Source: http://www.poradnikksiegowego.pl/artykul,1631,14544,ochrona-danych-osobowych-i-przeciwdzialanie-praniu-pieniedzy.html
Timestamp: 2018-11-15 02:11:27+00:00
Document Index: 60072355

Matched Legal Cases: ['art. 31', 'art. 31', 'art. 43', 'art. 2', 'art. 76', 'art. 8', 'art. 8', 'art. 8', 'art. 10', 'art. 8', 'art. 9', 'art. 10', 'art. 10', 'art. 10', 'art. 15']

Ochrona danych osobowych i przeciwdziałanie praniu pieniędzy w biurze rachunkowym – www.poradnikksiegowego.pl
Aktualnie jesteś: Strona główna » Szkolenia księgowego » Ochrona danych osobowych i przeciwdziałanie praniu pieniędzy w biurze rachunkowym
1) Otwieram własne biuro rachunkowe. Jakie obowiązki obciążają mnie wobec Generalnego Inspektora Ochrony Danych Osobowych?
Przede wszystkim biura rachunkowe obciążają obowiązki wynikające z ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922).
Otrzymując dane osobowe od swoich klientów w celu świadczenia usług, biura rachunkowe nie stają się administratorami tych danych, pod warunkiem, że wykonują czynności na nich, na podstawie zawartej umowy o powierzenie danych osobowych. Administrator danych (np. spółka, osoba fizyczna prowadząca działalność gospodarczą) powierza biuru rachunkowemu przetwarzanie danych na podstawie art. 31 ustawy o ochronie danych osobowych. Taka umowa musi być bezwzględnie zawarta na piśmie. Brak umowy powoduje, że w zakresie przekazanych danych biuro rachunkowe staje się ich administratorem, a co za tym idzie - obciążają je dużo szersze obowiązki niż przy przetwarzaniu, takie jak np. obowiązek zgłoszenia zbiorów przetwarzanych danych do rejestracji u GIODO.
Jeżeli zaś w zakresie przekazanych danych zostaje zawarta na piśmie umowa, biuro rachunkowe obciążają obowiązki określone w art. 31 ust. 3 powołanej ustawy, nie zaś obowiązki rejestracyjne względem GIODO. Podmiot, któremu dane zostały przekazane, jest zobowiązany przed rozpoczęciem ich przetwarzania podjąć środki zabezpieczające zbiór danych. Chodzi tu o zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. W szczególności musi zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Oprócz tego wszystkie osoby, które będą miały do czynienia z przekazanymi danymi osobowymi, muszą posiadać stosowne upoważnienia do ich przetwarzania. Biuro musi również zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo są do zbioru wprowadzane oraz komu są przekazywane. Należy prowadzić ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:
Ponadto biuro musi przygotować i stosować się do dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, określonej w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji (Dz. U. z 2004 r. nr 100, poz. 1024).
Podmiot, któremu przekazano dane (tu: biuro rachunkowe), może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.
W przypadku przekazania biuru rachunkowemu danych osobowych odpowiedzialność za przestrzeganie przepisów ustawy o ochronie danych osobowych nadal spoczywa na podmiocie przekazującym (administratorze danych), co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową.
W zakresie, w którym powierzane dane nie pochodzą od innego podmiotu (np. klienta biura) i nie są wyłącznie powierzone celem wykonania na nich określonych czynności, biuro rachunkowe samodzielnie pełni rolę administratora tych danych, np. w odniesieniu do zbiorów danych, które tworzy samodzielnie (przetwarzając dane swoich klientów, pracowników, kontrahentów). W takich przypadkach biuro może być zobowiązane do zgłoszenia zbiorów przetwarzanych danych do rejestracji u GIODO. Ustawa o ochronie danych osobowych w art. 43 zawiera katalog wyłączeń z obowiązku tej rejestracji. Z takiego obowiązku zwolnieni są m.in. administratorzy danych: w stosunku do danych przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej, dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta. Biuro rachunkowe w zakresie przetwarzanych danych, które zostały mu powierzone przez klienta, nie ma obowiązku zgłaszania ich do rejestracji u GIODO. Przykładowo biuro nie ma obowiązku zgłaszania do rejestracji u GIODO zbiorów danych powierzonych mu przez klienta obejmujących dane niezbędne do sporządzenia jego pracownikom deklaracji podatkowych. Również dane pracodawcy służące wyłącznie dla celów sporządzenia faktury, a także dane pracowników, które zostają powierzone biuru, nie podlegają takiej rejestracji.
