Source: http://docplayer.pl/1429477-Konsekwencje-ekonomiczne-dla-msp-unijnego-projektu-rozporzadzenia-o-ochronie-danych-osobowych.html
Timestamp: 2016-10-22 09:09:49
Legal References Found: art. 32
 art. 32
 art. 6
 art. 14
 art. 9
 art. 5
 art. 79
 art. 39
 art. 32
 art. 32
 art. 32
 Art. 1
 ART. 29
 ART. 29
 art. 29
 Art. 1

Document Content:
⭐KONSEKWENCJE EKONOMICZNE DLA MŚP UNIJNEGO PROJEKTU ROZPORZĄDZENIA O OCHRONIE DANYCH OSOBOWYCH
KONSEKWENCJE EKONOMICZNE DLA MŚP UNIJNEGO PROJEKTU ROZPORZĄDZENIA O OCHRONIE DANYCH OSOBOWYCH
Download "KONSEKWENCJE EKONOMICZNE DLA MŚP UNIJNEGO PROJEKTU ROZPORZĄDZENIA O OCHRONIE DANYCH OSOBOWYCH"
Henryk Nowacki
1 oraz przedstawiają KONSEKWENCJE EKONOMICZNE DLA MŚP UNIJNEGO PROJEKTU ROZPORZĄDZENIA O OCHRONIE DANYCH OSOBOWYCH wg projektu zatwierdzonego przez komisję LIBE i Konfederacja Lewiatan oraz Izba Gospodarki Elektronicznej (e-izba)2 23 Szanowni Państwo, Po dwóch latach dyskusji, 4000 zgłoszonych poprawek i burzliwej debacie publicznej komisja Parlamentu Europejskiego LIBE przyjęła sprawozdanie do projektu rozporządzenia o ochronie danych osobowych ii. Przyjęte stanowisko było wyrazem zgody parlamentarzystów co do tego, że dane osobowe są wartością, w sensie ekonomicznym i społecznym, w związku z czym wymagają należytej ochrony. Popierając w pełni takie podejście, Konfederacja Lewiatan i Izba Gospodarki Elektronicznej postanowiły sprawdzić jak zaproponowane przez Parlament przepisy działałyby w praktyce. Jak wpłynęłyby na codzienność przeciętnego przedsiębiorcy, który przetwarza dane przy okazji prowadzenia działalności, na umiarkowaną lub niewielką skalę. Chcieliśmy sprawdzić czy obowiązki, które administrator danych będzie musiał spełnić są proporcjonalne, a ograniczenia w przetwarzaniu danych nie utrudnią realizowania jego słusznych interesów. Spróbowaliśmy wreszcie oszacować jakie będą związane z tym koszty. Dla uzyskania pełniejszego obrazu wybraliśmy bardzo różne profile działalności. Przeanalizowaliśmy sprawozdanie pod kątem obowiązków, jakie musiałby spełnić przedsiębiorca sprzedający swoje produkty przez Internet (księgarnia internetowa), świadczący usługi poza środowiskiem cyfrowym (gabinet kosmetyczny) oraz administrator prowadzący działalność niekomercyjną (poseł). Konkluzje z tej analizy wskazują, że proponowane przez LIBE przepisy są oparte na niewłaściwych założeniach. Niedostatecznie różnicują one nakładane obowiązki w zależności od charakteru i skali przetwarzania danych oraz ewentualnych związanych z tym zagrożeń. Nawet administratorzy przetwarzający dane w minimalnym zakresie będą musieli stosować się do rozbudowanej listy obowiązków, zaprojektowanych z myślą o najbardziej zaawansowanych i ryzykownych procesach przetwarzania. Poniosą oni także koszty związane z zapewnieniem zgodności i wymaganych rozwiązań organizacyjnych. Według naszej analizy, łączne koszty realizacji obowiązków dokumentacyjnych wynikających z rozporządzenia, w okresie pierwszych dwóch lat prowadzenia działalności przez każdego z analizowanych przedsiębiorców można szacować na nie mniej niż złotych + VAT. Suma ta obejmuje jedynie koszty sporządzenia dokumentacji oraz klauzul informacyjnych, w tym koszty związanej z tymi działaniami obsługi prawnej oraz koszty nabycia usług ABI. Nie uwzględnia kosztów działań niezbędnych do rzeczywistego zabezpieczenia danych osobowych przed ich utratą i zniszczeniem. Szokujący wydaje się fakt, iż koszt wdrożenia nowego prawa dla przedsiębiorców dokonujących minimalnych i społecznie niegroźnych operacji na danych osobowych będzie dziewięciokrotnie wyższy niż dotychczas. Prawdą jest, że już obecnie firmy ponoszą koszty związane z zapewnieniem zgodności z przepisami, które niejednokrotnie przekraczają wskazane wyżej sumy. Istotnym i zobrazowanym w załączonym materiale problemem jest jednak to, że w razie przyjęcia przepisów rozporządzenia w wersji LIBE wskazane koszty poniosą niemal wszyscy. Załączony materiał ma za zadanie pomóc w wyeliminowaniu zbędnych obciążeń. Zdaniem Konfederacji Lewiatan i e- Izby rozporządzenie nie powinno zostać przyjęte dopóki wszystkie postanowienia rodzące nieuzasadnione koszty nie zostaną usunięte. W przeciwnym razie szansa na wykorzystanie potencjału gospodarki internetowej dla powstawania i rozwoju innowacyjnych i konkurencyjnych przedsiębiorstw w Polsce i Unii Europejskiej zostanie zaprzepaszczona. W imieniu Konfederacji Lewiatan: W imieniu Izby Gospodarki Elektronicznej: Henryka Bochniarz Prezydent Grzegorz Wójcik Członek Zarządu 34 SPIS TREŚCI MODEL nr 1 KSIĘGARNIA INTERNETOWA... 