Source: http://klinikaorka.pl/pl/polityka-bezpieczenstwa-danych-osobowych-rodo
Timestamp: 2018-12-18 11:04:01+00:00
Document Index: 37926010

Matched Legal Cases: ['art. 6', 'art. 46', 'art. 47', 'art. 49', 'art. 6', 'art. 22', 'art. 28']

Dnia:25-05-2018
Czechowice-Dziedzice, 25/05/2018 r.
1. POSTANOWIENIA OGÓLNE: CEL I ZAKRES STOSOWANIA
„Polityka Bezpieczeństwa Danych Osobowych” jest zintegrowanym zbiorem zasad, reguł i procedur postepowania, regulujących sposób zarządzania, ochrony, użytkowania, przetwarzania i przechowywania danych osobowych.
gromadzonych zarówno w postaci elektronicznej, jak i w postaci dokumentów w wersji papierowej;
przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania danych w sposób inny niż zautomatyzowany;
danych osobowych stanowiących część zbioru lub mających stanowić część zbioru danych.
Polityka została opracowana z uwzględnieniem RODO i innych wymagań prawnych i regulacyjnych, które Orka sp. z o.o. jest zobowiązany uwzględnić w swojej działalności oraz specyfiki funkcjonowania Orka sp z o.o.
Polityka została opracowana w celu zapewnienia przez Orka sp. z o.o. najwyższej staranności w zakresie ochrony praw i wolności osób, których dane dotyczą, a w szczególności zapewnienia stosowanie zasad:
przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty;
zbierania danych wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzania ich dalej w sposób niezgodny z tymi celami;
minimalizacji danych, poprzez przetwarzanie danych adekwatnych, stosownych oraz ograniczonych do celów przetwarzania,
poprawności danych, poprzez ich bieżące uaktualnianie, jeżeli są nieaktualne oraz podejmowanie wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane;
przechowywania danych w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane;
integralności i poufności danych poprzez odpowiednie ich zabezpieczenie za pomocą odpowiednich środków technicznych i organizacyjnych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem,
rozliczalności przetwarzania danych poprzez wdrożenie odpowiednich procedur i zasad, pozwalających na wykazanie przestrzegania przepisów Rozporządzenia.
ograniczenia ryzyka naruszenia praw i wolności osób fizycznych, jakie może nieść przetwarzanie danych osobowych, poprzez zabezpieczenie danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów oraz ich zmianą, utratą, uszkodzeniem lub zniszczeniem.
Polityka ma charakter obligatoryjny – dotyczy wszystkich pracowników i osób wykonujących prace dla Orka sp. z o.o. na podstawie umów cywilnoprawnych, w tym umów o dzieło, umów zlecenia.
Pracownik oraz osoba wykonująca dla Orka sp. z o.o. prace na podstawie umowy cywilnoprawnej, w tym umowy o dzieło, umowy zlecenie, zobowiązany jest do zapoznania się z Polityką przed dopuszczeniem do pracy.
47 i 51 Konstytucji Rzeczpospolitej Polskiej z dnia 2 kwietnia 1997 r.,
Procedura Postępowania w Sytuacjach Naruszenia Bezpieczeństwa Danych Osobowych;
Instrukcja Postępowania w Zakresie Bezpieczeństwa Danych Osobowych;
Dane zwykłe – dane osobowe z wyjątkiem szczególnych kategorii danych oraz danych dotyczących wyroków skazujących i naruszeń prawa;
Informatyk – osoba zatrudniona na podstawie umowy o pracę, umowy cywilno – prawnej lub innej umowy, odpowiedzialna za właściwe funkcjonowanie sprzętu teleinformatycznego, systemów operacyjnych, programów użytkowych, sieci lokalnych i rozległych oraz ich administrowaniem.
Inspektor Ochrony Danych (IOD) – osoba powołana/wyznaczona przez Właściciela Orka sp. z o.o., realizująca obowiązki określone w RODO dotyczące przetwarzania danych osobowych;
Odbiorca danych – osoba fizyczna, lub prawna, organ publiczny lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane w ramach konkretnego postępowania nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosowne do celów przetwarzania;
Ograniczenie przetwarzania – oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania;
Organ nadzorczy – Prezes Urzędu Ochrony Danych Osobowych;
Podmiot przetwarzający (procesor) – osoba fizyczną lub prawną, jednostka lub inny podmiot, która przetwarza dane osobowe w imieniu Administratora;
Powierzenie przetwarzania danych – zlecenie przetwarzania danych osobowych podmiotowi przetwarzającemu (procesorowi) w drodze umowy zawartej na piśmie;
Przetwarzanie danych – jakiekolwiek operacje wykonywane na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany: takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesyłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
Pseudonimizacja – przetworzenie danych osobowych w taki sposób, by nie można ich już było przypisać konkretnej osobie, bez użycia dodatkowych informacji, pod warunkiem, że takie dodatkowe informacje przechowywane są osobno i objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie;
Rozporządzenie lub RODO - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. W sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych);
Ryzyko – pojęcie odnoszące się do oceny prawdopodobieństwa wystąpienia i wadze zagrożenia naruszenia praw i wolności osób fizycznych;
Strona trzecia – osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, Administrator, podmiot przetwarzający czy osoby, które z upoważnienia Administratora lub podmiotu przetwarzającego mogą przetwarzać dane osobowe.
