REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Ochrona danych osobowych znajdujących się w systemach informatycznych - aspekty prawne

dr Dominik Lubasz
Radca prawny i wspólnik zarządzający w Lubasz i Wspólnicy – Kancelarii Radców Prawnych sp.k.
Lubasz i Wspólnicy
Kancelaria Radców Prawnych
ochrona danych osobowych
ochrona danych osobowych

REKLAMA

REKLAMA

Firmy i inni uczestnicy obrotu prawnego pozyskują olbrzymie ilości danych, materiałów lub informacji pochodzących z różnych źródeł. Nie zawsze wraz z gromadzeniem danych związana jest świadomość, iż podlegają one ochronie prawnej, zarówno na etapie ich pozyskiwania, przechowywania, czy też dalszego wykorzystania.

Niniejszy artykuł poświęcony jest problematyce obowiązków prawnych podmiotów gromadzących dane osobowe w systemach informatycznych.

REKLAMA

Czym są dane osobowe

Dane osobowe podlegają ochronie przede wszystkim na podstawie:

-  ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. Nr 101, poz. 926),

Dalszy ciąg materiału pod wideo

- ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2002 r. Nr 144, poz. 1204 ze zm.),

- rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024),

- rozporządzenia z 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536).

Czym są jednak dane osobowe i jak ustalić, czy informacje które są gromadzone podlegają regulacji ww. aktów prawnych?

Danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą zaś możliwą do zidentyfikowania jest taka, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cech fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Ochrona danych osobowych 2013: firmom będzie trudniej.

Określonej informacji nie uważa się jednak za umożliwiającej określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Tak szerokie ujęcie definicji baz danych powoduje, iż większość informacji gromadzonych w systemach dotyczących np. kontrahentów, w tym ich dane kontaktowe, choćby pochodzące z jawnych źródeł, jak CEiDG, listy mailingowe, numery telefonów identyfikowalnych osób zbierane w trakcie akcji marketingowych lub konkursów itd. stanowić będą dane osobowe przetwarzane przez administratorów danych.

Ustawa definiuje jako administratora danych osobowych organ, jednostkę organizacyjną, organy państwowe, organy samorządu terytorialnego, decydujące o celach i środkach przetwarzania danych osobowych.

Dla wykonywania części zadań administrator danych osobowych uprawniony jest do wyznaczania ABI (administratora bezpieczeństwa informacji) tj. osobę, nadzorującą przestrzeganie zasad ochrony danych osobowych i ASI (administratora systemu informatycznego) tj. zespół informatyków, odpowiedzialny za prawidłowe funkcjonowanie systemów informatycznych, sprzętu, oprogramowania i jego konserwację.

Obowiązki administratora danych osobowych

Zadaniem administratora danych osobowych jest przede wszystkim:

- zapewnienie przetwarzania danych osobowych zgodnie z prawem, np. po uzyskaniu zgody osoby której dotyczą, zapewnienie zbierania danych w celach dopuszczalnych przez prawo, np. w celu wykonania umowy, 

- zapewnienie poprawności i odpowiedniości danych osobowych, tj. nie są pozyskane w zbyt szerokim zakresie dla celów dopuszczalnych przez prawo, a także

- przechowywanie w sposób umożliwiający identyfikację i  nie dłużej niż jest to konieczne dla realizacji dopuszczalnych przez prawo celów.

Ponadto administrator danych osobowych zobowiązany jest do zgłoszenia zbiorów danych do GIODO, z pewnymi wynikającym z ustawy wyjątkami. Ostatecznie to administratora danych osobowych obciążają obowiązki informacyjne względem osób, których dane są przetwarzane, i co najważniejsze, odpowiednie zabezpieczenie techniczne i organizacyjne danych osobowych.

Kiedy można przetwarzać dane osobowe

W pierwszej kolejności rozstrzygnąć należy, czym jest przetwarzanie danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych rozumiane jest jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Wynika z tego, że każda niemal operacja dotycząca danych osobowych objęta jest przepisami ustawy, a zatem i obowiązkami nią nakładanymi.

Co do zasady dane osobowe można przetwarzać gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę,
  2. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,  
  3. jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 
  4. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,  
  5. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. 

Inne reguły dotyczą wrażliwych danych osobowych tj. danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań i innych orzeczeń.

