REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

dr Dominik Lubasz
Radca prawny i wspólnik zarządzający w Lubasz i Wspólnicy – Kancelarii Radców Prawnych sp.k.
Lubasz i Wspólnicy
Kancelaria Radców Prawnych
ochrona danych osobowych
ochrona danych osobowych

REKLAMA

REKLAMA

Firmy i inni uczestnicy obrotu prawnego pozyskują olbrzymie ilości danych, materiałów lub informacji pochodzących z różnych źródeł. Nie zawsze wraz z gromadzeniem danych związana jest świadomość, iż podlegają one ochronie prawnej, zarówno na etapie ich pozyskiwania, przechowywania, czy też dalszego wykorzystania.

Niniejszy artykuł poświęcony jest problematyce obowiązków prawnych podmiotów gromadzących dane osobowe w systemach informatycznych.

REKLAMA

Czym są dane osobowe

Dane osobowe podlegają ochronie przede wszystkim na podstawie:

-  ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. Nr 101, poz. 926),

Dalszy ciąg materiału pod wideo

- ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2002 r. Nr 144, poz. 1204 ze zm.),

- rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024),

- rozporządzenia z 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536).

Czym są jednak dane osobowe i jak ustalić, czy informacje które są gromadzone podlegają regulacji ww. aktów prawnych?

Danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą zaś możliwą do zidentyfikowania jest taka, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cech fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Ochrona danych osobowych 2013: firmom będzie trudniej.

Określonej informacji nie uważa się jednak za umożliwiającej określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Tak szerokie ujęcie definicji baz danych powoduje, iż większość informacji gromadzonych w systemach dotyczących np. kontrahentów, w tym ich dane kontaktowe, choćby pochodzące z jawnych źródeł, jak CEiDG, listy mailingowe, numery telefonów identyfikowalnych osób zbierane w trakcie akcji marketingowych lub konkursów itd. stanowić będą dane osobowe przetwarzane przez administratorów danych.

Ustawa definiuje jako administratora danych osobowych organ, jednostkę organizacyjną, organy państwowe, organy samorządu terytorialnego, decydujące o celach i środkach przetwarzania danych osobowych.

Dla wykonywania części zadań administrator danych osobowych uprawniony jest do wyznaczania ABI (administratora bezpieczeństwa informacji) tj. osobę, nadzorującą przestrzeganie zasad ochrony danych osobowych i ASI (administratora systemu informatycznego) tj. zespół informatyków, odpowiedzialny za prawidłowe funkcjonowanie systemów informatycznych, sprzętu, oprogramowania i jego konserwację.

Obowiązki administratora danych osobowych

Zadaniem administratora danych osobowych jest przede wszystkim:

- zapewnienie przetwarzania danych osobowych zgodnie z prawem, np. po uzyskaniu zgody osoby której dotyczą, zapewnienie zbierania danych w celach dopuszczalnych przez prawo, np. w celu wykonania umowy, 

- zapewnienie poprawności i odpowiedniości danych osobowych, tj. nie są pozyskane w zbyt szerokim zakresie dla celów dopuszczalnych przez prawo, a także

- przechowywanie w sposób umożliwiający identyfikację i  nie dłużej niż jest to konieczne dla realizacji dopuszczalnych przez prawo celów.

Ponadto administrator danych osobowych zobowiązany jest do zgłoszenia zbiorów danych do GIODO, z pewnymi wynikającym z ustawy wyjątkami. Ostatecznie to administratora danych osobowych obciążają obowiązki informacyjne względem osób, których dane są przetwarzane, i co najważniejsze, odpowiednie zabezpieczenie techniczne i organizacyjne danych osobowych.

Kiedy można przetwarzać dane osobowe

W pierwszej kolejności rozstrzygnąć należy, czym jest przetwarzanie danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych rozumiane jest jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Wynika z tego, że każda niemal operacja dotycząca danych osobowych objęta jest przepisami ustawy, a zatem i obowiązkami nią nakładanymi.

Co do zasady dane osobowe można przetwarzać gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę,
  2. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,  
  3. jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 
  4. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,  
  5. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. 

Inne reguły dotyczą wrażliwych danych osobowych tj. danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań i innych orzeczeń.

