Autor: Natalia Groszyk

RODO – kilka chwil od rozpoczęcia obowiązywania

28 maja 2018 roku – pierwszy poniedziałek po „weekendzie RODO” w polskiej rzeczywistości. Urywające się telefony, niewydolne i przeciążone systemy, oblegane punkty informacji, niezliczone ilości maili i pytań – koniec świata!

Czy rzeczywiście?

Tak i nie, bo końca świata nie było, ale drgnęło, a nawet tąpnęło! Zwłaszcza jeśli przyjrzeć się zalewającej nas zewsząd fali obowiązku informacyjnego (realizowanego nie, zgodnie z wymogiem, w trakcie lub przed pozyskaniem danych osobowych, ale „wstecznie” wobec danych już przetwarzanych i wobec danych do kontaktów służbowych), przesyłanych we wszystkie strony umów powierzenia przetwarzania danych osobowych (często niezasadnych lub niewłaściwie określających role w procesie przetwarzania danych osobowych) oraz atakujących nas na niemal wszystkich stronach internetowych klauzulach informacyjnych lub politykach prywatności, bez zapoznania się z którymi, nie jesteśmy w stanie przeglądać witryn. Choć i z tych zmian płyną pewne korzyści; wielu a nas bowiem dowiedziało się, którzy administratorzy i w jakim celu przetwarzają nasze dane osobowe, co ułatwiło masową wysyłkę sprzeciwów wobec przetwarzania danych w celach marketingowych i cofnięć wyrażonych przed 25 maja zgód.

Nasz lokalny ustawodawca zdążył uchwalić polską ustawę o ochronie danych osobowych, uchwalono także „SPROSTOWANIE do RODO” (dostępne w naszej zakładce „TEKST GDPR/RODO ”), część przedsiębiorców zdążyła się dostosować do wymogów RODO, część jest w trakcie, a u części obudziło się poczucie konieczności dostosowania. Europejska Rada Ochrony Danych odbyła już pierwsze posiedzenie, a nasz organ nadzorczy – Urząd Ochrony Danych Osobowych, uruchomił nową stronę internetową pod linkiem: uodo.gov.pl. PUODO rozwiał tym samym wszelkie wątpliwości dotyczące sposobu, trybu i terminu zgłaszania incydentów, skarg oraz powiadomień o powołaniu inspektorów ochrony danych.

Z całą pewnością nikt z nas, rozpoczęcia stosowania RODO nie przeoczył.
I chyba trochę o to chodziło.

Bo myślę, że chodzi o świadomość, o niezapominanie o tym, że dane osobowe są wartością, są dobrem regulowanym w aktach prawnych i dobrem, które zgodnie z tymi aktami powinno być chronione. Ochrona danych osobowych jest naszym przywilejem i jednocześnie obowiązkiem. Mam też nadzieję, że w ramach trwającego „szumu” i zamieszania wokół RODO, uda się nam wszystkim, administratorom danych, podmiotom przetwarzającym i wreszcie podmiotom danych, odnaleźć rozsądek i stosować działania skierowane nie na zatrzymywanie, czy utrudnianie prowadzenia biznesu, ale na uwzględnianiu w trakcie jego prowadzenia kwestii zabezpieczających dane osobowe. I również na takie zdrowe podejście Urzędu Ochrony Danych Osobowych wszyscy liczymy.

Kary administracyjne zgodnie z nowymi Wytycznymi Grupy Roboczej Artykułu 29

Możliwość nakładania kar przez organ nadzorczy (w Polsce PUODO) jest jedną z kluczowych zmian, którą wprowadza RODO. Wysokość kar sprawia, że mogą być one bardzo dotkliwe dla przedsiębiorstw, które naruszą przepisy dotyczące ochrony danych osobowych. W artykule 82 RODO określony został szereg okoliczności, które organ nadzorczy powinien wziąć pod uwagę decydując o nałożeniu oraz wysokości nałożonej kary. Ustalenie wysokości kar stanowi swoiste novum na gruncie przepisów unijnych, dlatego Grupa Robocza Artykułu 29 wydała wytyczne dla organów nadzorczych w sprawie ustalania wysokości kar administracyjnych, precyzując okoliczności wykonania przez PUODO swoich uprawnień w tym zakresie. Nasuwa się więc pytanie, czy przedsiębiorcy mogą podjąć jakieś kroki w celu uniknięcia lub złagodzenia kary w przypadku zidentyfikowania naruszenia?

