Natalia Groszyk, Autor w serwisie RODOradar.pl

Rekordowa wysokość kary nałożonej przez Prezesa UODO

Na Fortum Marketing and Sales Polska S.A. decyzją Prezesa Urzędu Ochrony Danych Osobowych została nałożona administracyjna kara pieniężna w wysokości ponad 4,9 mln zł za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz brak weryfikacji podmiotu przetwarzającego. Karą administracyjną obciążony został także podmiot przetwarzający.

Prezes Urzędu Ochrony Danych Osobowych (dalej „PUODO”) opublikował decyzję wydaną dnia 19 stycznia 2022, mocą której nałożył dwie administracyjne kary pieniężne[1]:

na spółkę Fortum Marketing and Sales Polska S.A. będącą administratorem w wysokości 4 911 732 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, skutkującym naruszeniem ich poufności, oraz na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO[2];
na podmiot przetwarzający – spółkę PIKA Sp. z o.o., w wysokości 250 135 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w tym zapewnienie ich poufności.

Kara, którą została obciążona spółka Fortum Marketing and Sales Polska S.A. jest najwyższą z dotychczasowych wymierzonych przez PUODO kar administracyjnych.

Jak doszło do wszczęcia postępowania administracyjnego?

Zgodnie ze stanem faktycznym opisanym w decyzji PUODO, Spółka Fortum Marketing and Sales Polska S.A. to podmiot zajmujący się obrotem energią elektryczną i paliwem gazowym. W ramach prowadzonej działalności gospodarczej Fortum Marketing and Sales Polska S.A. współpracuje z PIKA Spółką z o.o., która świadczy na jej rzecz usługę prowadzenia archiwum, w tym archiwum cyfrowego.

Z treści decyzji wynika, że ukarana spółka w kwietniu 2020 roku zgłosiła organowi nadzorczemu naruszenie ochrony danych osobowych. W zgłoszeniu naruszenia wskazano, że doszło do nieuprawnionego „skopiowania danych” klientów administratora, a zdarzenie jest związane z faktem wprowadzenia zmiany w systemie pełniącym rolę archiwum cyfrowego dokumentów i informacji na temat klientów. Zmianę zmierzającą do poprawy wydajności usługi miał przeprowadzać na polecenie administratora dostawca usługi archiwum, podmiot przetwarzający PIKA Spółka z o.o. i polegała ona na utworzeniu oraz instalacji dodatkowej bazy danych klientów administratora danych. Zgłoszone naruszenie dotyczyć miało danych osobowych ponad 100 tysięcy osób oraz obejmować szereg danych zawartych w skopiowanej przez nieuprawnione podmioty bazie, w tym imiona i nazwiska, adresy zamieszkania, numery PESEL, numery dokumentów tożsamości, adresy poboru, numery telefonów, czy też szczegóły zawartych umów z odbiorcami energii.

Po stwierdzeniu naruszenia Administrator zrezygnował z powiadomienia osób, których dane dotyczą o naruszeniu ochrony danych osobowych. Z uwagi na szeroki zakres ujawnionych danych klientów w opinii organu nadzorczego wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych, stąd organ skierował do administratora wystąpienie, w którym zwrócił się o podjęcie stosownych działań w szczególności mających na celu niezwłoczne zawiadomienie osób, których dane dotyczą, o naruszeniu ich danych osobowych i przekazanie tym osobom zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. Administrator w odpowiedzi na pismo PUODO poinformował o dokonaniu zawiadomienia osób, których dotyczyło naruszenie. W swoich wyjaśnieniach wskazał, że ujawnione zostały dane łącznie 120 428 osób, z czego o naruszeniu należało zawiadomić 95 711 osób, zaś pozostała liczba to klienci biznesowi oraz osoby zmarłe.

W następstwie zgłoszonego przez administratora naruszenia oraz złożonych wyjaśnień w przedmiocie zgłoszenia naruszenia, PUODO wszczął postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych.

Główne zarzuty

W efekcie przeprowadzonego postępowania administracyjnego na podstawie zgromadzonych dowodów PUODO zidentyfikował nieprawidłowości tak po stronie spółki Fortum Marketing and Sales Polska S.A., jak i spółki PIKA Sp. z o.o.

Głównym zarzutem PUODO podniesionym w decyzji wobec administratora danych był brak weryfikacji podmiotu przetwarzającego dane na jego zlecenie.

Administrator przed naruszeniem nie realizował prawa kontroli, o którym mowa w art. 28 ust. 3 lit. h) RODO, pod kątem zapewnienia przez procesora środków wymaganych w celu zapewnienia bezpieczeństwa przetwarzania. Nie egzekwował od PIKA Sp. z o.o. realizacji postanowień łączących ich umów, nie stosował się do własnej praktyki wdrażania zmian w środowisku IT opartej o wewnętrzne regulacje oraz nie weryfikował podmiotu przetwarzającego w zakresie prowadzonych działań mających na celu usprawnienie funkcjonowania usługi. Zdaniem organu, pomimo zawartej umowy z podmiotem przetwarzającym, przyjęcia odpowiednich wewnętrznych regulacji oraz posiadania wiedzy w zakresie sposobu realizacji zmian w systemach informatycznych, administrator nie realizował swoich obowiązków w zakresie nadzoru nad podmiotem przetwarzającym w trakcie wprowadzania modyfikacji w systemie informatycznym, co w konsekwencji skutkowało swobodą w działaniu podmiotu przetwarzającego. Nienadzorowany w swoim działaniu podmiot przetwarzający dokonywał wdrożenia zmian w systemie informatycznym bez uprzedniego odpowiedniego przetestowania zastosowanych zabezpieczeń oraz zasilił rzeczywistymi danymi osobowymi klientów dodatkową bazę danych, w fazie testowej wdrażanego rozwiązania.

Co ważne, organ nadzorczy podkreślił, że sam fakt podpisania umowy powierzenia przetwarzania danych osobowych nie jest wystarczający, aby uznać, że administrator odpowiednio zweryfikował podmiot przetwarzający pod kątem spełnienia przez niego wymogów wynikających z RODO. Z obowiązku przeprowadzenia stosownej oceny podmiotu przetwarzającego nie może zwolnić również administratora fakt wieloletniej współpracy i korzystanie z usług konkretnego podmiotu przetwarzającego przed rozpoczęciem stosowania przepisów RODO, tj. przed 25 maja 2018 roku.

