Autor: Piotr Balcerzak

Zatwierdzone kodeksy postępowania w Polsce na gruncie RODO

Organizacje reprezentujące administratorów lub podmioty przetwarzające dane osobowe mogą opracowywać kodeksy postępowania, aby doprecyzować i ułatwić właściwe stosowanie przepisów RODO w swojej branży. Zasady tworzenia kodeksów zostały opisane w  art. 40 RODO.

Zgodnie z jego brzmieniem, kodeksy powinny regulować kwestię m. in. rzetelnego i przejrzystego przetwarzania, prawnie uzasadnionych interesów realizowanych przez administratorów w określonych kontekstach, zgłaszania organowi nadzorczemu naruszeń ochrony danych osobowych oraz zawiadamiania o takich naruszeniach osób, których dane dotyczą, a także przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych.

Zgodnie z art. 41 ust. 1 RODO bez uszczerbku dla zadań i uprawnień właściwego organu nadzorczego, monitorowaniem przestrzegania kodeksu postępowania może zajmować się podmiot, który dysponuje odpowiednim poziomem wiedzy fachowej w dziedzinie będącej przedmiotem kodeksu i został akredytowany w tym celu przez właściwy organ nadzorczy.

W Polsce zatwierdzono jak dotąd dwa kodeksy postępowania, choć w dacie pisania niniejszego artykułu, organ nadzorczy informuje na swojej stronie internetowej, iż przedłożono mu do zatwierdzenia kolejnych pięć projektów. Projekty te przygotowała Krajowa Izba Doradców Podatkowych, Związek Pracodawców Organizacja Firm Badania Opinii i Rynku, Polska Rada Centrów Handlowych, Sieć Badawcza Łukasiewicz – PORT Polski Ośrodek Rozwoju Technologii oraz Izba Gospodarcza Hotelarstwa Polskiego.

Pierwszy kodeks postępowania, tj. Kodeks postępowania dotyczący ochrony danych osobowych przetwarzanych w małych placówkach medycznych (MPM) (Porozumienie Zielonogórskie) został zatwierdzony przez Prezesa Urzędu Ochrony Danych Osobowych dnia 14 grudnia 2022 r.

Dokument składa się ze 109 stron, zaś w kodeksie znajduje się słowniczek, dwanaście rozdziałów oraz spis załączników, tabel, wykresów i ilustracji.

Kodeks zawiera praktyczne wskazówki dotyczące realizacji obowiązków wynikających z RODO, które uwzględniają specyfikę funkcjonowania małych placówek medycznych. Autorzy kodeksu zwracają uwagę, iż „kodeks ma również na celu zwiększenie zaufania pacjentów do MPM i dać gwarancję, że placówki, które przystępują do kodeksu, zapewniają bezpieczeństwo danych osobowych na odpowiednio wysokim poziomie poprzez stosowanie odpowiednich zasad i instrumentów prawnych ochrony danych przy uwzględnieniu ryzyka dla praw lub wolności pacjentów wynikającego z przetwarzania ich danych osobowych”. Należy zwrócić uwagę, iż kodeks ma zastosowanie wyłącznie do danych osobowych przetwarzanych w związku z działalnością leczniczą małych placówek medycznych (m. in. pacjentów, osób upoważnionych, osób bliskich). Dokument nie dotyczy zaś przetwarzania danych osobowych pracowników, współpracowników, kandydatów do pracy lub innych osób, których dane gromadzi MPM.

Podmiotem monitorującym stosowanie zasad kodeksu jest RS JAMANO Sp. z o.o. Sp. k. Jednym z obowiązków podmiotu monitorującego jest wezwanie placówki do złożenia wyjaśnień w terminie 14 dni, w razie powzięcia informacji o naruszeniu postanowień kodeksu. W zależności od stanu faktycznego, podmiot monitorujący może nakazać osobom odpowiedzialnym za przetwarzanie danych przejście zdalnego szkolenia z zakresu ochrony danych, przeprowadzić czynności sprawdzające w MPM, a nawet zdecydować o wykreśleniu MPM z grupy podmiotów stosujących kodeks.