Orka sp. z o.o. – Orka sp. z o.o. w Czechowicach-Dziedzicach z siedzibą w Czechowicach-Dziedzicach przy ul. Mazańcowickiej 36, 43-502 Czechowice-Dziedzice
Szczególne kategorie danych - dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby, której dane dotyczą;
Usuwanie danych - zniszczenie danych osobowych lub taka ich modyfikacja, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą,
Zbiór danych – uporządkowany zestaw danych osobowych, dostępnych według określonych kryteriów, niezależnie od tego czy zestaw ten jest scentralizowany czy rozproszony funkcjonalnie lub geograficznie;
Zgoda osoby, której dane dotyczą – dobrowolne, konkretne, świadome i jednoznaczne wyrażenie woli, którym osoba, której dane dotycząc, w formie oświadczenia lub wyraźnego działania potwierdzającego przyzwala na przetwarzanie dotyczących jej danych osobowych; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie;
4. ORGANIZACJA BEZPIECZEŃSTWA W ODNIESIENIU DO DANYCH OSOBOWYCH
Orka sp. z o.o. jako Administrator lub Podmiot Przetwarzający powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W tym celu w Orka sp. z o.o. wdraża odpowiednią organizację przetwarzania danych osobowych.
Zarząd Orka sp. z o.o.
Do zadań Zarządu Orka sp. z o.o. należy:
zapewnienie odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną;
zapewnienie odpowiednich środków zabezpieczających dane osobowe przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;
Osoba kierująca Orka sp. z o.o.
Do zadań Osoby kierującej Orka sp. z o.o. należy:
zapewnienie opracowania i wdrożenia odpowiednich regulacji z zakresu bezpieczeństwa ochrony danych osobowych;
zapewnienie współpracy z innymi administratorami danych, z którymi następuje wymiana danych lub współadministrowanie danymi;
zapewnienie, że dane są zbierane dla oznaczonych, zgodnych z prawem celów i nie są poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami;
zapewnienie, żeby dane osobowe były merytorycznie poprawne i proporcjonalne w stosunku do celów, w jakich są przetwarzane;
przechowywanie danych osobowych w postaci umożliwiającej identyfikację osób, których dotyczą nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania;
zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;
zapoznanie podległych pracowników z zasadami dotyczącymi przetwarzania danych osobowych
dopuszczenie do przetwarzania danych tylko osób posiadających upoważnienie (Załącznik nr 1 ) oraz prowadzenie na bieżąco Ewidencji osób upoważnionych do przetwarzania danych osobowych (Załącznik nr 2);
prowadzenie na bieżąco Wykazu budynków, pomieszczeń, części pomieszczeń tworzących obszar przetwarzania danych osobowych – Załącznik nr 3;
prowadzenie Rejestru czynności przetwarzania danych osobowych (Załącznik nr 4);
prowadzenie Rejestru kategorii czynności przetwarzania danych powierzonych (Załącznik nr 5);
prowadzenie Rejestru sprzeciwów/ żądań dotyczących przetwarzania danych (Załącznik nr 6);
podejmowanie decyzji dotyczącej wyznaczenia/powołania Inspektora Ochrony Danych oraz zapewnienie włączania go we wszystkie sprawy dotyczące ochrony danych osobowych wraz z zagwarantowaniem mu niezależności w wykonywaniu zadań i niezbędnych do tego zasobów.
Właściciel Orka sp. z o.o. dokonuje oceny konieczności powołania Inspektora Ochrony Danych w oparciu o warunki określone w RODO. Analiza dokonywana jest w sposób określony w Załączniku nr 7.
W przypadku, gdy analiza wykaże konieczność powołania Inspektora Ochrony Danych, Właściciel Orka sp. z o.o. podejmuje decyzję o powołaniu/wyznaczeniu IOD.