5 MODEL nr 2 POSEŁ DO PARLAMENTU EUROPEJSKIEGO MODEL nr 3 SALON KOSMETYCZNY5 MODEL nr 1 KSIĘGARNIA INTERNETOWA Opis działalności Osoba fizyczna prowadząca działalność gospodarczą zamierza otworzyć księgarnię internetową. Oferta ma obejmować: (1) sprzedaż wysyłkową książek oraz (2) udostępnianie e-booków w serwisie internetowym lub za pośrednictwem aplikacji umożliwiającej korzystanie z zasobów księgarni także za pośrednictwem urządzeń mobilnych, takich jak telefony i tablety. Właściciel księgarni (zwany dalej Księgarnią) będzie prowadzić marketing ograniczony jedynie do newslettera, zawierającego informacje o ofertach dostosowanych do zainteresowań klienta. Księgarnia będzie przetwarzać dane osobowe swych: (1) klientów, tj. osób, które dokonały zakupu i z konieczności podały swe dane, aby otrzymać przesyłkę oraz (2) osób zainteresowanych ofertą Księgarni. Księgarnia będzie korzystała z usług kilku firm świadczących typowe i występujące powszechnie usługi dla przedsiębiorców, np.: hostingodawcy, firmy kurierskiej, dostawcy oprogramowania. Ponieważ Księgarnia będzie chciała udostępnić klientom aplikację mobilną na tablety i telefony komórkowe, będzie musiała korzystać z usług dwóch podmiotów, które dostarczają systemy operacyjne stanowiące środowisko pracy takich aplikacji tj. Google (system Android) oraz Apple. Podmioty te będą przetwarzać dane osobowe, których administratorem będzie Księgarnia na podstawie powierzenia. Księgarnia postanowiła dokonywać minimum operacji na danych osobowych, aby maksymalnie ograniczyć zakres swych obowiązków wynikających z przepisów o ochronie danych osobowych. Konsekwencje w zakresie ochrony danych osobowych Ogólne obowiązki związane z przetwarzaniem danych iii Obecnie w związku z rozpoczęciem działalności Księgarnia musi przygotować dwa dokumenty: Politykę bezpieczeństwa danych osobowych i Instrukcję zarządzania systemem informatycznym. Dokumenty te opisują zbiory danych osobowych i sposób zabezpieczenia tych danych. Księgarnia musi ponadto zawrzeć proste umowy powierzenia, z których wynika cel i zakres przetwarzania danych. Umowy powinny zostać zawarte na piśmie, ale wymóg ten jest ustanowiony jedynie dla celów dowodowych. Po wprowadzeniu rozporządzenia w wersji LIBE konieczne będzie przygotowanie o wiele obszerniejszej dokumentacji. Księgarnia będzie musiała: 1) sporządzić zwięzłe, przejrzyste, jasne i łatwo dostępne polityki dotyczące przetwarzania danych osobowych i ochrony praw podmiotów danych (art. 11(1) LIBE) Treść LIBE sugeruje, że polityki będą musiały zostać opublikowane przez Księgarnię (easily accessible). 2) sporządzić i wdrożyć właściwe polityki oraz wdrożyć właściwe i możliwe do udowodnienia środki techniczne i organizacyjne (art. 22(1) LIBE) oraz towarzyszące im compliance policies, które powinny podlegać weryfikacji co dwa lata (art. 22(1a) LIBE). Księgarnia będzie musiała być w stanie wykazać adekwatność i skuteczność zastosowanych środków; 56 3) sporządzić dokumentację realizacji obowiązków wynikających z postanowień rozporządzenia (art. 28 (1) LIBE). Wszystkie działania związane z przetwarzaniem danych (np. instalacja oprogramowania antywirusowego lub kryptograficznego) będą musiały być rejestrowane i dokumentowane przez Księgarnię; 4) przeprowadzić analizę ryzyka (obowiązek wynika z przekroczenia limitu 5000 rekordów, co w środowisku cyfrowym jest niskim pułapem - art. 32a(2) lit. (b) LIBE). Analiza będzie musiała zostać udokumentowana na piśmie i będzie musiała raz do roku podlegać weryfikacji (art. 32a (4) LIBE); 5) przeprowadzić ocenę skutków w zakresie ochrony danych osobowych (data protection impact assesment) (art. 33(1) w zw. z art. 32a (3) LIBE); 6) zatrudnić (zawrzeć umowę) osobę świadczącą profesjonalne usługi ABI (art. 32a(3) lit. (b) LIBE) obowiązek ten dotyczy administratora, który zgromadzi dane co najmniej rekordów, czyli liczbę niewielką z punktu widzenia przedsiębiorcy prowadzącego księgarnię internetową. 7) wprowadzić środki weryfikujące wiek użytkowników podających swoje adresy owe na potrzeby otrzymywania newslettera oraz - w razie użytkowników młodszych niż 13 lat- mechanizmy uzyskiwania zgody rodziców/opiekunów prawnych. Dodatkowo, po dwóch latach działalności Księgarnia będzie musiała: 1) przeprowadzić weryfikację zastosowanych polityk (art. 22(1) LIBE); weryfikacja będzie musiała zostać udokumentowana (art. 28 (1) LIBE); 2) przeprowadzić i udokumentować przegląd zgodności (compliance review) (art. 33a LIBE); 3) umożliwiając dostęp do danych osobowych firmom zewnętrznym, z których usług będzie korzystać (na przykład firmie świadczącej usługi hostingowe), Księgarnia będzie zmuszona zawierać szczególne umowy dotyczące powierzenia danych osobowych. Wszystkie zawarte umowy powierzenia będą musiały być sporządzone na piśmie (art. 26 (3) LIBE) elektroniczne zawarcie umowy powierzenia nie będzie spełniać wymogów. Trudno sobie wyobrazić, aby dostawcy środowisk dla aplikacji mobilnych (tj. Google i Apple) zawierali umowy powierzenia z małymi przedsiębiorcami takimi jak Księgarnia w formie pisemnej. Co więcej, nawet, jeżeli takie umowy będą zawierane (w jakiejkolwiek formie), Księgarnia nie będzie miała w praktyce żadnych możliwości negocjowania ich treści. Wszelkie braki w tym zakresie będą mogły być sankcjonowane karami finansowymi, a odpowiedzialność za nie będzie ponosić przede wszystkim administrator danych osobowych, czyli Księgarnia. Pozyskanie danych osobowych W chwili, w której klient Księgarni będzie przekazywał jakiekolwiek swoje dane osobowe np. podawał mail umożliwiający wysyłanie newslettera lub podawał dane korespondencyjne przeznaczone do realizacji wysyłki, Księgarnia będzie musiała przedstawić na swojej stronie internetowej w formie graficznej i tekstowej następujące informacje: 1) czy dane osobowe są gromadzone poza minimum niezbędne dla każdego