| IFK | IRB | INFORLEX | GAZETA PRAWNA | INFORORGANIZER | WIDEOAKADEMIA | PRACA W INFOR | SKLEP
reklama
Jesteś tutaj: STRONA GŁÓWNA > Moja firma > Biznes > Firma > Mała firma > ABC małej firmy > Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

Firmy i inni uczestnicy obrotu prawnego pozyskują olbrzymie ilości danych, materiałów lub informacji pochodzących z różnych źródeł. Nie zawsze wraz z gromadzeniem danych związana jest świadomość, iż podlegają one ochronie prawnej, zarówno na etapie ich pozyskiwania, przechowywania, czy też dalszego wykorzystania.

Niniejszy artykuł poświęcony jest problematyce obowiązków prawnych podmiotów gromadzących dane osobowe w systemach informatycznych.

Czym są dane osobowe

Dane osobowe podlegają ochronie przede wszystkim na podstawie:

-  ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. Nr 101, poz. 926),

- ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2002 r. Nr 144, poz. 1204 ze zm.),

- rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024),

- rozporządzenia z 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536).

Czym są jednak dane osobowe i jak ustalić, czy informacje które są gromadzone podlegają regulacji ww. aktów prawnych?

Danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą zaś możliwą do zidentyfikowania jest taka, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cech fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Ochrona danych osobowych 2013: firmom będzie trudniej.

Określonej informacji nie uważa się jednak za umożliwiającej określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Tak szerokie ujęcie definicji baz danych powoduje, iż większość informacji gromadzonych w systemach dotyczących np. kontrahentów, w tym ich dane kontaktowe, choćby pochodzące z jawnych źródeł, jak CEiDG, listy mailingowe, numery telefonów identyfikowalnych osób zbierane w trakcie akcji marketingowych lub konkursów itd. stanowić będą dane osobowe przetwarzane przez administratorów danych.

Ustawa definiuje jako administratora danych osobowych organ, jednostkę organizacyjną, organy państwowe, organy samorządu terytorialnego, decydujące o celach i środkach przetwarzania danych osobowych.

Dla wykonywania części zadań administrator danych osobowych uprawniony jest do wyznaczania ABI (administratora bezpieczeństwa informacji) tj. osobę, nadzorującą przestrzeganie zasad ochrony danych osobowych i ASI (administratora systemu informatycznego) tj. zespół informatyków, odpowiedzialny za prawidłowe funkcjonowanie systemów informatycznych, sprzętu, oprogramowania i jego konserwację.

Obowiązki administratora danych osobowych

Zadaniem administratora danych osobowych jest przede wszystkim:

- zapewnienie przetwarzania danych osobowych zgodnie z prawem, np. po uzyskaniu zgody osoby której dotyczą, zapewnienie zbierania danych w celach dopuszczalnych przez prawo, np. w celu wykonania umowy, 

- zapewnienie poprawności i odpowiedniości danych osobowych, tj. nie są pozyskane w zbyt szerokim zakresie dla celów dopuszczalnych przez prawo, a także

- przechowywanie w sposób umożliwiający identyfikację i  nie dłużej niż jest to konieczne dla realizacji dopuszczalnych przez prawo celów.

Ponadto administrator danych osobowych zobowiązany jest do zgłoszenia zbiorów danych do GIODO, z pewnymi wynikającym z ustawy wyjątkami. Ostatecznie to administratora danych osobowych obciążają obowiązki informacyjne względem osób, których dane są przetwarzane, i co najważniejsze, odpowiednie zabezpieczenie techniczne i organizacyjne danych osobowych.

Kiedy można przetwarzać dane osobowe

W pierwszej kolejności rozstrzygnąć należy, czym jest przetwarzanie danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych rozumiane jest jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Wynika z tego, że każda niemal operacja dotycząca danych osobowych objęta jest przepisami ustawy, a zatem i obowiązkami nią nakładanymi.

Co do zasady dane osobowe można przetwarzać gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę,
  2. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,  
  3. jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 
  4. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,  
  5. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. 

Inne reguły dotyczą wrażliwych danych osobowych tj. danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań i innych orzeczeń.

W przypadku bowiem takich danych możliwe jest ich przetwarzania m.in. w sytuacji gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie;
  2.  przepis innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą;
  3.  przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub osób niepełnoletnich / ubezwłasnowolnionych;
  4.  jest to niezbędne do wykonania statutowych zadań kościołów, stowarzyszeń, fundacji, instytucji politycznych, naukowych, religijnych, związkowych;
  5. są one niezbędne do dochodzenia praw przed sądem
  6.  dotyczą zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest ustawowy
  7.  dotyczą ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów, zarządzania udzielaniem usług medycznych
  8.  dotyczą danych upublicznionych
  9.  umożliwiają prowadzenie badań naukowych lub uzyskanie dyplomu lub stopnia naukowego
  10.  jest prowadzone w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

W zakresie ostatniego z obowiązków, zarówno ustawa ochronie danych osobowych, jak i rozporządzenie z 2004 roku zawiera szczegółową regulację, w tym wskazuje na konieczność przygotowania polityki bezpieczeństwa, instrukcji zarządzania systemem informatycznym, przeszkolenia pracowników, udzielenia odpowiednich upoważnień, wprowadzenia ewidencji, a także wdrożenie technicznych rozwiązań zabezpieczających dane osobowe.

Narzędzia przedsiębiorcy

POLECANE

Dotacje dla firm

reklama

Ostatnio na forum

Fundusze unijne

Pomysł na biznes

Eksperci portalu infor.pl

Marzena Dobrowolska

Adwokat

Zostań ekspertem portalu Infor.pl »