Category Archives: Wpisy z 2017 roku

17 maj

RODO: odbiorca danych, czyli kto?

Ogólne rozporządzenie o ochronie danych w kilku sytuacjach, wymaga wskazania odbiorców danych:

  1. Podczas wypełniania obowiązku informacyjnego (art. 13-15 RODO)
  2. W rejestrze czynności przetwarzania (art. 30 RODO)

Należy także powiadomić wszystkich odbiorców danych o żądaniu osoby, której dane dotyczą usunięcia, sprostowania lub ograniczenia przetwarzania. Poprawne zrealizowanie tych obowiązków wymaga ustalenia kto jest odbiorcą danych w rozumieniu RODO.

Definicja odbiorcy jest wskazana w art. 4 ust. 9 RODO:

„Odbiorca” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania;

W zakresie informacji przekazywanej osobie, której dane dotyczą, gdy pozyskujemy od niej jej dane osobowe ma zastosowanie artykuł 13, w zakresie odbiorcy ust. 1 e:

Osobie, której dane dotyczą przekazuje się informację: informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;

Jednocześnie, jeżeli w momencie gromadzenia danych, administrator nie planuje przekazywać od razu danych osobowych do wszystkich odbiorców (może to zależeć od konkretnych czynników), to informację o udostępnieniu należy podać w momencie udostępnienia, a nie gromadzenia (np. udostępnienie firmie windykacyjnej): Read More →

27 kwi

Szkolenie „Zostań Inspektorem Ochrony Danych”

Zapraszam Was na szkolenie, które jest perełką wśród szkoleń. Wszyscy prowadzący są praktykami, którzy podzielą się z Wami swoim doświadczeń zawodowym. Jest to szkolenie dające zaawansowaną wiedzę w zakresie nadzorowania procesów przetwarzania danych. Pozwala zrozumieć co, jak i dlaczego. I najważniejsze. Postanowiliśmy je zorganizować, bo nasi klienci bardzo intensywnie poszukują Inspektorów Ochrony Danych, proszą o polecenie kogoś, kto naprawdę zna się na rzeczy, a my nie jesteśmy w stanie polecić nikogo „sensownego” kto miałby wiedzę, kwalifikacje oraz czas, aby zająć się tematem (nie oszukujmy się, większość specjalistów jest teraz maksymalnie obciążona pracą). Szkolenie odbędzie się w lipcu, kiedy (mamy nadzieję) trochę opadanie RODOszaleństwo. Uczestnicy ostatniego dnia otrzymają szansę weryfikacji swojej wiedzy i kwalifikacji. A jeżeli uzyskają co najmniej 80% punktów w naszym teście, będziemy (oczywiście za ich zgodą) przez 12 miesięcy polecać ich naszym klientom (i potencjalnym klientom), a także zamieścimy ich dane na naszej stronie z informacją, że polecamy do wykonywania zadań IOD i zweryfikowaliśmy ich wiedzę w tym zakresie. To szkolenie może być szansą na start w tym zawodzie, dla osób, które wcześniej nie zajmowały się tym zagadnieniem i nie wiedzą od czego zacząć, w szczególności nie mają kontaktów biznesowych. Read More →

16 kwi

Ocena skutków przetwarzania według RODO

Ogólne rozporządzenie o ochronie danych osobowych to ewolucja dotychczasowego podejścia do zapewnienia bezpieczeństwa przetwarzanych danych, które powinno być oparte na ocenie ryzyka. Generalny Inspektor Ochrony Danych w grudniu 2017 roku opublikował dwuczęściowy poradnik: Jak rozumieć podejście oparte na ryzyku wg RODO? Warto do niego sięgnąć, aby zyskać ogólne pojęcie o zasadach szacowania ryzyka. Wadą poradnika jest jego uniwersalność i profesjonalizm, które mają zapewnić, że będzie miał zastosowanie zarówno do małych, jak i dużych organizacji. Dla osoby nie mającej pojęcia o szacowaniu ryzyka (albo w ogóle o ryzyku), może to być zbyt trudne źródło informacji (chociaż rzetelnie opracowane). Chciałabym podkreślić, że RODO nie narzuca żadnych konkretnych metod szacowania ryzyka – to administrator decyduje, jak dokona oceny tego ryzyka. Nie muszą to być wyrafinowane, czy skomplikowane metody. Podmioty publiczne mogą skorzystać z mechanizmów kontroli zarządczej – są im znane i od lat stosowane. Osoby rozpoczynające swoją przygodę z szacowaniem ryzyka, mogą robić tabele (macierze), ale mogą też po prostu wypisywać zidentyfikowane dla danego procesu ryzyka oraz ich skutki, a następnie opisywać co mogłoby je zminimalizować. Jest to metoda tak dobra, jak każda inna, dopóki działa i jest regularnie stosowana (to czy działa bardzo łatwo jest rozpoznać – zła metoda sprawia, że nie jesteśmy w stanie przeprowadzić analizy, utykamy w połowie). Read More →