W przypadku bowiem takich danych możliwe jest ich przetwarzania m.in. w sytuacji gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie;
  2.  przepis innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą;
  3.  przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub osób niepełnoletnich / ubezwłasnowolnionych;
  4.  jest to niezbędne do wykonania statutowych zadań kościołów, stowarzyszeń, fundacji, instytucji politycznych, naukowych, religijnych, związkowych;
  5. są one niezbędne do dochodzenia praw przed sądem
  6.  dotyczą zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest ustawowy
  7.  dotyczą ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów, zarządzania udzielaniem usług medycznych
  8.  dotyczą danych upublicznionych
  9.  umożliwiają prowadzenie badań naukowych lub uzyskanie dyplomu lub stopnia naukowego
  10.  jest prowadzone w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

W zakresie ostatniego z obowiązków, zarówno ustawa ochronie danych osobowych, jak i rozporządzenie z 2004 roku zawiera szczegółową regulację, w tym wskazuje na konieczność przygotowania polityki bezpieczeństwa, instrukcji zarządzania systemem informatycznym, przeszkolenia pracowników, udzielenia odpowiednich upoważnień, wprowadzenia ewidencji, a także wdrożenie technicznych rozwiązań zabezpieczających dane osobowe.


Obowiązki informacyjne

Ustawa wyraźnie odróżnia sytuację prawną administratora danych osobowych w zakresie obowiązków informacyjnych od tego czy pozyskuje on dane osobowe bezpośrednio od osoby, której one dotyczą czy też pośrednio.

O zgodę na przetwarzanie danych reklamującego trzeba się zapytać.

W tym pierwszym przypadku administrator przy pozyskiwaniu danych zobowiązany jest do poinformowania o:

  1. adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,  
  2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,  
  3. prawie dostępu do treści swoich danych oraz ich poprawiania, 
  4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

W drugim ze wskazanych przypadków bezpośrednio po utrwaleniu danych osobowych obowiązki informacyjne obejmują:

  1. adres siedziby i pełną nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejsce zamieszkania oraz imię i nazwisko,  
  2. cel i zakresie zbierania danych, a w szczególności informację o odbiorcach lub kategoriach odbiorców danych,  
  3. źródło danych,  
  4. prawo dostępu do treści swoich danych oraz ich poprawiania, 
  5. uprawnienia do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację,  oraz do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych

Zabezpieczenie danych osobowych

Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Ochrona danych osobowych w serwisach społecznościowych.

Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz ww. środki.  W jej skład zgodnie z ww. rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wchodzą polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Polityka bezpieczeństwa zgodnie z ww. rozporządzeniem powinna zawierać w szczególności:

  1. wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; 
  2. wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 
  3. opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; 
  4. sposób przepływu danych pomiędzy poszczególnymi systemami; 
  5. określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. 

W instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych natomiast powinny znaleźć się informacje na temat:

  1. procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; 
  2. stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; 
  3. procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
  4. procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; 
  5. sposób, miejsce i okres przechowywania: 

- elektronicznych nośników informacji zawierających dane osobowe, 

- kopii zapasowych, 

  1. sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania,
  2. sposób realizacji wymogów, dotyczących informacji odbiorcach danych, dacie i zakresie udostępnienia;
  3. procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. 

Jak zmieniły się zasady udostępniania danych osobowych?

Równocześnie elementem systemu zabezpieczenia danych osobowych jest wymóg by do przetwarzania danych były dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.  

Administrator danych udziela w tym celu stosownych upoważnień i prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:  

  1. imię i nazwisko osoby upoważnionej,  
  2. datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,  
  3. identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.  

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

Podsumowanie

Z praktyki kancelarii wynika, iż świadomość przedsiębiorców w zakresie nałożonych na nich obowiązków dotyczących wdrożenia systemów ochrony danych osobowych, jest wciąż na niskim poziomie.

Niezbędne jest zatem podnoszenie tejże świadomości, informowanie uczestników obrotu, zwłaszcza, iż sankcje za przetwarzanie danych osobowych mogą okazać się dotkliwe, przede wszystkim biorąc pod uwagę podjęte na płaszczyźnie unijnej prace m.in. nad modyfikacją odpowiedzialności, w tym poprzez wprowadzenie sankcji administracyjnej w wysokości 2 % obrotu przedsiębiorcy naruszającego.

