Source: http://osobowedane.pl/author/karol/
Timestamp: 2018-01-20 01:32:47
Legal References Found: art. 9
 art. 48
 art. 37
 art. 37
 Art. 10
 Art. 172
 Art. 2
 art. 23
 art. 31
 Art. 31
 art. 39
 art. 25
 art. 25
 art. 32
 art. 25
 art. 36
 art. 36
 art. 31
 art. 24
 art. 25

Document Content:
Karol, Autor o Dane osobowe | Dane osobowe
Na czym będzie polegać? Wraz z postępem cyfryzacji społeczeństwa i rozwojem systemów informatycznych, w których znajdują się dane osobowe konieczne staje się wprowadzenie przepisów, które pozwolą na realne zabezpieczenie tego rodzaju informacji. Właśnie temu służyć ma nowe Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, które zacznie funkcjonować od 25 maja 2018 r. Z pewnością każdy z nas słyszał kiedykolwiek o GIODO, czyli Generalnym Inspektorze Ochrony Danych Osobowych, oraz o tym, że dane osobowe podlegają ochronie. Nie da się jednak ukryć, że większość z nas nie przywiązuje odpowiedniej wagi do należytego zabezpieczenia informacji osobowych. Podobnie sprawa wygląda w przypadku przedsiębiorców, którzy przetwarzają dane swoich klientów. Dzieje się tak przede wszystkim z powodu skomplikowania obecnie funkcjonujących przepisów, które wymagają praktycznie od każdego przedsiębiorcy wprowadzanie rozbudowanych procedur, dokumentacji i zgód. Ochrona danych osobowych staje się jednak coraz ważniejsza, a zabezpieczenie chociażby przed kradzieżą tożsamości wymusza wprowadzenie realnych i sprawnie funkcjonujących środków ochrony danych. Dlatego właśnie organ prawodawczy Unii Europejskiej ogłosił rozporządzenie, które diametralnie zmieni obowiązujące przepisy. Poniżej wskazujemy najważniejsze zmiany, oraz ich faktycznie znaczenie dla przedsiębiorców przetwarzających dane osobowe. Takie same przepisy w całej Unii – jednolite prawo ochrony danych osobowych Cztery podstawowe swobody wspólnego rynku Unii Europejskiej, czyli swoboda przepływu towarów, usług, kapitału i w końcu – osób wiążą się ze swobodnym...
Od 1 stycznia 2015 r. na mocy art. 9 ustawy z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej (Dz. U. z 2014 r. poz. 1662, dalej zwanej ustawą) weszły w życie zmiany art. 48 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182, z późn. zm., zwanej dalej u.o.d.o), dotyczące zwolnienia z obowiązku uzyskania zgody GIODO na przekazywanie danych osobowych do państwa trzeciego, które nie zapewnia na swoim terytorium odpowiedniego poziomu ochrony danych osobowych, gdy ich przekazywanie odbywa się na podstawie standardowych klauzul umownych albo wiążących reguł korporacyjnych. Nowelizacja wprowadziła instytucję wiążących reguł korporacyjnych oraz określiła tryb ich zatwierdzenia przez GIODO. Przyjęte rozwiązania mają na celu przygotowanie administratorów danych do unormowań zapowiadanych w projekcie rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych osobowych) [COM(2012) 11, Dz. Urz. UE C 102 z dnia 5 kwietnia 2012 r., s. 24]. CZY ZGODA GIODO NA PRZEKAZYWANIE DANYCH JEST ZAWSZE POTRZEBNA? Zgoda nie będzie wymagana, jeżeli administrator danych zapewni odpowiednie zabezpieczenie danych, poprzez: a) standardowe klauzule umowne ochrony danych osobowych zatwierdzone przez Komisję Europejską; b) prawnie wiążące reguły lub polityki ochrony danych...
