Source: http://zadbajobezpieczenstwo.pl/ochrona-danych-osobowych-poradnik/
Timestamp: 2018-02-25 21:22:41
Legal References Found: art. 27
 art. 7
 art. 7
 art. 36
 art. 40
 art. 43
 art. 43

Document Content:
Ochrona Danych Osobowych Poradnik - www.zadbajobezpieczenstwo.pl
Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (tekst jedn. Dz.U. z 2002 r. nr 101, poz. 926, z późn. zm.) skonkretyzowała konstytucyjnie zagwarantowane każdemu prawo do decydowania o tym, komu, w jakim zakresie i w jakim celu przekazywane są jego dane osobowe.
Ustawa wskazuje warunki przetwarzania danych, czyli co musi czynić Firma, Instytucja czy Organizacja aby można było stwierdzić, że legalnie, zgodnie z prawem, przetwarza dane osobowe. Ponadto określa prawa osób, których dane są już w posiadaniu tych podmiotów.
Ustawa o O.D.O. w założeniu ma zapobiegać sytuacjom nadużywania danych osób fizycznych, zwłaszcza wbrew ich woli, oraz zmusza tych, którzy te dane posiadają, do dbania o ich bezpieczeństwo.
Danymi osobowymi są wszelkie informacje dotyczące konkretnej osoby fizycznej, za pomocą których bez większego wysiłku można tę osobę zidentyfikować, chociaż nie jest ona wyraźnie wskazana.
Do danych osobowych zalicza się nie tylko imię, nazwisko i adres osoby, ale również:
- numer paszportu, legitymacji i innych dokumentów,
- dane o cechach fizjologicznych (np. linie papilarne, wzór siatkówki, DNA, grupa krwi, zdjęcia rentgenowskie),
- dane o cechach umysłowych, ekonomicznych, kulturowych i społecznych (fotografie, filmy, notatki, komunikaty, wyciągi, komunikaty w formie pisemnej bądź elektronicznej),
- adres IP identyfikujący komputer odbiorcy (również dynamiczny),
- adres e-mail (ale nie rambo2000@op.pl tylko zawierający imię i nazwisko osoby, np jan.kowalski@gmail.com).
Tak więc pojedynczy numer PESEL stanowi dane osobowe ale informacje o dużym stopniu ogólności, np. nazwa ulicy i numer domu, w którym mieszka wiele osób, czy wysokość wynagrodzenia - już nie. Natomiast informacja, że Jan Kowalski mieszka na ulicy Malinowej 7 - to już w świetle ustawy są dane osobowe, które podlegają ochronie.
Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymaga to nadmiernych nakładów kosztów, czasu lub działań.
Dane "wrażliwe" - szczególnie chronione
Dane szczególnie chronione wyliczone są w art. 27 ust. 1 ustawy. Są to informacje o
- pochodzeniu rasowym lub etnicznym,
- poglądach politycznych, religijnych, filozoficznych, wyznaniu,
- przynależności do partii lub związku,
- skazaniach, orzeczeniach o ukaraniu, mandatach i innych orzeczeniach wydanych w postępowaniu przed sądem lub urzędem.
Na administratorów tych danych ustawa nakłada bardziej rygorystyczne obowiązki niż na administratorów danych „zwykłych”.
W przypadku rejestracji zbiorów danych „zwykłych” w GIODO, możemy wykonywać na tych danych działania, na przykład zbierać je już od momentu zgłoszenia zbioru do rejestru (zanim GIODO wyrazi swoją decyzję w sprawie). Zgłaszając informację o zbiorze danych „wrażliwych”, działania w tym zakresie możemy rozpocząć dopiero po zarejestrowaniu informacji o takim zbiorze.
Przetwarzaniem danych osobowych jest wykonywanie na nich jakichkolwiek operacji. Przetwarzaniem jest zatem już samo przechowywanie danych, nawet jeśli podmiot faktycznie z nich nie korzysta. W pojęciu przetwarzania mieści się także ich udostępnianie, zmienianie, modyfikowanie, przekazywanie, zbieranie, utrwalanie, opracowywanie.
Kiedy można przetwarzać dane „wrażliwe”?
Dane szczególnie chronione, wrażliwe można przetwarzać, jeśli:
Zgodnie z definicją sformułowaną w art. 7 pkt 1 ustawy o ochronie danych osobowych, zbiorem danych jest taki zestaw danych o charakterze osobowym, w którym dane dostępne są według określonych kryteriów, „niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie”.
Wszelkie materiały gromadzone w formie akt, w tym sądowe, prokuratorskie, policyjne i inne zawierające dane osobowe, są zbiorami danych osobowych. Typowym zbiorem danych jest zestaw informacji o pracownikach, zgromadzonych w związku z ich zatrudnieniem i świadczeniem przez nich pracy, wykorzystywany przez różne komórki organizacyjne pracodawcy, zarówno w systemach informatycznych, jak i w formie papierowej.
