Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

Niniejszy artykuł poświęcony jest problematyce obowiązków prawnych podmiotów gromadzących dane osobowe w systemach informatycznych.

Czym są dane osobowe

Dane osobowe podlegają ochronie przede wszystkim na podstawie:

-  ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. Nr 101, poz. 926),

- ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2002 r. Nr 144, poz. 1204 ze zm.),

- rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024),

- rozporządzenia z 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536).

Czym są jednak dane osobowe i jak ustalić, czy informacje które są gromadzone podlegają regulacji ww. aktów prawnych?

Danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą zaś możliwą do zidentyfikowania jest taka, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cech fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Ochrona danych osobowych 2013: firmom będzie trudniej.

Określonej informacji nie uważa się jednak za umożliwiającej określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Tak szerokie ujęcie definicji baz danych powoduje, iż większość informacji gromadzonych w systemach dotyczących np. kontrahentów, w tym ich dane kontaktowe, choćby pochodzące z jawnych źródeł, jak CEiDG, listy mailingowe, numery telefonów identyfikowalnych osób zbierane w trakcie akcji marketingowych lub konkursów itd. stanowić będą dane osobowe przetwarzane przez administratorów danych.

Ustawa definiuje jako administratora danych osobowych organ, jednostkę organizacyjną, organy państwowe, organy samorządu terytorialnego, decydujące o celach i środkach przetwarzania danych osobowych.

Dla wykonywania części zadań administrator danych osobowych uprawniony jest do wyznaczania ABI (administratora bezpieczeństwa informacji) tj. osobę, nadzorującą przestrzeganie zasad ochrony danych osobowych i ASI (administratora systemu informatycznego) tj. zespół informatyków, odpowiedzialny za prawidłowe funkcjonowanie systemów informatycznych, sprzętu, oprogramowania i jego konserwację.

Obowiązki administratora danych osobowych

Zadaniem administratora danych osobowych jest przede wszystkim:

- zapewnienie przetwarzania danych osobowych zgodnie z prawem, np. po uzyskaniu zgody osoby której dotyczą, zapewnienie zbierania danych w celach dopuszczalnych przez prawo, np. w celu wykonania umowy, 

- zapewnienie poprawności i odpowiedniości danych osobowych, tj. nie są pozyskane w zbyt szerokim zakresie dla celów dopuszczalnych przez prawo, a także

- przechowywanie w sposób umożliwiający identyfikację i  nie dłużej niż jest to konieczne dla realizacji dopuszczalnych przez prawo celów.

Ponadto administrator danych osobowych zobowiązany jest do zgłoszenia zbiorów danych do GIODO, z pewnymi wynikającym z ustawy wyjątkami. Ostatecznie to administratora danych osobowych obciążają obowiązki informacyjne względem osób, których dane są przetwarzane, i co najważniejsze, odpowiednie zabezpieczenie techniczne i organizacyjne danych osobowych.

Kiedy można przetwarzać dane osobowe

W pierwszej kolejności rozstrzygnąć należy, czym jest przetwarzanie danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych rozumiane jest jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Wynika z tego, że każda niemal operacja dotycząca danych osobowych objęta jest przepisami ustawy, a zatem i obowiązkami nią nakładanymi.

Co do zasady dane osobowe można przetwarzać gdy:

1. osoba, której dane dotyczą, wyrazi na to zgodę,
2. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,  
3. jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 
4. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,  
5. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. 

Inne reguły dotyczą wrażliwych danych osobowych tj. danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań i innych orzeczeń.