Nakazująca przywrócenie stanu zgodnego z prawem poprzez nadanie osobom dopuszczonym do przetwarzania danych osobowych upoważnień oraz uzupełnienie dokumentacji stanowiącej politykę bezpieczeństwa w zakresie opisu przepływu danych pomiędzy systemami. Zarzuty: 1. Dopuszczenie do przetwarzania danych osobowych w Spółce osób, którym nadano upoważnienia niezgodnie z art. 37 ustawy. Pracownicy Spółki zostali zbiorczo upoważnieni do przetwarzania danych osobowych w Spółce w zakresie powierzonych obowiązków. Osoby wymienione w dokumencie otrzymały zgodę na przetwarzanie danych osobowych w Spółce. Zgoda została wyrażona poprzez podpisanie ww. dokumentu przez administratora bezpieczeństwa informacji, który jednak nie posiada pisemnego upoważnienia do nadawania upoważnień do przetwarzania danych osobowych w imieniu administratora danych. 2. Nieuwzględnienie w prowadzonej w Spółce dokumentacji stanowiącej politykę bezpieczeństwa opisu przepływu danych pomiędzy systemami z uwzględnieniem systemu informatycznego o nazwie A, w którym przetwarzane są dane osobowe pracowników i kandydatów do pracy w Spółce (art. 36 ust. 2 w zw. z § 4 pkt 4 rozporządzenia). 3. Niedopełnienie obowiązku, aby w systemach sieciowych oraz w systemie informatycznym o nazwie A (w którym przetwarzane są dane osobowe pracowników i kandydatów do pracy w Spółce) hasła używane do uwierzytelniania użytkowników były zmieniane nie rzadziej niż co 30 dni (część A pkt IV ust. 2 załącznika do rozporządzenia). Wskazówki GIODO: 1. art. 37 ustawy, do przetwarzania danych mogą być dopuszczone...
Wysyłany za pośrednictwem e-maili newsletter to współcześnie jedno z najbardziej popularnych narzędzi marketingowych służących do docierania do klientów. Niestety często przedsiębiorcy korzystając z tego rodzaju marketingu naruszają prawa konsumentów. Wysyłkę newslettera od dnia 25 grudnia 2014 r. w polskim prawie reguluje: Ustawa o świadczeniu usług drogą elektroniczną z dnia 18 lipca 2002 r. (Dz. U. nr 144, poz. 1204) oraz Ustawa Prawo telekomunikacyjne. Art. 10 ustawy o świadczeniu usług drogą elektroniczną 1. Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. 2. Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny. Oraz Art. 172 ust. 1 Prawo telekomunikacyjne brzmi: “Zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę” Kluczowym jest zrozumienie pojęcia “telekomunikacyjne urządzenia końcowe” Art. 2 pkt 43 “Telekomunikacyjne urządzenie końcowe – urządzenie telekomunikacyjne przeznaczone do podłączenia bezpośrednio lub pośrednio do zakończeń sieci”. Będą to w praktyce wszelkie narzędzia do prowadzenia marketingu bezpośredniego: telefon, faks, komputer podłączony do sieci, itd. Ustawodawca wskazuje, że skorzystanie przez przedsiębiorcę z wysyłki newslettera przy użyciu środków komunikacji elektronicznej (np. poczty elektronicznej,...
Każdy przedsiębiorca z pewnością staje przed tym dylematem. Otóż, odpowiedź brzmi przecząco. Zgłoszenie zbioru danych do GIODO nie jest trudne i jest możliwe do wykonania samodzielnie. Oczywiście, jak się Państwo zapewne przekonają, fachowa wiedza jest jednak bardzo przydatna. 1. By zgłosić do GIODO zbiór danych osobowych, należy złożyć wniosek. Istnieje kilka dróg złożenia takiego wniosku: 1. elektronicznie przy użyciu podpisu elektronicznego 2. elektronicznie bez użycia podpisu elektronicznego + zgłoszenie papierowe (z własnoręcznym podpisem i pieczątką) w tym celu ze strony GIODO należy pobrać formularz elektroniczny i wypełnić wniosek. 3. pocztą – na adres Biura Generalnego Inspektora Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) w tym celu należy pobrać ze strony GIODO – wzór zgłoszenia danych do rejestracji i przesłać na adres Biura Generalnego Inspektora Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) 4. osobiście w Biurze Generalnego Inspektora Ochrony Danych Osobowych Samo zgłoszenie zbioru danych osobowych to jednak nie wszystko. Ustawa wymaga sporządzenia pisemnej dokumentacji, która będzie określać sposób przetwarzania danych oraz opisywać środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych. 2. Każdy e-sklep musi mieć również opracowaną i wdrożoną: Politykę bezpieczeństwa danych osobowych, która opisuje zasady przetwarzania danych osobowych (w formie papierowej i elektronicznej) w organizacji. Zgodnie z Rozporządzeniem MSWiA, Polityka powinna zawierać w...
