Source: https://rbdo.com.pl/category/poradnik-rbdo/page/2/
Timestamp: 2019-04-25 06:01:01
Legal References Found: art. 43
 art. 36
 art. 43
 art. 43
 art. 43
 art. 49
 art. 23
 art. 31

art. 121

art. 12
 art. 40
 art. 43
 art. 43
 art. 39

Document Content:
Poradnik RBDO | RBDO - Rejestracja i Bezpieczeństwo Danych Osobowych - Part 2
PAKIET RODO: DOKUMENTACJA + CONSULTING PRAWNY + E-SZKOLENIE Z CERTYFIKACJĄ 5 OSÓB - 99 zł + 23% VAT
99 PLN 499 PLN
Promocja do:2019-04-25
Biura rachunkowe - Pakiet RODO: Dokumentacja + E-szkolenie z Certyfikacją 5 osób + Rejestry Czynności + Consulting Prawny - 99 zł +23% VAT
99 PLN 399 PLN
Szkolenie RODO VIP - 29 kwietnia 2019 r. Warszawa - z pakietem dokumentacji + konsulting + e-szkolenie 10 osób - 299 zł +23% VAT
299 PLN 890 PLN
Promocja do:2019-04-29
890 PLN KUP
wa kategorii: Poradnik RBDO
Zarówno na podstawie poprzedniej wersji ustawy jak i po dniu 1 stycznia 2015 roku osoby fizyczne prowadzące działalność gospodarczą – jeżeli przetwarzały dane osobowe – nie musiały, a obecnie także nie muszą powoływać administratora bezpieczeństwa informacji.
W przypadku przetwarzania danych przez osoby fizyczne prowadzące działalność gospodarczą należy oprócz wdrożenia dokumentacji wewnętrznej (Polityki Bezpieczeństwa, oraz innych dokumentów) ustalić czy w konkretnym przypadku zachodzi konieczność zgłoszenia zbioru danych do GIODO – czy też z racji charakterystyki prowadzonej działalności lub samego zbioru zachodzi jedna z okoliczności określonych w art. 43 ustawy o ochronie danych osobowych wyłączająca obowiązek zgłoszenia zbioru do rejestru.
class="entry-utility-prep entry-utility-prep-cat-links">Zaszufladkowano do kategorii Poradnik RBDO	| z odpowiedź
W odniesieniu do formy prawnej prowadzonej działalności, obowiązująca do 1 stycznia 2015 roku treść art. 36 ustawy o ochronie danych osobowych intepretowana była w praktyce w sposób obligujący organy spółek – czy to kapitałowych czy też osobowych- do wyznaczania administratora bezpieczeństwa informacji. W związku z wejściem w życie nowelizacji od dnia 1 stycznia 2015 roku wprowadzona została jedynie możliwość wyznaczenia ABI.
W przypadku zatem gdy np. w spółce z o.o. nie zostanie wyznaczony ABI, funkcje mu przypisane będzie pełnił kierownik jednostki organizacyjnej jako osoba działająca w imieniu administratora danych. W braku innych ustaleń za kierownika jednostki organizacyjnej odpowiadającego za przestrzeganie zasad ochrony danych osobowych będzie należało uznać prezesa zarządu jako osobę stojącą na czele organu kierującymi działaniami osoby prawnej. Czytaj dalej →
W przypadku, gdy przetwarzanie danych odbywa się na podstawie umowy powierzenia przetwarzania – przetwarzający, czyli biuro rachunkowe nie jest administratorem powierzonych danych osobowych a jedynie odpowiada tak jak administrator danych w ograniczonym zakresie, w szczególności w odniesieniu do odpowiedniego zabezpieczenia danych przed dostępem osób nieuprawnionych – ewentualny obowiązek dokonania zgłoszenia określonego zbioru będzie w tym przypadku mógł ciążyć na kliencie biura rachunkowego jako administratorze danych a nie na samym biurze. Czytaj dalej →
Charakterystyczne dla tego typu podmiotów jest to, że przetwarzają one dane osób zrzeszonych u nich – co w związku z brzmieniem art. 43 ust. 1 pkt 4 wiąże się ze zwolnieniem zbiorów obejmujących te dane z obowiązku zgłoszenia do GIODO. Jednak w przypadku gdy po za osobami zatrudnionymi lub zrzeszonymi przetwarzane są inne dane osobowe np. najemców niebędących członkami spółdzielni lub beneficjentów/ darczyńców zachodził będzie obowiązek zgłoszenia zbiorów do GIODO – chyba że dane (od pierwszego stycznia 2015 roku) przetwarzane są wyłącznie w formie papierowej lub przetwarzanie następuje wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej – ewentualnie jeżeli zajdą inne okoliczności określone w art. 43 ust. 1 ustawy o ochronie danych osobowych.
Jednostki oświatowe mają przede wszystkim obowiązek wdrożenia dokumentacji przetwarzania danych osobowych i ten obowiązek należy bezwzględnie spełnić. Jeśli chodzi o rejestrację zbiorów do GIODO, według przepisów do 2015 roku, co do zasady zbiory danych uczniów/wychowanków (a także rodziców uczniów) lub pracowników podmiotu realizującego zadania edukacyjne są zwolnione z obowiązku zgłoszenia do rejestru, nie dotyczy to jednak innej kategorii osób, których dane są przetwarzane w tego typu jednostkach, np.:
Jednostki związane ze świadczeniem usług medycznych są administratorami danych osobowych przede wszystkim danych swoich pacjentów. Podkreślenia wymaga fakt, że w większości przypadków są to tzw. „dane wrażliwe” czyli w szczególności dane o stanie zdrowia.
Ustawa przewiduje w przypadku przetwarzania danych wrażliwych wyższy rygor związany także z obowiązkiem zgłoszenia zbioru do GIODO – jednak przewiduje wyjątek związany ze świadczeniem usług medycznych przez administratora tych danych.
Zatem podmiot wykonujący usługi medyczne nie musi zgłaszać zbioru danych osobowych swoich pacjentów – pozostaje jednak ich administratorem, a zatem pozostają na nim obowiązki związane z prowadzeniem dokumentacji wewnętrznej oraz odpowiednim zabezpieczeniem tych danych. Czytaj dalej →
W przypadku sklepów internetowych – zbiorem podlegającym zgłoszeniu do rejestru prowadzonego przez GIODO w standardowej sytuacji jest przede wszystkim zbiór danych osobowych klientów.
W art. 43 ust 1 pkt 8 znajduje się co prawda opisanie jako przesłanki zwolnienia z obowiązku zgłoszenia zbioru „przetwarzanie danych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej” jednak w przypadku z sklepu internetowego dokonuje się także samej czynności wysyłki towaru, co więcej sprzedawca ma też obowiązek zapewnić możliwość odstąpienia od umowy w określonym terminie do czego również konieczne jest wykonanie określonych operacji na danych osobowych klientów korzystających z tego prawa – nie można zapomnieć
również o rozpatrywanych reklamacjach, gwarancjach itd. Czytaj dalej →
Odpowiedzialność karna za uchybienia związane z ochroną danych osobowych
Zgodnie z art. 49 ust. 1 ustawy o ochronie danych osobowych, kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Jest to umyślne przestępstwo formalne ścigane z urzędu. Przestępstwo określone w powyższym artykule dotyczy po pierwsze sytuacji, w której przetwarza się dane osób, które nie wyraziły prawidłowej zgody, a brak jest ustawowej przesłanki legalizującej takie przetwarzanie (jak np. art. 23 ust. 4 pkt 1 dopuszczający przetwarzanie w celu marketingu bezpośredniego własnych produktów lub usług. Po drugie, ten sam przepis dotyczy sytuacji, w której istnieje przesłanka w postaci zgody lub ustawowego przepisu legalizującego przetwarzanie danych, lecz osoba która takiego przetwarzania dokonuje nie jest do tej czynności uprawniona (nie posiada odpowiedniego upoważnienia, lub nie jest administratorem danych a nie zawarła umowy powierzenia przetwarzania danych zgodnie z art. 31 ustawy o ochronie danych osobowych).
Sankcje administracyjne (grzywny nakładane przez GIODO)
art. 121 ustawy o postępowaniu egzekucyjnym w administracji § 1.
Grzywna w celu przymuszenia może być nakładana kilkakrotnie w tej samej lub wyższej kwocie, z zastrzeżeniem § 4. § 2. Z zastrzeżeniem § 5 każdorazowo nałożona grzywna nie może przekraczać kwoty 10 000 zł, a w stosunku do osób prawnych i jednostek organizacyjnych nie posiadających osobowości prawnej kwoty 50 000 zł.
§ 3. Grzywny nakładane wielokrotnie nie mogą łącznie przekroczyć kwoty 50 000 zł, a w stosunku do osób prawnych i jednostek organizacyjnych nie posiadających osobowości prawnej kwoty 200 000 zł.(…)
art. 12 ustawy o ochronie danych osobowych:
Kiedy należy zgłosić zbiór do rejestracji?
Rozdział 6 ustawy o ochronie danych osobowych, w art. 40-46a, odnosi się do obowiązku rejestracji zbiorów danych osobowych, oprócz formalnych wymagań związanych ze zgłoszeniem zbioru do rejestracji istotne postanowienia zawiera art. 43 ust. 1 pkt 1-11 gdzie zawarto katalog wyłączeń spod obowiązku zgłoszenia zbioru danych osobowych do rejestracji.
Na uwagę z praktycznego punktu widzenia zasługuje art. 43 ust.1 pkt 4, na podstawie którego zbiór danych osobowych osób zatrudnionych jest wyłączony spod obowiązku zgłoszenia do rejestracji.
Należy jednak mieć na uwadze, że zwolnienie z obowiązku zgłoszenia do rejestracji nie jest równoznaczne ze zwolnieniem od obowiązku zabezpieczenia danych osobowych, zgodnie z postanowieniami rozdziału 5 ustawy o ochronie danych osobowych – zatem nawet w przypadku, gdy jedynymi danymi osobowymi przetwarzanymi w przedsiębiorstwie są dane wyłączone spod obowiązku rejestracji (np. dane osobowe pracowników) będzie zachodziła konieczność wdrożenia dokumentacji, o jakiej mowa w rozporządzeniu wykonawczym do art. 39a ustawy o ochronie danych osobowych (Polityka Bezpieczeństwa oraz Instrukcja Zarządzania Systemem Informatycznym w przypadku, gdy dane przetwarzane są w systemie informatycznym). Czytaj dalej →