Z kolei podmiotowi przetwarzającemu PUODO zarzucił zastosowanie środków technicznych i organizacyjnych nieodpowiadających w wystarczającym stopniu wymogom określonym w art. 32 ust. 1 i 2 RODO. Poszczególne etapy realizacji zmian dla zgłoszonego przez administratora problemu z wydajnością usługi nie odbywały się na podstawie ściśle określonych procedur. W trakcie procesu dokonywania zmian w systemie użyte zostały rzeczywiste dane osobowe klientów administratora, a skuteczność zastosowanych zabezpieczeń nie została przetestowana przed przekazaniem do Fortum Marketing and Sales Polska S.A. zmian w ww. systemie mających rozwiązać problem z jego wydajnością. Pracownik spółki PIKA Sp. z o.o. odpowiedzialny za konfigurację nowego serwera nie przeprowadził testów bezpieczeństwa, w tym w zakresie zapewnienia bezpiecznego kanału komunikacji pomiędzy serwerami służącymi do przetwarzania danych osobowych przed migracją danych ze starego serwera należącego do administratora na nowo utworzony serwer. Podkreślono także, że procesor nie wypełnił obowiązków wynikających z umowy powierzenia przetwarzania danych osobowych, w której zobowiązał się m.in. do wdrożenia pseudonimizacji danych.

W konsekwencji, w ocenie polskiego organu nadzorczego zawinił zarówno administrator, jak i podmiot przetwarzający. Administrator nie wdrożył odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz nie zweryfikował, czy podmiot przetwarzający zapewnia odpowiednie gwarancje ich wdrożenia. Natomiast podmiot przetwarzający poprzez brak wdrożenia odpowiednich środków technicznych i organizacyjnych nie zapewnił natomiast odpowiedniego zabezpieczenia danych osobowych i ich poufności.

Rekordowa kara za naruszenie RODO

Na wysokość rekordowo wysokiej kary pieniężnej nałożonej na administratora wpływ miały przede wszystkim znaczna waga, poważny charakter naruszenia, szeroki zakres danych objętych naruszeniem, a także wysoki stopień odpowiedzialności administratora za naruszenie. W ocenie PUODO kara w wymierzonej wysokości będzie skuteczna i odstraszająca na przyszłość, powodując, iż administrator celem uniknięcia kolejnych sankcji zwróci należytą uwagę na przetwarzanie danych osobowych przy pomocy podmiotu przetwarzającego.

Na marginesie można też zauważyć, że z każdą kolejną decyzją administracyjną widoczne jest coraz odważniejsze podejście polskiego organu nadzorczego do miarkowania kar. Przykładów wysokich kar, które mogą stanowić pewien punkt odniesienia dla PUODO dostarcza także orzecznictwo organów nadzorczych innych krajów Unii Europejskiej. Każdy organ nadzorczy ma wprawdzie swobodę decyzji w zakresie wymiaru kary, ponieważ rozstrzygnięcia mają charakter indywidualny i konkretny, niemniej jednak jednolitość podejścia do miarkowania kar jest wysoce pożądana, zważywszy na bezpośredni skutek RODO oraz adresowane do organów nadzorczych państw, na których terenie obowiązuje RODO wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów RODO[3]. Jak wskazuje się we wspomnianych wytycznych „ Motyw 11 RODO wyjaśnia, że równorzędny stopień ochrony danych osobowych w Unii wymaga m.in. równorzędnych uprawnień w zakresie monitorowania i egzekwowania przepisów o ochronie danych osobowych oraz równorzędnych kar za naruszenia tych przepisów w państwach członkowskich”.

Podsumowując, w analizowanej decyzji dobitnie podkreślone zostało to, jak istotne jest dokonywanie przez administratorów rzetelnej weryfikacji podmiotów przetwarzających, a wysokość wymierzonej sankcji tym bardziej skłania do nakierowania uwagi administratorów na baczniejszą selekcję podmiotów przetwarzających, którym zlecane są usługi. Rozstrzygnięcie PUODO pokazuje, że obowiązek weryfikacji procesorów ma wymiar rzeczywisty i nie sprowadza się li tylko do formalnego zawarcia umowy powierzenia przetwarzania danych osobowych.

[1] https://www.uodo.gov.pl/decyzje/DKN.5130.2215.2020.

[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

[3] Wytyczne Grupy Roboczej art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679, WP 253.

Webinar: Test równowagi interesów (LIA) – praktyczne warsztaty

Powołanie się na przesłankę prawnie uzasadnionego interesu wymaga od administratora przeprowadzenia szczegółowego testu równowagi interesów. Wiele organizacji nie wie jak skutecznie i szybko ją przeprowadzić.

Wychodząc naprzeciw potrzebom i oczekiwaniom zapraszamy na webinar poświęcony tematyce testu równowagi interesu. Warsztaty skierowane jest do osób pełniących rolę Inspektorów Ochrony Danych (IOD) oraz osób pełniących rolę właścicieli procesów związanych z przetwarzaniem danych osobowych. W trakcie warsztatów opowiemy na kilku przykładach jak należy przeprowadzić test wraz z omówieniem najczęściej występujących problemów.

Program:

Przesłanka prawnie uzasadnionego interesu w praktyce – co czyni interes „prawnie uzasadnionym”.
Kto i w jakim terminie powinien wykonać test równowagi interesów.
Struktura LIA – jaki wzór testu wybrać.
Test równowagi jako element spełnienia zasady rozliczalności.
Przesłanka prawnie uzasadnionego interesu w najnowszym orzecznictwie.

Data: 07.04.2022, godz. 10:00.

Link do wydarzenia.

Zapraszamy!

Pomoc obywatelom Ukrainy a RODO (Stan prawny aktualny na dzień 16 marca 2022r.)

12 marca 2022 r. Prezydent RP podpisał ustawę z dnia 12 marca 2022 r. O pomocy obywatelom Ukrainy w związku z konfliktem zbrojnym na terytorium tego państwa. Tego samego dnia ustawa została ogłoszona w Dzienniku Ustaw RP i tego samego dnia weszła w życie, z mocą od dnia 24 lutego 2022 r.

W dniu 24 lutego 2022 r. wojska Federacji Rosyjskiej zaatakowały terytorium Ukrainy. W wyniku tej agresji setki tysięcy obywateli Ukrainy zaczęło kierować się do krajów sąsiednich. Do dnia 16 marca 2022 r. ponad 2 miliony z nich znalazło schronienie w Rzeczypospolitej Polskiej. W związku w zaistniałą sytuacją, konieczne stało się opracowanie rozwiązań prawnych adresowanych do opisanej wyżej grupy cudzoziemców. Rząd RP przygotował projekt ustawy, która stwarza podstawy prawne dla legalizacji pobytu w Polsce osób przybywających z terytorium Ukrainy.

„Ustawa o pomocy obywatelom Ukrainy w związku z konfliktem zbrojnym na terytorium tego państwa” (dalej „Specustawa”) została uchwalona i podpisana przez Prezydenta RP w dniu 12 marca 2022 r. Tego samego dnia weszła w życie z mocą od dnia rozpoczęcia agresji Rosji na Ukrainę, tj. od dnia 24 lutego 2022 r.