Autopromocja

REKLAMA

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Klient ma zawsze rację, czego więc wymaga od firmy, w której chce zostawić pieniądze w czasach nowoczesnych technologii

Jeszcze kilka lat temu udogodnienia, takie jak kasy samoobsługowe, płatności odroczone, chatboty czy aplikacje mobilne umożliwiające zbieranie punktów i wymienianie ich na kody rabatowe, były czymś, co wyróżniało daną firmę na tle innych. Dziś jest to standard, must have.

Nie robią szkoleń z ochrony danych osobowych, lekceważą hakerów i ukrywają skutki kradzieży danych

Czy firmy szkolą swoich pracowników w zakresie ochrony danych osobowych więcej niż tylko na początku zatrudnienia? Jaki odsetek przedsiębiorstw nie robi tego wcale? Czy wiedzą, jak postępować w przypadku wycieku danych? 

Firmy zbyt beztrosko podchodzą do cyberkryminalistów?

Firmy lekkomyślnie podchodzą do kwestii cyberbezpieczeństwa? Z raportu „State of Enterprise Cyber Risk in the Age of AI 2024” wynika. że co dziesiąta firma nigdy nie przeprowadziła audytu swoich systemów, a połowa sprawdza zabezpieczenia raz w tygodniu lub rzadziej. A aż 65 proc. firm działa na podstawie przestarzałych, co najmniej dwuletnich, planów. 

ZPP chce zmian w akcyzie na wyroby tytoniowe i e-papierosy

Przedsiębiorcy są zaskoczeni nieoczekiwaną zmianą przepisów podatkowych dotyczących akcyzy na wyroby tytoniowe. Przedstawiciele Związku Przedsiębiorców i Pracodawców alarmują, że zmiany wprowadzane są w niewłaściwy sposób. Mają swoje propozycje. 

REKLAMA

Upór czy rezygnacja? O skutecznych strategiach realizacji celów

16 października w godzinach 10:00-12:00 zapraszamy na debatę „Upór czy rezygnacja? O skutecznych strategiach realizacji celów”.

MRiRW: Projektowane stawki płatności bezpośrednich oraz przejściowego wsparcia krajowego za 2024 r.

Projektowane stawki płatności bezpośrednich oraz przejściowego wsparcia krajowego za 2024 r. W Ministerstwie Rolnictwa i Rozwoju Wsi opracowane zostały projekty rozporządzeń określających stawki poszczególnych płatności bezpośrednich podstawowych oraz ekoschematów obszarowych (bez ekoschematu Dobrostan zwierząt).

Liderzy Eksportu nagrodzeni podczas Gali PAIH Forum Biznesu

Najlepsi polscy eksporterzy wyłonieni. Za nami rozdanie nagród Lidera Eksportu PAIH. Wyróżnienia w czterech kategoriach były kluczowymi punktami gali, która zakończyła pierwszy dzień trwającego PAIH Forum Biznesu.

PAIH Forum Biznesu 2024 wystartowało!

Rozpoczęło się wyjątkowe spotkanie przedsiębiorców, reprezentantów regionów i instytucji rozwoju, czyli PAIH Forum Biznesu 2024. Na wydarzenie zarejestrowało się łącznie niemal 5000 osób, a już pierwszy dzień imprezy zgromadził na PGE Narodowym setki firm z sektora MŚP, dziesiątki przedstawicieli świata polityki i nauki oraz licznych ekspertów PAIH i innych instytucji otoczenia biznesu. Warszawa stała się właśnie centrum polskiej przedsiębiorczości.

REKLAMA

Emigracja zarobkowa. Gdzie najczęściej uciekają specjaliści?

Emigracja zarobkowa na świecie. Gdzie najczęściej uciekają specjaliści? W tym roku na podium znalazła się Australia, wyprzedzając dotychczasowego lidera – Kanadę. A gdzie można znaleźć najwięcej specjalistów z Polski? 

Jak ulga na ekspansję wspiera przedsiębiorców w zdobywaniu nowych rynków?

Ulga na ekspansję, która weszła w życie 1 stycznia 2022 roku. Jej celem jest wspieranie przedsiębiorców w zwiększaniu przychodów ze sprzedaży produktów, szczególnie poprzez rozszerzenie działalności na nowe rynki. Mimo że ulga na ekspansję pozwala zaoszczędzić do 190 tys. złotych rocznie, w praktyce okazała się mało popularna – w 2022 roku skorzystało z niej jedynie 224 podatników CIT. To pokazuje, że pomimo potencjalnie dużych korzyści, ulga wciąż nie cieszy się szerokim zainteresowaniem wśród przedsiębiorców.

REKLAMA