Zgodnie z nowymi wytycznymi działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez podmioty danych, są najbardziej istotne w przypadku ustalania wysokości kary, a w sytuacjach spornych mogą nawet rozstrzygnąć czy kara zostanie nałożona czy udzielone zostanie jedynie upomnienie. Grupa Robocza wskazuje, że kroki podjęte przez organizację mogą obejmować w szczególności poinformowanie innych administratorów oraz procesorów, którzy mogą być zaangażowani w naruszenie oraz podjęcie w odpowiednim czasie działań powodujących ustanie skutków naruszenia.

Przedsiębiorcy są zobowiązani do współpracy z organem nadzorczym w przypadku wykrycia przez organ naruszenia. Stopień takiej współpracy, mimo wskazania go w artykule jako przesłanki, nie będzie miał znaczącego wpływu na decyzję organu o karze. Działania organizacji podczas współpracy z organem, które sprawiły, iż znacząco zostały ograniczone skutki takiego naruszenia lub wpływ naruszenia na podmioty danych został znacząco ograniczony, mogą jedynie w ograniczonych przypadkach stanowić okoliczność łagodzącą.

RODO nakłada na przedsiębiorców obowiązek zgłaszania naruszenia do organu nadzorczego, dlatego również samo zgłoszenie takiego naruszenia do organu nie będzie miało wpływu na zmniejszenie wymiaru kary. Z kolei samo zaniechanie wypełnienia tego obowiązku może spowodować zwiększenie wysokości kary.

Kary administracyjne wyrażone w RODO, mają w założeniu prawodawcy unijnego, zapewnić faktyczną możliwość egzekwowania przez organy nadzorcze przepisów rozporządzenia. Nie wiadomo jak będzie kształtować się praktyka co do nakładania i ustalania wysokości kar. Przedsiębiorcy powinni stosować przepisy RODO w swojej organizacji, by uniknąć ewentualnych, dotkliwych sankcji.

Przejrzystość i tryb korzystania z praw w RODO

RODO, rozszerzając katalog praw przysługujących osobom, których dane są przetwarzane, uregulowało również kwestie związane z procedurą ich wykonywania. Realizacja praw podmiotów danych powinna być oparta na zasadzie przejrzystości informowania i przejrzystości komunikacji (art.12 RODO).

Każda informacja skierowana do konkretnej osoby czy też osób, których dane dotyczą, powinna być zwięzła, łatwo dostępna i zrozumiała. Stosownie do zaleceń Grupy Roboczej Art. 29 (WP 260 – Wytyczne dotyczące przejrzystości na mocy Rozporządzenia 2016/679) administrator powinien unikać skomplikowanych form językowych, stosować terminologię specjalistyczną tylko w niezbędnym do tego zakresie (dotyczy to również terminologii prawniczej), a w przypadku informacji udzielanej w języku obcym, dbać o jakość tłumaczenia oraz stosować przejrzystą strukturę tekstu.

Istotna jest także forma komunikacji.

Administrator udziela odpowiedzi podmiotowi danych na piśmie lub w inny sposób, w ramach którego może się z nim kontaktować. Jeśli osoba, przekazała swoje żądanie elektronicznie, administrator w miarę możliwości przekazuje dane również w formie elektronicznej – chyba, że osoba, której dane dotyczą, zażąda innej formy.

Administrator, który ma uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, może żądać dodatkowych informacji niezbędnych do potwierdzenia jej tożsamości. Potwierdzenie tożsamości jest niezbędne w przypadku, gdy osoba składająca żądanie wnosi o udzielenie informacji w formie ustnej.

Art. 12 RODO określa również termin, w którym powinna nastąpić realizacja żądania podmiotu danych – bez zbędnej zwłoki jednak nie później niż w terminie miesiąca od otrzymania żądania. Jeżeli żądanie ma charakter skomplikowany lub z uwagi na ilość żądań nie jest możliwe, by administrator we wskazanym powyżej terminie zrealizował skierowane do niego żądanie, termin ten może zostać przedłużony o kolejne dwa miesiące, przy czym o przyczynach opóźnienia należy poinformować osobę kierującą żądanie.