W przypadku bowiem takich danych możliwe jest ich przetwarzania m.in. w sytuacji gdy:

1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie;
2.  przepis innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą;
3.  przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub osób niepełnoletnich / ubezwłasnowolnionych;
4.  jest to niezbędne do wykonania statutowych zadań kościołów, stowarzyszeń, fundacji, instytucji politycznych, naukowych, religijnych, związkowych;
5. są one niezbędne do dochodzenia praw przed sądem
6.  dotyczą zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest ustawowy
7.  dotyczą ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów, zarządzania udzielaniem usług medycznych
8.  dotyczą danych upublicznionych
9.  umożliwiają prowadzenie badań naukowych lub uzyskanie dyplomu lub stopnia naukowego
10.  jest prowadzone w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

W zakresie ostatniego z obowiązków, zarówno ustawa ochronie danych osobowych, jak i rozporządzenie z 2004 roku zawiera szczegółową regulację, w tym wskazuje na konieczność przygotowania polityki bezpieczeństwa, instrukcji zarządzania systemem informatycznym, przeszkolenia pracowników, udzielenia odpowiednich upoważnień, wprowadzenia ewidencji, a także wdrożenie technicznych rozwiązań zabezpieczających dane osobowe.

Obowiązki informacyjne

Ustawa wyraźnie odróżnia sytuację prawną administratora danych osobowych w zakresie obowiązków informacyjnych od tego czy pozyskuje on dane osobowe bezpośrednio od osoby, której one dotyczą czy też pośrednio.

O zgodę na przetwarzanie danych reklamującego trzeba się zapytać.

W tym pierwszym przypadku administrator przy pozyskiwaniu danych zobowiązany jest do poinformowania o:

1. adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,  
2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,  
3. prawie dostępu do treści swoich danych oraz ich poprawiania, 
4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

W drugim ze wskazanych przypadków bezpośrednio po utrwaleniu danych osobowych obowiązki informacyjne obejmują:

1. adres siedziby i pełną nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejsce zamieszkania oraz imię i nazwisko,  
2. cel i zakresie zbierania danych, a w szczególności informację o odbiorcach lub kategoriach odbiorców danych,  
3. źródło danych,  
4. prawo dostępu do treści swoich danych oraz ich poprawiania, 
5. uprawnienia do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację,  oraz do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych, 

Zabezpieczenie danych osobowych

Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Ochrona danych osobowych w serwisach społecznościowych.

Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz ww. środki.  W jej skład zgodnie z ww. rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wchodzą polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Polityka bezpieczeństwa zgodnie z ww. rozporządzeniem powinna zawierać w szczególności:

1. wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; 
2. wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 
3. opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; 
4. sposób przepływu danych pomiędzy poszczególnymi systemami; 
5. określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. 

W instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych natomiast powinny znaleźć się informacje na temat:

1. procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; 
2. stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; 
3. procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
4. procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; 
5. sposób, miejsce i okres przechowywania: 

- elektronicznych nośników informacji zawierających dane osobowe, 

- kopii zapasowych, 

6. sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania,
7. sposób realizacji wymogów, dotyczących informacji odbiorcach danych, dacie i zakresie udostępnienia;
8. procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. 

Jak zmieniły się zasady udostępniania danych osobowych?

Równocześnie elementem systemu zabezpieczenia danych osobowych jest wymóg by do przetwarzania danych były dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.  

Administrator danych udziela w tym celu stosownych upoważnień i prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:  

1. imię i nazwisko osoby upoważnionej,  
2. datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,  
3. identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.  

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

Podsumowanie

Z praktyki kancelarii wynika, iż świadomość przedsiębiorców w zakresie nałożonych na nich obowiązków dotyczących wdrożenia systemów ochrony danych osobowych, jest wciąż na niskim poziomie.

Niezbędne jest zatem podnoszenie tejże świadomości, informowanie uczestników obrotu, zwłaszcza, iż sankcje za przetwarzanie danych osobowych mogą okazać się dotkliwe, przede wszystkim biorąc pod uwagę podjęte na płaszczyźnie unijnej prace m.in. nad modyfikacją odpowiedzialności, w tym poprzez wprowadzenie sankcji administracyjnej w wysokości 2 % obrotu przedsiębiorcy naruszającego.