Podstawowym celem ustawy jest stworzenie szczególnych regulacji prawnych, zapewniających podstawę dla zgodnego z prawem pobytu obywatelom Ukrainy, którzy w wyniku działań wojennych zostali zmuszeni do opuszczenia swojego kraju i legalnie przedostali się przez granicę do Polski. Zgodnie z art. 2 ust. 1 Specustawy za legalny w Polsce, przez okres 18 miesięcy (liczony od dnia 24 lutego 2022 r.), czyli do dnia 23 sierpnia 2023 r. uznaje się pobyt obywatela Ukrainy, który legalnie przekroczył granicę RP w okresie od dnia 24 lutego 2022 r. i jednocześnie deklaruje zamiar pozostania na terytorium RP.

Przepisy ustawy regulują m.in. kwestie dotyczące uprawnień obywateli Ukrainy do opieki medycznej, obejmującej świadczenia opieki zdrowotnej na zasadach i w zakresie, w jakim osobom objętym obowiązkowym lub dobrowolnym ubezpieczeniem zdrowotnym przysługuje prawo do świadczeń na podstawie ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych.

Zgodnie z art. 4 ust. 1 Specustawy, każdy legalnie przebywający na terenie RP obywatel Ukrainy otrzyma, na podstawie złożonego wniosku, numer PESEL, dzięki któremu będzie mógł założyć profil zaufany (ePuap), legalnie podjąć pracę, uzyska prawo do edukacji, będzie także mógł podejmować i wykonywać w Polsce działalność gospodarczą na takich samych zasadach jak obywatel RP.

Osoby, które przebywają na terytorium Unii Europejskiej korzystają z praw, które daje im Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/ 679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/ 46/ WE (ogólne rozporządzenie o ochronie danych – RODO). Z ochrony tej, w tym z wynikających z RODO uprawnień mogą korzystać również osoby znajdujące schronienie w Polsce w związku z konfliktem zbrojnym na terytorium Ukrainy.

Obywatele Ukrainy potrzebują nie tylko wsparcia materialnego, lecz również szeroko rozumianej pomocy prawnej. W związku z tym Urząd Ochrony Danych Osobowych (UODO) uruchomił specjalny adres poczty elektronicznej, pod którym obywatele Ukrainy, przebywający w Polsce mogą uzyskać niezbędne informacje dotyczące przetwarzania danych osobowych: forukraine@uodo.gov.pl.

UODO przygotował specjalny poradnik, dzięki któremu przebywający w Polsce obywatele Ukrainy będą mogli zapoznać się z przysługującymi im na gruncie RODO prawami oraz dowiedzą się jak z tych praw korzystać.

Od początku konfliktu zbrojnego na Ukrainie wiele instytucji w Polsce zaangażowało się w świadczenie obywatelom Ukrainy pomocy humanitarnej. Świadczenie takiej pomocy wiąże się niewątpliwie z przetwarzaniem danych osobowych. Ponieważ kwestie pomocy humanitarnej wyłączone zostały zasadniczo spod prawa UE, stosuje się w tym zakresie ogólne przepisy obowiązujące w prawie międzynarodowym. O ile jednak podczas przetwarzania danych osobowych znajdują zastosowanie przepisy RODO (zgodnie z motywem 46 RODO), wtedy podstawę prawną do przetwarzania takich danych stanowi bądź zgoda na przetwarzanie podmiotu danych, udzielona w celu umożliwienia niesienia pomocy humanitarnej (art. 6 ust. 1 lit. a RODO) i wyrażona w formie zgodnej z treścią art. 7 ust. 2 RODO oraz w warunkach wskazanych w art. 4 pkt. 11 RODO,, bądź przetwarzanie takie jest„niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej” (art. 6 ust. 1 lit. d RODO).

Pomoc humanitarną mogą świadczyć zarówno podmioty publiczne, jak i prywatne. W przypadku, gdy pomoc taką świadczą podmioty publiczne, podstawą prawną do jej świadczenia stanowi także art. 6 ust. 1 lit c oraz e RODO, bowiem przetwarzanie jest niezbędne do „wypełnienia obowiązku prawnego ciążącego na administratorze” oraz „do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi”. W wypadku zaś, gdy pomoc humanitarna jest świadczona przez profesjonalne podmioty prywatne, podstawą prawną do jej świadczenia stanowi także art. 6 ust. 1 pkt f RODO, bowiem „przetwarzanie takie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią”. W obydwu wypadkach celem, dla którego dane osobowe są przetwarzane jest niesienie pomocy osobom w związku z konfliktem zbrojnym na terytorium Ukrainy.

W wypadku gdy przetwarzane byłyby dane szczególnych kategorii, wskazane w art. 9 ust. 1 RODO (np. dotyczące stanu zdrowia), przetwarzanie takich danych może zostać oparte o art. 9 ust. 2 lit. c RODO, czyli niezbędności „do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą jest fizycznie lub prawnie niezdolna do wyrażenia zgody”.

Niezależnie od podstaw prawnych do przetwarzania danych osobowych przez organizacje zajmujące się świadczeniem pomocy humanitarnej, należy również pamiętać o dopełnieniu obowiązków informacyjnych, wskazanych w art. 13 RODO. Najważniejsze z nich to wskazanie administratora danych osobowych, celu przetwarzania danych osobowych, podstawy prawnej przetwarzania, okresie przez który dane osobowe będą przechowywane oraz przysługujących podmiotom danych praw.

Jakie dokumenty może pracodawca żądać od pracownika, kiedy pracownik jest honorowym dawcą krwi?

Zaświadczenie ze stacji krwiodawstwa

Pracownik, który oddaje krew może zgodnie z przepisami skorzystać ze zwolnienia od pracy, a od 26 stycznia 2021 honorowym dawcom krwi, którzy oddadzą krew lub jej składniki, w tym osocze po chorobie COVID-19, przysługuje zwolnienie od pracy oraz zwolnienie od wykonywania czynności służbowych w dniu, w którym oddali krew lub jej składniki, oraz w dniu następnym.

Taki rodzaj zwolnienia od pracy jest zwolnieniem płatnym, a podstawą jego udzielenia jest zaświadczenie wydane przez stację krwiodawstwa, które pracownik powinien przedstawić pracodawcy do wglądu, albowiem przepisy nie przewidują obowiązku przechowywania takich zaświadczeń przez pracodawcę. Skorzystanie przez pracownika ze zwolnienia od pracy w związku z oddaniem krwi należy natomiast odnotować w ewidencji czasu pracy.

Cyberbezpieczeństwo – Phishing czym jest i jak się przed nim zabezpieczyć ?

Zgodnie z raportem rocznym wykonanym przez CERT Polska w roku 2020 w Polsce odnotowano 10 420 zdarzeń związanych z cyberbezpieczeństwem. Najczęściej wykorzystywaną metodą ataku, stanowiącą 73%, był atak typu phishing[1]. Dlatego warto zadać sobie pytanie czym jest phishing i jak można się przed nim zabezpieczyć.

Co to jest phishing?