Do zadań powołanego Inspektora Ochrony Danych należy:
informowanie Właściciela Orka sp. z o.o. oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy RODO oraz innych przepisów Unii lub przepisów krajowych o ochronie danych;
doradzanie Właścicielowi oraz pracownikom Orka sp. z o.o. w sprawach związanych z przetwarzaniem danych osobowych, w tym rekomendowanie działań w tym zakresie;
doradzanie Właścicielowi oraz pracownikom Orka sp. z o.o. w zakresie umów związanych z wymianą danych osobowych (umowy powierzania, udostępniania danych);
monitorowanie przestrzegania przepisów RODO, innych przepisów Unii lub przepisów krajowych o ochronie danych oraz regulacji Orka sp. z o.o. w dziedzinie ochrony danych osobowych;
konsultowanie, rekomendowanie i doradzanie w ramach oceny ryzyka związanego z przetwarzaniem danych osobowych;
konsultowanie, rekomendowanie i doradzanie w ramach oceny skutków dla ochrony danych osobowych, w szczególności w zakresie:
współpracowanie z organem nadzorczym w zakresie ochrony danych osobowych;
pełnienie funkcji punktu kontaktowego dla organu nadzorczego w ramach uprzednich konsultacji dotyczących przetwarzania danych związanego z wysokim ryzykiem, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach;
wdrożenie w systemie informatycznym służącym do przetwarzania danych osobowych środków technicznych i organizacyjnych, o których mowa w RODO, zapewniających ochronę przetwarzanych danych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną;
prowadzenie na bieżąco wykazu oprogramowania użytkowanego w Orka sp. z o.o. służącego do przetwarzania danych osobowych;
udzielanie wszelkich informacji niezbędnych dla prawidłowego przeprowadzenia oceny ryzyka związanego z przetwarzaniem danych w systemach informatycznych oraz oceny skutków dla przetwarzania danych osobowych;
szkolenie pracowników Orka sp. z o.o. w zakresie bezpiecznej eksploatacji systemu teleinformatycznego.
Szczegółowe zakresy obowiązków i odpowiedzialności Informatyka zawarte są w Instrukcji Zarządzania Systemem Informatycznym oraz, jeżeli ma to zastosowanie, w umowie cywilnoprawnej z Informatykiem.
Każdy pracownik przetwarzający dane osobowe jest zobowiązany do:
Zapewnienia ochrony przetwarzanych danych osobowych poprzez stosowania przyjętych środków zabezpieczających;
Przestrzegania zasad określonych w niniejszej Polityce;
Zgłoszenia Zarządowi Orka sp. z o.o. każdego przypadku:
naruszenia ochrony danych osobowych lub uzasadnionego podejrzenia takiego naruszenia;
otrzymania wniosku o udzielenie informacji, żądania zaprzestania przetwarzania danych osobowych lub ograniczenia przetwarzania danych osobowych, sprzeciwu wobec przetwarzania danych osobowych, wniosku o przeniesienie danych osobowych;
uczestniczenia w szkoleniach organizowanych przez Orka sp. z o.o., dotyczących przetwarzania danych osobowych;
zachowania w tajemnicy, również po ustaniu zatrudnienia, wszelkich danych osobowych oraz sposobie ich zabezpieczenia (Załącznik nr 1).
Pod rygorem odpowiedzialności karnej zabrania się przetwarzania danych osobowych przetwarzanych w Orka sp. z o.o. przez pracowników Orka sp. z o.o. w celach prywatnych.
5. PODSTAWY PRZETWARZANIA DANYCH OSOBOWYCH
Zgodnie z zasadą zgodności z prawem przetwarzania danych osobowych, przetwarzanie danych osobowych może odbywać się w oparciu o przesłanki legalizujące to przetwarzanie.
Przetwarzanie danych osobowych zwykłych w Orka sp. z o.o. jest dopuszczalne tylko wtedy, gdy spełniony zostanie, co najmniej jeden warunek:
Osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w określonym celu (przetwarzanie danych klientów w celu obsługi oraz w celach marketingowych);
Przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (umowy o pracę pracowników);
Przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Orka sp. z o.o. (dane finansowe, księgowe, dane pracownicze);
Przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administrator, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Za prawnie usprawiedliwiony interes Orka sp. z o.o. uważa się w szczególności:
Dochodzenie roszczeń z tytułu prowadzonej działalności przez Administratora,
Monitoring wizyjny obiektów, pomieszczeń i urządzeń Administratora;
Przechowywanie danych dla celów dowodowych - zabezpieczenia się przed różnymi rodzajami twierdzeń i roszczeń (zarzutów).
Orka sp. z o.o. nie przetwarza danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących seksualności lub orientacji seksualnej tej osoby.
Orka sp. z o.o. przetwarza dane właścicieli w zakresie dotyczącym zdrowia zwierząt w zakresie niezbędnym do przeprowadzanych zabiegów, badań, leczenia zgodnie ze sztuką lekarsko-weterynaryjną. Przekazanie tych danych następuje w formie oświadczenia klienta.
Przetwarzanie powyższych danych jest dopuszczalne w oparciu o zgodę klientów na przetwarzanie danych osobowych.
Ponadto przetwarzanie Danych szczególnych kategorii może odbywać się w Orka sp. z o.o. w oparciu o następujące przesłanki legalizujące:
przetwarzanie jest niezbędne do wypełnienia obowiązku i wykonywania szczegółowych praw przez Administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone obowiązującymi przepisami prawa;
przetwarzanie jest niezbędne do wykonania zadań Orka sp. z o.o. odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie;
przetwarzanie danych jest prowadzone przez Administratora w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym.