Jeżeli w ciągu miesiąca od skierowania żądania administrator nie podjął żadnych działań – zobowiązany jest do poinformowania o przyczynach takiego zaniechania osobę, która żądanie wniosła oraz o możliwości wniesienia przez nią skargi do organu nadzorczego jak również o możliwości sądowej ochrony jej praw.

Co do zasady osoba, które dane są przetwarzane ma prawo do bezpłatnego korzystania z przysługujących jej praw. Jeżeli jednak żądania osoby są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter – administrator może odmówić podjęcia działania w związku z żądaniem albo pobrać rozsądną opłatę. Opłata powinna być ściśle związana z kosztami administracyjnymi udzielenia informacji, prowadzenia komunikacji lub realizacji żądania.

Narzędzia open source wspierające monitorowanie i obsługę incydentów bezpieczeństwa dla rozwiązań IT

Niezależnie od tego czy mamy do czynienia z małą firmą, czy dużą korporacją, liczba incydentów związanych z bezpieczeństwem rośnie z roku na rok. Wszystkie incydenty potrzebują skutecznego zarządzania. W szczególności te, które skutkują koniecznością sięgania po środki nadzwyczajnej rangi, takie jak plany utrzymania ciągłości działania firmy. Jak zatem skutecznie monitorować i przeciwdziałać incydentom bezpieczeństwa?

Rozważania warto rozpocząć od przyjrzenia się narzędziom, które mogą okazać się pomocne w skutecznym wykrywaniu incydentów, ich segregacji, ich ograniczeniu i reagowaniu na nie. Rozwiązania, których wdrożenie może mieć istotny wpływ na bezpieczeństwo systemów IT, można podzielić na siedem klas narzędzi:

1. Ochrona

Jedną z pierwszych linii obrony przed atakami, tuż za zaporami sieciowymi, stanowią systemy klasy IDS/ IPS (Intrusion Detection and Prevention Systems). Mają one za zadanie w czasie rzeczywistym monitorować aktywność sieci i serwerów pod kątem wykrywania prób potencjalnych włamań i naruszeń bezpieczeństwa. Działanie tych systemów opiera się na analizie sygnaturowej i heurystycznej pakietów danych oraz porównaniu ich do znanych typów ataków. W przypadku wykrycia aktywności uznanej za złośliwą, system ma możliwość zablokowania takiej transmisji.

Aplikacje webowe możemy chronić dodatkowo systemami klasy WAF (Web Application Firewall). Praca tych systemów polega na sprawdzaniu żądań HTTP, a następnie dzięki zestawowi reguł, np. obejmujących luki OWASP Top 10, blokowaniu takiego ruchu lub jego przepuszczaniu. Przykładowymi atakami z OWASP Top 10 są np. SQL injection czy XSS.

Wśród popularnych narzędzi typu IDS/ IPS znajdują się Snort, OSSEC, natomiast narzędziem typu WAF jest ModSecurity.

2. Logi

Dzienniki aktywności są bogatym źródłem informacji o tym, co dzieje się w naszym środowisku IT, w szczególności w sieci i systemach. W praktyce przeglądanie każdego dziennika z osobna jest skrajnie nieefektywne i nie pozwala na sprawne wyciąganie sensownych wniosków. Tym bardziej, że z reguły odpowiedzialność za te przeglądy jest rozproszona na wiele osób, np. administratorów poszczególnych systemów i urządzeń. W takich sytuacjach warto stosować systemy zwane SIEM (Security Information and Event Management). Zadaniem SIEM jest zebranie w jednym miejscu wszystkich logów i ich analiza jednocześnie z korelacją zdarzeń pomiędzy nimi. W efekcie otrzymujemy spójny i przejrzysty obraz sytuacji, a co więcej, wszelkie zagrożenia są wychwytywane w dużo szybszym tempie.

Przykładem narzędzia typu SIEM jest OSSIM.