Ustawa chroni dane osobowe, jeśli są one uporządkowane w zestawach, aktach, księgach, skorowidzach, rejestrach i innych zbiorach ewidencyjnych. Ustawę stosuje się również do danych osobowych przetwarzanych w systemach informatycznych, nawet jeśli są to pojedyncze dane; np. oświadczenie do celów podatkowych jednej osoby. Wówczas traktujemy te dane osobowe tej jednej osoby, tak, jakby były zbiorem danych, i stosujemy do nich wszelkie zapisy ustawy, czyli zabezpieczamy je, chronimy, zgłaszamy informację do GIODO (jeżeli dotyczy nas ten obowiązek).
Jeżeli posiadamy zbiory danych sporządzonych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie (bez zbędnej zwłoki) usuwanych - albo poddanych anonimizacji - zastosowanie mają jedynie przepisy dotyczące zabezpieczenia danych.
W myśl art. 7 pkt 5 ustawy o ochronie danych osobowych, przez zgodę osoby, której dane dotyczą, rozumie się oświadczenie woli, którego treścią jest zgoda składającego oświadczenie na przetwarzanie jego danych osobowych. Zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.
W przypadku zgody na wykorzystywanie danych osobowych podlegających szczególnej ochronie – zgoda musi być wyrażona na piśmie.
Każda osoba ma prawo do kontroli swoich danych osobowych. Prawo to może być egzekwowane poprzez zażądanie udzielania informacji przez administratora danych o przetwarzaniu danych.
Czy administrator może nie udzielić informacji? W określonych sytuacjach - tak:
Administrator danych (AD)
Administrator to podmiot, który decyduje o celach i sposobach przetwarzania danych. Administratorem może być osoba prawna lub fizyczna (firma, stowarzyszenie, fundacja, instytucja, Jan Kowalski itp.), jeżeli przetwarza dane osobowe w związku z prowadzoną działalnością zarobkową, zawodową lub statutową.
Wyznaczenie administratora bezpieczeństwa informacji jest jednym z obowiązków administratora danych, wynikającym z art. 36 ust. 3 ustawy, służącym właściwemu zabezpieczeniu danych.
Administrator bezpieczeństwa informacji nadzoruje przestrzeganie zasad ochrony danych, określonych przez administratora, stosując odpowiednie do zagrożeń i kategorii danych objętych ochroną środki techniczne i organizacyjne, które mają zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, przywłaszczeniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Administrator danych sam może pełnić funkcję administratora bezpieczeństwa informacji.
Zadania Administratora bezpieczeństwa informacji (ABI):
Co powinno zawierać sprawozdanie ABI dla Administratora danych (AD)?
stwierdzone przypadki naruszenia przepisów o ochronie danych osobowych w zakresie objętym sprawdzeniem wraz z planowanymi lub podjętymi działaniami przywracającyi stan zgodny z prawem;
UWAGA! Przedstawienie przez ABI sprawozdania nie wyłącza prawa GIODO do przeprowadzenia kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych.
Zgłoszenie powołania Administratora Bezpieczeństwa Informacji (ABI) do GIODO
Zgłoszenie (w terminie 30 dni od dnia powołania) powinno zawierać:
a) spełnianiu przez ABI wymogów (pełna zdolność do czynności prawnych oraz korzystanie z pełni praw publicznych; posiadanie odpowiedniej wiedzy w zakresie ochrony danych osobowych; niekaralność za umyślne przestępstwo);
b) podleganiu ABI bezpośrednio kierownikowi jednostki organizacyjnej (AD).
Na żądanie AD lub ABI GIODO wydaje zaświadczenie o zarejestrowaniu ABI. Zgłaszanie zmian dotyczących ABI odbywa się zgodnie z procedurą zgłoszenia powołania ABI do rejestracji GIODO w terminie 14 dni od dnia zmiany.
Zgłoszenie odwołania Administratora Bezpieczeństwa Informacji (ABI)
Zgłoszenie odwołania ABI do GIODO (w terminie 30 dni od dnia jego odwołania) powinno zawierać:>
1) oznaczenie AD i adres jego siedziby, w tym numer identyfikacyjny rejestru podmiotów gospodarki narodowej (REGON), jeżeli został mu nadany;>
Wzór zgłoszenia powołania i odwołania ABI określa rozporządzenie Ministra Administracji i Cyfryzacji z dnia 10.12.2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz. U. z 2014 r., poz. 1934)
Na administratorze danych spoczywa wynikający z art. 40 ustawy obowiązek zgłoszenia zbioru danych osobowych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych. Wyjątki od tej zasady wyliczone zostały w art. 43 ust. 1 ustawy. Każdy administrator przed zgłoszeniem zbioru powinien sprawdzić, czy prowadzony przez niego zbiór nie podlega, w myśl tych przepisów, zwolnieniu z obowiązku zgłoszenia do rejestracji. Zwolnienie z tego obowiązku nie oznacza zwolnienia z pozostałych obowiązków wynikających z przepisów o ochronie danych osobowych.
