REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

dr Dominik Lubasz
Radca prawny i wspólnik zarządzający w Lubasz i Wspólnicy – Kancelarii Radców Prawnych sp.k.
Lubasz i Wspólnicy
Kancelaria Radców Prawnych
ochrona danych osobowych
ochrona danych osobowych

REKLAMA

REKLAMA

Firmy i inni uczestnicy obrotu prawnego pozyskują olbrzymie ilości danych, materiałów lub informacji pochodzących z różnych źródeł. Nie zawsze wraz z gromadzeniem danych związana jest świadomość, iż podlegają one ochronie prawnej, zarówno na etapie ich pozyskiwania, przechowywania, czy też dalszego wykorzystania.

Niniejszy artykuł poświęcony jest problematyce obowiązków prawnych podmiotów gromadzących dane osobowe w systemach informatycznych.

REKLAMA

Czym są dane osobowe

Dane osobowe podlegają ochronie przede wszystkim na podstawie:

-  ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. Nr 101, poz. 926),

Dalszy ciąg materiału pod wideo

- ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2002 r. Nr 144, poz. 1204 ze zm.),

- rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024),

- rozporządzenia z 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536).

Czym są jednak dane osobowe i jak ustalić, czy informacje które są gromadzone podlegają regulacji ww. aktów prawnych?

Danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą zaś możliwą do zidentyfikowania jest taka, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cech fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Ochrona danych osobowych 2013: firmom będzie trudniej.

Określonej informacji nie uważa się jednak za umożliwiającej określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Tak szerokie ujęcie definicji baz danych powoduje, iż większość informacji gromadzonych w systemach dotyczących np. kontrahentów, w tym ich dane kontaktowe, choćby pochodzące z jawnych źródeł, jak CEiDG, listy mailingowe, numery telefonów identyfikowalnych osób zbierane w trakcie akcji marketingowych lub konkursów itd. stanowić będą dane osobowe przetwarzane przez administratorów danych.

Ustawa definiuje jako administratora danych osobowych organ, jednostkę organizacyjną, organy państwowe, organy samorządu terytorialnego, decydujące o celach i środkach przetwarzania danych osobowych.

Dla wykonywania części zadań administrator danych osobowych uprawniony jest do wyznaczania ABI (administratora bezpieczeństwa informacji) tj. osobę, nadzorującą przestrzeganie zasad ochrony danych osobowych i ASI (administratora systemu informatycznego) tj. zespół informatyków, odpowiedzialny za prawidłowe funkcjonowanie systemów informatycznych, sprzętu, oprogramowania i jego konserwację.

Obowiązki administratora danych osobowych

Zadaniem administratora danych osobowych jest przede wszystkim:

- zapewnienie przetwarzania danych osobowych zgodnie z prawem, np. po uzyskaniu zgody osoby której dotyczą, zapewnienie zbierania danych w celach dopuszczalnych przez prawo, np. w celu wykonania umowy, 

- zapewnienie poprawności i odpowiedniości danych osobowych, tj. nie są pozyskane w zbyt szerokim zakresie dla celów dopuszczalnych przez prawo, a także

- przechowywanie w sposób umożliwiający identyfikację i  nie dłużej niż jest to konieczne dla realizacji dopuszczalnych przez prawo celów.

Ponadto administrator danych osobowych zobowiązany jest do zgłoszenia zbiorów danych do GIODO, z pewnymi wynikającym z ustawy wyjątkami. Ostatecznie to administratora danych osobowych obciążają obowiązki informacyjne względem osób, których dane są przetwarzane, i co najważniejsze, odpowiednie zabezpieczenie techniczne i organizacyjne danych osobowych.

Kiedy można przetwarzać dane osobowe

W pierwszej kolejności rozstrzygnąć należy, czym jest przetwarzanie danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych rozumiane jest jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Wynika z tego, że każda niemal operacja dotycząca danych osobowych objęta jest przepisami ustawy, a zatem i obowiązkami nią nakładanymi.

Co do zasady dane osobowe można przetwarzać gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę,
  2. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,  
  3. jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 
  4. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,  
  5. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. 