Zgodnie z kodeksem, małe placówki medyczne mogą przetwarzać dane osobowe pacjentów przede wszystkim jeśli jest to niezbędne do celów profilaktyki zdrowotnej i zapewnienia opieki zdrowotnej na podstawie odpowiednich przepisów prawa, jeśli pacjent wyraził zgodę na przetwarzanie jego danych osobowych oraz MPM posiada prawnie uzasadniony interes w przetwarzaniu danych (dotyczy badań jakości oraz marketingu bezpośredniego MPM, z wyłączeniem marketingu telefonicznego i elektronicznego).

Znaczną część kodeksu poświęcono zagadnieniu wyrażania zgody na przetwarzanie danych. Wyjaśniono, w jakich celach MPM może zbierać zgody na przetwarzanie danych, jak należy zbierać zgody, jakie warunki MPM musi spełnić, by zgoda była ważna oraz w jaki sposób podmiot, którego dane dotyczą, może wycofać zgodę.

Mała placówka medyczna przetwarza przede wszystkim dane osobowe niezbędne do realizacji celów, jakimi są profilaktyka zdrowotna, medycyna pracy, rejestracja i świadczenie usług opieki zdrowotnej oraz ochrona żywotnych interesów osoby, której dane dotyczą. W określonych wypadkach MPM przetwarza także dane osobowe w związku z działaniami marketingowymi oraz realizacją badań klinicznych i naukowych. Na potrzeby kodeksu przyjęto się, że MPM będą przetwarzały przede wszystkim dane wymienione w ustawie z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta i ustawie z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych oraz aktach wykonawczych do nich. W kodeksie zamieszczono tabele danych, których przetwarzanie przez MPM jest obowiązkowe lub możliwe. Tabelę podzielono na kategorie podmiotów, których dane są przetwarzane, tj. dane pacjenta, dane przedstawiciela ustawowego pacjenta, dane osoby upoważnionej przez pacjenta.

Twórcy kodeksu wskazali, iż MPM powinny przeszkolić i upoważnić personel biorący udział w procesie przetwarzania danych osobowych (pisemne upoważnienia dla pracowników, które określają zakres ich dostępu do danych, szkolenia dostosowane do specyfiki danego stanowiska pracy) oraz – w razie konieczności – wyznaczyć inspektora ochrony danych. W kodeksie opisano również jak należy zarządzać ochroną danych w organizacji, komu i na jakich warunkach MPM mogą powierzać przetwarzanie danych osobowych oraz jak należy postępować w przypadku naruszenia ochrony danych osobowych.

Omówiono także kwestię monitoringu wizyjnego. Podkreślono, że decyzję MPM o instalacji systemu monitoringu wizyjnego powinna zawsze poprzedzać analiza zasadności stosowania takiego rozwiązania. Jak wskazują autorzy kodeksu, taka analiza powinna obejmować w szczególności obowiązujące przepisy prawa, analizę ryzyka związanego ze stosowaniem monitoringu oraz test równowagi z motywu 47 RODO. Zwrócono szczególną uwagę na fakt, iż z uwagi na brak odrębnych przepisów prawa, monitoring w MPM nie może obejmować gabinetów lekarskich lub zabiegowych, toalet, szatni lub przebieralni.

Drugi kodeks postępowania, tym razem Kodeks postępowania dla sektora ochrony zdrowia (Polska Federacja Szpitali) został zatwierdzony przez Prezesa Urzędu Ochrony Danych Osobowych dnia 11 grudnia 2023 r.

Kodeks ten różni się swoją strukturą od pierwszego, ponieważ składa się ze 112 stron, z czego  47 stron stanowią załączniki. Wśród nich znajdują się wzór zgody na przetwarzanie danych osobowych, przykładowa procedura analizy ryzyka, której wdrożenie i stosowanie zapewniają realizację podejścia opartego na ryzyku, wykaz zabezpieczeń systemów IT, wykaz norm mających zastosowanie w obszarze bezpieczeństwa informacji i ochrony danych osobowych.