3. Sprawdzanie podatności

Automatyczne skanery podatności identyfikują potencjalne luki w systemach IT, dzięki czemu można na czas wdrożyć działania naprawcze. To pozwala w znaczący sposób minimalizować obszary ryzyka. Działanie skanerów opiera się na sprawdzeniu czy wersje komponentów wykorzystywanych przez nasze systemy znajdują się w bazie znanych podatności CVE (Common Vulnerabilities and Exposures).

Przykładem takiego skanera jest OpenVAS.

4. Monitoring

Niezbędne jest stałe monitorowanie wszystkich krytycznych komponentów infrastruktury w tym aplikacji, usług, systemów operacyjnych, protokołów sieciowych, wybranych wskaźników czy infrastruktury. Monitorowanie dostępności jest niezwykle ważne i pomocne, ponieważ przerwa w działaniu aplikacji lub usług może być pierwszą oznaką incydentu bezpieczeństwa.

Przykład narzędzi: Nagios, Zabbix.

5. Inwentaryzacja sieci

Rozumienie swojego środowiska IT pozwala skutecznie reagować na zagrożenia płynące z sieci wewnętrznej. Najlepszym sposobem na to jest automatyczne wykrywanie zasobów i ich inwentaryzacja. Dzięki temu rozwiązaniu wiemy ile i jakie urządzenia są obecne w sieci oraz jakie oprogramowanie jest na nich zainstalowane. Pozwala nam to na eliminowanie źródeł potencjalnych ataków, np. niewspierane lub nieaktualne wersje systemów operacyjnych i programów, zanim faktycznie do nich dojdzie.

Przykład narzędzia: OCS Inventory.

6. Materiały dowodowe

W przypadku, gdy dojdzie już do incydentu bezpieczeństwa istotne jest sprawne zidentyfikowanie, odzyskanie, zachowanie i analiza sekwencji wydarzeń, które do niego doprowadziły. Ma to kluczowe znaczenie dla zidentyfikowania i naprawienia pierwotnej przyczyny. Zgromadzone dowody mogą również wspierać wszelkie działania dyscyplinarne lub prawne, np. zawiadomienie odpowiednich służb i organów nadzorczych.

Przykłady narzędzi: SANS SIFT, Sleuthkit.

7. Człowiek

System klasy Service Desk może mieć kluczowe znaczenie w organizacji w zakresie informowania służb IT o potencjalnych źródłach incydentów. Najbardziej podstawową formą kontroli bezpieczeństwa jest wykształcony i świadomy pracownik. Użytkownicy powinni być świadomi swoich obowiązków i sposobu w jaki mogą zgłaszać incydenty i reagować na nie. Co więcej powinni być wręcz zachęcani do zgłaszania wszelkich słabych punktów związanych z bezpieczeństwem tak szybko jak to możliwe.

Przykładem narzędzia do obsługi zgłoszeń jest OTRS.

Podsumowanie

Ochrona przed cyberzagrożeniami staje się poważnym problem dla wielu organizacji. Dlatego przedstawione propozycje narzędzi typu open source mogą stanowić filar budowy systemu zarządzania incydentami bezpieczeństwa. Oczywiście nic nie stoi na przeszkodzie, aby sięgać po rozwiązania komercyjne. Niezależnie jednak od tego, jakie systemy zdecydujemy się zaimplementować wewnątrz naszej organizacji, ważne jest, aby stale śledzić i monitorować informacje o nowych zagrożeniach jakie pojawiają wokół nas.

 

Źródło: „Magazyn ODO” 2018

„Nadmiarowe” dane osobowe

W RODO znacznie szerzej niż w dotychczasowej praktyce zostały zdefiniowane dane osobowe – są to zgodnie z art. 4 ust. 1 RODO: informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Niektóre dane staną się więc od 25 maja „danymi nadmiarowymi”, a organizacja, jako administrator danych, będzie musiała się ich pozbyć (np. poprzez ich usunięcie). Dotyczy to przykładowo:

  • Danych osobowych, na których przetwarzanie firma nie ma odpowiednich, wyrażonych w sposób ważny zgód, a zgoda właśnie stanowi podstawę ich przetwarzania;
  • Danych osobowych, które nie spełniają zasady adekwatności (zakres przetwarzanych danych osobowych powinien być niezbędny i możliwie ograniczony ze względu na cele przetwarzania);
  • Nowych kategorii danych osobowych wprowadzanych przez RODO (np. numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub zbiór kilku czynników jednoznacznie identyfikujących tożsamość osoby fizycznej);
  • Danych osobowych, dla których podmioty danych cofnęły zgodę na przetwarzanie lub ograniczyli zakres przetwarzania;
  • Danych, które samoistnie nie stanowią danych osobowych, ale w powiązaniu z innymi danymi (np. ogólnie dostępnymi) pozwalają na powiązanie z konkretną osobą fizyczną.

Kwestia danych nadmiarowych jest jednym ze słabiej zaadresowanych problemów u klientów – nawet w dużych organizacjach istnieje zagrożenie wykasowania wartościowych biznesowo danych, służących przykładowo do planowania działań marketingowych. Taki problem może być szczególnie dotkliwy dla firm z branży e-commerce, czy też szeroko pojętych usług finansowych.

Utrzymanie maksimum dozwolonej prawem zawartości informacyjnej jest możliwe. Rozwiązaniem są tutaj meta-modele danych oraz przetworzenie danych źródłowych, a także zastosowanie środków takich jak:

  • Anonimizacja danych osobowych (w tym randomizacja lub uogólnienie danych – np. agregacja);
  • Pseudonimizacja;
  • Tworzenie modeli reprezentatywnych do modelowania zachowania klientów na bazie osób, dla których uzyskano zgody na przetwarzanie danych (w niezbędnym dla celu analiz zakresie);
  • Tworzenie modeli uniwersalnych, które pozwolą na analizowanie zachowania klientów na bazie dotychczasowego oraz docelowego zbioru danych osobowych.

Celem powyższych działań jest zachowanie, a nawet zwiększenie wartości informacyjnej obecnych danych, np. na potrzeby istniejących i przyszłych modeli analitycznych. W szczególności dotyczy to „danych nadmiarowych”, których przetwarzanie po wejściu RODO będzie się wiązało z dużym ryzykiem.

Anonimizacja danych osobowych

W przypadku anominizacji, jako modelowej metody pozbycia się nadmiaru danych osobowych, jej skuteczność może być osiągnięta tylko poprzez ich usunięcie w sposób uniemożliwiający identyfikację konkretnej osoby. Istotą anominizacji jest nie tylko techniczny aspekt usuwania, ale również, a może przede wszystkim, wybór danych osobowych, jakich ten proces dotyczy. A zatem każda informacja, która może mieć znaczenie dla wyodrębnienia i rozpoznania podmiotu danych, powinna podlegać szczegółowej ocenie, której wynik będzie decydował o wykonaniu optymalnej anominizacji.

Certyfikacja i akredytacja na gruncie RODO

Nowelizacja przepisów dotyczących ochrony danych osobowych wprowadza nowość w zakresie standardów ochrony danych w postaci certyfikatów potwierdzających zgodność podmiotu z przepisami o ochronie danych. Certyfikaty mają zachęcać administratorów danych i podmioty przetwarzające do wdrażania ochrony danych do ich organizacji i postępowania w zgodzie z przepisami. Mechanizmy certyfikacji i akredytacji ustanowione w RODO i właściwych przepisach krajowych mają służyć realizacji tego celu.

RODO wskazuje, że wszelkie certyfikaty i znaki jakości wydawane na tej podstawie powinny podlegać rejestracji przez Europejską Radę Ochrony Danych ( „EROD”), na którą nałożono obowiązek prowadzenia rejestru wszystkich mechanizmów certyfikacji, znaków jakości i oznaczeń w dziedzinie ochrony danych. Warto wspomnieć, że podmiotami akredytowanymi, inaczej mówiąc uprawnionymi do udzielania certyfikacji, na gruncie RODO będą organy nadzorcze państw członkowskich Unii Europejskiej oraz krajowe jednostki akredytujące określone zgodnie z Rozporządzeniem nr 765/2008 i dodatkowymi wymogami wskazanymi przez organy nadzorcze.