konkretnego celu przetwarzania; 2) czy dane osobowe są przechowywane poza minimum niezbędne dla każdego konkretnego celu przetwarzania; 3) czy dane osobowe są przetwarzane do celów innych niż cele, dla których zostały zgromadzone; 4) czy dane osobowe są przekazywane innym przedsiębiorcom; 5) czy dane osobowe są sprzedawane lub wynajmowane; 6) czy dane osobowe są przechowywane w postaci zaszyfrowanej (art. 13a LIBE) 67 Na wszystkie powyższe pytania, w przypadku Księgarni, odpowiedź jest przecząca. Księgarnia nie jest w szczególności zobowiązania do szyfrowania przechowywanych danych. Szyfrowanie danych wiąże się z koniecznością zakupu odpowiedniego oprogramowania i nie jest w przypadku Księgarni niezbędne. Księgarnia będzie musiała jednak ujawnić, że nie szyfruje przechowywanych danych. Podważy to zaufanie potencjalnych klientów do Księgarni, choć Księgarnia będzie przetwarzać i zabezpieczać dane osobowe zgodnie z zasadami wynikającymi z rozporządzenia. Gdyby Księgarnia chciała dokonywać cesji wierzytelności firmom windykacyjnym, co jest powszechną praktyką w wypadku niewielkich roszczeń, Księgarnia musiałaby informować o tym klientów (pkt 3). Byłby to kolejny czynnik, który zniechęcałby klientów do korzystania z usług Księgarni. W dalszej kolejności Księgarnia będzie musiała wyświetlić klientowi informacje, które obecnie muszą być przedstawiane klientom tj. informacje o: 1) tożsamości i danych kontaktowych administratora; 2) celach przetwarzania danych, do których przeznaczone są dane, 3) prawie do żądania dostępu do danych i ich poprawiania lub usunięcia danych, prawie do sprzeciwu wobec przetwarzania tych danych, lub uzyskania danych; 4) odbiorcach lub kategoriach odbiorców danych. Księgarnia będzie musiała przedstawić również szereg nowych informacji, które dotychczas nie były publikowane. Konieczne będzie w szczególności przedstawienie informacji: 5) o tożsamości i danych kontaktowych ABI; 6) o bezpieczeństwie przetwarzania danych, w tym o warunkach umowy, na podstawie której będą przetwarzane dane, oraz sposobie ich realizacji lub o spełnieniu wymagań wskazanych w art. 6 (1) (f) LIBE, w wypadku prowadzenia wysyłki newslettera; 7) o okresie, w którym dane osobowe będą przechowywane, lub jeśli nie jest to możliwe, o kryteriach stosowanych do określenia tego okresu; 8) o prawie do złożenia skargi do organu nadzoru oraz danych kontaktowych organu nadzoru; 9) o profilowaniu, środkach opierających się na profilowaniu, oraz przewidywanym wpływie profilowania na prawa osoby, której dane dotyczą; 10) o algorytmach związanych z każdym automatycznym przetwarzaniem danych; 11) o tym, czy dane osobowe były dostarczone do władz publicznych w ciągu ostatnich 12 miesięcy; 12) dodatkowe inne informacje niezbędne w celu zagwarantowania rzetelnego przetwarzania danych, uwzględniające szczególne okoliczności, w których dane osobowe są gromadzone i przetwarzane, w szczególności istnienie niektórych czynności przetwarzania, których ocena wskazuje, że mogą wiązać się z wysokim ryzykiem w zakresie ochrony danych. [za: art. 14 LIBE] Przedstawienie informacji o bezpieczeństwie przetwarzania danych, por. pkt 6) powyżej, nie jest konieczne dla ochrony praw klientów Księgarni. Przeciwnie, realizacja tego obowiązku może prowadzić do publikacji informacji, których ujawnienie spowoduje obniżenie poziomu bezpieczeństwa danych. Automatyczne przetwarzanie danych, o którym mowa w pkt 10), to każde przetwarzanie danych w systemach informatycznych (np. na serwerze), algorytmy wykorzystuje zaś każdy program komputerowy. Księgarnia będzie musiała zatem wymienić wszystkie, nawet najbardziej oczywiste funkcje oprogramowania przetwarzającego dane osobowe. Informację, o której mowa w pkt 11), trzeba będzie przedstawić również wtedy, gdy Księgarnia będzie dochodziła należności w postępowaniu sądowym. Wysyłając pozew Księgarnia dostarcza dane osobowe do władz publicznych. Pomimo że opisany powyżej katalog jest bardzo szeroki, nie jest on zamknięty i w praktyce może się okazać, że Księgarnia może zostać zobowiązana do przedstawienia dodatkowych informacji, o których mowa w pkt 12) powyżej. 78 Klient będzie musiał zapoznać się z opisanymi powyżej informacjami przed przekazaniem Księgarni własnych danych osobowych. Wskazanie linku do zawierającej te informacje podstrony nie będzie wystarczające. Konieczne będzie zaprezentowanie wskazanych informacji klientowi tak, aby zapoznał się z nimi przed podaniem danych osobowych. Otwarte pozostaje pytanie, w jaki sposób zredagować i przedstawić tak wielką ilość informacji tak, aby możliwe było ich przedstawienie klientowi, który wprowadza dane osobowe np. za pomocą aplikacji mobilnej w swoim telefonie komórkowym lub tablecie. Profilowanie i dane wrażliwe 1) Księgarnia zamierza dostosowywać do oczekiwań klienta ofertę przedstawianą klientowi na stronie głównej, na profilu klienta, oraz informacje o ofercie wysyłane za pomocą newslettera. Przykładowo, klient, który przeglądał pozycje książkowe z działu kryminały, otrzyma w newsletterze informację o nowych kryminałach w ofercie Księgarni. Dostosowanie oferty Księgarni do zainteresowań klienta wymaga przedstawienia klientowi dodatkowej informacji o podejmowanym profilowaniu, niezależnie od tego, czy Księgarnia będzie przetwarzać dane osobowe klienta, czy też dane te będą miały charakter danych pseudozanonimizowanych (art. 20 LIBE). 