I. Nakazująca usunięcie uchybień w procesie przetwarzania danych osobowych poprzez uzupełnienie dokumentu o opis przepływu danych pomiędzy poszczególnymi systemami oraz wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych, uwzględniające system informatyczny o nazwie (wykorzystywany do przetwarzania danych osobowych osób, które założyły konto w ww. systemie) Kontrola GIODO objęła przetwarzanie przez Spółkę danych osobowych osób w związku z rezerwacją i zakupem biletów na przejazd (przewóz). Na podstawie tak zgromadzonego materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Spółka, jako administrator danych, naruszyła przepisy o ochronie danych osobowych. Zarzuty: 1. Umożliwienie dostępu do modułu administracyjnego systemu „[…]” o nazwie „[…]” bez odpowiednich zabezpieczeń, tj. niezastosowanie protokołu http (art. 36 ust. 1 ustawy). 2. Nieuwzględnienie systemu w opisie przepływu danych pomiędzy poszczególnymi systemami oraz w wykazie zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych (§ 3 ust. 2 oraz § 4 pkt 2 i 4 rozporządzenia). 3. Niewskazanie w zgłoszeniu do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych osobowych zgody na przetwarzanie danych osobowych jako podstawy prawnej upoważniającej administratora danych do prowadzenia zbioru danych oraz podanie niepełnego zakresu danych przetwarzanych w ramach ww. Zbioru oraz wszystkich celów przetwarzania tych danych (art. 41 ust. 1 pkt 2, 3 i 3a ustawy). 4. Niezmienianie przez użytkowników haseł dostępu do...
Z kim muszę podpisywać umowę powierzenia przetwarzania danych osobowych? (kurier, poczta, księgowa, operator płatności, hosting) W codziennej praktyce sklepy internetowe do realizacji swoich celów biznesowych bardzo często korzystają z usług firm zewnętrznych. W związku z tym pojawia się problem dostępu do danych i ich przetwarzania przez osoby trzecie. Sprzedawcy internetowi mają w związku z tym obowiązek zabezpieczenia danych osobowych swoich klientów przed ich bezprawnym wykorzystaniem poprzez spełnienie ustawowo określonych obowiązków. Zgodnie z ustawą o ochronie danych osobowych, administrator danych osobowych może powierzyć przetwarzanie danych innemu podmiotowi w drodze umowy zawartej na piśmie – czyli tzw. umowy powierzenia przetwarzania danych osobowych. Czym jest powierzenie danych? Przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, na co wskazuje bezpośrednio art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Powierzenie przetwarzania danych uregulowane jest w art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Art. 31 ust. 1 Admi­ni­stra­tor da­nych może po­wie­rzyć in­nemu pod­mio­towi, w dro­dze umowy za­war­tej na pi­śmie, prze­twa­rza­nie da­nych. Polega ono na tym, że administrator danych powierza w drodze pisemnej umowy ich przetwarzanie – w całości lub w części – innemu podmiotowi. Oznacza to, że administrator nie musi sam wykonywać wszystkich czynności związanych z procesem przetwarzania danych...
