26 lip

Nadawca listu zgłasza naruszenie ochrony danych do UODO, w przypadku jego zagubienia

Myślę, że nie tylko mi spędza sen z powiek kwestia przesyłania dokumentów z danymi osobowymi (np. umów) tradycyjną pocztą lub poprzez firmę kurierską. I nie chodzi mi o koszty, a fakt, że te przesyłki zbyt często (jak na moje standardy) giną lub są przekazane niewłaściwej osobie. Nie ulega wątpliwości, że takie zdarzenie to naruszenie ochrony danych osobowych. Powstaje jednak pytanie, kto za nie odpowiada i powinien je (ewentualnie) zgłosić do organu nadzorczego?

Problem wynika przede wszystkim z faktu, że od nadania przesyłki, nadawca nie ma już żadnego wpływu na to, czy i w jaki sposób została dostarczona. Zatem to podmiot doręczający ponosi odpowiedzialność, za prawidłowe zrealizowanie usługi. Ale przesyłka nie trafi do adresata, to zagubieniu lub ujawnieniu podlegają dane, dla których administratorem jest nadawca.

Dotychczasowe opinie oraz stanowiska Prezesa UODO, wskazują na jednoznaczne podejście: naruszenie zgłasza nadawca, jako administrator danych zawartych w przesyłce.

Read More →
14 lip

Jeśli jesteś IOD i masz dosyć, ten wpis jest dla Ciebie.

Czy zawód IOD to nieunikniona frustracja i stres? Moim zdaniem bardzo wielu IOD towarzyszą właśnie takie emocje. Dzielą się nimi podczas naszych szkoleń i spotkań branżowych. Zresztą mi też czasami towarzyszą. Ale tak zupełnie szczerze, to gdy wcześniej zajmowałam się czymś innym, też pojawiały się uczucie bezsensu i beznadziejności tego co robię. Mimo, że lubię zajmować się ochroną danych osobowych, czasami ręce mi opadają i odechciewa się dalszej pracy. Jednak kluczowe jest, aby znaleźć sposób na pokonanie i przejście zawodowych kryzysów. Wiem, łatwo powiedzieć, trudniej zrobić. Ale od początku.

Od mniej więcej roku skupiam się głównie na szkoleniach i konsultacjach indywidualnych dla IOD. Są moim zdaniem sensowne, bo można przepracować konkretne zagadnienia oraz problemy, ale także uzyskać oczekiwane efekty. I w zasadzie na każdym spotkaniu jednym z kluczowych tematów do przepracowania jest komunikacja z administratorem i jego personelem, które nie działają i sprawiają, że praca IOD wydaje się bezsensowna. Zazwyczaj wygląda to tak, że IOD swoje, a reszta firmy swoje. Jest pomijany w kwestiach ochrony danych lub dodawany tylko dla zasady, bo i tak wszyscy wiedzą lepiej, jak coś zrobić. Mimo najlepszych intencji IOD, administrator nie ma dla niego czasu i nie chce go słuchać. Często też jest tak, że w firmach są kierownicy działów, którzy są królami tych działów i nie wpuszczają do swojego królestwa „psuja od RODO”. W takich patologicznych układach, szybko uznaje się, że IOD w zasadzie nie ma nic do roboty i dorzuca mu się innych obowiązków, które docelowo tak go angażują, że już w ogóle nie realizuje zadań wskazanych w RODO. Jednak nadal piastuje stanowisko inspektora, więc stresuje się tym, że nic nie robi, że nie ma nic wpływu. Obawia się wycieku danych, kontroli UODO, kar pieniężnych, odpowiedzialności za nierealizowanie swoich zadań.

Opisany przeze mnie układ występuje na tyle często, że Prezes UODO zainteresował się tematem i rozpoczął kontrole sposobu funkcjonowania IOD u administratorów. Jest to doby kierunek działania, bo ma pokazać administratorom, że ich obowiązki związane z wyznaczeniem inspektora i zapewnienia mu odpowiednich warunków pracy są ważne i mogą być w tym zakresie nie tylko skontrolowani, ale też ukarani.

Wracając do głównego tematu – jestem IOD i ma dosyć, co zatem zrobić? Rozwiązań jest kilka, lepszych i gorszych. Czasami te trudniejsze, mogą przynieść lepsze efekty.