Sposób dokonywania zgłoszenia
Zgłoszenia zbioru danych dokonuje się przez złożenie wypełnionego formularza, którego wzór opublikowany został w rozporządzeniu wykonawczym do ustawy. Formularz jest dostępny na stronie internetowej www.giodo.gov.pl.
Zgłoszeniu podlega również każda zmiana informacji wcześniej zgłoszonych. Jeśli zatem zmieniają się warunki i zasady prowadzenia zbioru, to taką zmianę należy zgłosić Generalnemu Inspektorowi Ochrony Danych Osobowych.
Jeśli strona działa przez pełnomocnika, do formularza zgłoszenia należy załączyć prawidłowo udzielone pełnomocnictwo. Do przedstawienia innych dokumentów, które mogą mieć znaczenie w sprawie (odpis z KRS, polityka bezpieczeństwa, instrukcja zarządzania systemem informatycznym), strona może zostać wezwana w toku postępowania administracyjnego, prowadzonego w celu rejestracji zbioru przez GIODO.
Zgłoszenie zbioru danych do rejestracji może być dokonane poprzez przesłanie formularza zgłoszenia za pośrednictwem poczty, osobiście, jak również przy wykorzystaniu elektronicznej platformy komunikacji z Generalnym Inspektorem: e-giodo, dostępnej ze strony internetowej www.giodo.gov.pl.
System e-giodo umożliwia zgłaszanie do rejestracji zbiorów danych i ich aktualizację poprzez internet. Formularz zgłoszenia zbioru danych jest wówczas wypełniany przy użyciu zainstalowanego na stronie internetowej www.giodo.gov.pl programu, który – poprzez system podpowiedzi i komunikatów o popełnionych błędach – minimalizuje możliwość niewłaściwego wypełnienia zgłoszenia przez wnioskodawcę. Po wypełnieniu formularza istnieje możliwość wysłania zgłoszenia drogą elektroniczną. Dotyczy to jednak tylko podmiotów dysponujących podpisem elektronicznym. Tak wypełniony formularz można również wydrukować i przesłać drogą tradycyjną.
Administrator danych „zwykłych” podlegających rejestracji może rozpocząć ich przetwarzanie od momentu zgłoszenia zbioru GIODO. Zaświadczenie o zarejestrowaniu zbioru jest wówczas wydawane na wniosek administratora danych.
Gromadzenie danych podlegających szczególnej ochronie administrator może rozpocząć dopiero po zarejestrowaniu zbioru. W tym przypadku zaświadczenie wydawane jest obligatoryjnie, przez Generalnego Inspektora Ochrony Danych Osobowych, niezwłocznie po dokonaniu rejestracji zbioru danych.
Przykłady zwolnienia z obowiązku zgłoszenia danych do rejestracji:
rejestracja danych pracowników i kandydatów do pracy. Zwolnienie z obowiązku rejestracji, na podstawie art. 43 ust. 1 pkt 4 ustawy, dotyczy zbiorów danych osobowych przetwarzanych w związku z zatrudnieniem u administratora danych (tj. zbiorów aktualnych i byłych pracowników, a także kandydatów do pracy) oraz świadczeniem mu usług na podstawie umów cywilnoprawnych (np. na podstawie umowy zlecenia, umowy o dzieło). Takich zbiorów nie należy zgłaszać do rejestracji.
rejestracja zbiorów wykorzystywanych do celów utrzymywania bieżących kontaktów. Podstawą zwolnienia z obowiązku zgłoszenia zbioru do rejestracji może być powszechna dostępność zawartych w nim danych (art. 43 ust. 1 pkt 9 ustawy) lub ich przetwarzanie w zakresie drobnych, bieżących spraw życia codziennego (art. 43 ust. 1 pkt 11). Przetwarzanie danych w celu utrzymywania kontaktu z osobą reprezentującą określony podmiot oraz w zakresie niezbędnym do realizacji tego celu służy usprawnieniu działalności administratora danych. Zatem dane zawarte w tego typu zbiorze traktować można jako przetwarzane w zakresie drobnych bieżących spraw życia codziennego.
Oprac. SC na podst. informacji GIODO
Ustawa o ochronie danych osobowych Audyt: Ochrona Danych Osobowych – czego się spodziewać?