Decyzja nakazująca usunięcie uchybień w procesie przetwarzania danych osobowych poprzez zapewnienie, aby zmiana hasła do systemu informatycznego „Windows 7”, w którym przetwarzane są dane osobowe osób wnioskujących o wydanie dokumentów związanych z przebiegiem zatrudnienia na podstawie przechowywanej przez Spółkę dokumentacji osobowej i płacowej następowała nie rzadziej niż co 30 dni, w terminie 2 miesięcy od dnia, w którym niniejsza decyzja stanie się ostateczna. Zarzuty GIODO: 1. Niezapewnienie, aby zmiana hasła do systemu informatycznego „Windows 7”, w którym przetwarzane są dane osobowe osób wnioskujących o wydanie dokumentów związanych z przebiegiem zatrudnienia na podstawie przechowywanej przez Spółkę dokumentacji osobowej i płacowej następowała nie rzadziej niż co 30 dni (część A pkt IV ust. 2 rozporządzenia). 2. Niespełnienie przez administratora danych wymogów, o których mowa w art. 39 ust. 1 ustawy w zakresie, w jakim prowadzona ewidencja osób upoważnionych nie zawierała identyfikatora użytkownika w systemie informatycznym, którym posługuje się on podczas uwierzytelniania w systemie informatycznym, będący jednocześnie identyfikatorem indeksującym wykonane przez niego operacje. Wskazówki GIODO 1. Zgodnie z częścią A pkt IV ust. 2 załącznika do rozporządzenia, w przypadku, gdy do uwierzytelniania użytkowników używa się hasła, jego zmiana następuje nie rzadziej, niż co 30 dni. W toku kontroli ustalono, iż hasło do systemu operacyjnego „Windows 7” na komputerze Specjalisty ds. administracji personalnej,...
Decyzja z 14 lipca 2015 r. nakazująca usunięcie uchybień dotyczących przetwarzania danych osobowych klientów sklepu internetowego, którzy złożone zamówienia anulowali przed ich realizacją. Kontrola GIODO wykazała, że w sklepie internetowym nie są obecnie usuwane dane związane ze złożonym zamówieniem, w tym dane osobowe podane do faktury oraz dane do wysyłki zamówionych towarów lub usług (o ile nie są tożsame z danymi do faktury VAT), nawet wówczas, gdy klient anulował to zamówienie. Sklep internetowy nie realizuje obowiązku informacyjnego o którym mowa w art. 25 ust. 1 ustawy w stosunku do klientów, dla których zamówienie na oferowany przez Spółkę certyfikat jest składane za pośrednictwem partnera – podmiotu współpracującego ze Spółką w zakresie sprzedaży certyfikatów, posiadającego konto w sklepie internetowym Spółki, tj. w zakresie wskazanym w art. 25 ust.1 pkt 3 i pkt 5 ustawy, tj. dotyczących źródła danych oraz uprawnień wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy. Zarzuty: 1) przetwarzanie danych osobowych klientów sklepu internetowego Spółki w związku ze złożonym przez nich zamówieniem, które następnie zostało anulowane przez klienta – brak podstawy prawnej legalnego przetwarzania danych 2) nierealizowanie obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy w stosunku do klientów, dla których zamówienie na oferowany przez Spółkę certyfikat jest składane za pośrednictwem partnera –...
Zapewne zdarzyło Ci się dzwonić do Generalnego Inspektora Danych Osobowych by na szybko zadać nurtujące Cię pytanie dotyczące rejestracji zbiorów czy obowiązków wynikających z ustawy. Z jaką reakcją się spotkałeś? Z pytaniem prawnym do GIODO? No niestety. Jak wskazuje sam Generalny Inspektor Ochrony Danych Osobowych – nie zajmuje stanowiska ani nie wydaje opinii dotyczących legalności przetwarzania danych w hipotetycznych sytuacjach. Jeśli masz pytanie z zakresu przepisów ustawy o ochronie danych osobowych należy w pierwszej kolejności kierować je do osoby świadczącej fachową pomoc prawną czy też administratora bezpieczeństwa informacji w Twojej firmie. Czym zatem faktycznie zajmuje się GIODO? Rolą Generalnego Inspektora jest kontrola procesu przetwarzania danych osobowych, a nie świadczenie pomocy prawnej. Jeśli jesteś administratorem danych w swojej firmie, to Ty decydujesz o celach i środkach przetwarzania, a zatem obowiązany jesteś przestrzegać wszelkich nałożonych na niego przepisami prawa obowiązków związanych z procesem przetwarzania danych osobowych. Jak wskazuje art. 36b ustawy o ochronie danych osobowych, który stanowi: w razie niepowołania administratora bezpieczeństwa informacji, administrator danych sam wykonuje zadania określone w art. 36a ust. 2 pkt 1, Zatem to Administrator danych przejmuje na siebie ciężar zapewniania przestrzegania przepisów o ochronie danych osobowych w jego firmie. Jeśli nie radzisz sobie z przepisami ustawy o ochronie danych osobowych, warto rozważyć pomoc specjalisty z zakresu ochrony danych osobowych. Biuro GIODO stara się zapewniać zamieszczanie na stronie internetowej komunikatów dotyczących...
