Author Archives: Sylwia Czub

16 lut

Czy wykaz adresów jest zbiorem danych osobowych?

Pytanie od Pani Agnieszki:

Czy jeśli posiadamy wykaz adresów kin, bibliotek i ośrodków kultury to tworzy to zbiór danych osobowych? 

Wykaz samych instytucji nie jest zbiorem danych osobowych. Jeżeli wykaz jest rozbudowany o osoby reprezentujące te instytucje lub z którymi należy się kontaktować, to odpowiednio będziemy kwalifikować je jako dane ze zbiorów „kontrahenci” lub „baza kontaktów”.

Sylwia CzubSpodobał Ci się ten wpis? Masz jeszcze jakieś pytania? A może potrzebujesz pomocy przy danych osobowych? Pomogłam już wielu, pomogę i Tobie!

Napisz do mnie

14 lut

Sygnalizacje ABI dla administratora danych

Kolejne pytanie od Pana Grzegorza:

Czy ABI może pisać pismo z prośbą o zakup konkretnej rzeczy, chodzi np. o archiwizację danych osobowych z serwerów? Jeżeli tak, to co w przypadku odmowy pozwolenia na zakup? Czy dyrektor biblioteki powinien podać w odmowie powód odmowy?

Sygnalizowanie wszelkich potrzeb i braków jest jednym z podstawowych zadań ABI. Jak najbardziej powinien informować na piśmie administratora danych, np. o konieczności dokonania określonych zakupów, jednocześnie podając powody takiej konieczności (np. przepis prawa) oraz konsekwencje braku działań. ABI może prosić dyrektora o podanie przyczyny, jeśli jest to przyczyna finansowa, wnioskować o uwzględnienie zakupów w przyszłorocznym budżecie. Za każdym razem powinien podkreślić skutki zaniechania (nie tylko wynikające z ustawy, ale także, np. wizerunkowe, gdyby serwery padły).

Sylwia CzubSpodobał Ci się ten wpis? Masz jeszcze jakieś pytania? A może potrzebujesz pomocy przy danych osobowych? Pomogłam już wielu, pomogę i Tobie!

Napisz do mnie

12 lut

Jak często powinny być przeprowadzane sprawdzenia?

Pytanie padło od Pana Grzegorza:
Czy sprawdzenie odbywa się na żądanie dyrektora, czy też co pewien okres czasu? 
Czy roczne sprawozdanie jest wymogiem odgórnym (narzuconym przez GIODO) oraz czy każde sprawozdanie roczne musi zostać wysłane o GIODO?
Na chwilę obecną nie wiadomo jaką częstotliwość przeprowadzania sprawdzeń uchwali ustawodawca. W projekcie rozporządzenia MAiC jest mowa o planowanym sprawdzeniu raz do roku oraz dodatkowym sprawdzeniu na zlecenie GIODO lub na skutek zaistnienia incydentu. Pragnę podkreślić, że podobne sprawdzenia w przypadku informacji niejawnych są przeprowadzane raz na 3 lata ze względu na fakt, że taki kompleksowy audyt blokuje pracę instytucji na pewien czas.
Czekamy na ustalenia dotyczące rozporządzenia, z nadzieją, że ustawodawca zrozumie, że potrzebą zmian było ułatwienie a nie utrudnianie wykonywania działalności gospodarczej… Jeżeli sprawdzenie będzie musiało być przeprowadzane raz do roku, to sprawozdanie z tego sprawdzenia będzie przygotowywane również raz do roku (plus dodatkowe na zlecenie GIODO lub po incydentalnym sprawdzeniu).

Read More →

05 lut

Rejestr Administratorów Bezpieczeństwa Informacji

Na platformie e-GIODO pojawił się rejestr Administratorów Bezpieczeństwa Informacji. Wszystkich zainteresowanych i ciekawych odsyłam do stron GIODO, a sama póki co polecam obserwowanie zachodzących zmian oraz wystąpień Generalnego Inspektora związanych z nową rolą ABI. Do końca czerwca 2015 r. administratorzy danych mają czas na podjęcie decyzji o powołaniu i zarejestrowaniu ABI, wobec tego warto (moim zdaniem) nie śpieszyć się z tą decyzją, aby rozsądnie rozważyć wszystkie za i przeciw.