Read More →
02 cze

Dostępy do PUE ZUS, czyli jak IOD otwiera puszkę Pandory

Zaczęło się od PUE ZUS. A właściwie od kary dla Banku Santander związanego z dostępem byłego pracownika do PUE ZUS. Jednak okazało się, że ustalanie użytkowników tego systemu, jest otwarciem puszki Pandory. Czytaj do końca, bo ten wpis jest bardzo pouczający i zapewne dowiesz się z niego, jak zrobić najbliższy audyt uprawnień do systemów informatycznych. I zdziwisz się, że wcześniej pewne rzeczy „nie przyszły Ci do głowy”.

Danie pracownikom dostępu do PUE ZUS, to tykająca bomba?

Niedawno zadzwonił do mnie kolega i poinformował o niezwykłym odkryciu. Okazało się, że w PUE ZUS nie ma możliwości sprawdzenia kto z naszej firmy ma aktywne lub nieaktywne konto użytkownika. Niby nic, ale jest to dość istotne, bo w praktyce jako IOD / administrator nie mamy możliwości zweryfikowania, czy dostępy użytkowników zostały odebrane skutecznie. Zweryfikowałam u moich klientów i faktycznie, w ich systemach także nie ma opcji sprawdzenia, kto aktualnie ma dostęp do systemu. W praktyce okazuje się, że dostępami zarządza administrator systemu, czyli ZUS. Ma to sens, gdy spojrzymy na obowiązki ZUS wynikające z ustawy o systemie ubezpieczeń społecznych, w zakresie zapewnienia bezpieczeństwa danych przetwarzanych w ramach systemu. Tak, to ZUS jest administratorem tych danych, a nie Płatnik (czyli firma, w której jesteś IOD).

Uprawnienia do PUE ZUS nadaje się i odbiera poprzez przekazanie do ZUS pełnomocnictwa (elektronicznie, listem lub osobiście). Jednakże samo przekazanie pełnomocnictwa nie stanowi potwierdzenia, że uprawnienia zostały odebrane. Przepisy, czy regulamin platformy nie określają też czasu, po jakim uprawnienia powinny być odebrane. Zapytałam się u źródła, jak to wygląda w praktyce. Otrzymałam (niezwykle szybko) odpowiedź:

Zasady, zakres i warunki korzystania przez Usługobiorców z portalu PUE ZUS określa Regulamin, o którym mowa w art. 8 ust. 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344). Zgodnie § 4 ust. 2 Regulaminu, dostęp do danych płatnika będącego osobą prawną lub jednostką organizacyjną nieposiadającą osobowości prawnej, może uzyskać osoba fizyczna, która ma zarejestrowany profil w portalu PUE ZUS i posiada stosowne pełnomocnictwo udzielone przez płatnika. Odwołanie tego pełnomocnictwa odbywa się w trybie natychmiastowym przez złożenie formularza PEL-O (odwołanie pełnomocnictwa).

Zapewne wewnętrzne procedury wymagają natychmiastowego działania po stronie ZUS, jednak wiem, że najsłabszym ogniwem każdego systemu bezpieczeństwa jest człowiek, który może mieć dużo innych obowiązków, który może tego dnia nie być obecny w pracy lub po prostu pomylić się. W praktyce pewnie większość administratorów (płatników) odwołuje pełnomocnictwo ostatniego dnia pracy pracownika. Można zatem założyć, że podpisany wniosek trafia do ZUS popołudniu. Czy faktycznie w urzędzie ktoś go natychmiast odbierze i zrealizuje? Co jeśli wniosek będzie wysłany w piątek popołudniu – czy zostanie zrealizowany w weekend? A jeśli zostanie przekazany osobiście lub tradycyjną pocztą, też zakładam, że minie kilka lub kilkanaście dni, zanim zostanie zrealizowany. I nie wynika to ze złej woli, ale z niewłaściwych procedur.

Dla mnie, jako IOD istotne jest to, że nie jestem w stanie stwierdzić, czy dostęp został już odebrany i nie mam na to żadnego wpływu. A także to, jak skutecznie udowodnić, że odwołało się pełnomocnictwo w ZUS? Jeżeli było to zrealizowane elektronicznie, należy pamiętać, że wniosek mógł już ulec archiwizacji w systemie i pozostaje jedynie UPO, które bez dokumentu źródłowego nic nie znaczy.