Orka sp. z o.o. nie przetwarza danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa, z wyjątkiem sytuacji, gdy przetwarzanie to jest wykonywane wyłącznie na postawie obowiązujących przepisów prawa.
W oparciu o powyższe przesłanki legalizujące, Orka sp. z o.o. przetwarza dane osobowe w min. następujących celach:
obsługi klientów korzystających z usług i produktów Orka sp. z o.o.;
usprawnienia komunikacji z klientami w zakresie informacji dotyczącej leczonych zwierząt,
działalności marketingowo-informacyjnej w zakresie ustawy o zakładach leczniczych.,
realizacji obowiązków wynikających z Kodeksu pracy wobec osób zatrudnionych w Orka sp. z o.o.,
podjęcia niezbędnych działań wobec kandydatów do pracy,
realizacji wzajemnych zobowiązań pomiędzy Orka sp. z o.o. a innymi administratorami wynikających z podpisanych umów,
zapewnienia bezpieczeństwa klientów i pracowników Orka sp. z o.o. poprzez stosowanie monitoringu wizyjnego;
spełnienia przepisów dotyczących archiwizacji dokumentów księgowych.
Szczegółowo kategorie danych osobowych przetwarzanych w Orka sp. z o.o. wraz z celem i podstawą prawną ich przetwarzania zostały wyszczególnione w Rejestrze czynności przetwarzania danych osobowych (Załącznik nr 4).
W przypadkach, gdy przetwarzanie odbywa się na podstawie zgody, fakt wyrażenia zgody musi być dokumentowany tak, że Orka sp. z o.o. jest w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
Jeśli zgoda osoby ma stanowić wyłączną podstawę prawną przetwarzania danych w określonym celu lub celach, wyrażenie zgody przez osobę powinno nastąpić przed faktycznym rozpoczęciem przetwarzania danych w tym celu/celach.
W szczególności dotyczy to przetwarzania danych klientów korzystających z usług Orka sp. z o.o.: a co za tym idzie – przetwarzanie danych osobowych klientów - jest możliwe jedynie po uprzednim wyrażeniu zgody na przetwarzanie danych w celu korzystania z produktów i usług Orka sp. z o.o..
Wzorce pisemnego (w tym elektronicznego) oświadczenia wyrażenia zgody na przetwarzanie danych osobowych składane Administratorowi powinny być zrozumiałe i przedstawione w łatwo dostępnej formie, jasnym i prostym językiem, a także treść oświadczenia musi zostać przedstawiona w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii zwartych w formularzach.
Za wyrażenie zgody nie uznaje się m.in. milczenia osoby, braku sprzeciwu, niepodjęcia przez nią działań oraz zaznaczenia domyślnie okienek wyboru w systemie informatycznym.
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie. Nie oznacza to jednak, że wycofanie zgody musi nastąpić dokładnie w taki sam sposób jak jej wyrażenie.
Uzależnianie wykonanie umowy, w tym świadczenie usługi, od wyrażenia zgody, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy lub usługi jest zabronione.
Wzór klauzul zgód na przetwarzanie danych osobowych dla klientów Orka sp. z o.o. znajduje się w Załączniku nr 8.
Wzór klauzul zgód na przetwarzanie danych osobowych dla kandydatów do pracy w Orka sp. z o.o. znajduje się w Załączniku nr 9.
Przetwarzanie danych osób małoletnich
Orka sp. z o.o. nie świadczy usług osobom małoletnim, chyba że zgodę na korzystanie z usług Orka sp. z o.o. osoby małoletniej wyraziła osoba sprawująca władzę rodzicielską lub opiekę prawną nad dzieckiem.
W związku z powyższym Orka sp. z o.o. przetwarza dane osobowe osób małoletnich wyłącznie, gdy zgodę na przetwarzanie wyraziła lub zaaprobowała ją osoba sprawująca władzę rodzicielską lub opiekę prawną nad małoletnim oraz wyłącznie w zakresie wyrażonej zgody.
Orka sp. z o.o. ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
inne dane osobowe, jeśli obowiązek ich podania wynika z odrębnych przepisów.
Udostępnienie danych osobowych następuje w formie oświadczenia kandydata do pracy. Orka sp. z o.o. ma prawo żądać udokumentowania ww. danych osobowych. Orka sp. z o.o. może żądać podania innych danych osobowych niż określone powyżej, jeżeli obowiązek ich podania wynika z odrębnych przepisów.
Przetwarzanie danych osobowych pracowników Orka sp. z o.o. odbywa się w oparciu o umowę o pracę oraz przepisy prawa pracy i ubezpieczeń społecznych.
W przypadku przechowywania przez Orka sp. z o.o. aplikacji kandydatów do pracy przez okres dłuższy niż okres rekrutacji (na potrzeby przyszłych rekrutacji), odbywa się to w oparciu o zgodę kandydata do pracy.