30 mar

Mity wokół RODO: nie będzie już zbiorów danych

Tyle razy już słyszałam „od maja nie będzie już zbiorów danych”, że postanowiłam napisać. Nie wiem jak powstała ta miejska legenda, jednakże chciałabym ją rozwiać. Najszybciej jak się da.  Sam tekst Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), czyli RODO odnosi się do przetwarzania danych osobowych w ramach zbiorów w wielu miejscach:

(Motyw 15) Aby zapobiec poważnemu ryzyku obchodzenia prawa, ochrona osób fizycznych powinna być neutralna pod względem technicznym i nie powinna zależeć od stosowanych technik. Ochrona osób fizycznych powinna mieć zastosowanie do zautomatyzowanego przetwarzania danych osobowych oraz do przetwarzania ręcznego, jeżeli dane osobowe znajdują się lub mają się znaleźć w zbiorze danych. Zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są uporządkowane według określonych kryteriów nie powinny być objęte zakresem niniejszego rozporządzenia. Read More →

19 mar

Zaktualizuj regulamin pod RODO

Zwracałam już uwagę na konieczność aktualizacji obowiązku informacyjnego pod RODO:

RODO: nowe obowiązki informacyjne wobec podmiotu danych

jednak niedawno zdałam sobie sprawę, że bardzo wiele osób w ogóle nie realizuje obowiązku informacyjnego, więc pewnie nie wie jak to zrobić.  Obowiązek informacyjny to nic innego, jak udzielenie osobie, której dane dotyczą informacji o zasadach przetwarzania jej danych oraz o tym, jakie prawa jej przysługują. Mówiąc krótko, żeby miała poczucie, że nawet jeżeli jej dane są przekazywane do podmiotu, który ma uprzywilejowaną pozycję (duża/bogata firma, urząd, szpital) to ma ona prawo do kontroli tego, czy jej dane są prawidłowo przetwarzane (w tym zabezpieczone) oraz może dochodzić swoich praw (co więcej może zrobić to w jej imieniu organ nadzoru). Read More →

12 mar

Zostań Inspektorem Ochrony Danych!

Dostaję już prawie masowo pytania o to, jak przekwalifikować się na Inspektora Ochrony Danych. Co bardzo pozytywne, coraz częściej piszecie, że temat „jest bardzo interesujący i wciągający”. A jakże! Bardzo ciekawy, a gdy już złapie się bakcyla i nabierze wiedzy oraz ogłady, jest także dochodowy.

Inspektor Ochrony Danych ma przed sobą niełatwe zadanie: nadzorowanie procesów przetwarzania danych u Administratora. Biorąc pod uwagę odpowiedzialność, ilość zadań oraz możliwe kary, nie powinni zajmować się tym Ci, którzy nie czują się naprawdę pewnie i nie mają wiedzy teoretycznej w małym palcu. Należy swoją przygodę rozpocząć od zapoznania się z przepisami zarówno aktualnych krajowych przepisów, jak i RODO (polecam w tej kolejności). Mogę także polecić bardzo dobre szkolenie dla Inspektorówstauo.pl,. Co więcej tym razem w Lublinie (żeby nie było, że zawsze w Warszawie). Prowadzi je naprawdę doskonały specjalista, czyli Łukasz Wojciechowski, który nie tylko pisze wspaniałego bloga ale jest też świetnym szkoleniowcem. Read More →

20 lut

Jakie wytyczne w zakresie zabezpieczenia danych daje RODO?