Read More →
11 maj

Monitoring wizyjny w sądzie – temat pozornie prosty

Kilka dni temu przechodziłam obok budynku sądu. Na ogrodzeniu była zawieszona tabliczka z grafiką kamery oraz klauzulą informacyjną skierowaną do osób objętych monitoringiem wizyjnym.

Klauzula na pierwszy rzut oka była w porządku i brzmiała mniej więcej tak:

„Administratorem Państwa danych osobowych jest sąd ……………., z siedzibą …………….. W sprawach dotyczących Państwa danych, w tym związanych z udostępnianiem nagrań z monitoringu, proszę kontaktować się z inspektorem ochrony danych e-mail ………….

Podstawą przetwarzania jest prawnie uzasadniony interes administratora, jakim jest zapewnienie bezpieczeństwa osób i mienia, a także ochrona informacji, do czego jest uprawniony na podstawie przepisów kodeksu pracy. Nagrania są przechowywane przez okres 30 dni. Więcej informacji dostępne jest na stronie www…..”

Moim zdaniem zamieszczenie jedynie pierwszej warstwy informacyjnej oraz odniesienie do strony internetowej sądu jest w porządku. W ogóle sama klauzula była napisana prostym i zrozumiałym językiem i dobrze realizowała ideę informowania osoby, której dane dotyczą, wynikającą z przepisów RODO. Duży plus za grafikę. Jednak, niestety klauzula zawierała dość istotny błąd, który burzył cały jej sens.

Read More →
08 kwi

Jak wyznaczyć administratora danych?

Temat wyznaczania administratora danych wraca do mnie jak bumerang. Często w kontekście zlecania usług jakiemuś podmiotowi i wyznaczenia go w związku z tym na administratora tych danych. Takie podejście świadczy o zupełnym niezrozumieniu funkcji administratora danych. Zgodnie z definicją (art. 4 RODO), administratorem jest ten kto decyduje o celach i sposobach przetwarzania. Czasami nazywa się go właścicielem danych – formalnie do niego należą. Wychodząc od samej definicji można zauważyć, że administrator może w ogóle nie mieć dostępu do danych. Może być tak, że zleca innemu podmiotowi ich zgromadzenie oraz wykonywanie różnych działań na danych. Mimo, że fizycznie w ogóle nie ma kontaktu z tymi danymi, w praktyce nic nie dzieje się bez jego wiedzy i zgody. Wykonawca nie zebrałby tych danych i nie pracowałby na nich, gdyby nie umowa z administratorem. Status administratora oznacza, że może zlecający zażądać zaprzestania przetwarzania, usunięcia danych lub przekazania do innego (nowego podwykonawcy). Nie można wykonawcy wyznaczyć na administratora tych danych, bo w praktyce działa na polecenie administratora.

Read More →
16 mar

Podstawy prawne przetwarzania danych w związku z pomocą uchodźcom z Ukrainy

W związku z brakiem odpowiednich przepisów na samym początku udzielania wsparcia obywatelom Ukrainy pojawiły się wątpliwości w zakresie ustalenia właściwej podstawy prawnej tego przetwarzania. Jest to szczególnie ważne w kontekście klauzul informacyjnych, które należy przekazać osobom, których dane przetwarzamy (w końcu nadal obowiązują nas przepisy RODO).

Podmioty publiczne, które gromadzą dane uchodźców w celu zapewnienia im pomocy, powinny wskazać, jako przesłankę legalizującą „interes publiczny, w związku z przepisami ustawy z dnia 12 marca 2022 r. o pomocy obywatelom Ukrainy w związku z konfliktem zbrojnym na terytorium tego państwa (Dz. U. poz. 583 z późn. zm.).”

Podmioty prywatne, które działają na polecenie podmiotów publicznych w zakresie bezpośredniej pomocy (tzn. zadanie zlecone), także będą wskazywać jako przesłankę legalizujacą przetwarzanie „interes publiczny, w związku z przepisami ustawy z dnia 12 marca 2022 r. o pomocy obywatelom Ukrainy w związku z konfliktem zbrojnym na terytorium tego państwa (Dz. U. poz. 583 z późn. zm.).”