02 lut

Stary ABI w świetle nowych przepisów, czy trzeba go powołać na nowo?

Osoby, które przed wejściem w życie nowelizacji ustawy pełniły rolę administratorów bezpieczeństwa informacji, często zastanawiają się, jak odnaleźć się w nowej rzeczywistości. Dużo pytań budzi przede wszystkim uchylenie art. 36 ust. 3, który nakazywał administratorowi danych wyznaczenie administratora bezpieczeństwa informacji, chyba że ADO postanowił sam wykonywać te czynności. Po 1. stycznia 2015 r. ustawodawca zwolnił administratorów danych osobowych z obowiązku wyznaczania ABI, na rzecz dobrowolnego powołania w zamian za pewne przywileje wynikające z ustawy.  Read More →

20 sty

Co zrobić jeśli system służący do przetwarzania danych nie spełnia wymogów ustawowych

Zdarza się, że po przeprowadzeniu audytu bezpieczeństwa, okazuje się, że system informatyczny służący do przetwarzania danych osobowych (np. system kadrowy) nie spełnia wszystkich wymogów określonych przez rozporządzenie. Co powinniśmy wtedy zrobić? Read More →

17 sty

Czy stworzenie dokumentu tekstowego zawierającego dane osobowe, to już przetwarzanie elektroniczne?

Pytanie od Pana Romana: Stworzenie dokumentu tekstowego, który zawiera dane osobowe uczestników konkursów na komputerze to już przetwarzanie elektroniczne?

Przetwarzanie danych osobowych z użyciem sprzętu komputerowego to przetwarzanie elektroniczne, jednakże należy pamiętać, że dokumenty tekstowe, czy arkusze kalkulacyjne nie są systemami informatycznymi (celem ich użytkowania jest przygotowanie dokumentu w formie papierowej). Wobec tego, jeżeli mamy zbiory danych osobowych prowadzone w formie papierowej, które są przetwarzane przy użyciu dokumentów tekstowych, czy arkuszy kalkulacyjnych, to zgodnie z ustawą są to zbiory prowadzone tylko i wyłącznie w formie papierowej. Read More →

15 sty

Czy za każdym razem, gdy organizuję konkurs muszę zgłaszać zbiór do GIODO?

Wraca do mnie jak bumerang pytanie dotyczące zbiorów danych osobowych, które zawierają dane osobowe różnych osób w różnym zakresie pól informacyjnych, takich jak „uczestnicy konkursów”, czy „uczestników szkoleń”. W zależności od wydarzenia, raz zbiera się szerszy zakres danych od uczestników (dane teleadresowe, PESEL, dane kontaktowe), a czasami węższy (np. tylko imię, nazwisko i e-mail). Pytanie brzmi, czy za każdym razem, gdy planujemy zbierać dane do tego zbioru, powinniśmy zgłaszać zmianę do GIODO? A może każdy konkurs (szkolenie) zgłaszać jako odrębny zbiór? Read More →

12 sty

Zgoda na publikację wizerunku na stronie biblioteki

Wizerunek jest daną osobową szczególnie chronioną przez przepisy prawa. Z jednej strony jest daną osobową (pozwala zidentyfikować osobę), z drugiej zaliczany jest do dóbr osobistych człowieka (art. 23 Kodeksu Cywilnego). Postępowanie ze zdjęciami określa także ustawa o prawie autorskim i prawach pokrewnych, w rozumieniu, której zdjęcie, jest dziełem, do którego prawa ma twórca.

Wobec tego publikowanie zdjęć na stronie internetowej biblioteki wymaga zgody autora tych zdjęć (art. 81 ustawy o prawie autorskim i prawach pokrewnych – wyjątki omówię w jednym z kolejnych wpisów). A publikowanie zdjęć zawierających wizerunki wymaga dodatkowo zgód wszystkich osób, które zostały utrwalone na zdjęciach. Read More →