Organizacja może zostać akredytowana do udzielania certyfikacji, gdy:

  • W sposób satysfakcjonujący wykaże organowi nadzorczemu swoją niezależność i wiedzę fachową w dziedzinie ochrony danych osobowych;
  • Zobowiąże się do przestrzegania kryteriów certyfikacji określonych przez organ nadzorczy lub EROD;
  • Dysponuje procedurami wydawania, okresowego przeglądu i cofania certyfikacji, znaków jakości i oznaczeń w dziedzinie ochrony danych;
  • Dysponuje procedurami i strukturami, które pozwalają rozpatrywać skargi na naruszenie warunków certyfikacji i które zapewniają przejrzystość tych procedur i struktur dla osób, których dane dotyczą i dla opinii publicznej;
  • Wykaże organowi nadzorczemu, że jej zadania i obowiązki nie powodują konfliktu interesów.

Podmioty certyfikujące dokonują oceny organizacji administratora lub procesora przed udzieleniem lub cofnięciem certyfikacji bez uszczerbku dla obowiązków w zakresie przestrzegania postanowień RODO. W ten sposób ustawodawca unijny chciał uniknąć kumulacji kompetencji kontrolera i certyfikującego w jednym ciele. Nietrudno bowiem wyobrazić sobie sytuację, kiedy to w trakcie procedury certyfikacyjnej wykryte zostaną nieprawidłowości mogące skutkować sankcją na gruncie RODO. Takie sformułowanie procedury pozwala, przynajmniej w teorii, liczyć na wstrzemięźliwość certyfikującego, nawet jeśli jest nim organ nadzorczy.

Istotnym elementem jest także możliwość cofnięcia certyfikacji w przypadku gdy podmiot przestał spełniać pierwotne wymogi. Istotna jest w tym kontekście możliwość reagowania podmiotów akredytujących  na skargi osób, których dane dotyczą i bieżącego sprawdzania przestrzegania przepisów ochrony danych przez podmioty certyfikowane. Certyfikacja jest udzielana na maksymalnie pięć lat i po tym czasie powinna zostać odnowiona.

Wpływ RODO na zmiany w Kodeksie Pracy

Nowe Rozporządzenie o ochronie danych osobowych (RODO) niejako wymusiło na lokalnym ustawodawcy wprowadzenie zmian do wielu obowiązujących aktów prawnych. Duże zmiany zapowiada projekt Kodeksu Pracy, który także będzie musiał zostać dostosowany do wymogów Rozporządzenia.

Nowelizacja dotyczyć ma przede wszystkim art. 221kp, który mówi o zasadach przetwarzania przez pracodawców danych kandydatów do pracy oraz pracowników.

Zgodnie z nowymi zapisami zmianie ulegnie zakres danych, jaki pracodawca będzie mógł pozyskać w procesie rekrutacji. Do danych tych należeć będą: imię i nazwisko kandydata, adres do korespondencji, data urodzenia, adres poczty elektronicznej lub numer telefonu, wykształcenie oraz przebieg dotychczasowego zatrudnienia. Katalog ten nie zawiera już imion rodziców oraz miejsca zamieszkania.

Natomiast od pracownika pracodawca będzie mógł żądać podania: numeru PESEL, adresu zamieszkania oraz innych danych osobowych pracownika, a także danych osobowych dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień, przewidzianych w prawie pracy. Zaznaczyć należy, iż pracodawca, chcąc przetwarzać dane wychodzące poza zakres wskazany w projekcje ustawy, musi uzyskać odrębną zgodę pracownika na przetwarzanie tych danych.

Istotne jest, iż pracodawca żąda podania informacji wymienionych powyżej, zatem nie musi on pozyskać zgody na ich przetwarzanie. Podstawą prawną do przetwarzania tych danych będzie wykonanie ciążącego na pracodawcy obowiązku.

Projekt ustawy reguluje również kwestie monitoringu wizyjnego w miejscu pracy. Pracodawca będzie mógł wykorzystywać monitoring jedynie w celu zapewnienia bezpieczeństwa, ochrony mienia i zachowania w tajemnicy informacji, których ujawnienie może narazić pracodawcę na szkody. Pracodawca nie może stosować monitoringu w celu kontroli pracy pracowników oraz w miejscach, które nie są miejscami przeznaczonymi do wykonywania pracy, np. szatnie, stołówki, miejsca sanitarne. Ponadto pracodawca nie musi pozyskać zgody pracowników, ale musi on poinformować ich o stosowaniu monitoringu w miejscu pracy.