2) Księgarnia nie będzie jednakże mogła tworzyć profilowanych ofert, jeżeli lektury, którymi są zainteresowani klienci będą dotyczyły np. oferty prasy katolickiej, książek o określonej tematyce religijnej, politycznej lub filozoficznej, literatury kobiecej, czy tytułów dotyczących określonych chorób i problemów zdrowotnych. Przedstawienie przedmiotowych ofert będzie mogło zostać uznane za tworzenie profilów wyłącznie w oparciu o dane wrażliwe, a w konsekwencji prowadzić będzie do naruszenia przepisów o profilowaniu i ochronie danych wrażliwych (por. art. 9 i 20(3) LIBE). 3) Ponieważ za daną wrażliwą uważana jest płeć (gender identity), sposób adresowania przez Księgarnię korespondencji do danego klienta będzie mógł zostać objęty zakazem przetwarzania danych wrażliwych (art. 9(1) LIBE). Przetwarzanie danych dzieci i zgoda na przetwarzanie danych 1) Księgarnia, aby móc oferować książki dla dzieci i młodzieży, będzie musiała weryfikować, czy zgoda na zakup książki przez dziecko została udzielona przez jego opiekuna (art. 8(1) LIBE). Księgarnia nie będzie mogła jednak w żaden sposób dokonać weryfikacji takiej zgody. Checkbox ze stosownym oświadczeniem nie będzie wystarczający. Ponieważ konsekwencją niezrealizowania tego obowiązku może być sankcja finansowa (art. 79 LIBE), Księgarnia będzie musiała zrezygnować z prowadzenia tego typu sprzedaży. 2) Adresy stanowią, co do zasady dane osobowe. Przetwarzanie adresu w celu wysyłania newslettera zawierającego materiały promocyjne innych podmiotów, nie będzie dopuszczalne bez zgody osoby przesyłającej dane. Ponieważ jednak zgoda na przetwarzanie danych musi być wyraźna (art. 4 (8) LIBE), samo przekazanie adresu nie będzie uważane za wyrażenie zgody. Osoba zainteresowana otrzymywaniem newslettera będzie musiał zaznaczyć dodatkowy checkbox, w którym wyrazi zgodę na przetwarzanie danych w celu prowadzenia wysyłki newslettera. 3) Księgarnia nie będzie mogła oferować klientom, którzy wyrażą zgodę na otrzymywanie informacji handlowej, dodatkowych darmowych usług. Zgoda na przetwarzanie danych osobowych nie będzie bowiem mogła być warunkiem świadczenia usługi (art. 7(4) LIBE). Zamówienie na rzecz osoby trzeciej Jeżeli klient złoży zamówienie i poda dane osoby trzeciej, do której ma zostać wysłana książka (np. w charakterze prezentu), podstawą przetwarzania danych będzie prawnie usprawiedliwiony cel administratora (art. 6(1)(f) LIBE). Osoba trzecia będzie jednakże mogła w każdej chwili złożyć sprzeciw, a Księgarnia będzie musiała usunąć dane niezależnie od tego, że mogą być one niezbędne do udowodnienia wykonania przez Księgarnię usługi (art. 19 (2) LIBE). 89 Windykacja należności. Przekazanie danych osobowych firmie windykacyjnej Przepisy rozporządzenia nie dają jednoznacznej odpowiedzi, czy istnieje podstawa prawna do prowadzenia windykacji należności przez Księgarnię po zrealizowaniu umowy. Wydaje się, że Księgarnia nie będzie mogła przekazać danych osobowych dłużników firmie windykacyjnej, która nabędzie od Księgarni wierzytelności z tytułu zrealizowanych dostaw oraz świadczonych usług i będzie we własnym imieniu dochodziła tych należności (por. art. 5 (b) LIBE). Ponieważ Księgarnia nie posiada środków na obsługę procesu windykacji, może to znacznie utrudnić dochodzenie przez Księgarnię należności. Zmiana celu przetwarzania Księgarnia nie będzie mogła sporządzić własnych zestawień opisujących proces sprzedaży np. wyjaśniających, w jaki sposób klienci dokonują zakupów, z jakich regionów kraju lub UE dokonywane są zamówienia. Przykładowo tabela Excel zawierająca jedynie kwoty zamówień i miejsca dostawy będzie zawierała dane pseudozanonimizowane, traktowane w tym zakresie w taki sam sposób jak dane osobowe (art. 20(1) LIBE). Jej sporządzenie będzie się wiązać z niedopuszczalną zmianą celu przetwarzania danych osobowych. Przetwarzanie danych osobowych w celach dokumentacyjnych Księgarnia będzie musiała zakupić i wdrożyć oprogramowanie, które zagwarantuje usunięcie danych po zrealizowaniu celu przetwarzania (art. 17(8b) lit. (b) LIBE). Sankcje 1) Naruszenie jakichkolwiek ze wskazanych powyżej postanowień rozporządzenia będzie mogło wiązać się z nałożeniem na Księgarnię kary finansowej (art. 79 LIBE). Sankcje będą grozić za zrealizowanie wszystkich obowiązków wynikających z rozporządzenia, nawet tych których realizacja może budzić praktyczne wątpliwości (np. dotyczących ochrony danych osobowych dzieci) oraz tych, których realizacja nie wpływa bezpośrednio na stopień ochrony praw osób, których dane dotyczą (np. obowiązków dokumentacyjnych). 