Podmiotem uprawnionym do monitorowania przestrzegania ww. kodeksu jest KPMG Advisory spółka z ograniczoną odpowiedzialnością spółka komandytowa.

Jak wynika z pierwszego rozdziału, kodeks reguluje zasady przetwarzania danych osobowych przez wszystkie podmioty wykonujące działalność leczniczą (PWDL), bez względu na formę prawną prowadzenia działalności, strukturę właścicielską i podmiot tworzący, uczestnictwo w systemie opieki zdrowotnej finansowanym ze środków publicznych oraz zakres i rodzaj prowadzonej działalności leczniczej. Postanowienia kodeksu mają również zastosowanie do podmiotów przetwarzających, które na zlecenie PWDL przetwarzają dane osobowe pozyskane przez PWDL w celu prowadzenia działalności leczniczej.

W kodeksie wskazano, iż podstawą prawną przetwarzania danych osobowych pacjentów w celach zdrowotnych przez PWDL są właściwe przepisy RODO pozostające w związku z przepisami krajowego prawa medycznego. Opisano przypadki przetwarzania danych: w celach zdrowotnych – niewymagających zgody pacjenta, w celach innych niż zdrowotne – niewymagających zgody pacjenta, przypadki zakresu przetwarzanych danych – niewymagających zgody pacjenta  oraz przypadki przetwarzania  danych na podstawie zgody pacjenta.

W kodeksie uregulowano kwestię zasad przetwarzania danych osobowych przez osoby wykonujące zawody medyczne. Zgodnie z tymi zasadami, PWDL jako administrator  decyduje o nadawaniu upoważnień do przetwarzania danych osobowych osobom wykonującym zawód medyczny przetwarzającym dane pacjentów w ramach wykonywania zawodu i jest to jeden ze środków organizacyjnych, którego celem jest zapewnienie odpowiedniej ochrony danych i kontroli nad procesem ich przetwarzania. Zakres przetwarzanych danych powinien być niezbędny do wykonywania zawodu medycznego, w szczególności do udzielania świadczeń opieki zdrowotnej lub musi być powiązany choćby z potencjalną możliwością udzielania świadczeń opieki zdrowotnej. Osoba wykonująca zawód medyczny przetwarzająca dane w ramach czynności wykraczających poza wykonywanie zawodu medycznego powinna w tym zakresie uzyskać upoważnienie administratora wskazane w art. 24 ust. 2 pkt. 2 ustawy o prawach pacjenta i rzeczniku praw pacjenta.

W dokumencie wskazano zasady przekazywania informacji dotyczących pacjenta w stanach nagłych w oparciu o art. 9 ust. 2 lit. c) RODO. Twórcy kodeksu wskazują, iż w przypadku, w którym pacjent nie jest fizycznie albo prawnie zdolny do wyrażenia zgody w odpowiednim czasie, w szczególności gdy jest nieprzytomny lub nie ma możliwości nawiązania z nim kontaktu w wymaganym czasie, PWDL może podjąć kontakt z osobą trzecią, nieupoważnioną przez pacjenta zgodnie z przepisami prawa medycznego, w szczególności zgodnie z art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, w tym z osobą bliską, w celu przekazania lub uzyskania danych, w tym danych o stanie zdrowia pacjenta niezbędnych dla ochrony żywotnych interesów pacjenta lub innej osoby, w szczególności ochrony zdrowia lub życia tych osób.

W kodeksie opisano, iż PWDL uprawnione są do stosowania monitoringu w miejscach ogólnodostępnych, takich jak recepcja, szatnia, poczekalnia, stołówka, wejścia do budynku , jeżeli jest to niezbędne dla zapewnienia bezpieczeństwa pacjentów oraz personelu PWDL, miejscach udzielania świadczeń zdrowotnych oraz pobytu pacjentów w zakresie wynikającym z przepisów odrębnych (m. in. oddziały dziecięce, oddziały psychiatryczne, zespół porodowy, anestezjologia i intensywna terapia, pokoje łóżkowe, jeżeli jest to konieczne w procesie leczenia i dla zapewnienia pacjentom bezpieczeństwa).