Wzór klauzuli zgód na przetwarzanie danych osobowych na potrzeby przyszłych rekrutacji dla kandydatów do pracy w Orka sp. z o.o. znajduje się w Załączniku nr 9.
Aplikacje takie przechowuje się przez okres nie dłuższy niż 6 miesięcy. Po okresie przechowywania, aplikacje kandydatów do pracy są niszczone.
6. ZASADY REALIZACJI PRAW OSÓB, KTÓRYCH DANE DOTYCZĄ
Podczas przetwarzania danych osobowych należy zapewnić przejrzyste informowanie i przejrzystą komunikację z osobą, której dane dotyczą.
Każdej osobie, której dane osobowe są przetwarzane przez Orka sp. z o.o. przysługują następujące prawa:
Wszelkich informacji związanych z realizacją powyższych praw udziela się na piśmie. W przypadku uzasadnionych wątpliwości, co do tożsamości osoby fizycznej składającej żądanie, Orka sp. z o.o. może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą.
W zakresie realizacji praw osoby, której dane dotyczą, udzielanie tej osobie informacji oraz komunikacja z tą osobą powinna odbywać się w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Orka sp. z o.o. komunikuje się z osobami, których dane dotyczą w języku polskim.
Ponadto Orka sp. z o.o.:
bez zbędnej zwłoki, najpóźniej w terminie 1 miesiąca od otrzymania żądania udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem;
w przypadku konieczności wydłużenia terminu realizacji żądania osoby, której dane dotyczą, najpóźniej w terminie miesiąca od otrzymania żądania Orka sp. z o.o. udziela informacji o przedłużeniu terminu rozpatrzenia żądania oraz podaje przyczyny opóźnienia. Wydłużenie terminu może nastąpić z uwagi na skomplikowany charakter żądań lub liczbę żądań, lecz nie więcej niż o dwa miesiące;
w przypadku niepodjęcia działań w związku z żądania osoby, której dane dotyczą, niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
Udzielenie informacji, komunikacja z osobą, której dane dotyczą, oraz podejmowanie działań na żądanie tej osoby, są wolne od opłat, z zastrzeżeniem, że jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, Orka sp. z o.o. może:
pobrać opłatę, uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań,
Orka sp. z o.o. ma obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter.
Orka sp. z o.o. jest uprawnione do odmowy podjęcia działań w związku z żądaniem osoby, której dane dotyczą, pragnącej wykonać swoje prawa w sytuacji, gdy:
żądanie ma zostać zrealizowane w formacie lub na nośniku nieznanym lub niestosowanym przez Orka sp. z o.o.,
wniosek jest niejasny i osoba, której dane dotyczą składając wniosek, mimo prośby Orka sp. z o.o. nie wyjaśniła w sposób jednoznaczny niejasności związanych z wnioskiem,
tożsamość wnioskodawcy jest nieustalona i mimo prób, nie udało się potwierdzić tożsamości wnioskującego,
osoba, której dane dotyczą nie uiściła opłaty, o której mowa w punkcie 6.6.;
realizacja żądania mogłaby spowodować ujawnienie tajemnicy danych osobowych innych osób, tajemnicy przedsiębiorstwa, lub innej tajemnicy prawnie chronionej,
po weryfikacji wewnętrznej możliwości technicznej realizacji wniosku, Orka sp. z o.o. ustali, że jego realizacja powodowałaby nałożenie na osobę, której dane dotyczą, nieracjonalnie wysokich kosztów,
w przypadku, kiedy wnioskodawca zażąda wydania kopii danych lub przeniesienia danych w języku innym niż język, w jakim dane są przetwarzane.
Czas na realizację żądania biegnie ponownie od dnia ustalenia tożsamości osoby, której dane dotyczą, oraz wniesienia opłaty lub złożenia przez osobę, której dane dotyczą, wyjaśnień lub uzupełnienia żądania.
Pracownik Orka sp. z o.o., który przyjął wniosek klienta dotyczący żądania / sprzeciwu w zakresie przetwarzania danych, przekazuje wniosek do Zarządu Orka sp. z o.o. i postępuje w zakresie odpowiedzi na wniosek w sposób przyjęty w niniejszej Polityce i/lub w uzgodnieniu z Inspektorem Ochrony Danych.
Zarząd Orka sp. z o.o. prowadzi rejestr sprzeciwów/ żądań dotyczących przetwarzania danych osobowych wyszczególnionych w punkcie 6.1. zgodnie z Załącznikiem nr 6.
7. OBOWIĄZEK INFORMACYJNY ORKA SP. Z O.O.
W przypadku zbierania danych osobowych, jak również w przypadku zmiany celów przetwarzania danych osobowych, Orka sp. z o.o. dopełnia obowiązku informacyjnego.
W przypadku zbierania danych osobowych bezpośrednio od osoby, której dane dotyczą, informacja jest przekazywana podczas pozyskiwania danych.