2) Kary finansowe będą mogły być nakładane niezależnie od stopnia winy (art. 79 LIBE). Ograniczenie odpowiedzialności finansowej Księgarni do winy umyślnej i niedbalstwa, będzie możliwe jedynie w wypadku posiadania "European Data Protection Seal" art. 79(2b). Uzyskanie takiej gwarancji wymaga poniesienia przez Księgarnię dodatkowych kosztów audytu art. 39 (2a). Koszty Księgarnia będzie musiała w celu spełnienia opisanych powyżej wymagań związanych z realizacją przepisów rozporządzenia ponieść istotne koszty związane z tworzeniem i utrzymaniem wymaganej dokumentacji i podejmowaniem działań organizacyjnych, do których zobowiązuje rozporządzenie. Koszty zostały obliczone z uwzględnieniem stawek rynkowych obowiązujących obecnie, konieczności skorzystania z wyspecjalizowanych firm doradczych, poważnego ryzyka prawnego i finansowego obciążającego zarówno Księgarnię, jak i usługodawcę Księgarni (na przykład ABI), które to ryzyko zawsze przekłada się na wzrost cen usług. Wysokość przedmiotowych wydatków, zważywszy na konieczność skorzystania z usług profesjonalnej firmy doradczej (realizacja obowiązków wymaga specjalistycznej wiedzy prawniczej, a często także technicznej, której Księgarnia nie posiada), można szacować w następujący sposób: 1) sporządzenie polityk dotyczących przetwarzania danych osobowych i ochrony praw podmiotów danych (art. 11(1) LIBE) złotych netto, 910 2) przygotowanie klauzul informacyjnych (art. 13a i 14 LIBE) 600 złotych netto, 3) sporządzenie polityk zgodności (art. 22(1a) LIBE) minimum złotych netto, 4) przeprowadzenie i udokumentowanie analizy ryzyka (art. 32a (4) LIBE) minimum złotych netto 5) przeprowadzenie oceny skutków w zakresie ochrony danych osobowych (data protection impact assesment) (art. 33(1) w zw. z art. 32a (3) LIBE) minimum złotych netto, 6) sporządzenie pisemnych umów powierzenia przetwarzania danych osobowych dla co najmniej dwóch podmiotów (hostingodawców i dostawcy oprogramowania) złotych netto. Księgarnia będzie musiała zawrzeć umowę z osobą świadczącą usługi ABI (art. 32a(3) lit. (b) LIBE). Umowa będzie musiała zostać zawarta na czas określony. Koszt takiej stałej obsługi Księgarni można szacować na (zważywszy na minimalny zakres przetwarzania danych przez Księgarnię) na około złotych netto miesięcznie, czyli złotych netto w skali roku. Co roku Księgarnia będzie musiała ponieść koszt weryfikacji analizy ryzyka i udokumentowania tego procesu (art. 32a (4) LIBE). Działanie to będzie miało charakter rutynowy jego koszt można szacować na około złotych netto. Po dwóch latach działalności Księgarnia będzie musiała ponieść wydatki niezbędne do nabycia usług: 1) przeprowadzenia i udokumentowania weryfikacji zastosowanych polityk (art. 22(1) LIBE); złotych netto. 2) przeprowadzenia i udokumentowania przeglądu zgodności (compliance review) (art. 33a LIBE) złotych netto. Łączne koszty realizacji obowiązków dokumentacyjnych wynikających z rozporządzenia w okresie pierwszych dwóch lat prowadzenia działalności przez Księgarnię można szacować na nie mniej niż złotych + VAT. Powyższa kalkulacja została sporządzona w oparciu o wiedzę dotyczącą cen usług prawniczych na rynku polskim. Suma ta obejmuje jedynie koszty sporządzenia i realizacji dokumentacji oraz klauzul informacyjnych, w tym koszty związanej z tymi działaniami obsługi prawnej oraz koszty nabycia usług ABI. Powyższy kosztorys nie obejmuje kosztów działań niezbędnych do rzeczywistego zabezpieczenia danych osobowych przed ich utratą i zniszczeniem. Wskazane powyżej zestawienie pomija w szczególności koszty zakupu oprogramowania służącego do ochrony danych w tym oprogramowania antywirusowego i szyfrującego, koszty nabycia usług hostingowych we właściwie zabezpieczonych serwerach, koszty tworzenia kopii zapasowych, czy wreszcie koszty zabezpieczeń fizycznych, które powinny zostać zastosowane w siedzibie Księgarni. 1011 MODEL nr 2 POSEŁ DO PARLAMENTU EUROPEJSKIEGO Opis działalności Poseł do Parlamentu Europejskiego (dalej: Poseł) w ramach działalności biura poselskiego prowadzi stronę internetową, w ramach której umożliwia użytkownikom zamówienie newslettera, wysyłanego na adres . Zebrane adresy poczty elektronicznej odbiorców newslettera gromadzone są w bazie mailingowej. Poseł organizuje również we własnym imieniu konkursy, w których nagrodą jest staż w biurze poselskim albo wizyta w Parlamencie Europejskim. W ramach organizacji konkursów Poseł zbiera dane osobowe ich uczestników (imię, nazwisko, adres , adresy korespondencyjne). Poseł organizuje wizyty w Parlamencie Europejskim. W związku z tym Poseł otrzymuje od szkół i innych zaprzyjaźnionych organizacji listy uczestników wycieczek. Poseł jako organizator przekazuje te listy podmiotom, które na jego zlecenie świadczą usługi niezbędne do obsługi wizyty (np. usługi transportowe). Poseł rozważa możliwość wykorzystania, w niektórych wypadkach, zbieranych danych osobowych, do informowania o własnej działalności, w szczególności informowania o organizowanych konferencjach i działaniach związanych z kolejną kampanią do Parlamentu Europejskiego. Do biura Posła jest kierowana korespondencja. Nadawcy przedstawiają problemy i proszą o interwencję w konkretnych sprawach. W treści pism często ujawniają swoje poglądy polityczne lub - prosząc o pomoc - dane dotyczące ich sytuacji materialnej, stanu zdrowia itp. Często są to więc dane wrażliwe. Korespondencja jest drukowana i gromadzona w dokumentacji prowadzonej przez personel biura poselskiego na potrzeby zajęcia się daną sprawą. Biuro Posła prowadzi w formie elektronicznej w arkuszu Excel rejestr spraw, w którym znajdują się między innymi dane osobowe nadawców. Konsekwencje w zakresie ochrony danych