Phishing to metoda bazująca na socjotechnice, polegająca na podszyciu się pod znaną celowi ataku osobę lub organizację w celu wydobycia danych. Mogą to być np. przełożeni, kontrahenci spółki, zaufana instytucja jak bank lub media społecznościowe. Phishing opiera się na wykorzystaniu zależności, uczuć oraz podświadomych zachowań pomiędzy osobami. Może odwoływać się do poczucia zaufania, podległości służbowej, poczucia obowiązku czy też kusić ofertą ograniczoną czasowo. Sam atak polega na przesłaniu wiadomości e-mail lub SMS, w treści której może znajdować się odnośnik do linku. Pod linkiem znajduje się odpowiednio spreparowana strona internetowa mająca imitować prawdziwą stronę banku lub formularza, w którym należy podać dane np. do służbowego konta do pakietu Microsoft Office lub może zachęcać do pobrania załącznika będącego złośliwym oprogramowaniem lub aplikacją. Celem ataku jest zdobycie danych umożliwiających przejęcie konta tj. loginu i hasła np. do konta bankowego lub służbowej poczty. A następnie wykorzystanie przejętego konta w celu zagarnięcia środków finansowych lub pozyskania tajemnic firmowych. Potencjalnymi skutkami udanego ataku phishingowego mogą być:

Utrata kontroli nad danymi.
Kradzież tożsamości.
Starty finansowe.
Utrata dobrego imienia/reputacji przez firmę.

Jak chronić się przed phishingiem?

Aby zabezpieczyć się przed phishingiem, należy zadbać o poziom wiedzy pracowników poprzez dedykowane cyberbezpieczeństwu szkolenia. Phishing jest atakiem skierowanym na ludzi i ich interakcje z otoczeniem. Dlatego zabezpieczenia techniczne nie będą w stanie pomóc w każdym przypadku. Oczywiście zabezpieczenie firewall oraz ustawienie poczty na skanowanie przychodzących wiadomości i załączników pozowali uchronić się przed częścią ataków phishingowych. Jednak szkolenie pracowników i rozwijanie poziomu świadomości o cyberbezpieczeństwie mogą zapewnić bezpieczeństwo organizacji przed cyberatakami wymierzonymi w pracowników.

Jak możesz zabezpieczyć się przed phishingiem?

Podstawowymi rzeczami, na które należy zwracać uwagę, podczas korzystania z poczty są:

Wszelkie literówki w nazwach adresów e-mail, załącznikach czy też linkach.
Treść wiadomości – czy nie zachęca do wykonania nietypowej czynności np. kliknięcia w podejrzany link.
Linki – czy nie zachęcają do odwiedzenia nieznanej strony.
Sieć internetowa– należy korzystać jedynie ze znanych i bezpiecznych sieci internetowych oraz unikać sieci publicznych np. w centrach handlowych,.
Nie instalować programów ani aplikacji zamieszczanych w wiadomościach.

Podsumowując, zabezpieczając organizację przed phishingiem, nie należy skupiać się jedynie na zabezpieczeniach technicznych w postaci firewall i ustawień zabezpieczeń poczty. Są one istotne, jednak nawet najnowocześniejsze rozwiązania techniczne na nic się zdadzą, jeśli organizacja nie zadba o wiedzę i szkolenia pracownika w zakresie cyberbezpieczeństwa. Nie bez powodu mówi się, iż człowiek jest najsłabszym ogniwem systemu bezpieczeństwa informacji. Dlatego istotne jest zadbanie o to, aby pracownicy posiadali wiedzę dotyczycącą podstawowych zasad związanych z cyberbezpieczeństwem i bezpieczeństwem informacji. Ponadto każda organizacją powinna wprowadzić procedury bezpieczeństwa informacji oraz procedurę postępowania w przypadku wykrycia cyberataku lub próby jego dokonania.

[1] https://cert.pl/posts/2021/09/krajobraz-bezpieczenstwa-polskiego-internetu-w-2020-roku/

Bezpłatna Konsultacja z ekspertem

Postępowanie administracyjne przed Prezesem UODO – o karach pieniężnych i innych sankcjach na gruncie RODO

W niniejszym artykule przedstawię problematykę kar pieniężnych, a także innych narzędzi prawnych, jakimi dysponuje organ nadzorczy w ramach postępowania administracyjnego na gruncie RODO¹. Administracyjne kary pieniężne są zasadniczym elementem systemu egzekwowania wprowadzonego na mocy RODO, stanowiąc tym samym wraz z innymi środkami przewidzianymi w art. 58 RODO istotną część zestawu narzędzi umożliwiających egzekwowanie prawa przez organy nadzorcze.

Widmo kar to z pewnością dla wielu przedsiębiorstw czynnik motywujący do podjęcia działań w kierunku zapewnienia zgodności z RODO. Istotne jest to, by znać zasady na jakich organ nadzorczy (w Polsce: Prezes Urzędu Ochrony Danych Osobowych, dalej „Prezes UODO”) może nałożyć kary finansowe, a także kiedy może poprzestać na łagodniejszych środkach, takich jak np. upomnienie. W ramach niniejszego artykułu zaprezentuję jakie czynniki decydują o nałożonej sankcji i co ma wpływ na jej wymiar.

Kilka słów o postępowaniu administracyjnym przed Prezesem UODO

Postępowanie administracyjne przed Prezesem UODO może zostać wszczęte zarówno z urzędu, jak i na skutek skargi osoby, której dane dotyczą. Po wszczęciu postępowania organ nadzoru musi dokonać ustaleń w zakresie stanu faktycznego, zestawić je z obowiązującym stanem prawnym, a następnie wydać decyzję administracyjną. Administracyjne kary pieniężne organ nadzorczy nakłada zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków naprawczych, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j) RODO. Na decyzję organu nadzorczego można złożyć skargę do sądu administracyjnego.

Warto wspomnieć również, że jeżeli w toku postępowania zostanie uprawdopodobnione, że przetwarzanie danych osobowych narusza przepisy o ochronie danych osobowych, a dalsze ich przetwarzanie może spowodować poważne i trudne do usunięcia skutki, Prezes UODO, w celu zapobieżenia tym skutkom, może, w drodze postanowienia, zobowiązać podmiot, któremu jest zarzucane naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych, wskazując dopuszczalny zakres tego przetwarzania. W takim postanowieniu Prezes UODO określa termin obowiązywania ograniczenia przetwarzania danych osobowych nie dłuższy niż do dnia wydania decyzji kończącej postępowanie w sprawie. Na wspomniane postanowienie służy skarga do sądu administracyjnego.

Jakie zasady w zakresie wymiaru kar pieniężnych obowiązują?

W RODO określone są maksymalne wysokości kar za poszczególne naruszenia, co oznacza, że sankcje nie mogą przekroczyć tych górnych granic.

Wyższe progi kar (do 20 mln euro, a w przypadku przedsiębiorstwa – do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego) obowiązują m.in. za naruszenie podstawowych zasad przetwarzania, w tym warunków uzyskania zgody, kwestii związanych z realizacją praw osób, których dane dotyczą, czy też przepisów dotyczących zasad przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej.