Kolejną istotną kwestią, do której odnosi się ustawodawca, to dane biometryczne. Zgodnie z propozycją nowych zapisów pracodawca będzie miał prawo przetwarzać dane biometryczne pracownika jedynie za jego zgodą. Dodatkowo zgoda ta musi być wyrażona w formie pisemnej. Natomiast pracodawca nie będzie mógł żądać danych biometrycznych od kandydata do pracy. Warto zaznaczyć, iż pracodawca musi zapewnić odpowiednie środki techniczne i organizacyjne w celu ochrony danych kandydatów do pracy i pracowników. Jednak w przypadku przetwarzania danych biometrycznych, powinien on szczególnie zadbać o ich ochronę.

Okres przechowywania danych osobowych

Jedną z podstawowych zasad przetwarzania danych osobowych według RODO jest ograniczenie przechowywania danych. Zgodnie z tą zasadą, administratorzy danych mogą przetwarzać dane osobowe nie dłużej niż jest to niezbędne dla osiągnięcia celów przetwarzania. Zasada ta ma na celu, zgodnie z duchem RODO, zapobiegać przetwarzaniu danych, które nie są administratorom niezbędne.

Jakie konsekwencje dla administratorów niesie za sobą ta zasada?

Przede wszystkim dane osobowe należy usunąć, gdy nie są już potrzebne dla osiągnięcia celów przetwarzania. Należy również określić czas retencji, czyli przechowywania danych osobowych. Ustalenie okresu retencji oraz momentu, od którego dane osobowe nie są dłużej niezbędne dla osiągnięcia celów przetwarzania, może okazać się problematyczne w obrocie gospodarczym. W pewnych sytuacjach, wskazówek dotyczących okresów przechowywania danych można szukać w szczególnych przepisach prawa. Ustawa o rachunkowości pomoże na przykład określić terminy retencji dla dowodów księgowych, a przepisy prawa pracy będą pomocne przy określeniu terminów retencji dokumentacji pracowniczej.

Nie zawsze jednak istnieje możliwość posiłkowania się przepisami prawa przy ustalaniu okresu retencji. Niestety nie wszystkie niezbędne terminy przechowywania dokumentów, uda się odnaleźć i zaimplementować wprost z aktów prawnych. Dobry przykład stanowi korespondencja, w przypadku której inny okres retencji należałoby określić dla przesyłek poleconych, które mogą zostać wykorzystane jako dowód w postępowaniu sądowym oraz przesyłek zwykłych, dla których nie ma podstaw dla porównywalnie długiego okresu przechowywania.

Administratorzy danych powinni już teraz zweryfikować swoje procesy przetwarzania, aby określić terminy retencji danych osobowych. Już 25 maja 2018 roku obowiązywać zacznie RODO, które przewiduje surowe kary za nieprzestrzeganie przepisów dotyczących ochrony danych osobowych, również w odniesieniu do terminów retencji przetwarzanych danych.

Zasada One stop shop w RODO

Porządek prawny Unii Europejskiej pozwala przedsiębiorstwom na nieskrępowane prowadzenie działalności w innych państwach członkowskich, wprowadzając zakazy ograniczeń w tym zakresie. Podobnie jest z ochroną danych osobowych. RODO zapewnia swobodny przepływ danych osobowych pomiędzy granicami państw członkowskich UE. Jak natomiast wyglądają obowiązki administratora danych osobowych w przypadku działalności prowadzonej w kilku państwach członkowskich jednocześnie? Czy przykładowo, w przypadku wystąpienia naruszenia ochrony danych osobowych administrator powinien powiadomić o tym organ nadzorczy w każdym z państw członkowskich w którym prowadzi działalność? Na te pytania odpowiedź stanowi zasada „One stop shop”.