osobowych 1 Ogólne obowiązki związane z przetwarzaniem danych: Obecnie Poseł musi przygotować dwa dokumenty: Politykę bezpieczeństwa danych osobowych i Instrukcję zarządzania systemem informatycznym. Dokumenty te opisują zbiory danych osobowych i sposób zabezpieczenia tych danych. Poseł musi ponadto zawrzeć proste umowy powierzenia, z których wynika cel i zakres przetwarzania danych. Umowy powinny zostać zawarte na piśmie, ale wymóg ten jest ustanowiony jedynie dla celów dowodowych. Po wprowadzeniu rozporządzenia w wersji LIBE konieczne będzie przygotowanie o wiele obszerniejszej dokumentacji. Poseł będzie musiał: 1) sporządzić zwięzłe, przejrzyste, jasne i łatwo dostępne polityki dotyczące przetwarzania danych osobowych i ochrony praw podmiotów danych (art. 11(1) LIBE). Treść sprawozdania LIBE sugeruje, że polityki będą musiały zostać opublikowane; 2) sporządzić i wdrożyć właściwe polityki oraz wdrożyć właściwe i możliwe do udowodnienia środki techniczne i organizacyjne (art. 22(1) LIBE) oraz towarzyszące im compliance policies, które powinny podlegać weryfikacji co dwa lata (art. 22(1a) LIBE). Poseł będzie musiał być w stanie wykazać adekwatność i skuteczność zastosowanych środków; 3) sporządzić dokumentację realizacji obowiązków wynikających z postanowień rozporządzenia (art. 28 (1) LIBE)- trybu realizacji prawa do bycia zapomnianym, prawa do sprzeciwu itd. Wszystkie działania związane z przetwarzaniem 1 Przy założeniu, że do Instytucji UE rozporządzenie będzie miało zastosowanie. 1112 danych (np. instalacja oprogramowania antywirusowego lub kryptograficznego) będą musiały być rejestrowane i dokumentowane przez personel biura Poselskiego; 4) przeprowadzić analizę ryzyka (obowiązek wynika z przekroczenia limitu 5000 rekordów - art. 32a(2) lit. (b) LIBE). Analiza będzie musiała zostać udokumentowana na piśmie i będzie musiała raz do roku podlegać weryfikacji (art. 32a (4) LIBE); 5) przeprowadzić ocenę skutków w zakresie ochrony danych osobowych (data protection impact assesment) (art. 33(1) w zw. z art. 32a (3) LIBE); Dodatkowo, po dwóch latach od rozpoczęcia przetwarzania danych Poseł będzie musiał: 1) przeprowadzić weryfikację zastosowanych polityk (art. 22(1) LIBE); weryfikacja będzie musiała zostać udokumentowana (art. 28 (1) LIBE). 2) przeprowadzić i udokumentować przegląd zgodności (compliance review) (art. 33a LIBE). 3) Jeżeli Poseł będzie umożliwiał dostęp do danych osobowych firmom zewnętrznym, z których usług będzie korzystał (na przykład firmie świadczącej usługi hostingowe, firmie organizującej przewozy osób uczestniczących w wizytach w Parlamencie Europejskim), Poseł będzie zmuszony zawrzeć szczegółowe umowy dotyczące powierzenia danych osobowych. Wszystkie zawarte umowy powierzenia będą musiały zostać sporządzone na piśmie (art. 26 (3) LIBE) elektroniczne zawarcie umowy powierzenia nie będzie spełniać wymogów LIBE. 4) Wprowadzić środki weryfikujące wiek użytkowników podających swoje adresy owe na potrzeby otrzymywania newslettera oraz - w razie użytkowników młodszych niż 13 lat - mechanizmy uzyskiwania zgody rodziców/opiekunów prawnych. Newsletter Adres mailowy stanowi, co do zasady, danę osobową. Dlatego też w chwili, w której osoba zainteresowana otrzymaniem od Posła newslettera przekaże adres poczty elektronicznej, będzie przekazywała swoje dane osobowe. Poseł na stronie internetowej, przed otrzymaniem danych, będzie musiał przedstawić w formie graficznej i tekstowej następujące informacje: 1) czy dane osobowe są gromadzone poza minimum niezbędne dla każdego konkretnego celu przetwarzania; 2) czy dane osobowe są przechowywane poza minimum niezbędne dla każdego konkretnego celu przetwarzania; 3) czy dane osobowe są przetwarzane do celów innych niż cele, dla których zostały zgromadzone; 4) czy dane osobowe są przekazywane przedsiębiorcom; 5) czy dane osobowe są sprzedawane lub wynajmowane; 6) czy dane osobowe są przechowywane w postaci zaszyfrowanej (art. 13a LIBE) Na wszystkie powyższe pytania, w przypadku Posła, odpowiedź powinna być co do zasady przecząca. Jeśli poseł nie będzie szyfrował danych lub z uzasadnionych względów wykorzysta zebrane dane do innych, słusznych celów, będzie musiał zaznaczyć niespełnienie tego obowiązku. W dalszej kolejności wciąż na formularzu zamówienia newslettera przed podaniem danych osobowych, Poseł będzie musiał wyświetlić informacje o: 1) tożsamości i danych kontaktowych administratora; 2) celach przetwarzania danych, do których przeznaczone są dane; 3) prawie do żądania dostępu do danych i ich poprawiania lub usunięcia danych, prawie do sprzeciwu wobec przetwarzania tych danych, lub uzyskania danych; 4) odbiorcach lub kategoriach odbiorców danych; 12 Pokazać jeszcze
Cloud Computing w Sektorze Finansowym Regulacje i Standardy pod redakcją Macieja Gawrońskiego
Cloud Computing w Sektorze Finansowym Regulacje i Standardy pod redakcją Macieja Gawrońskiego Listopad 2011 Wstęp Forum Technologii Bankowych Związku Banków Polskich Opracowanie stanowi część raportu o Bardziej szczegółowo Regulamin świadczenia usług oraz korzystania z serwisu internetowego pod adresem www.legimi.com