Niższe progi (do 10 mln euro, a w przypadku przedsiębiorstwa – do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego), są przewidziane np. za naruszenie obowiązków administratora i podmiotu przetwarzającego dotyczących spełnienia warunków wyrażenia zgody dziecka w przypadku usług społeczeństwa informacyjnego czy nieuwzględnienie zasad ochrony danych w fazie projektowania, czyli tzw. zasady privacy by design.

Dodatkowo należy zaznaczyć, że jako górna granica zagrożenia zawsze będzie brana pod uwagę wyższa kwota, np. że jeżeli na podstawie wyliczenia 4 % z obrotu światowego przedsiębiorstwa można nałożyć wyższą karę niż 20 mln euro to właśnie ta wyższa wartość będzie stanowiła górną granicę albo jeżeli wyższą kwotą w porównaniu do 2 % obrotu światowego przedsiębiorstwa jest kwota 10 mln euro to wówczas ta kwota znajdzie zastosowanie.

Warto pamiętać, że każdy kraj członkowski mógł w drodze ustawodawstwa krajowego obniżyć administracyjne kary pieniężne dla sektora publicznego, z czego skorzystał polski ustawodawca, wprowadzając próg maksymalny kary do 100 000 złotych w przypadku kary dla jednostek sektora finansów publicznych, instytutów badawczych lub Narodowego Banku Polskiego oraz próg maksymalny do 10 000 zł w przypadku sankcji pieniężnej nakładanej na państwowe i samorządowe instytucje kultury.

RODO rozstrzyga sytuację zbiegu naruszeń, tzn. w sytuacji gdy administrator lub podmiot przetwarzający narusza w ramach tych samych operacji przetwarzania kilka przepisów, całkowita wysokość administracyjnej kary finansowej nie może przekroczyć kary za najpoważniejsze naruszenie.

Należy wskazać, że w przypadku podjęcia decyzji o nałożeniu kary nie może być ona określona przez organ dowolnie – stosownie do art. 83 ust. 1 RODO administracyjna kara pieniężna musi łącznie spełniać 3 kryteria:

1) Musi być skuteczna.

2) Musi być proporcjonalna.

3) Musi być odstraszająca.

Brak spełnienia któregokolwiek z nich może być przesłanką do uchylenia decyzji organu, zaskarżonej przez administratora lub podmiot przetwarzający. Będzie to miało istotne znaczenie zwłaszcza, jeśli wysokość kary mogłaby doprowadzić do zakończenia działalności gospodarczej przedsiębiorstwa.

Okoliczności podlegające ocenie w postępowaniu administracyjnym przed organem nadzorczym

Decydując, czy nałożyć administracyjną karę pieniężną oraz ustalając jej wysokość, organ nadzorczy zwraca w każdym indywidualnym przypadku należytą uwagę na:

• Charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody.

• Umyślny lub nieumyślny charakter naruszenia.

• Działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą.

• Stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem wdrożonych środków technicznych i organizacyjnych.

• Wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; • stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.

• Kategorie danych osobowych, których dotyczyło naruszenie.

• Sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie.

• Jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 RODO – przestrzeganie tych środków.

• Stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji.

• Oraz wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

Jak widać lista okoliczności, które powinny być brane pod uwagę przez organ nadzorczy jest pokaźna. Wszystkie z tych czynników oczywiście mogą mieć znaczenie. Na przykładzie decyzji polskiego organu nadzorczego można zauważyć jakie przełożenie na wymiar kary finansowej mają występujące w danej sprawie okoliczności obciążające i łagodzące.

Tytułem przykładu warto przywołać decyzję organu nadzorczego z dnia 03 grudnia 2020 r w sprawie Virgin Mobile Polska Sp. z o.o. z siedzibą w Warszawie². Prezes UODO nałożył na Virgin Mobile Polska Sp. z o.o. administracyjną karę pieniężną w wysokości ponad 1,9 mln zł za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych za pomocą systemów informatycznych służących do rejestracji danych osobowych abonentów usług przedpłaconych, co doprowadziło do nieuprawnionego dostępu do tych danych przez osobę lub osoby nieuprawnione. W kręgu osób dotkniętych naruszeniem znalazło się ponad 123 tys. abonentów usług przedpłaconych, a dane osobowe, których naruszenie dotyczyło to przede wszystkim imiona, nazwiska, numery PESEL, serie i numery dowodów tożsamości, numery telefonów.

Wśród okoliczności, które organ uznał za obciążające znalazły się w szczególności charakter i waga naruszenia, liczba poszkodowanych osób, rozmiar szkody poniesionej przez osoby, których dotyczyło naruszenie i czas trwania naruszenia. Sam okres, w którym osoba lub osoby nieuprawnione miały dostęp do danych osobowych przetwarzanych przez spółkę, był stosunkowo krótki, to jednak stan naruszenia był długotrwały, ponieważ powstał przed dniem rozpoczęcia stosowania RODO, a usunięty został ostatecznie – w trakcie postępowania zakończonego wydaniem decyzji przez Prezesa UODO. Dodać należy, że na negatywną ocenę zdaniem organu zasłużył także fakt, że spółka nie przeprowadziła testu pod kątem poprawności działania systemu zgodnie z założonymi wymaganiami. Zdaniem Prezesa UODO brak w przyjętych przez Spółkę procedurach uregulowań zapewniających regularne testowanie, mierzenie i ocenianie skuteczności zastosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych przyczynił się do wystąpienia naruszenia ochrony danych osobowych.

Prezes UODO uwzględnił jako okoliczność łagodzącą, mającą wpływ na obniżenie wysokości wymierzonej kary, dobrą współpracą spółki z organem nadzorczym podjętą i prowadzoną w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków. Poza prawidłowym wywiązywaniem się z ciążących na spółce obowiązków procesowych zarówno w trakcie postępowania kontrolnego jak i w postępowaniu administracyjnym zakończonym wydaniem decyzji, spółka Virgin Mobile Polska Sp. z o.o. w pełnym zakresie zrealizowała zalecenia Prezesa UODO dotyczące uzupełnienia powiadomienia osób, których dane dotyczą, o zaistniałym naruszeniu.

W kontekście kar finansowych i okoliczności podlegających ocenie organu nadzorczego warto także nadmienić sprawę spółki Morele.net Sp. z o.o., która w związku z niewystarczającym zastosowaniem środków technicznych i organizacyjnych, skutkującym dwukrotnym dostępem osoby bądź osób nieuprawnionych do danych jej klientów, na mocy decyzji Prezesa UODO z dnia 10 września 2019 r. została obciążona karą administracyjną w wysokości ponad 2, 8 mln złotych³. Naruszenie dotyczyło około dwóch milionów dwustu tysięcy użytkowników sklepów internetowych spółki Morele.net. Sp. z o.o. Efektem uzyskania nieuprawnionego dostępu było zagrożenie polegające na zastosowaniu metody zwanej phishingiem, mającej na celu wyłudzenie danych, m.in. uwierzytelniających do konta bankowego. Klienci spółki otrzymywali wiadomości SMS wzywające do dokonania dodatkowej opłaty w wysokości 1 PLN, w celu dokończenia realizacji zamówienia wraz z linkiem odsyłającym do fałszywej bramki płatności elektronicznej DotPay.