Ponadto, PWDL może dokonywać utrwalenia przebiegu całości przeprowadzanych na rzecz pacjenta zabiegów lub ich części przy użyciu sprzętu rejestrującego obraz lub obraz i dźwięk w celach zdrowotnych, jeżeli jest to uzasadnione rodzajem wykonywanego świadczenia zdrowotnego jako dokumentacji z przebiegu udzielanego świadczenia zdrowotnego i włączenia utrwalonego obrazu lub obrazu i dźwięku do dokumentacji medycznej pacjenta.

Podsumowując, należy podkreślić, iż przystąpienie do stosowania kodeksu postępowania wiąże się z licznymi korzyściami. Przede wszystkim podmioty, które będą te kodeksy stosowały dają gwarancję prawidłowości stosowania określonych rozwiązań zatwierdzonych przez organ nadzorczy. Rola kodeksów postępowania jest również bardzo istotna przy nakładaniu administracyjnej kary pieniężnej. Należy bowiem mieć na uwadze, iż zgodnie z art. 83 ust. 1 lit. j RODO organ nadzorczy decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca w każdym indywidualnym przypadku należytą uwagę na stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 RODO.

Wytyczne Europejskiej Rady Ochrony Danych dotyczące kodeksów postępowania kładą nacisk na cel opracowania takiego kodeksu. Europejska Rada Ochrony Danych gromadzi w rejestrze wszystkie zatwierdzone kodeksy podstępowania, zmiany i rozszerzenia i udostępnia je opinii publicznej za pomocą odpowiednich środków, np. na swojej stronie internetowej.

 

Zarządzanie dokumentacją ochrony danych – jak spełnić wymagania RODO – Webinar Czwartek, 25 Kwietnia 2024

Zapraszamy na webinar wszystkich, którzy chcą pogłębić swoją wiedzę na temat właściwego prowadzenia dokumentacji zgodnie z RODO. Dzięki swojemu uczestnictwu będziecie Państwo mogli zrozumieć nie tylko wymagania prawne związane ze stosowaniem dokumentacji, ale również dowiedzieć się o praktycznym ich zastosowaniu. Stosowanie właściwej dokumentacji zwiększa bezpieczeństwo przetwarzanych danych osobowych i pozwala uniknąć potencjalnych  kar nakładanych przez regulatora. 

Właściwe prowadzenie dokumentacji ochrony danych osobowych jest jednym z podstawowych obowiązków podmiotów, które je przetwarzają. Zapraszamy na webinar, na którym przedstawimy w jakim zakresie podmioty te zobowiązane są do jej prowadzenia oraz posiadanie jakich dokumentów jest rekomendowane, by można było zgodnie z zasadą rozliczalności wykazać przestrzeganie zasad przetwarzania danych osobowych określonych w RODO.

Uczestnicy dowiedzą się, jaką niezbędną zawartość powinny mieć dokumenty, aby spełnić wymagania określone w RODO oraz jak efektywnie zarządzać tą dokumentacją. Ponadto omówiona zostanie kwestia jak dokumentować zgodność z przepisami oraz jak powinna być prowadzona  dokumentacja naruszeń ochrony danych osobowych.

 

Data: 25 Kwietnia 2024 r., godz. 11:00-12:30

Zarejestruj się bezpłatnie!

Spotkanie poprowadzi:

Krzysztof Gołaszewski

 Doświadczony menedżer z praktyką zdobytą w centralnej administracji państwowej oraz w dużych spółkach akcyjnych w sektorze telekomunikacyjnym, energetycznym i bankowym.
Jest ekspertem w dziedzinie ochrony danych osobowych, ładu korporacyjnego, zarządzania procesowego, audytu, compliance i etyki biznesu.
Jest certyfikowanym oficerem compliance, posiada certyfikat PRINCE-2. Uczestniczył w procesach dostosowania organizacji do RODO, audytach zgodności z prawem ochrony danych osobowych, przygotowywaniach dokumentacji wdrożeniowych, opiniowania umów oraz opiniowania projektów aktów prawnych z punktu widzenia przepisów dotyczących ochrony danych osobowych. Wyróżnia się biegłością w tworzeniu dokumentacji prawnej dotyczącej ochrony danych osobowych.