Informacje przekazywane w przypadku zbierania danych od osoby, której dane dotyczą:
nazwa Administratora (Orka sp. z o.o.) i dane kontaktowe (siedziba, adres),
jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO – prawnie uzasadnione interesy realizowane przez Orka sp. z o.o. lub przez stronę trzecią;
informacje o prawie do żądania od Orka sp. z o.o. dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
jeżeli przetwarzanie odbywa się na podstawie zgody na przetwarzanie – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
Informacje powyższe są przekazywane jako klauzule informacyjne zawarte w dokumentach przeznaczonych dla osoby, której dane dotyczą.
Wzór klauzuli informacyjnej dla klientów gabinetu Orka sp. z o.o. znajduje się w Załączniku nr 8.
Wzór klauzuli informacyjnej dla kandydatów do pracy i pracowników znajduje się w Załączniku nr 9.
W przypadku zbierania danych osobowych nie od osoby, której dane dotyczą informacja jest przekazywana:
najpóźniej przy pierwszej komunikacji z osobą, której dane dotyczą, jeżeli dane osobowe mają być stosowane do komunikacji z tą osobą,
najpóźniej przy pierwszym ujawnieniu danych, jeżeli Administrator planuje ujawnić dane osobowe innemu odbiorcy danych.
Informacje przekazywane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą:
nazwa Orka sp. z o.o. i dane kontaktowe (siedziba, adres),
gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi RODO, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych,
jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO (prawnie usprawiedliwiony cel)– prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą;
Odstępstwa od wypełnienia obowiązku informacyjnego w stosunku do osoby, której dane dotyczą, są możliwe, jeśli m.in.:
osoba posiada stosowne informacje,
udzielenie informacji osobie, której dane zostały zebrane nie bezpośrednio od niej, jest niemożliwe lub wymagałoby niewspółmiernego dużego wysiłku albo wymagałoby pozyskiwania informacji dodatkowych z innych źródeł zewnętrznych,
pozyskanie lub ujawnienie danych osoby, której dane są zebrane nie bezpośrednio od niej, uregulowane jest w przepisach prawa przewidujących ochronę prawnie uzasadnionych interesów osoby, której dane dotyczą,
dane osobowe muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy ustawowo chronionej.
Orka sp. z o.o. zapewnia rozliczalność w zakresie realizacji obowiązków informacyjnych w szczególności poprzez zbieranie dokumentów przekazywanych osobom, których dane są przetwarzane, zawierających klauzule informacyjne, backup’y/ systemu informatycznego, kopie listów lub wiadomości wysyłanych drogą elektroniczną do Klienta zawierających klauzule informacyjne.
8. PRAWO DOSTEPU DO DANYCH LUB OTRZYMANIA KOPII DANYCH
Osoba, której dane są przetwarzane w Orka sp. z o.o., jest uprawniona do uzyskania potwierdzenia, czy Orka sp. z o.o. przetwarza jej dane osobowe, a jeżeli ma to miejsce, osoba ta jest uprawniona do uzyskania dostępu do danych oraz informacji zawartych w obowiązku informacyjnym (patrz punkt 7.)
Orka sp. z o.o. dostarcza Klientowi pierwszą kopię danych osobowych podlegających przetwarzaniu nieodpłatnie. Za wszelkie kolejne kopie, o które zwróci się Klient, Orka sp. z o.o. może pobrać opłatę. Prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych osób.
9. PRAWO DO SPROSTOWANIA DANYCH
Osoba, której dane dotyczą, ma prawo żądania niezwłocznego:
sprostowania dotyczących jej danych osobowych, które są nieprawidłowe,
W przypadku uzasadnionego żądania sprostowania nieprawidłowych i/lub uzupełnienia niekompletnych danych, dane są niezwłocznie aktualizowane.
10. PRAWO DO USUNIĘCIA DANYCH (PRAWO DO BYCIA ZAPOMNIANYM)
Osoba, której dane dotyczą, ma prawo żądania od Orka sp. z o.o. niezwłocznego usunięcia dotyczących jej danych osobowych w następujących przypadkach:
osoba, której dane dotyczą wniosła sprzeciw wobec przetwarzania w celach marketingu bezpośredniego, a nie istnieją inne podstawy przetwarzania;
dane osobowe muszą być usunięte na podstawie obowiązujących przepisów prawa.
Żądanie powinno być przekazane w formie wyraźnego oświadczenia określającego przedmiotowy zakres żądania.
Orka sp. z o.o. może nie uwzględnić żądania usunięcia danych wynikającego z cofnięcia zgody przez osobę, której dane dotyczą na przetwarzanie jej danych, w przypadku gdy zgoda osoby, której dane dotyczą nie była jedyną przesłanką przetwarzania jej danych.
Przetwarzanie danych osobowych osoby, której dane dotyczą, pomimo jej żądania usunięcia danych, jest zgodne z prawem, jeżeli jest niezbędne w szczególności do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia lub obrony roszczeń.