Inne reguły dotyczą wrażliwych danych osobowych tj. danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań i innych orzeczeń.

W przypadku bowiem takich danych możliwe jest ich przetwarzania m.in. w sytuacji gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie;
  2.  przepis innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą;
  3.  przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub osób niepełnoletnich / ubezwłasnowolnionych;
  4.  jest to niezbędne do wykonania statutowych zadań kościołów, stowarzyszeń, fundacji, instytucji politycznych, naukowych, religijnych, związkowych;
  5. są one niezbędne do dochodzenia praw przed sądem
  6.  dotyczą zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest ustawowy
  7.  dotyczą ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów, zarządzania udzielaniem usług medycznych
  8.  dotyczą danych upublicznionych
  9.  umożliwiają prowadzenie badań naukowych lub uzyskanie dyplomu lub stopnia naukowego
  10.  jest prowadzone w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

W zakresie ostatniego z obowiązków, zarówno ustawa ochronie danych osobowych, jak i rozporządzenie z 2004 roku zawiera szczegółową regulację, w tym wskazuje na konieczność przygotowania polityki bezpieczeństwa, instrukcji zarządzania systemem informatycznym, przeszkolenia pracowników, udzielenia odpowiednich upoważnień, wprowadzenia ewidencji, a także wdrożenie technicznych rozwiązań zabezpieczających dane osobowe.


Obowiązki informacyjne

Ustawa wyraźnie odróżnia sytuację prawną administratora danych osobowych w zakresie obowiązków informacyjnych od tego czy pozyskuje on dane osobowe bezpośrednio od osoby, której one dotyczą czy też pośrednio.

O zgodę na przetwarzanie danych reklamującego trzeba się zapytać.

W tym pierwszym przypadku administrator przy pozyskiwaniu danych zobowiązany jest do poinformowania o:

  1. adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,  
  2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,  
  3. prawie dostępu do treści swoich danych oraz ich poprawiania, 
  4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

W drugim ze wskazanych przypadków bezpośrednio po utrwaleniu danych osobowych obowiązki informacyjne obejmują:

  1. adres siedziby i pełną nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejsce zamieszkania oraz imię i nazwisko,  
  2. cel i zakresie zbierania danych, a w szczególności informację o odbiorcach lub kategoriach odbiorców danych,  
  3. źródło danych,  
  4. prawo dostępu do treści swoich danych oraz ich poprawiania, 
  5. uprawnienia do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację,  oraz do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych

Zabezpieczenie danych osobowych

Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Ochrona danych osobowych w serwisach społecznościowych.

Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz ww. środki.  W jej skład zgodnie z ww. rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wchodzą polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Polityka bezpieczeństwa zgodnie z ww. rozporządzeniem powinna zawierać w szczególności:

  1. wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; 
  2. wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 
  3. opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; 
  4. sposób przepływu danych pomiędzy poszczególnymi systemami; 
  5. określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. 

W instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych natomiast powinny znaleźć się informacje na temat:

  1. procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; 
  2. stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; 
  3. procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
  4. procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; 
  5. sposób, miejsce i okres przechowywania: 

- elektronicznych nośników informacji zawierających dane osobowe, 

- kopii zapasowych, 

  1. sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania,
  2. sposób realizacji wymogów, dotyczących informacji odbiorcach danych, dacie i zakresie udostępnienia;
  3. procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. 

Jak zmieniły się zasady udostępniania danych osobowych?

Równocześnie elementem systemu zabezpieczenia danych osobowych jest wymóg by do przetwarzania danych były dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.  

Administrator danych udziela w tym celu stosownych upoważnień i prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:  

  1. imię i nazwisko osoby upoważnionej,  
  2. datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,  
  3. identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.  

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

Podsumowanie

Z praktyki kancelarii wynika, iż świadomość przedsiębiorców w zakresie nałożonych na nich obowiązków dotyczących wdrożenia systemów ochrony danych osobowych, jest wciąż na niskim poziomie.