Przechodząc do kwestii okoliczności obciążających spółkę, należy przede wszystkim wskazać, że zdaniem organu zastosowane przez spółkę środki organizacyjne i techniczne, w tym jednoetapowa autoryzacja do panelu pracownika okazały się nieadekwatne do poziomu ryzyka, a spółka nie dopełniła obowiązku zastosowania odpowiednich środków technicznych i organizacyjnych, by zapewnić stopień bezpieczeństwa odpowiadający ryzyku nieuprawnionego dostępu do danych osobowych jej klientów. Ponadto organ stwierdził, że naruszenie ma znaczną wagę i poważny charakter, stwarza bowiem wysokie ryzyko negatywnych skutków prawnych dla ok. dwóch milionów dwustu tysięcy osób, do których danych dostęp miała osoba bądź osoby nieuprawnione i pociąga za sobą potencjalną, ale realną możliwość wykorzystania tych danych przez podmioty trzecie bez wiedzy i wbrew woli tych osób. Negatywnie został również oceniony fakt braku zapewnienia ciągłości monitorowania ruchu sieciowego.

Prezes UODO uwzględnił również okoliczności łagodzące, mające wpływ na ostateczny wymiar kary, w szczególności podjęcie przez spółkę wszelkich możliwych działań, mających na celu usunięcie naruszenia oraz dobrą współpracę ze strony spółki, która zarówno w toku przeprowadzonej kontroli, jak i w trakcie trwania postępowania współpracowała z Prezesem UODO w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków, w wyznaczonym terminie przesłała wyjaśnienia i udzieliła odpowiedzi na wystąpienie Prezesa UODO.

Należy wspomnieć, że Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 3 września 2020 r. oddalił skargę spółki Morele.net sp. z o.o. na decyzję Prezesa UODO, podzielając stanowisko organu nadzorczego w przedmiocie nałożonej administracyjnej kary pieniężnej⁴.

Podane przykłady pokazują, że organ nadzorczy zwraca uwagę zarówno na występujące w sprawie okoliczności obciążające, jak i łagodzące. To, czy zostały podjęte działania w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, a także stopień współpracy z organem w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków mogą wpłynąć na złagodzenie wymiaru kary administracyjnej, dlatego nawet, jeżeli już dojdzie do naruszenia wskazane jest, by podejmować działania zmierzające do zminimalizowania szkody oraz postawić na dobrą współpracę z organem nadzorczym. Oczywiście, w przypadku poważnych naruszeń wspomniane okoliczności łagodzące nie przyczynią się do całkowitego odstąpienia przez organ od obciążania karą finansową, niemniej zawsze mogą odnieść korzystny wpływ na jej wymiar.

Kara pieniężna czy inna sankcja?

Trzeba zaznaczyć, że Prezes UODO w ramach swoich kompetencji, rozstrzygając o odpowiedzialności za naruszenie RODO nie musi uciekać się wyłącznie do sankcji pieniężnych. W przypadku mniej istotnych naruszeń RODO, organ nadzoru dysponuje uprawnieniami naprawczymi, których katalog zawarty jest w art. 58 ust. 2 lit. a)-h) oraz j) RODO. Katalog ten przewiduje między innymi wydawanie przez organ nadzorczy ostrzeżeń dotyczących możliwości naruszenia przepisów przez planowane operacje, udzielanie upomnień w przypadku naruszenia przepisów RODO, spełnienie żądania osoby, której dane dotyczą, nakazanie dostosowania operacji przetwarzania do przepisów rozporządzenia oraz wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania.

Jak zatem można zauważyć, Prezes UODO dysponuje mechanizmami pozwalającymi na usunięcie skutków naruszeń danych osobowych bez konieczności finansowego obciążania danej organizacji. Jak wynika z art. 58 ust. 2 lit. i) RODO, administracyjne kary pieniężne mogą być nakładane zamiast powyższych środków naprawczych, jak i łącznie z nimi, zaś ocena w tym zakresie należy już do organu nadzorczego.

Z motywu 148 RODO wynikają wskazówki co zastosowania przez organ nadzorczy upomnienia i nieobciążania karą pieniężną:

„(…)Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia (…)”.

W motywie 148 RODO ustawodawca unijny posłużył się pojęciem „niewielkich naruszeń”. Takie naruszenia mogą dotyczyć pogwałcenia jednego lub kilku przepisów rozporządzenia wymienionych w art. 83 ust. 4 lub 5 RODO. W tym przypadku ocena wszystkich okoliczności pozwoli jednak na uznanie, że są „niewielkie”, ponieważ na przykład nie stanowią poważnego zagrożenia dla praw osób, których dane dotyczą oraz nie wpływają na istotę danego obowiązku. Zaznaczyć należy, że w motywie 148 RODO nie przewiduje się obowiązku zastępowania przez organ nadzorczy kary pieniężnej upomnieniem w przypadku każdorazowego niewielkiego naruszenia, a raczej wskazuje się na możliwość, z której można skorzystać po dokonaniu konkretnej oceny wszystkich okoliczności sprawy. Motyw 148 kreuje możliwość zastąpienia kary pieniężnej upomnieniem również w przypadku, gdy administratorem danych jest osoba fizyczna, a grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. Kluczowa jest tutaj ocena organu nadzorczego, czy — w świetle istniejących okoliczności sprawy — nałożenie kary jest konieczne. Jeżeli organ tak uzna, jest zobligowany również ocenić, czy grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie⁵.

Podsumowując, system odpowiedzialności administracyjnej wprowadzony przez ustawodawcę unijnego ma na celu zapewnienie skuteczności regulacji. Należy przy tym pamiętać o rozbudowanym wachlarzu środków naprawczych jakie przysługują organowi nadzorczemu w ramach postępowania administracyjnego, wobec czego nie zawsze kończy się ono nałożeniem kary finansowej. Zależy to od okoliczności sprawy, która powinna być wnikliwie oceniona. Istotne jest to, że zastosowany środek naprawczy powinien odpowiadać charakterowi, wadze i konsekwencjom naruszenia. Przy wymierzaniu kar kluczowe dla organów nadzorczych jest zapewnienie ich skuteczności, proporcjonalności i odstraszającego charakteru. Trzeba bowiem wskazać, że kara nałożona na dany podmiot powinna mieć również wpływ na innych administratorów i procesorów działających na rynku, odnosząc skutek prewencyjny i edukacyjny. Organ dokonuje bowiem w uzasadnieniu interpretacji przepisów, które w przyszłości mogą być wskazówką tak dla ukaranego, jak i dla innych podmiotów.