Decyzja w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. GIODO wykrył w procesie przetwarzania danych osobowych naruszenia administratora serwisu internetowego polegające na niezawarciu umów powierzenia z podmiotem zewnętrznym, niezarejestrowaniu zbioru danych w GIODO, nieopracowaniu obowiązkowej dokumentacji przetwarzania danych osobowych oraz uchybienia w procesie stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych. Zarzuty GIODO: Spółka powierza przetwarzanie danych osobowych pozyskiwanych w toku rejestracji użytkownika serwisu internetowego podmiotowi mimo, ze nie zawarła umowy powierzenia przetwarzania ww. danych osobowych zgodnie z art. 31 ust. 1 ustawy o ochronie danych osobowych, określających cel i zakres, w jakim podmioty te mogą przetwarzać powierzone dane osobowe, Spółka nie realizuje wobec użytkowników serwisu internetowego (o którym mowa w art. 24 ust. 1 ustawy o ochronie danych osobowych) i osób wskazanych przez użytkowników serwisu obowiązku informacyjnego, (o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych) Niestosowanie odpowiednich do zagrożeń środków technicznych w celu ochrony danych osobowych w toku uwierzytelniania użytkowników serwisu internetowego oraz podczas wprowadzania i modyfikacji danych osobowych przetwarzanych w ramach kont użytkowników tego serwisu poprzez wprowadzenie środków kryptograficznej ochrony wyżej wskazanych danych, Niezapewnienie, aby hasło logowania do systemu informatycznego o nazwie A, w którym przetwarzane są dane osobowe użytkowników serwisu internetowego o nazwie było zmieniane...
CZY FIRMA MARKETINGOWA, KTÓRA KUPIŁA BAZĘ DANYCH OSOBOWYCH OD INNEGO PODMIOTU, POWINNA POWIADOMIĆ KAŻDĄ OSOBĘ O TYM, ŻE PRZETWARZA JEJ DANE? Nie od dziś wiadomo, że nasze dane osobowe są towarem, który coraz częściej staje się przedmiotem obrotu gospodarczego. W Polsce handel danymi osobowymi będzie legalny jeśli zostaną spełnione warunki wskazane w ustawie o ochronie danych osobowych. Zastępca Europejskiego Inspektora Ochrony Danych w Brukseli – Wojciech Wiewiórowski tłumaczy: Handel danymi osobowymi i zawierającymi je bazami danych jest legalny – mówił dr Wojciech Rafał Wiewiórowski. – Trzeba mieć tylko podstawę prawną, żeby te dane przetwarzać, a więc m.in. oddawać je, sprzedawać lub współdzielić z innymi podmiotami – wyjaśniał. Podstawą uprawniającą do udostępniania lub sprzedaży danych może być np. zgoda osoby, której dane dotyczą. Do Generalnego Inspektora Ochrony Danych Osobowych bardzo często wpływają skargi od osób, z którymi kontaktuje się jakaś nieznana im firma. Tymczasem po przeprowadzeniu postępowania wyjaśniającego niejednokrotnie okazuje się, że wszystko jest zgodne z prawem, bowiem skarżący sami, np. wypełniając formularz na potrzeby promocji, konkursu czy otrzymania karty lojalnościowej, sami wyrazili zgodę na obrót ich danymi osobowymi. GIODO przestrzegał więc, by czytać dokładnie dokumenty, które podpisujemy, w tym zamieszczone na nich klauzule zgody na przetwarzanie danych osobowych, aby mieć świadomość, na co się godzimy. Zdarza się bowiem, że niektóre podmioty, by pozyskać nasze dane osobowe, stosują praktyki nie tyle sprzeczne...