmie
Możliwe inne sposoby udokumentowania zgody np. procedury, logika programu komputerowego itp.,
Rozpoczęcie przetwarzania danych zwykłych w zbiorze dozwolone od momentu złożenia wniosku o rejestrację
Legalność – dane wrażliwe
Generalny zakaz (art. 27)
Ust. 2 zawiera wyjątki od zakazu
Przetwarzanie danych wrażliwych dopuszczalne dopiero po zarejestrowaniu zbioru, jeżeli nie jest zwolniony z rejestracji
Legalność – dane wrażliwe – wyjątki od zakazu
Podstawowe obowiązki AD
Pierwotny (przy zbieraniu danych od osoby, której dane dotyczą) i wtórny (przy zbieraniu danych z innego źródła)
Obowiązki informacyjne, korekcyjne i zakazowe
obowiązek aktualizacji zgłoszenia (w ciągu 30 dni od zmian)
zwolnienie z rejestracji nie zwalnia z pozostałych obowiązków !!!
Adres siedziby i pełna nazwa AD
Cel zbierania danych, w szczególności znani lub przewidywani odbiorcy lub kategorie odbiorców
Informacja o prawie dostępu do treści danych oraz ich poprawiania
Informacja o dobrowolności albo obowiązku podania danych (jeśli obowiązek to również jego podstawa prawna)
Zwolnienie z pierwotnego obowiązku informacyjnego jeśli
Zezwala na to przepis innej ustawy
Osoba, której dane są zbierane posiada już te informacji
Przy wtórnym obowiązku dodatkowo:
Informacja o zakresie danych i o ich źródle
Informacja o uprawnieniach z art. 32 ust. 1 pkt 7 i 8
Zwolnienie z wtórnego obowiązku informacyjnego jeśli
Osoba której dane są zbierane posiada już te informacje
Dane są przetwarzane przez AD będącego organem państwowym, samorządowym, państwową lub komunalną jednostką organizacyjną lub podmiotom niepublicznym realizującym zadania publiczne
Dane są używane do celów badań naukowych, statystycznych, historycznych, dydaktycznych lub badań opinii publicznej, nie naruszone są prawa i wolności osób a spełnienie obowiązku byłoby nadmiernym kosztem lub zagrażało realizacji celu badań
Obowiązki z art. 32
To co przy obowiązku informacyjnym + treść danych w powszechnie zrozumiałej formie
Można odstąpić od udzielenia informacji jeśli dane są przetwarzane w celach naukowych, dydaktycznych, historycznych, statystycznych, archiwalnych i pociągałoby to za sobą niewspółmierne do celu nakłady
Prawo do żądania informacji przysługuje nie częściej niż raz na 6 miesięcy
Informacji można udzielić w różnej formie, pisemnie jeśli taki był wniosek
Można odmówić udzielenia informacji w pewnych sytuacjach (art. 34)
Żądanie uzupełnienia, uaktualnienia, sprostowania, czasowego lub stałego wstrzymania przetwarzania danych lub ich usunięcia jeśli są niekompletne, nieaktualne lub nieprawdziwe lub zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu do którego zostały zebrany
Osoba musi wykazać że taka sytuacja ma miejsce
AD musi bez zbędnej zwłoki dokonać poprawki lub wstrzymać przetwarzanie i poinformować o tym wszystkich AD którym udostępnił zbiór danych
Żądanie zaprzestania przetwarzania danych ze względu na szczególną sytuację – w przypadku przetwarzania na podstawie art. 23 ust. 1 pkt 4 lub 5
Pisemne, umotywowane żądanie
AD zaprzestaje przetwarzania, przekazuje żądanie do GIODO, który wydaje decyzję
Sprzeciw wobec przetwarzania danych w przypadku art. 23 ust. 1 pkt 4 i 5 jeśli AD zamierza przetwarzać je w celach marketingowych sprzeciw lub wobec przekazywaniu innym AD
Dalsze przetwarzanie niedopuszczalne
AD może zostawić sobie dane które pozwolą zapobiec ponownemu wprowadzeniu do tej osoby do zbioru (np. PESEL lub imię, nazwisko i adres)
Żądanie ponownego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26
Obowiązek rejestracji zbioru
Generalny obowiązek rejestracji
Przy zwykłych danych można przetwarzać od momentu złożenia wniosku, przy wrażliwych – od momentu wpisu do rejestru
Zmiany muszą być zgłaszane w ciągu 30 dni od ich dokonania w zbiorze
Chodzi o zmiany w strukturze zbioru, sposobie przetwarzania lub zabezpieczenia
Jeśli zmiana polega na rozpoczęciu przetwarzania danych wrażliwych to można jej dokonać dopiero po zgłoszeniu GIODO
Obowiązek nie dotyczy zbiorów:
Dostosowane do kategorii danych i zagrożeń
Analiza ryzyka, mało kto przeprowadza ją w sposób udokumentowany
Zabezpieczenie przed udostępnienie osobom nieupoważnionym, zabraniem przez osoby nieuprawnione, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem
Prowadzenie dokumentacji opisującej sposób przetwarzania danych oraz zabezpieczenia
Kontrola nad tym jakie dane, kiedy i przez kogo są do zbioru wprowadzane oraz komu są udostępniane
Osoby upoważnione mają z mocy ustawy obowiązek zachowania w tajemnicy danych osobowych i sposobów ich zabezpieczenia (bezterminowo)
Należy unikać konfliktów interesów – ABI nie powinien być istotnie zaangażowany w przetwarzanie danych, nad którym prowadzi nadzór
Wdrożenie środków z załącznika do rozporządzenia do UODO
Oraz dodatkowych, jeśli tak wynika z analizy ryzyka
Przepisy karneNieuprawnione przetwarzanie (bez podstaw prawnych, bez upoważnienia)
Art. 49 1. Kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Przepisy karneBezprawne udostępnienie
Art. 51 1. Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Przepisy karneBrak zabezpieczenia, brak rejestracji
Przepisy karneBrak informacji, utrudnianie kontroli
Nakazy administracyjne GIODO
Cywilnoprawna (ochrona dóbr osobistych)
Dane o skazaniach
Wymagania funkcjonalne na aplikacje
Wymagania na zabezpieczenia w podziale na poziomy (załącznik)
jest daną osobową ? Jakie są obowiązki AD zbierających i przetwarzających takie dane ?
Jakie są obowiązki AD zbierających i przetwarzających takie dane ?
Jakie obowiązki wynikające z UODO musi spełnić ten człowiek ?
Organizacja przetwarzania danych osobowych w SBP
Stowarzyszenia podlegają pod ustawę
SBP przetwarza różne kategorie danych osobowych, w tej chwili rozmawiamy tylko o danych członków SBP
Nie ma przepisów szczególnych (ustawa o stowarzyszeniach nie porusza tego tematu)
SBP jest administratorem zbioru członków stowarzyszenia
Podstawa prawna – w części realizacja obowiązku (rachunkowość), w części – zgoda
Uzasadnienie (cel) dla zbieranych danych
Zwolnienie z rejestracji (art. 43 ust. 2 pkt 4)
Zabezpieczenia – o tym dalej
Zadania dla okręgów, oddziałów i kół
Związane z wydawaniem upoważnień i danych dostępowych do systemu
Jeżeli potrzebne jest dopuszczenie nowej osoby do pracy przy deklaracjach członkowskich i przy systemie bazodanowym to należy najpierw wystąpić do centrali (np. do ABI) o wydanie nowego upoważnienia oraz nowego konta w systemie
W przeciwnym razie nieupoważniona osoba naraża się na sankcje z art. 49 a ta które udostępnia jej dane (np. konto w systemie) – na sankcje z art. 51
Związane z obowiązkiem informacyjnym
Potwierdzenie, że w procesie zbierania danych od kandydatów jest realizowany obowiązek informacyjny (przy zatwierdzaniu danych w okręgu)
Czy zdarzają się przypadku zbierania danych nie od osoby której dane dotyczą
Związane z obowiązkami z art. 32
Formalne wnioski o informacje oraz żądania korekty lub zaprzestania przetwarzania lub sprzeciwu najlepiej konsultować lub przekazywać ABI
Prostsze przypadki udzielania informacji można delegować w dół (do kół lub oddziałów)
Należy pamiętać żeby udzielać informacji właściwej osobie (wylegitymować przed przekazaniem informacji lub wysłać informacje na ostatni podany adres)
Korekty muszą być uzasadnione – osoba musi wykazać potrzebę korekty
Odrębne konto (nie administracyjne)
Komputery służbowe:
Odrębne konto jeśli możliwe
Nie korzystać z zapamiętywania haseł
Utworzyć odrębne konto, korzystać tylko w celu łączenia się z systemem SBP, nie otwierać w innych zakładkach innych stron
Sprawdzanie adresu i certyfikatu
Bezpieczne przechowywanie hasła
Jeśli wifi to zabezpieczone – WPA/WPA2
Szyfrowanie poczty elektronicznej – 7zip, winrar, hasło smsem
szyfrowane dyski lub partycje (np. Truecrypt, BitLocker, EFS)
Wnioski w zamykanych szafkach
klucze bezpiecznie schowane
Rozważyć czy nie można archiwum deklaracji członkowskich zlokalizować z centrali
Wystarczy zwykła przesyłka, choć lepiej ustalić wyższy poziom i korzystać z poleconych