Podstawowe dokumenty w zakresie ochrony danych osobowych w firmie
» procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności,
» stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem,
» procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu,
» procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania,
» sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe i kopii zapasowych,
» sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego,
» sposób realizacji wymogów związanych z przetwarzaniem danych osobowych polegającym na odnotowaniu informacji o odbiorcach, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia,
» procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.
» wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe,
» wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych,
» opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi,
» sposób przepływu danych pomiędzy poszczególnymi systemami,
» określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.
2) Jakie obowiązki na biuro rachunkowe nakłada ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu?
Podmioty wykonujące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych należą do tzw. instytucji obowiązanych, na których ciążą obowiązki określone w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2016 r. poz. 299 ze zm.), zwanej dalej ustawą, co wynika z jej art. 2 pkt 1 lit. o). Chodzi tu o podmioty, o których mówi art. 76a ust. 1 ustawy o rachunkowości (Dz. U. z 2016 r. poz. 1047 ze zm.). Obowiązki takich podmiotów wynikające z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu sprowadzają się głównie do rejestracji i przekazywania informacji do Generalnego Inspektora Informacji Finansowej (GIIF) na temat transakcji:
1) przeprowadzanej przez instytucję obowiązaną, której równowartość przekracza 15.000 euro (art. 8 ust. 1 ustawy) - przy czym podmioty usługowo prowadzące księgi rachunkowe są obecnie zwolnione z obowiązku rejestracji i przekazywania do GIIF tych transakcji (z zasady zresztą nie będą one występować w biurach rachunkowych, bo biura nie przeprowadzają transakcji, tylko je ewidencjonują),
2) której okoliczności wskazują, że może ona mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, bez względu na jej wartość i charakter - dotyczy to zarówno sytuacji, gdy transakcja taka jest przeprowadzana przez instytucję obowiązaną, jak i gdy wie ona lub przy zachowaniu należytej staranności powinna wiedzieć o takiej transakcji w związku z wykonaniem umowy z klientem (art. 8 ust. 3 i 3a ustawy); takie właśnie informacje mogą pojawić się w biurze rachunkowym.
Największy problem jest z oceną, czy transakcja może mieć związek z praniem pieniędzy lub finansowaniem terroryzmu. W ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wprowadzono regulacje dotyczące tego, co brać pod uwagę przy tej ocenie. Zgodnie z art. 8b ust. 1 tej ustawy instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Zakres ich stosowania jest określany na podstawie oceny ryzyka prania pieniędzy i finansowania terroryzmu, dokonanej w wyniku analizy, z uwzględnieniem w szczególności rodzaju klienta, stosunków gospodarczych, produktów lub transakcji. Przy dokonywaniu analizy w celu określenia wysokości ryzyka instytucja obowiązana powinna uwzględnić w szczególności kryteria wskazane w art. 10a ust. 3 omawianej ustawy. Kiedy stosować środki bezpieczeństwa finansowego i na czym one polegają, mówi art. 8b ust. 3-5 oraz art. 9, 9d i 9e ww. ustawy. O tym, jak przykładowo zorganizować w biurze rachunkowym dokumentację związaną z obowiązkami wobec GIIF, pisaliśmy m.in. w GP nr 85 z 2016 r., na str. 20.