Realizacja prawa dostępu do danych osobowych według EROD

Prawo dostępu do danych osobowych jest jednym z uprawnień przysługujących podmiotowi danych na gruncie RODO[1]. Praktyka pokazuje, że stosowanie tego prawa pociąga za sobą szereg trudności np. w jaki sposób zapewnić dostęp danych lub w jakim zakresie udostępnić dane. Z pomocą dla administratorów danych i podmiotów przetwarzających przyszła Europejska Rada Ochrony Danych (EROD), tworząc wytyczne w sprawie prawa dostępu do danych osobowych. Po przeprowadzeniu konsultacji publicznych Europejska Rada Ochrony Danych (EROD) 17 kwietnia 2023 ogłosiła ostateczną wersję wytycznych w sprawie praw osób, których dane dotyczą – prawo dostępu[2].

Celem niniejszego artykułu jest omówienie najważniejszych aspektów realizacji prawa dostępu do danych osobowych z uwzględnieniem najistotniejszych kwestii wynikających z treści wytycznych EROD.

Warto już na wstępie wskazać, że prawo dostępu do danych pełni niezwykle istotną funkcję, dając podmiotom danym możliwość pozyskania wiedzy na temat przetwarzania ich danych osobowych, co z kolei umożliwia im zarządzanie swoimi danymi i realizację pozostałych praw przysługujących im na gruncie RODO.

Treść prawa dostępu do danych

Prawo dostępu do danych osobowych obejmuje trzy różne elementy:

  • Potwierdzenie czy dane o osobie są przetwarzane, czy też nie,
  • Dostęp do tych danych osobowych i
  • Dostęp do informacji o przetwarzaniu, takich jak cel, kategorie danych i odbiorcy, czas przetwarzania, prawa osób, których dane dotyczą oraz wreszcie odpowiednie zabezpieczenia w przypadku przekazywania danych do państw trzecich.

Ponadto, w art. 15 ust. 3 RODO mowa jest o dostarczaniu kopii danych osobie, której dane dotyczą. To żądanie kopii danych odnosi się do drugiego komponentu tj. dostępu do danych osobowych.  Według EROD obowiązek dostarczenia kopii należy rozumieć jako sposób zapewnienia dostępu do danych, nie zaś dodatkowe prawo osoby, której dane dotyczą. Wymóg dostarczenia kopii powinien być szeroko interpretowany i oznacza podanie informacji o danych osobowych osoby składającej żądanie osobie, której dane dotyczą, w sposób umożliwiający osobie, której dane dotyczą, zachowanie wszystkich informacji i powrócenie do nich. Administrator jest zobowiązany zapewnić bezpłatną pierwszą kopię danych niezależnie od kosztu jej wydania.

Zasadą jest, że gdy administrator otrzymuje żądanie dostępu do danych powinien przekazać w całości podmiotowi danych wszystkie informacje wymagane w art. 15 RODO. Administrator musi zatem udzielić informacji wskazanych w art. 15 ust. 1 RODO, a gdy ma to zastosowanie to także informacji, o których mowa w art. 15 ust. 2 RODO[3].

Komunikacja z podmiotem danych

EROD w swoich wytycznych podkreśla, jak ważna jest zapewnienie przejrzystej, łatwej komunikacji z wnoszącym żądanie. Oznacza to w szczególności stworzenie przejrzystych kanałów, na pośrednictwem których podmiot danych może wnieść żądanie np. dedykowany adres e-mail, specjalny formularz etc.  Administrator nie może jednak wymagać, by osoba, której dane dotyczą, kierowała do niego swoje żądania wyłącznie za pośrednictwem wskazanych przez niego kanałów.

Nie należy zapominać o weryfikacji tożsamości osoby wnoszącej żądanie, która jest pierwszym krokiem jaki należy podjąć zanim dane zostaną udostępnione. Pominięcie tego kroku może prowadzić do konsekwencji w postaci ujawnienia danych osobie nieuprawnionej, to jest naruszenia ochrony danych osobowych.