Mam nadzieję, że treść RODO staje się Wam coraz bliższa i coraz częściej sięgacie już do rozporządzenia, a nie starej ustawy o ochronie danych. Tym bardziej, że czasu na dostosowanie się do wymogów RODO jest coraz mniej. A zostawianie wszystkiego na ostatnią chwilę może sprawić, że zabraknie czasu. Pisałam już o tym, że jeżeli wdrożyliście już działające procedury bezpieczeństwa, to nie powinniście ich wyrzucać do kosza. RODO nie przewraca do góry nogami dotychczasowych rozwiązań, a proponuje ich rozwinięcie oraz doskonalenie. Czyli dostosowanie się do RODO, to przede wszystkim przejrzenie dotychczasowych rozwiązań, a następnie dostosowanie ich z uwzględnieniem ryzyk dla procesów przetwarzania. Read More →

04 lut

Jak zostać Inspektorem Ochrony Danych?

Wraz z ogólnym rozporządzeniem ochrony danych osobowych pojawiło się ogromne zapotrzebowanie na specjalistów odpowiedzialnych za nadzór nad procesami przetwarzania danych osobowych. RODO wymusza na wielu grupach administratorów danych obowiązek wyznaczenia inspektora ochrony danych, co za tym idzie niejako stwarza nowe miejsca pracy. Nie oszukujmy się, dzisiaj zapotrzebowanie na inspektorów jest większe niż liczba specjalistów, którzy mogliby sprostać wymaganiom tego zawodu (szczególnie w mniejszych miastach).

Zapotrzebowanie wpłynęło na zainteresowanie przekwalifikowaniem się do nowego zawodu. Read More →

21 sty

Czy ze względu na RODO należy na nowo wypełnić obowiązek informacyjny?

Wspominałam już o tym, że RODO bardzo rozszerza obowiązki informacyjne wobec osoby której dane dotyczą, który ma być w sposób jasny i zrozumiały informowany o swoich prawach. Jeżeli RODO wymaga, aby administrator danych podawał więcej informacji, niż dotychczas, czy oznacza to, że powinien on na nowo wypełnić obowiązek informacyjnych wobec osób, których dane zgromadził?
Może dodam, że obowiązek informacyjny jest jednym z najsłabiej realizowanych przez administratorów wymagań, wynikających z przepisów o ochronie danych osobowych (obecnie art. 24-25 ustawy o ochronie danych osobowych). Jeżeli nie wiesz, o czym mówię, poczytaj więcej na temat obowiązku informacyjnego tutaj.
Odpowiedź na pytanie z tytułu postu, wymaga krótkiej analizy zapisów RODO.
Po pierwsze zgodnie z motywem 61: Informacje o przetwarzaniu danych osobowych dotyczących osoby, której dane dotyczą, należy przekazać tej osobie w momencie zbierania danych, a jeżeli danych nie uzyskuje się od osoby, której dane dotyczą, lecz z innego źródła – w rozsądnym terminie, zależnie od okoliczności. Zgodnie z art. 12 ust. 1 RODO: Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Warto podkreślić, że forma ustna jest „formą na żądanie”, ponieważ jest to rozwiązanie, które nie daje możliwości udowodnienia, że administrator faktycznie wypełnił obowiązek informacyjny. Read More →

05 sty

Czy po wejściu RODO dotychczasowa dokumentacja bezpieczeństwa pójdzie do kosza?

Dostaję bardzo dużo pytań o to, czy po wejściu w życie RODO dotychczasowe polityki bezpieczeństwa  oraz instrukcje zarządzania systemami informatycznymi będą miały sens i czy w ogóle będą potrzebne. Krajowa ustawa z dnia 29 sierpnia 1997 roku o ochronie danych osobowych wskazywała wprost w art. 36 ust. 2 obowiązek prowadzenia dokumentacji, co więcej w przepisach wykonawczych do ustawy były szczegółowe wytyczne co powinna (minimum) zawierać dokumentacja, a po nowelizacji ustawy w 2015 roku pojawiły się także zasady prowadzenia rejestrów zbiorów danych osobowych oraz sposób realizowania nadzoru nad procesami przetwarzania przez ABI (które stanowiły także wytyczne dla administratorów danych, którzy nie powołali ABI).

Natomiast RODO w odróżnieniu od dotychczasowej ustawy nie daje jasnych wytycznych, a jedynie „wskazówki”. Wynika to z faktu, że lata stosowania sztywnych reguł, udowodniły że są one nieadekwatne do rzeczywistości (najczęściej za nią w ogóle nie nadążają), która wymaga bardzo kompleksowego i szerokiego podejścia do zagadnienia bezpieczeństwa informacji. Read More →