Regulamin świadczenia usług oraz korzystania z serwisu internetowego pod adresem www.legimi.com Art. 1 Zakres Regulaminu 1. Niniejszy dokument reguluje zasady funkcjonowania i korzystania z usług portalu Bardziej szczegółowo Ochrona dóbr osobistych i danych osobowych
Ochrona dóbr osobistych i danych osobowych Piotr Waglowski UNIA EUROPEJSKA EUROPEJSKI FUNDUSZ ROZWOJU REGIONALNEGO Autor: Piotr Waglowski Wydawca: Polska Agencja Rozwoju Przedsiębiorczości (PARP) ul. Pańska Bardziej szczegółowo GRUPA ROBOCZA ART. 29 ds. OCHRONY DANYCH OSOBOWYCH. Opinia 3/2010 w sprawie zasady rozliczalności
GRUPA ROBOCZA ART. 29 ds. OCHRONY DANYCH OSOBOWYCH 00062/10/PL WP 173 Opinia 3/2010 w sprawie zasady rozliczalności Przyjęta w dniu 13 lipca 2010 r. Grupa robocza została ustanowiona na mocy art. 29 dyrektywy Bardziej szczegółowo Założenia do projektu ustawy o zmianie ustawy o świadczeniu usług drogą elektroniczną
Projekt (wersja do rozpatrzenia przez Komitet ds. Europejskich) Założenia do projektu ustawy o zmianie ustawy o świadczeniu usług drogą elektroniczną 1.1. Aktualny stan stosunków społecznych w dziedzinie, Bardziej szczegółowo KLIENT DOMU MAKLERSKIEGO - PRAWA I OBOWIĄZKI
KLIENT DOMU MAKLERSKIEGO - PRAWA I OBOWIĄZKI www.kpwig.gov.pl KLIENT DOMU MAKLERSKIEGO PRAWA I OBOWIĄZKI KLIENT DOMU MAKLERSKIEGO - PRAWA I OBOWIĄZKI Stan prawny na dzień 31 marca 2006 roku. Maciej Kurzajewski Bardziej szczegółowo Uzasadnienie. Handel elektroniczny jest jedną z najdynamiczniej rozwijających się kategorii usług
Uzasadnienie Handel elektroniczny jest jedną z najdynamiczniej rozwijających się kategorii usług społeczeństwa informacyjnego. Dzięki swojej elastyczności i szerokiemu zasięgowi wpływa na wzrost gospodarczy Bardziej szczegółowo ROZPORZĄDZENIE (WE) NR 45/2001 PARLAMENTU EUROPEJSKIEGO I RADY. z dnia 18 grudnia 2000 r.
ROZPORZĄDZENIE (WE) NR 45/2001 PARLAMENTU EUROPEJSKIEGO I RADY z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o Bardziej szczegółowo USTAWA O KREDYCIE KONSUMENCKIM
Polskie ustawodawstwo kładzie szczególny nacisk na zapewnienie ochrony prawnej konsumentowi (osobie fizycznej) jako słabszemu podmiotowi na rynku. Głównym założeniem wprowadzanych regulacji jest stworzenie Bardziej szczegółowo LKR 4101-022-01/2014 P/14/004 WYSTĄPIENIE POKONTROLNE
LKR 4101-022-01/2014 P/14/004 WYSTĄPIENIE POKONTROLNE I. Dane identyfikacyjne kontroli Numer i tytuł kontroli Jednostka przeprowadzająca kontrolę P/14/004 Wdrażanie wybranych wymagań dotyczących systemów Bardziej szczegółowo REGULAMIN ŚWIADCZENIA USŁUGI PayU
REGULAMIN ŚWIADCZENIA USŁUGI PayU Art. 1 Postanowienia ogólne 1. Niniejszy Regulamin został sporządzony w oparciu o przepisy prawa obowiązującego na terytorium Rzeczpospolitej Polskiej i określa zasady Bardziej szczegółowo Zadanie finansowane jest przez Ministerstwo Gospodarki ze środków budżetu państwa.
1 Autorzy: Mateusz Staszek dr Andrzej Ogonowski Koncepcja publikacji: Paweł Chaber Wydawca: Polska Agencja Rozwoju Przedsiębiorczości (PARP) ul. Pańska 81/83 00-834 Warszawa www.parp.gov.pl Wydanie I Publikacja Bardziej szczegółowo Regulamin platformy Aleo
Regulamin platformy Aleo Niniejszy Regulamin platformy Aleo obowiązuje w zakresie użytkowania Platformy zdefiniowanej poniżej oraz reguluje stosunki prawne pomiędzy Państwem a ING Usługi dla Biznesu S.A. Bardziej szczegółowo 1. Definicje... 1. 2. Usługi... 3. 3. Rejestracja... 4. 4. Obowiązki Użytkownika Usług... 5 5. Zasady zawierania Transakcji... 6
REGULAMIN NuPlays Ostatnia aktualizacja: 24.12.2014 Niniejszy regulamin określa zasady korzystania z serwisu internetowego pod nazwą NuPlays prowadzonego w domenie nuplays.pl przez NuPlays S.A. z siedzibą Bardziej szczegółowo URZĄD OCHRONY KONKURENCJI I KONSUMENTÓW. Nieuczciwe praktyki rynkowe Przewodnik
URZĄD OCHRONY KONKURENCJI I KONSUMENTÓW Nieuczciwe praktyki rynkowe Przewodnik URZĄD OCHRONY KONKURENCJI I KONSUMENTÓW Nieuczciwe praktyki rynkowe Przewodnik WARSZAWA 2008 Urząd Ochrony Konkurencji i Konsumentów Bardziej szczegółowo Biuletyn partnerstwa publiczno-prywatnego
2013 Biuletyn partnerstwa publiczno-prywatnego 8 Biuletyn partnerstwa publiczno-prywatnego Polska Agencja Rozwoju Przedsiębiorczości Warszawa 2013 Publikacja została opracowana w ramach projektu systemowego Bardziej szczegółowo PORADNIK DLA UŻYTKOWNIKÓW PUBLICZNIE DOSTĘPNYCH USŁUG TELEKOMUNIKACYJNYCH
PORADNIK DLA UŻYTKOWNIKÓW PUBLICZNIE DOSTĘPNYCH USŁUG TELEKOMUNIKACYJNYCH Warszawa, 11 czerwca 2010 r. Wprowadzenie... 4 1. Umowa, Regulamin i Cennik świadczenia publicznie dostępnych usług telekomunikacyjnych... Bardziej szczegółowo System B2B wspierający działalność firmy windykacyjnej
Strona1 Kraków, dnia 23 maja 2013 roku ZAPYTANIE OFERTOWE PRZEDMIOT ZAMÓWIENIA: Zakup licencji oprogramowania, analizy, szkolenia oraz promocja dla potrzeb realizacji projektu p.n.: System B2B wspierający Bardziej szczegółowo ABC wybranych zagadnień z ustawy o ochronie danych osobowych
ABC wybranych zagadnień z ustawy o ochronie danych osobowych BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH ul. Stawki 2, 00-193 Warszawa tel.: (22) 860 70 81 fax: (22) 860 70 86 kancelaria@giodo.gov.pl Bardziej szczegółowo Abonent Użytkownik lub inny podmiot będący stroną umowy o Rejestrację i Utrzymanie Nazwy Domeny internetowej z właściwym Rejestrem Nazw Domen.