^[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

^[2] https://www.uodo.gov.pl/decyzje/DKN.5112.1.2020

^[3] https://uodo.gov.pl/decyzje/ZSPR.421.2.2019

^[4] Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 września 2020 r., sygn. II SA/Wa 2559/19, LEX nr 3077973

^[5] Wytyczne Grupy Roboczej art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679 (W 253)

Webinar: Testy bezpieczeństwa – namierz luki w swojej infrastrukturze zanim zapyta Cię o nie Prezes UODO

Webinar dedykowany klientom firmy Audytel S.A., gdzie omówione zostaje w jakim celu ustawodawca nakłada obowiązek zapewnienia bezpieczeństwa przetwarzania danych oraz przedstawienie wymogów dotyczących wdrożenia odpowiednich rozwiązań technicznych i organizacyjnych.

Zgodnie z RODO, ogólnym rozporządzeniem o ochronie danych osobowych – to na administratorze i podmiocie przetwarzającym dane osobowe ciąży obowiązek zapewnienia bezpieczeństwa przetwarzania danych. Wydarzenie wyjaśnia praktyczny wymiar hasła „bezpieczeństwo przetwarzania danych osobowych” i wskazuje jak je zapewnić, aby pozostać w zgodzie z przepisami.

Program:

Obowiązek testowania zabezpieczeń w świetle przepisów RODO.
Analiza ryzyka podstawą w zarządzaniu bezpieczeństwem.
Jak skutecznie testować zabezpieczenia IT.
Człowiek najsłabszych ogniwem – case study.

Data: 17.02.2022, godz. 10:00.

Link do wydarzenia.

Zapraszamy!

Polityka ochrony danych osobowych i Polityka prywatności – czy potrzebujesz obu?

Dane osobowe są jednym z najcenniejszych zasobów każdej firmy. Dotyczy to każdej branży i wydaje się, że nie ma już spółek ani przedsiębiorców, którzy nie zdawaliby sobie z tego sprawy. Każdego dnia biznes zbiera, generuje i przetwarza na wszystkie możliwe sposoby ogromne ilości informacji, w tym dane osobowe. To dzięki nim możliwa jest realizacja sprzedaży, zakupów i planowanie strategiczne. Z uwagi na to, że dane są tak cenne, nikt nie może sobie pozwolić na utratę ich z pola widzenia, czy ryzyko, że mogą one zostać utracone lub naruszone w wyniku celowych działań, zaniechań, czy nieprzewidzianych wypadków. Dlatego organizacje stawiają na wieloaspektowe podejście do ochrony informacji, danych osobowych i prywatności osób, których dotyczą.

Chociaż terminy ochrona danych osobowych i ochrona prywatności są czasami używane zamiennie, istnieje między nimi kilka kluczowych różnic.

Analizując potrzeby organizacji w zakresie ochrony danych osobowych skupiamy się na środkach organizacyjnych i technicznych mających ochronić dane przed naruszeniem integralności, nieuprawnionym ujawnieniem i utratą dostępu. Zgodnie z rozporządzeniem parlamentu europejskiego na system ochrony danych składa się wyznaczenie inspektora albo koordynatora ochrony danych oraz zaprojektowanie i wdrożenie zasad umożliwiających realizację praw osób, których dane dotyczą, wykonywanie obowiązków informacyjnych, właściwy wybór kontrahentów. System obejmuje również zasady tworzenia kopii zapasowych w celu odzyskania danych w przypadku ich nieuprawnionego bądź niezamierzonego usunięcia, uszkodzenia, czy zastąpienia danymi nieprawdziwymi, stosowna analiza ryzyka oraz włączenie jej wyników w projektowanie nowych procesów. Na gruncie RODO najważniejsza jest ochrona prywatności osób, których dane dotyczą, a nie samych danych, czy nośników i dokumentów, które je zawierają. Możemy też spojrzeć na to zagadnienie od strony obowiązków administratora danych, a nie poszczególnych praw podmiotowych osób, które one dotyczą. Podstawowym aspektem bezpieczeństwa informacji, na który należy zwrócić uwagę z technicznego punktu widzenia, jest kontrola dostępu. Zapewnienie prywatności osobom, których dane przetwarzamy, w dużym stopniu jest uzależnione od prawidłowego ustalenia, kto powinien mieć dostęp do poszczególnych informacji w systemach informatycznych lub przechowywanych w jakikolwiek inny sposób oraz kto może taki dostęp autoryzować. Kolejnym, na równi istotnym krokiem jest zastosowanie mechanizmów (procedur, protokołów, kodów), które będą skutecznie zapobiegać nieuprawnionemu dostępowi do danych osobowych. Jednym z takich instrumentów jest opracowanie i wdrożenie polityki bezpieczeństwa. Przykładowo, szyfrowanie danych znacząco utrudni lub wręcz uniemożliwi odczytanie informacji osobom nieupoważnionym, czyli niedysponującym hasłem lub innym rodzajem bezpiecznego klucza. Innym narzędziem wartym wspomnienia jest stosowanie mechanizmu uniemożliwiającego wysłanie wiadomości e-mail zawierającej dane osobowe (np. PESEL) bez autoryzacji przełożonego.

Również Polityka ochrony danych osobowych i Polityka prywatności mogą w pewnym stopniu się pokrywać zakresem, do którego się odnoszą, ale w praktyce są to bardzo różne dokumenty.

Polityka prywatności

Polityka prywatności jest przeznaczona dla osób, których dane są przetwarzane. Zazwyczaj jest ona skierowana do użytkowników strony internetowej lub aplikacji, korzystających z innych usług świadczonych drogą elektroniczna. Zawiera informacje administratora danych, których przedstawienia wymagają przepisy RODO oraz informacje o plikach cookies, wtyczkach i geolokalizacji, stosowanych innych narzędziach i dostępnych usługach, formularzach, czy realizowane są cele statystyczne i analityczne, itd. Polityka prywatności służy więc zagwarantowaniu użytkownikom rzetelnej, jasnej informacji o celach i sposobach przetwarzania ich danych oraz – co najważniejsze – o przysługującym im prawach i sposobie ich realizacji; powinna też umożliwiać użytkownikom korzystanie z prawa do decydowania o tym, w jaki sposób ich dane mogą być wykorzystywane.

Polityka ochrony danych osobowych

Polityka ochrony danych osobowych jest dokumentem skierowanym do osób, które z upoważnienia administratora danych biorą udział w ich przetwarzaniu, tzn. pracowników, niezależnie od podstawy ich zatrudnienia. Polityka ochrony danych może być złożona z odrębnych procedur i zazwyczaj – przynajmniej w poszczególnych fragmentach – jest chroniona tajemnicą przedsiębiorstwa. Odrębne zagadnienia, które ten dokument pokrywa to w szczególności: obowiązki osób zaangażowanych w proces przetwarzania danych osobowych, procedurę upoważniania do przetwarzania danych osobowych, sposób realizowania obowiązków informacyjnych i wniosków osób, których dane dotyczą, udostępnianie i powierzanie przetwarzania danych, środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzania danych oraz ewentualne wskazówki dla pracowników przetwarzających dane osobowe.