Jeżeli administrator nie jest przekonany co do tożsamości wnoszącego żądanie, powinien zwrócić się o podanie dodatkowych informacji, które umożliwią zidentyfikowanie osoby. Należy jednak pamiętać, że zakres żądanych informacji powinien być proporcjonalny do danych już przetwarzanych przez administratora. Potwierdzenie tożsamości nie powinno prowadzić do gromadzenia przez administratora nadmiarowych danych osobowych.

 

Zakres i sposób realizacji żądania dostępu do danych

Jeśli chodzi o zakres realizacji prawa dostępu do danych osobowych należy wskazać, że według EROD prawo dostępu do danych dotyczy wszystkich danych osobowych wnioskodawcy, które są przetwarzane przez administratora – również tych poddanych pseudonimizacji. Zakres żądania dostępu do danych jest zdeterminowany definicją „danych osobowych” zawartą w RODO. Prawo dostępu odnosi się do danych osobowych osoby składającej żądanie. EROD wskazał, że nie należy tego interpretować zbyt restrykcyjnie tzn. zakresem prawa dostępu do danych mogą być objęte także dane osobowe innej osoby. Jako przykład podano historię komunikacji zawierającą wychodzące i przychodzące wiadomości.

EROD wskazuje, że jeżeli w żądaniu nie wskazano inaczej, prawo dostępu do danych dotyczy wszystkich danych osobowych wnioskującego zgromadzonych przez administratora. Administrator w pewnych sytuacjach jest jednak uprawniony do zwrócenia się o sprecyzowanie żądania, jeżeli ilość przechowywanych przez niego danych dotyczących wnioskującego jest znaczna.

Udzielenie dostępu do danych oraz informacji o ich przetwarzaniu powinno zapewniać przejrzystość. Główną metodą zapewnienia dostępu jest dostarczenie osobie, której dane dotyczą, kopii jej danych, ale można przewidzieć inne sposoby (takie jak informacje ustne i dostęp na stronie). Jeżeli dane osobowe przetwarzane przez administratora są w formie kodowej lub w postaci innego rodzaju „surowych danych”, administrator ma obowiązek zapewnić wyjaśnienie przekazywanych informacji w taki sposób, by były jasne dla wnioskodawcy. Jako jedno z rozwiązań w sytuacji, gdy administrator przetwarza dużą ilość danych, wskazano możliwość zastosowania podejścia warstwowego, które ułatwi osobie zrozumienie przekazywanych jej danych i informacji.

W przypadku, gdy podmiot danych wnosi żądanie drogą elektroniczną administrator ma obowiązek zrealizować żądanie w powszechnie stosowanej formie elektronicznej, chyba że udzielenia w inny sposób zażąda osoba, której dane dotyczą.

EROD wskazuje, iż możliwe jest również przekazanie kopii danych osobowych w formie transkrypcji lub zestawienia, jeżeli nie spowoduje to zmiany treści ani zawartości danych.

Żądanie powinno być zrealizowane bez zbędnej zwłoki, nie później niż w ciągu miesiąca od jego otrzymania. W wyjątkowych przypadkach z uwagi na skomplikowany charakter żądania lub liczbę żądań możliwe jest wydłużenie terminu na realizację żądania o dwa miesiące.

Wyjątki od realizacji prawa dostępu do danych

W swoich wytycznych EROD odniósł się także do wyjątków od realizacji prawa dostępu do danych osobowych. Zgodnie z art. 15 ust. 4 RODO prawo do uzyskania kopii danych nie może niekorzystnie wpływać na prawa i wolności innych osób. EROD podnosi, że wyjątek ten należy jednak ujmować wąsko. Nie umożliwia on zupełnej odmowy realizacji prawa osoby, której dane dotyczą, ale może skutkować nieprzekazaniem części kopii przetwarzanych danych osobowych.

Ponadto administrator jest uprawniony do niewykonania prawa dostępu do danych w przypadku, gdy żądanie byłoby nadmierne lub ewidentnie nieuzasadnione albo do pobrania rozsądnej opłaty, uwzględniającej administracyjne koszty udzielenia informacji, prowadzenie komunikacji lub podjęcie żądanych działań (art. 12 ust. 5 RODO).