Biura rachunkowe muszą wyznaczyć osoby odpowiedzialne za wykonanie obowiązków w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W przypadku instytucji obowiązanych będących kapitałowymi spółkami handlowymi osobą odpowiedzialną za wykonanie tych obowiązków jest członek zarządu wyznaczony przez zarząd, a przy działalności jednoosobowej - osoba wykonująca tę działalność (art. 10b ustawy). Osoby, które wykonują obowiązki związane z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, powinni uczestniczyć w programach szkoleniowych na ten temat (art. 10a ust. 4 ustawy). Do niedawna na stronie internetowej Ministerstwa Finansów dostępny był nieodpłatny kurs e-learningowy, który zapewniał wywiązanie się z tej powinności. Jednak ostatnio w komunikacie zamieszczonym na tej stronie GIIF poinformował, że z dniem 18 kwietnia 2017 r. kurs ten przestaje być aktywny i od tego dnia nie ma możliwości uczestnictwa w tym kursie.
Transakcje podejrzane o związek z praniem pieniędzy i finansowaniem terroryzmu zgłasza się do GIIF, ujmując je w rejestrze transakcji w sposób wskazany w rozporządzeniu Ministra Finansów w sprawie określenia wzoru rejestru transakcji, sposobu jego prowadzenia oraz trybu dostarczania danych z rejestru GIIF (Dz. U. z 2001 r. nr 113, poz. 1210 ze zm.). Warto zauważyć, że doradcy podatkowi, biegli rewidenci i księgowi dokonali w 2016 r. 0,36% wszystkich zawiadomień o transakcjach podejrzanych, w 2015 r. było to 0,45%, a w 2014 r. 0,62% (wynika tak ze sprawozdań rocznych z działalności GIIF za te lata, zamieszczonych na stronie internetowej MF).
Określenie m.in. sposobu wykonania środków bezpieczeństwa finansowego, rejestracji transakcji, sposobu analizy i oceny ryzyka, przekazywania informacji o transakcjach GIIF oraz sposobu przechowywania informacji powinna zawierać sporządzona w formie pisemnej wewnętrzna procedura w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, którą instytucja obowiązana musi wprowadzić na podstawie art. 10a ust. 1 i 2 ustawy.
Rozporządzenie Parlamentu Europejskiego i Rady UE 2016 679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (...)
Koszty usług informatycznych nie podlegają wyłączeniu z kosztów uzyskania przychodów na podstawie art. 15e ust. 1 pkt 1 updop. Tak wynika z interpretacji indywidualnej Dyrektora (...)
Wydatki na usługi informatyczne, nabywane od podmiotów powiązanych, nie podlegają ograniczeniu w zaliczaniu do kosztów uzyskania przychodów. interpretacja indywidualna Dyrektora Krajowej Informacji Skarbowej z 6 (...)
Usługi administracyjne, nabyte od podmiotu powiązanego, to usługi podobne do usług zarządzania. W związku z tym, wartość tych usług podlega ograniczeniu w zaliczeniu do kosztów (...)
Czy były właściciel lokalu posiadający spółdzielcze prawo do lokalu lub prawo odrębnej własności będzie mógł skorzystać z prawa do bycia zapomnianym zgodnie z RODO? Czy (...)
Jako biuro rachunkowe, w oparciu o dokumenty otrzymane na szkoleniu, dostosowaliśmy nasze procedury do wymagań nowej ustawy o przeciwdziałaniu praniu pieniędzy. Nie wiemy jednak, w (...)
Chcemy zawrzeć umowę na sprzątanie biura naszej firmy. Jakich informacji możemy żądać od kandydatów na etapie rekrutacji? Jakie informacje powinniśmy zawrzeć dla nich w klauzuli (...)
Sejm na posiedzeniu w dniach 27-28 lutego oraz 1 i 6 marca 2018 r. uchwalił m.in. Konstytucję Biznesu, czyli ustawy: Prawo przedsiębiorców, Przepisy wprowadzające ustawę (...)