Podmioty prywatne i osoby prywatne, które będą we własnym zakresie organizować pomoc, będą przetwarzać dane w oparciu o prawnie uzasadniony interes administratora. Tym interesem może być np. realizowanie celów statutowych (fundacje, stowarzyszenia). Oczywiście należy pamiętać, że jeżeli taka pomoc jest realizowana przez osobę fizyczną (także prowadzącą JDG) i ma czysto prywatny charakter, to przepisy RODO będą wyłączone, zgodnie z art. 2 ust. 2 lit. c RODO.

Read More →
28 lut

Jesteś IOD? Czas na działanie!

Pisałam w piątek, że rola wszystkich osób zajmujących się bezpieczeństwem informacji jest teraz kluczowa dla utrzymania ciągłości działania oraz uniknięcia masowej paniki. Jeśli jesteś IOD lub zajmujesz się bezpieczeństwem IT, musisz zadbać o odpowiednią komunikację i wsparcie w swojej organizacji.

Za CERT Polska: „W związku z napiętą sytuacją na Ukrainie 🇺🇦 oraz wprowadzeniem stopnia alarmowego CHARLIE-CRP, przygotowaliśmy rekomendacje dla obywateli i firm, których wdrożenie uważamy za konieczne. Zachęcamy do zapoznania się z nimi i podzielenia ze znajomymi. https://cert.pl/…/02/rekomendacje-cyberprzestrzen-ukraina/W szczególności zwracamy uwagę na konieczność weryfikacji informacji i nie powielanie ich w przypadku wątpliwości. Przypominamy, że każdą podejrzaną aktywność można nam zgłosić przez formularz na stronie incydent.cert.pl lub mailem na cert@cert.pl. Podejrzane SMS-y można nam przesłać bezpośrednio na numer 799 448 084.”

Co przekazać pracownikom?

W najbliższym kieruj do pracowników komunikację, np. mailową, z informacjami o aktualnych zagrożeniach, dementuj fałszywe informacje, zachęcaj do podejmowania działań zwiększających bezpieczeństwo, wysyłaj przypomnienia regularnie. Przykładowe komunikaty, które możesz wykorzystać:

Read More →
25 lut

Bezpieczeństwo informacji w dobie agresji na wschodzie

Być może Wam, tak samo jak mi, jest dzisiaj trudno się na czymkolwiek skupić. Dwa lata temu, wiosną zelektryzowała nas pandemia, teraz działania wojenne na Wschodzie.

W tym trudnym czasie dbanie o bezpieczeństwo i rzetelność informacji ma kluczowe znaczenie. Rosja prowadzi wojnę hybrydową, której częścią jest przede wszystkim dezinformacja i ataki hakerskie. Przeglądając media społecznościowe obserwuję narastanie tzw. Fake news, czyli spreparowanych wiadomości, zbudowanych na czymś, co częściowo jest prawdą. Ma to wywołać panikę wśród ludzi, która przełoży się na gospodarkę i rynki finansowe. Poza tym chodzi też o nasze zdrowie. Proszę sprawdzajcie każdą wiadomość.

Jeżeli ktoś po wejściu do Internetu widzi tylko i wyłączenie STRASZNE wiadomości, a poziom jego stresu już dawno przekroczył wszystkie granice, najpewniej jest W BAŃCE INFORMACYJNEJ. W taką bańkę łatwo wpaść, wystarczy, że kilka razy kliknie się tego typu materiał, później aplikacje podpowiadają już tylko takie wiadomości. Nie dajcie się wprowadzić w paranoję strachu. Jednym z rozwiązań może być wyczyszczenie historii przeglądania w programie lub przeglądarce (dostępne jest to zazwyczaj w ustawieniach). Po wyczyszczeniu program uczy się naszych zachowań na nowo, więc jeśli nie będziemy wchodzić na strony wywołujące stres, po prostu nie będzie na ich podpowiadać. Algorytmy zazwyczaj podpowiadają PODOBNE treści, więc łatwo wpaść w pętle. Polecam w tym czasie zamiast wiadomości, słuchać audiobooków lub kanałów naukowych (np. na YouTube polecam Wam kanał „Nauka to lubię”, mają też ciekawą stronę https://naukatolubie.pl/).