W przypadku bowiem takich danych możliwe jest ich przetwarzania m.in. w sytuacji gdy:

  1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie;
  2.  przepis innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą;
  3.  przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub osób niepełnoletnich / ubezwłasnowolnionych;
  4.  jest to niezbędne do wykonania statutowych zadań kościołów, stowarzyszeń, fundacji, instytucji politycznych, naukowych, religijnych, związkowych;
  5. są one niezbędne do dochodzenia praw przed sądem
  6.  dotyczą zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest ustawowy
  7.  dotyczą ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów, zarządzania udzielaniem usług medycznych
  8.  dotyczą danych upublicznionych
  9.  umożliwiają prowadzenie badań naukowych lub uzyskanie dyplomu lub stopnia naukowego
  10.  jest prowadzone w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

W zakresie ostatniego z obowiązków, zarówno ustawa ochronie danych osobowych, jak i rozporządzenie z 2004 roku zawiera szczegółową regulację, w tym wskazuje na konieczność przygotowania polityki bezpieczeństwa, instrukcji zarządzania systemem informatycznym, przeszkolenia pracowników, udzielenia odpowiednich upoważnień, wprowadzenia ewidencji, a także wdrożenie technicznych rozwiązań zabezpieczających dane osobowe.


Obowiązki informacyjne

Ustawa wyraźnie odróżnia sytuację prawną administratora danych osobowych w zakresie obowiązków informacyjnych od tego czy pozyskuje on dane osobowe bezpośrednio od osoby, której one dotyczą czy też pośrednio.

O zgodę na przetwarzanie danych reklamującego trzeba się zapytać.

W tym pierwszym przypadku administrator przy pozyskiwaniu danych zobowiązany jest do poinformowania o:

  1. adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,  
  2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,  
  3. prawie dostępu do treści swoich danych oraz ich poprawiania, 
  4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

W drugim ze wskazanych przypadków bezpośrednio po utrwaleniu danych osobowych obowiązki informacyjne obejmują:

  1. adres siedziby i pełną nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejsce zamieszkania oraz imię i nazwisko,  
  2. cel i zakresie zbierania danych, a w szczególności informację o odbiorcach lub kategoriach odbiorców danych,  
  3. źródło danych,  
  4. prawo dostępu do treści swoich danych oraz ich poprawiania, 
  5. uprawnienia do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację,  oraz do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych

Zabezpieczenie danych osobowych

Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Ochrona danych osobowych w serwisach społecznościowych.

Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz ww. środki.  W jej skład zgodnie z ww. rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wchodzą polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Polityka bezpieczeństwa zgodnie z ww. rozporządzeniem powinna zawierać w szczególności:

  1. wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; 
  2. wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 
  3. opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; 
  4. sposób przepływu danych pomiędzy poszczególnymi systemami; 
  5. określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. 

W instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych natomiast powinny znaleźć się informacje na temat:

  1. procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; 
  2. stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; 
  3. procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
  4. procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; 
  5. sposób, miejsce i okres przechowywania: 

- elektronicznych nośników informacji zawierających dane osobowe, 

- kopii zapasowych, 

  1. sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania,
  2. sposób realizacji wymogów, dotyczących informacji odbiorcach danych, dacie i zakresie udostępnienia;
  3. procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. 

Jak zmieniły się zasady udostępniania danych osobowych?

Równocześnie elementem systemu zabezpieczenia danych osobowych jest wymóg by do przetwarzania danych były dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.  

Administrator danych udziela w tym celu stosownych upoważnień i prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:  

  1. imię i nazwisko osoby upoważnionej,  
  2. datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,  
  3. identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.  

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

Podsumowanie

Z praktyki kancelarii wynika, iż świadomość przedsiębiorców w zakresie nałożonych na nich obowiązków dotyczących wdrożenia systemów ochrony danych osobowych, jest wciąż na niskim poziomie.

Niezbędne jest zatem podnoszenie tejże świadomości, informowanie uczestników obrotu, zwłaszcza, iż sankcje za przetwarzanie danych osobowych mogą okazać się dotkliwe, przede wszystkim biorąc pod uwagę podjęte na płaszczyźnie unijnej prace m.in. nad modyfikacją odpowiedzialności, w tym poprzez wprowadzenie sankcji administracyjnej w wysokości 2 % obrotu przedsiębiorcy naruszającego.

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Podatek dochodowy 2025: skala podatkowa, podatek liniowy czy ryczałt. Trzeba szybko decydować się na wybór formy opodatkowania, jaki termin - do kiedy

Przedsiębiorcy mogą co roku korzystać z innej – jednej z trzech możliwych – form podatku dochodowego od przychodów uzyskiwanych z działalności gospodarczej. Poza wysokością samego podatku, jaki trzeba będzie zapłacić, teraz forma opodatkowania wpływa również na wysokość obciążeń z tytułu składki na ubezpieczenie zdrowotne.