Oba te dokumenty są niezbędne każdemu administratorowi danych, aby mógł on w weryfikowalny, ujednolicony sposób zarządzać ochroną danych osobowych w organizacji oraz realizacją praw osób, których te dane dotyczą. Obowiązek przygotowania i wdrożenia żadnej z Polityk nie wynika wprost z przepisów prawa, ale jest jasne, że bez nich nie będzie możliwe rozliczenie pracowników, ani wykazanie przez samego administratora, że przestrzega on zasad przetwarzania danych osobowych i realizuje obowiązki, które nakłada RODO.

Tak więc, przyjęcie i rzeczywiste stosowanie Polityki ochrony danych osobowych i Polityki prywatności w przypadku świadczenia usług drogą elektroniczną lub posiadania najprostszej nawet strony internetowej, jest uzasadnione najlepiej pojętym interesem spółki bądź przedsiębiorcy. Dokumentacja ta odnosi się do wszystkich obowiązków i uprawnień wynikających z RODO i innych ustaw szczegółowych, dlatego warto rozważyć zlecenie jej przygotowania lub audyt wdrożonych dokumentów wyspecjalizowanym podmiotom świadczącym usługi prawne w tym zakresie.

Wdrożenie RODO

Zewnętrzny Inspektor Ochrony Danych

Audyt RODO

Orzeczenie o niepełnosprawności a RODO

Potrzebujesz oferty na wdrożenie RODO?

Wypełnij formularz

Potrzebujesz usługi Outsourcingu IOD?

Wypełnij formularz

Potrzebujesz oferty na audyt RODO?

Wypełnij formularz

Orzeczenie o niepełnosprawności – czy takie orzeczenia mogą znajdować się w aktach osobowych, czy mamy prawo przechowywać jego kopię, czy też oryginał, a może tylko pracodawcy wystarczy wgląd do dokumentu Czy powinniśmy je zbierać od pracowników? Co na to RODO?

Takie pytania najczęściej są zadawane przez pracodawców. Wątpliwości dotyczą na jakiej podstawie prawnej wspomniane dokumenty mogą być przetwarzane, gdzie je przechowywać, czy kopię, a może tylko notatkę, że przedstawiono taki dokument do wglądu?

Podstawa prawna przetwarzania danych zawartych w orzeczeniu o niepełnosprawności

Pracownikowi z niepełnosprawnością – zgodnie z prawem – przysługują określone uprawnienia, wskazane przede wszystkim w ustawie o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych. Warto podkreślić, że według art. 2 b ust. 2 ww. ustawy, przedstawienie przez pracownika dokumentów potwierdzających dane osobowe o stanie zdrowia, a więc również orzeczenia o niepełnosprawności, jest dobrowolne. Korzystanie z powyższych uprawnień dla osoby niepełnosprawnej jest zatem uprawnieniem, z którego możne skorzystać, a nie obowiązkiem pracownika. Ustawa uzależnia realizację uprawnień przysługujących osobom z orzeczeniem o niepełnosprawności od przedstawienia pracodawcy kopii orzeczenia potwierdzającego określony jej stopień.

Zakres danych osobowych, obejmuje treść orzeczenia o niepełnosprawności wskazana w § 13 rozporządzenia ministra gospodarki, pracy i polityki społecznej w sprawie orzekania o niepełnosprawności i stopniu niepełnosprawności. Zgodnie z jego brzmieniem na ww. dokumentach znajdują się dane tzw. zwykłe, jak imię, nazwisko, adres zamieszkania czy numer PESEL oraz szczególna kategoria danych osobowych (art. 9 RODO), m.in. informacja o niepełnosprawności czy przypisany jej symbol.

Rozporządzenie ministra rodziny, pracy i polityki społecznej w sprawie dokumentacji pracowniczej wskazuje, że katalog oświadczeń lub dokumentów gromadzonych w części B akt osobowych nie jest wyczerpujący i obejmuje oświadczenia lub dokumenty, których podstawę prawną pozyskania stanowi Kodeks pracy lub inne przepisy. Wprawdzie rozporządzenie nie wymienia wprost orzeczenia o niepełnosprawności wśród dokumentów, które mają być przechowywane w części B dokumentacji pracowniczej, należy uznać, że z uwagi na to, że orzeczenie stanowi podstawę realizacji szeregu uprawnień przysługujących pracownikowi na podstawie przepisów szczególnych, jego kopię pracodawca powinien umieścić – w części B akt osobowych pracownika.

Pracodawcy, realizując zadania wynikające z ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych przechowują, zgodnie z art. 2b ust. 7 ww. ustawy, dane osobowe wyłącznie przez okres nie dłuższy niż jest to niezbędne i w zakresie koniecznym do realizacji celów przetwarzania danych osobowych oraz dokonują przeglądu przydatności przetwarzania danych osobowych nie rzadziej niż co pięć lat.

Pamiętajmy, że w myśl art. 22^1b § 3 kodeksu pracy, do przetwarzania danych osobowych, o których mowa w § 1 (ujętych w art. 9 ust. 1 RODO), mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.

Reasumując, dane zawarte w orzeczeniu o niepełnosprawności pracownika, pracodawca przetwarza na podstawie przepisów prawa (art. 6 ust. 1 lit. c) oraz 9 ust. 2 lit. b) RODO łącznie z odpowiednim przepisem krajowym, w związku z tym pracodawca umieszcza kopię orzeczenia o niepełnosprawności w części B akt osobowych tego pracownika.

Webinar: Jak dobrać odpowiednie środki minimalizujące ryzyka w RODO?

Wdrożenie RODO ma na celu zapewnienie należytej ochrony danych osobowych oraz uniknięcie ryzyka naruszenia. RODO wprowadzając podejście oparte na ryzyku daje przedsiębiorcy możliwość zarządzania ryzykiem procesów przetwarzania danych w celu minimalizacji wycieków lub utraty danych, ale także pozwala zidentyfikować inne nieprawidłowości w organizacji.

W tym celu przygotowaliśmy spotkanie podczas, którego wskażemy ryzyka związane z brakiem lub błędnym wdrożeniem RODO. Podpowiemy jak wybrać dobrego Inspektora Ochrony Danych (IOD), oraz przedstawimy najlepsze praktyki w tym obszarze.

Zadania Inspektora Ochrony danych w organizacji (IOD):

Wyznaczenie IOD – kiedy obowiązkowe a kiedy fakultatywne.
Pozycja IOD w organizacji.
Zadania IOD wg poniższych grup.
Doświadczenie, kwalifikacje i cechy IOD czyli czym się kierować przy wyborze osoby do pełnienia funkcji inspektora.

Nie wiesz jakie ryzyka niosą za sobą braki w RODO, jakie obowiązki ciąża na Twoim przedsiębiorstwie, masz wątpliwość kiedy powinieneś mieć powołanego IOD a kiedy KOD (Koordynatora Ochrony Danych)?

Zapisz się już dziś!

>>> Zarejestruj się <<<