Dotychczas administrator danych podlegał tylu organom nadzorczym ochrony danych osobowych, w ilu państwach członkowskich prowadził działalność gospodarczą. RODO wychodzi pod tym względem naprzeciw interesom przedsiębiorców i ustala zasadę podlegania jednemu organowi nadzorczemu na terenie całej UE, niezależnie od ilości państw, na terenie których działa firma. Właściwość organu nadzorczego w UE dla administratorów i procesorów ustala się według kryterium siedziby, lub głównej jednostki organizacyjnej, co oznacza, że w państwie członkowskim, w którym administrator podejmuje decyzje o celach i sposobach przetwarzania danych, mieści się właściwy dla administratora organ nadzorczy. Natomiast, gdy siedziba administratora znajduje się poza EOG, właściwym organem będzie organ państwa członkowskiego, w którym odbywają się główne czynności przetwarzania w Unii.

Należy zaznaczyć, że zasada „one stop shop” odnosi się także do obywateli Unii. Dla przykładu, gdy obywatel jednego państwa członkowskiego chce zgłosić naruszenie dokonane przez administratora, którego właściwy organ nadzorczy znajduje się w innym państwie członkowskim, to może to uczynić w „swoim”, lokalnym organie nadzorczym. Tak więc, organ nadzorczy będzie tutaj właściwy dla czynności przetwarzania odbywającej się w danym państwie członkowskim, natomiast w sprawie obowiązków administratora właściwy będzie nadal organ nadzorczy właściwy dla siedziby firmy.

Sposób działania zasady „one stop shop” spaja niejako obowiązek współpracy między organami nadzorczymi. Jeżeli w sprawie, w której udział bierze także podmiot przetwarzający z siedzibą w innym państwie członkowskim niż państwo siedziby administratora, to organ nadzorczy tego państwa również zostanie zaangażowany w sprawę. Podobnie będzie też w przypadku przytoczonej powyżej skargi obywatela.

Incydent naruszenia bezpieczeństwa danych osobowych – powiadamianie podmiotów danych

RODO, przy stwierdzeniu naruszenia bezpieczeństwa ochrony danych, nakłada na administratora danych (pod groźbą sankcji finansowej) obowiązki związane z notyfikacją naruszeń i powiadamianiem osób, których danych dotyczyło naruszenie.

Art. 34 RODO zobowiązuje administratora danych do powiadomienia osoby, której dane dotyczą o naruszeniu ochrony danych, mogącym powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Co ważne, administrator musi dokonać zawiadomienia niezwłocznie. Zawiadomienie powinno zostać dokonane tym szybciej, im poważniejsze, zgodnie z oceną administratora danych, jest prawdopodobieństwo naruszenia praw lub wolności podmiotów danych.

Administrator powinien pamiętać, że zawiadomienie należy przekazać jasnym i prostym językiem, dostosowanym do kategorii adresatów. Zwolnienie z obowiązku zawiadomienia podmiotów danych o naruszeniu bezpieczeństwa zostało przewidziane w 3 przypadkach:

  1. Gdy administrator wdrożył odpowiednie środki techniczne i organizacyjne, które nawet mimo zaistnienia incydentu, wykluczają możliwość dostępu do danych przez osoby nieuprawnione.
  2. Gdy administrator dokonał zabezpieczających czynności następczych, eliminujących ryzyko naruszenia praw lub wolności osób fizycznych.
  3. Gdy zawiadomienie wymagałoby niewspółmiernie dużego wysiłku – wtedy rozwiązaniem będzie komunikat przekazany do opinii publicznej, a nie bezpośrednio do podmiotów danych.

RODO, utrzymane w duchu wprowadzenia jak najwyższych standardów ochrony danych, za pomocą wskazanego obowiązku, umożliwia przeciwdziałanie negatywnym skutkom naruszenia. Podmioty danych, poinformowane o naruszeniu bezpieczeństwa danych, mogą podjąć działania minimalizujące skutki naruszenia. Informacja o tym, co stało się z danymi, w jaki sposób doszło do naruszenia, oraz jakie dane zostały dotknięte naruszeniem, pozwala osobom których dane dotyczą zapobiegać ewentualnym naruszeniom ich praw oraz jeszcze mocniej uszczelniać system ochrony danych.