Po usunięciu danych Orka sp. z o.o. jest uprawniony do zachowania informacji o tym, czyj i jaki wniosek wykonał. W tym celu Administrator może przetwarzać w szczególności imię i nazwisko, PESEL, adres wnioskującego, adres poczty elektronicznej, numer telefonu oraz informację o zakresie usuniętych danych i terminie ich usunięcia.
11. PRAWO DO OGRANICZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Żądanie ograniczenia przetwarzania danych powinno być złożone w formie wyraźnego oświadczenia wskazującego przedmiotowy zakres żądania.
Osoba, której dane dotyczą, ma prawo żądania od Orka sp. z o.o. ograniczenia przetwarzania w przypadkach:
kwestionowania prawidłowości danych osobowych – na okres pozwalający Orka sp. z o.o. sprawdzić prawidłowość tych danych;
przetwarzania niezgodnego z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
Orka sp. z o.o. nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
Orka sp. z o.o., w celu ograniczenia przetwarzania danych osobowych, może w szczególności:
stosować pseudonimizację danych,
czasowo usunąć ze strony internetowej opublikowane dane.
Orka sp. z o.o. może jedynie przechowywać dane osobowe, co do których zostało zgłoszone żądanie ograniczenia przetwarzania – nie może wykonywać innych operacji przetwarzania.
Jeżeli przetwarzanie zostało ograniczone, takie dane osobowe można przetwarzać wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.
12. OBOWIĄZEK POWIADOMIENIA O SPROSTOWANIU LUB USUNIĘCIU DANYCH OSOBOWYCH LUB O OGRANICZENIU PRZETWARZANIA
Właściciel Orka sp. z o.o. informuje o sprostowaniu, usunięciu danych osobowych lub ograniczeniu przetwarzania każdego odbiorcę, któremu Orka sp. z o.o. ujawniło dane osobowe klienta z wyłączeniem:
gdy zawiadomienie okaże się niemożliwe lub wymagać będzie nadmiernie dużego wysiłku,
gdy zmiana, sprostowanie, ograniczenie lub usunięcie nie jest widoczne dla odbiorcy, lecz wymaga ustanowienia odrębnego kanału komunikacji,
odbiorca dalej nie funkcjonuje wskutek likwidacji lub wykreślenia z rejestru,
z okoliczności wynika, że dane nie będą dalej przetwarzane.
Orka sp. z o.o. na żądanie osoby, której dane dotyczą informuje o odbiorcach, którym przekazano jej dane.
Jeśli obowiązek poinformowania odbiorców o sprostowaniu, usunięciu danych osobowych lub ograniczeniu przetwarzania okaże się niewykonalny lub wymaga niewspółmiernie dużego wysiłku, Orka sp. z o.o. powinno udokumentować podjęcie racjonalnych działań z uwzględnieniem dostępnych technologii i środków w celu wypełnienia tego obowiązku.
Osoba, której dane dotyczą, ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła Orka sp. z o.o. oraz ma prawo przesłać te dane osobowe innemu administratorowi bez przeszkód ze strony Orka sp. z o.o., jeżeli:
przetwarzanie odbywa się w sposób zautomatyzowany za pomocą systemu informatycznego.
Przenoszeniu nie podlegają dane znajdujące się w zbiorach papierowych.
Dane podlegające przenoszeniu to dane, które zostały przekazane Orka sp. z o.o. przez osobę, której dane dotyczą, świadomie i aktywnie oraz dane wygenerowane przez jej działanie.
Osoba, której dane dotyczą może złożyć wniosek w celu skorzystania z przysługującej jej prawa do przenoszenia danych osobiście.
W przypadku przekazywania kopii danych bezpośrednio Klientowi– sposób postępowania opisano w punkcie 8.2.
W przypadku żądania przesłania danych innemu administratorowi, Klient składa Orka sp. z o.o. oświadczenie o wyrażeniu zgody na przeniesienie danych do innego administratora.
Dane mogą być przenoszone, o ile jest to technicznie możliwe. Prawo do przenoszenia danych nie może negatywnie wpływać na prawa i wolności innych osób.
Orka sp. z o.o. przesyłając dane podejmie należyte starania w celu zapewnienia aby dane osobowe zostały bezpiecznie przesłane, w szczególności zabezpiecza plik w sposób kryptograficzny.
14. PRAWO SPRZECIWU
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jej danych osobowych, wskazując jednocześnie, wobec jakiego konkretnego celu przetwarzania składa sprzeciw i wykazać, na czym polega szczególny charakter jej sytuacji.
W przypadku złożenia sprzeciwu wobec przetwarzania danych na potrzeby marketingu bezpośredniego, Orka sp. z o.o. nie przetwarza dłużej danych w tym celu.
Pracownik Orka sp. z o.o. niezwłocznie dokonuje stosownych działań w systemach informatycznych wykorzystywanych do przetwarzania danych osobowych, w tym systemach teleinformatycznych wykorzystywanych do działań marketingowych (zaznaczenie sprzeciwu/braku zgody na działania marketingowe) w zakresie, jaki ten sprzeciw obejmuje.
15. ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI; PROFILOWANIE
Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji Orka sp. z o.o., która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa.
W ramach przetwarzania danych osobowych w Orka sp. z o.o. nie stosuje się profilowania danych osobowych.
W ramach przetwarzania danych osobowych w Orka sp. z o.o. nie są podejmowane decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu.
16. POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH
Orka sp. z o.o. powierzając przetwarzanie danych osobowych podmiotom zewnętrznym współpracuje jedynie z takimi podmiotami, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych aby przetwarzanie spełniało wymogi Rozporządzenia i chroniło prawa osób, których dotyczą.
Orka sp. z o.o. może powierzyć przetwarzanie danych osobowych innemu pomiotowi, bądź inny podmiot może powierzyć dane do przetwarzania Orka sp. z o.o., jedynie w drodze umowy zawartej na piśmie lub innego instrumentu prawnego, a zasady, na których podstawie następuje powierzenie wyczerpują co najmniej wymagania zawarte w art. 28 RODO.
Powierzenie przetwarzania danych osobowych innemu podmiotowi poprzedzone jest weryfikacją tego podmiotu przetwarzającego (procesora).
Orka sp. z o.o. może powierzyć przetwarzanie danych osobowych innemu podmiotowi, bądź inny podmiot może powierzyć dane do przetwarzania Orka sp. z o.o., jedynie w drodze umowy zawartej na piśmie; wzory umów o powierzenie przetwarzania danych osobowych zawarto w Załączniku nr 10 , Załączniku nr 11, Załączniku nr 12, Załączniku nr 13 i Załączniku nr 14.
W zakresie danych powierzonych Orka sp. z o.o. do przetwarzania, pracownik odpowiedzialny za przetwarzanie danych powierzonych zobowiązany jest wdrożyć i przestrzegać zasad przetwarzania tych danych określonych w umowie powierzenia przetwarzania danych.
17. UDOSTĘPNIANIE DANYCH
Orka sp. z o.o. udostępnia dane osobowe jedynie:
Za zgodą, na wniosek lub z upoważnienia osoby, której dane dotyczą;
jeżeli konieczność udostępniania danych innemu administratorowi wynika z umowy zawartej z osobą, której dane dotyczą, a w umowie znajdują się informacje o zasadach udostępniania danych;
jeżeli udostępnianie danych wynika z przepisów prawa.
W przypadku udostępniania danych bezpośrednio z systemów informatycznych przetwarzających dane osobowe systemy informatyczne powinny umożliwiać rejestrację tych udostepnień, szczególnie w przypadku cyklicznych działań w tym obszarze.
W przypadku, gdy stosowany jest odrębny system teleinformatyczny do udostępnia danych, rejestracja faktu udostepnienia może być realizowana w jednym z systemów: w głównym systemie, służącym do przetwarzania danych lub w systemie służącym do udostępnia danych (np. Płatnik).
W przypadku pozostałych, indywidualnych udostępnień, prowadzony jest Rejestr udostępnień danych osobowych wg Załącznika nr 15
18. ŚRODKI ORGANIZACYJNE I TECHNICZNE ZAPEWNIAJĄCE ZGODNOŚĆ
I BEZPIECZEŃSTWO DANYCH OSOBOWYCH
Orka sp. z o.o. wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z RODO, a także uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, tak aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku i aby móc zapewnić zgodność przetwarzania z RODO, ale także wykazać odpowiednie zabezpieczenie ryzyka.
Środki organizacyjne i techniczne, o których mowa powyżej obejmują:
wdrożenie odpowiednich regulacji ochrony danych,
tam gdzie to zasadne - pseudonimizację i szyfrowanie danych osobowych;
Orka sp. z o.o. wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania.
Obowiązek ten odnosi się do:
zakresu ich przetwarzania,
okresu ich przechowywania oraz
Przetwarzania danych osobowych dokonuje się w warunkach zabezpieczających dane przed osobami nieupoważnionymi.
Pomieszczenia, w których przetwarzane są dane osobowe tworzą obszar szczególnie chroniony z punktu widzenia bezpieczeństwa danych osobowych (Wykaz obszarów przetwarzania danych osobowych przedstawia Załącznik nr 3.
Opis środków technicznych i organizacyjnych stosowanych w Orka sp. z o.o. znajduje się w:
Załączniku nr 3 - Wykaz budynków, pomieszczeń, części pomieszczeń tworzących obszar przetwarzania danych osobowych
Załączniku nr 4 - Rejestr czynności przetwarzania danych osobowych
Załączniku nr 5 – Rejestr kategorii czynności przetwarzania danych osobowych
Instrukcji Postępowania w Zakresie Bezpieczeństwa Danych Osobowych
Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.
19. OCENA RYZYKA ZWIĄZANEGO Z PRZETWARZANIEM DANYCH
Dokonując oceny, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Orka sp. z o.o. przed rozpoczęciem przetw