Read More →
14 lut

Zawiadomienie o naruszeniu – najczęstsze błędy i jak to zrobić prawidłowo

Naruszenie ochrony danych w pewnych okolicznościach wymaga zawiadomienia osoby, której dane dotyczą. Zgodnie z art. 34 RODO, administrator musi przekazać zawiadomienie, jeżeli naruszenie może powodować wysokie ryzyko negatywnych skutków dla osoby, której ono dotyczy. Natomiast ja przy większości naruszeń, niezależnie od oceny ryzyka, rekomenduję dokonać zawiadomienia. Uważam, że rzetelna informacja o tym co się stało, jest ważna. Pozwala zrozumieć na czym polegało zdarzenie, jakie mogą być jego konsekwencje i zapewnić lepszą kontrolę nad danymi. Często też zwracam moim klientom uwagę na to, że przekazanie takiej informacji jest po prostu profesjonalne, tym bardziej, gdy osoba, której dane dotyczą wie o naruszeniu jej danych osobowych (a często tak jest). Po kilku latach doświadczeń w zgłaszaniu naruszeń do Prezesa UODO oraz zawiadamianiu osób, których dane dotyczą, nauczałam się jak to robić prawidłowo (hej, nie udawajcie, że Wy od razu wszystko potraficie i wiedzieliście jak to zrobić).

Zawiadomienie nie jest konieczne, gdy osoba, której dotycz już o nim wie

FAŁSZ. To chyba najczęściej przekazywany mi argument przez różnych administratorów oraz IOD. Osoba, której dotyczy naruszenie wie o nim (najczęściej w nim uczestniczyła), zatem jaki jest sens przekazywania jej zawiadomienia? Sama wiedza o tym, że doszło do naruszenia nie oznacza, że ta osoba, wie jakie mogą być jego negatywne konsekwencje i co może zrobić, aby zminimalizować ryzyko. Zatem nawet w tej sytuacji, trzeba przekazać informacje wymagane art. 34 RODO.

Zawiadomienie nie jest konieczne, gdy naruszenie dotyczy jednej osoby

FAŁSZ. Nie wiem skąd wzięło się przekonanie, że naruszenie musi dotyczyć większej liczby osób, żeby wiązało się z wysokim ryzykiem, a tym samym wymagało zawiadomienia. Nie ma znaczenia, czy naruszenie dotyczy 1 czy 1000 osób. Jeżeli zdarzenie może nieść wysokie ryzyko negatywynych skutków, nawet jeżeli dotyczy tylko jednej osoby, należy poinformować ją o naruszeniu ochrony jej danych.

Read More →
19 sty

Przetwarzanie danych przez poradnie psychologiczno-pedagogiczne bez zgody

Pisałam ostatnio o problematycznej zgodzie na przetwarzanie danych osobowych w związku z kasami zapomogowo pożyczkowymi, wymaganej ustawą, jednak warto podkreślić, że podobnych problematycznych zgód, można znaleźć więcej w przepisach. I za każdym razem taka obligatoryjna zgoda, gdy przetwarzanie danych jest wyraźnie uregulowane w przepisach, stwarza więcej problemów, niż daje korzyści. Przykładem może być konieczność pozyskiwania zgody wnioskodawcy na przetwarzanie danych przez poradnię psychologiczno-pedagogiczną, na wniosku o wydanie orzeczena lub opinii, wymaganej par. 2 ust. 6 pkt 1 rozporządzenia MEN w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych. Pomijając to, że treść zgody odnosiła się do już uchylonej ustawy z 97 roku, warto zwrócić uwagę, że w tym wypadku w ogóle nie była ona potrzebna, a mogła stanowić duży problem, w związku z prawem do wycofania zgody w dowolnym momencie. Opieranie tego przetwarzania na zgodzie, utrudniało działanie poradni i budziło wiele wątpliwości interpretacyjnych.

Zmiana została wprowadzona w wyniku wystąpienia UODO z września 2021 r. do MEN, dotyczącego problematyki zbyt słabego uregulowania w przepisach prawa kwestii związanych z przetwarzaniem danych przez poradnie. W szczególności UODO wskazało, że przetwarzanie danych powinno w tym wypadku opierać się na przepisach prawa. W związku z tym 30 listopada 2021 dokonano nowelizacji rozporządzenia, usuwając zapis dotyczący wyrażania zgody na wniosku o orzeczenie lub opinię z poradnii.

Read More →