Regulamin Serwisu premium.pl I. Definicje Pojęcia użyte w niniejszym regulaminie oznaczają: premium.pl lub Operator lub Usługodawca premium.pl Spółka z ograniczoną odpowiedzialnością z siedzibą w Szczecinie, Bardziej szczegółowo MiFID BROSZURA INFORMACYJNA DLA KLIENTÓW RAIFFEISEN BANK POLSKA S.A.
MiFID BROSZURA INFORMACYJNA DLA KLIENTÓW RAIFFEISEN BANK POLSKA S.A. SPIS TREŚCI CZĘŚĆ 1. PRZEWODNIK PO MiFID 4 I. CO TO JEST MiFID? 4 II. PROCES ŚWIADCZENIA USŁUG INWESTYCYJNYCH 4 A. Przed świadczeniem Bardziej szczegółowo Raport z badania Federacji Konsumentów Pożyczki chwilówki na podstawie analizy wybranych wzorców umownych
Raport z badania Federacji Konsumentów Pożyczki chwilówki na podstawie analizy wybranych wzorców umownych Warszawa, 2013 r. Spis treści Wstęp Rozdział 1. Czym jest pożyczka typu chwilówka? Kto jej udziela? Bardziej szczegółowo INFORMATOR URZĘDU ZAMÓWIEŃ PUBLICZNYCH. Kwiecień 2011 r.
INFORMATOR URZĘDU ZAMÓWIEŃ PUBLICZNYCH Kwiecień 2011 r. Przy wykorzystaniu zamieszczonych w Informatorze UZP informacji poprzez przedruk całego artykułu bądź jego fragmentów należy: podać autora oraz źródło Bardziej szczegółowo DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY 2011/83/UE
L 304/64 Dziennik Urzędowy Unii Europejskiej 22.11.2011 DYREKTYWY DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY 2011/83/UE z dnia 25 października 2011 r. w sprawie praw konsumentów, zmieniająca dyrektywę Rady Bardziej szczegółowo SPECYFIKACJA ISTOTNYCH WARUNKÓW ZAMÓWIENIA (SIWZ)
SPECYFIKACJA ISTOTNYCH WARUNKÓW ZAMÓWIENIA (SIWZ) Zamawiający: INSTYTUT METEOROLOGII I GOSPODARKI WODNEJ PAŃSTWOWY INSTYTUT BADAWCZY ul. Podleśna 61 01-673 Warszawa Adres do korespondencji: ul. Podleśna Bardziej szczegółowo OGÓLNE WARUNKI SPRZEDAŻY PRODUKTÓW LINDAB SP. Z O.O. 1. Postanowienia ogólne. Zakres zastosowania
OGÓLNE WARUNKI SPRZEDAŻY PRODUKTÓW LINDAB SP. Z O.O. 1. Postanowienia ogólne. Zakres zastosowania 1. Niniejsze ogólne warunki sprzedaży, zwane dalej również Ogólnymi Warunkami Sprzedaży lub OWS, określają Bardziej szczegółowo Warunki Ogólne Świadczenia Usług
Warunki Ogólne Świadczenia Usług Informacje wymagane prawnie Platforma IT DEUS dostępna na stronie internetowej UseMyBench.com pod adresem URL www.usemybench.com, została stworzona przez firmę IT DEUS, Bardziej szczegółowo Regulamin Świadczenia Usług Multimedialnych. Rozdział I Przedmiot Regulaminu
Rozdział I Przedmiot Regulaminu Regulamin Świadczenia Usług Multimedialnych Regulamin Świadczenia Usług Multimedialnych określa ogólne warunki świadczenia przez zwanego dalej Dostawcą Usług z siedzibą Bardziej szczegółowo ISTOTNE POSTANOWIENIA UMOWY
ISTOTNE POSTANOWIENIA UMOWY które znajdą się w Umowie w sprawie zamówienia publicznego pn. Wykonanie i wdrożenie nowego portalu internetowego Banku Gospodarstwa Krajowego Umowa nr.. zawarta w Warszawie. Bardziej szczegółowo przedsiębiorca a konsument
przedsiębiorca a konsument Warszawa, czerwiec 2012 Spis treści By przedsiębiorca był syty i konsument cały... 3 Interes konsumenta nie zawsze pod szczególną ochroną... 4 Klauzule abuzywne w cyklu życia Bardziej szczegółowo 2016 © DocPlayer.pl Polityka prywatności | Warunki świadczenia usług | Zwrotny adres