Raportowanie ESG: jak się przygotować, wdrażanie, wady i zalety. Czy czekają nas zmiany? [WYWIAD]

Raportowanie ESG: jak firma powinna się przygotować? Czym jest ESG? Jak wdrożyć system ESG w firmie. Czy ESG jest potrzebne? Jak ESG wpływa na rynek pracy? Jakie są wady i zalety ESG? Co należałoby zmienić w przepisach stanowiących o ESG?

Zarządzanie kryzysowe czyli jak przetrwać biznesowy sztorm - wskazówki, przykłady, inspiracje

Załóżmy, że jako kapitan statku (CEO) niespodziewanie napotykasz gwałtowny sztorm (sytuację kryzysową lub problemową). Bez odpowiednich narzędzi nawigacyjnych, takich jak mapa, kompas czy plan awaryjny, Twoje szanse na bezpieczne dotarcie do portu znacząco maleją. Ryzykujesz nawet sam fakt przetrwania. W świecie biznesu takim zestawem narzędzi jest Księga Komunikacji Kryzysowej – kluczowy element, który każda firma, niezależnie od jej wielkości czy branży, powinna mieć zawsze pod ręką.

Układ likwidacyjny w postępowaniu restrukturyzacyjnym

Układ likwidacyjny w postępowaniu restrukturyzacyjnym. Sprzedaż majątku przedsiębiorstwa w ramach postępowania restrukturyzacyjnego ma sens tylko wtedy, gdy z ekonomicznego punktu widzenia nie ma większych szans na uzdrowienie jego sytuacji, bądź gdy spieniężenie części przedsiębiorstwa może znacznie usprawnić restrukturyzację.

REKLAMA

Ile jednoosobowych firm zamknięto w 2024 r.? A ile zawieszono? [Dane z CEIDG]

W 2024 r. o 4,8 proc. spadła liczba wniosków dotyczących zamknięcia jednoosobowej działalności gospodarczej. Czy to oznacza lepsze warunki do prowadzenia biznesu? Niekoniecznie. Jak widzą to eksperci?

Rozdzielność majątkowa a upadłość i restrukturyzacja

Ogłoszenie upadłości prowadzi do powstania między małżonkami ustroju rozdzielności majątkowej, a majątek wspólny wchodzi w skład masy upadłości. Drugi z małżonków, który nie został objęty postanowieniem o ogłoszeniu upadłości, ma prawo domagać się spłaty równowartości swojej części tego majątku. Otwarcie restrukturyzacji nie powoduje tak daleko idących skutków.

Wygrywamy dzięki pracownikom [WYWIAD]

Rozmowa z Beatą Rosłan, dyrektorką HR w Jacobs Douwe Egberts, o tym, jak skuteczna polityka personalna wspiera budowanie pozycji lidera w branży.

Zespół marketingu w organizacji czy outsourcing usług – które rozwiązanie jest lepsze?

Lepiej inwestować w wewnętrzny zespół marketingowy czy może bardziej opłacalnym rozwiązaniem jest outsourcing usług marketingowych? Marketing odgrywa kluczową rolę w sukcesie każdej organizacji. W dobie cyfryzacji i rosnącej konkurencji firmy muszą stale dbać o swoją obecność na rynku, budować markę oraz skutecznie docierać do klientów.

REKLAMA

Rekompensata dla rolnika za brak zapłaty za sprzedane produkty rolne. Wnioski tylko do 31 marca 2025 r.

Ministerstwo Rolnictwa i Rozwoju Wsi przypomina, że od 1 lutego do 31 marca 2025 r. producent rolny lub grupa może złożyć do oddziału terenowego Krajowego Ośrodka Wsparcia Rolnictwa (KOWR) wniosek o przyznanie rekompensaty z tytułu nieotrzymania zapłaty za sprzedane produkty rolne od podmiotu prowadzącego skup, przechowywanie, obróbkę lub przetwórstwo produktów rolnych, który stał się niewypłacalny w 2023 lub 2024 r. - w rozumieniu ustawy o Funduszu Ochrony Rolnictwa (FOR).

Zintegrowane raportowanie ESG zaczyna już być standardem. Czy w Polsce też?

96% czołowych firm na świecie raportuje zrównoważony rozwój, a 82% włącza dane ESG do raportów rocznych. W Polsce 89% dużych firm publikuje takie raporty, ale tylko 22% działa zgodnie ze standardami ESRS, co stanowi wyzwanie dla konkurencyjności na rynku UE.

REKLAMA