Niezbędne jest zatem podnoszenie tejże świadomości, informowanie uczestników obrotu, zwłaszcza, iż sankcje za przetwarzanie danych osobowych mogą okazać się dotkliwe, przede wszystkim biorąc pod uwagę podjęte na płaszczyźnie unijnej prace m.in. nad modyfikacją odpowiedzialności, w tym poprzez wprowadzenie sankcji administracyjnej w wysokości 2 % obrotu przedsiębiorcy naruszającego.

Autopromocja

REKLAMA

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Troska i zrozumienie w kontakcie z pacjentami – klucz do profesjonalnej opieki zdrowotnej
    Koszty zatrudnienia to główne wyzwanie dla firm w 2024 roku. Jak więc pozyskać specjalistów i jednocześnie zadbać o cash flow?

    W pierwszym półroczu 2024 roku wiele firm planuje rozbudowanie swoich zespołów – potwierdzają to niezależne badania ManpowerGroup czy Konfederacji Lewiatan. Jednocześnie pracodawcy mówią wprost - rosnące koszty zatrudnienia to główne wyzwanie w 2024 roku. Jak więc pozyskać specjalistów i jednocześnie zadbać o cash flow?

    Nauka języka obcego poprawi zdolność koncentracji. Ale nie tylko!

    Ostatnia dekada przyniosła obniżenie średniego czasu skupienia u człowieka aż o 28 sekund. Zdolność do koncentracji spada i to wina głównie social mediów. Czy da się to odwrócić? 

    Nowe przepisy: Po świętach rząd zajmie się cenami energii. Będzie bon energetyczny

    Minister klimatu i środowiska Paulina Hennig-Kloska zapowiedziała, że po świętach pakiet ustaw dotyczących cen energii trafi pod obrady rządu. Dodała też, że proces legislacyjny musi zakończyć się w pierwszej połowie maja.

    REKLAMA

    Wielkanoc 2024. Polacy szykują się na święta przed telewizorem?

    Jaka będzie tegoroczna Wielkanoc? Z badania online przeprowadzonego przez firmę Komputronik wynika, że leniwa. Polacy są zmęczeni i marzą o odpoczynku. 

    Biznes kontra uczelnie – rodzaj współpracy, korzyści

    Czy doktorat dla osób ze świata biznesu to synonim synergii? Wielu przedsiębiorców może zadawać sobie to pytanie podczas rozważań nad podjęciem studiów III stopnia. Na ile świat biznesu przenika się ze światem naukowym i gdzie należy szukać wzajemnych korzyści?

    Jak cyberprzestępcy wykorzystują sztuczną inteligencję?

    Hakerzy polubili sztuczną inteligencję. Od uruchomienia ChataGPT liczba złośliwych wiadomości pishingowych wzrosła o 1265%! Warto wiedzieć, jak cyberprzestępcy wykorzystują rozwiązania oparte na AI w praktyce.

    By utrzymać klientów tradycyjne sklepy muszą stosować jeszcze nowocześniejsze techniki marketingowe niż e-commerce

    Konsumenci wciąż wolą kupować w sklepach stacjonarnych produkty spożywcze, kosmetyki czy chemię gospodarczą, bo chcą je mieć od razu, bez czekania na kuriera. Jednocześnie jednak oczekują, że tradycyjne markety zapewnią im taki sam komfort kupowania jak sklepy internetowe.

    REKLAMA

    Transakcje bezgotówkowe w Polsce rozwijają się bardzo szybko. Gotówka jest wykorzystywana tylko do 35 proc. transakcji

    W Polsce około 2/3 transakcji jest dokonywanych płatnościami cyfrowymi. Pod tym względem nasz kraj jest w światowej czołówce - gotówka jest wykorzystywana tylko do ok. 35 proc. transakcji.

    Czekoladowa inflacja (chocoflation) przed Wielkanocą? Trzeci rok z rzędu produkcja kakao jest mniejsza niż popyt

    Ceny kakao gwałtownie rosną, ponieważ 2024 r. to trzeci z rzędu rok, gdy podaż nie jest w stanie zaspokoić popytu. Z analiz Allianz Trade wynika, że cenę za to będą płacić konsumenci.

    REKLAMA