Podsumowując, prawo dostępu do danych osobowych jest jednym z kluczowych praw przysługujących osobie, której dane są przetwarzane, stąd administratorzy powinni być przygotowani na prawidłową realizację tego typu żądań. Omawiane w artykule wytyczne mogą stanowić ważny pomocniczy materiał w ramach zapewnienia zgodności z RODO procesu realizacji prawa dostępu do danych osobowych.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

 

[2]Guidelines 01/2022 on data subject rights – Right of access – version 2.0.:  https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en

 

[3] Art. 15 ust. 2 RODO „Jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem.”

 

Profilowanie na Danych Osobowych

W dobie cyfrowego świata, gdzie życie przenosi się coraz bardziej do przestrzeni wirtualnej, profilowanie w sieci staje się nieodłącznym elementem codzienności. To proces zbierania, analizy i interpretacji danych o użytkownikach Internetu w celu tworzenia ich wirtualnych profili. Choć ma potencjał ułatwiania dostępu do spersonalizowanych usług czy reklam, rodzi również obawy związane z prywatnością.

Profilowanie w sieci może obejmować śledzenie aktywności online, preferencji zakupowych, a nawet analizę treści udostępnianej w mediach społecznościowych. Dla niektórych może to być narzędzie ułatwiające korzystanie z Internetu, ale dla innych stanowić może zagrożenie prywatności.

Organizacje wykorzystują profilowanie w celu lepszego zrozumienia swoich klientów, dostarczania spersonalizowanych treści czy reklam. Niemniej jednak, istnieje potrzeba zachowania równowagi pomiędzy korzyściami a zagrożeniami. Ochrona danych osobowych oraz transparentność procesów profilowania stają się kluczowe dla zapewnienia bezpieczeństwa użytkowników online.

Z uwagi na wzrost świadomości oraz konieczność zwiększenia ochrony danych osobowych przetwarzanych w sieci, temat profilowania, który nie doczekał się wcześniej regulacji, został zdefiniowany w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ( „RODO”).

Profilowanie, zgodnie z definicją zawartą w RODO, to dowolna forma zautomatyzowanego przetwarzania danych osobowych w celu oceny niektórych czynników danej osoby fizycznej, zwłaszcza do analizy lub prognozy elementów dotyczących pracy tej osoby, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, zachowań, lokalizacji lub przemieszczania się.

Mówiąc o profilowaniu, należy rozróżnić profilowanie zwykłe (z udziałem czynnika ludzkiego) od kwalifikowanego (zautomatyzowanego, kończącego się wydaniem zautomatyzowanej decyzji), które zostało uregulowane przepisami RODO. Profilowanie polegające na zbieraniu danych anonimowych, następnie ich wykorzystywaniu czy analizowaniu nie będzie zatem stanowiło profilowania w myśl RODO. Musimy mieć do czynienia z personalizacją, a więc wykorzystaniem danych osobowych przetwarzanych w sposób  zautomatyzowany do analizy niektórych czynników osobowych, które finalnie doprowadzą do otrzymania spersonalizowanej oferty czy reklamy.

Profilowanie może być dokonywane w różnych celach, począwszy od badań statystycznych przez realizację umowy po cele marketingowe. RODO reguluje wyłącznie sytuacje, w których profilowanie wykorzystywane jest do zautomatyzowanego podejmowania decyzji. Należy zweryfikować, czy profilowanie zmierza do podjęcia decyzji i w rzeczywistości kończy się podjęciem decyzji. Jest to kluczowa informacja, stanowiąca podstawę do zastosowania regulacji z art. 22 RODO.

RODO nakłada na administratorów danych osobowych, szereg obowiązków związanych z profilowaniem.

Obowiązek informacyjny

administrator ma obowiązek udzielić informacji, czy dochodzi do profilowania, jakie są tego konsekwencje oraz czy mamy do czynienia z profilowaniem zautomatyzowanym. Informacja powinna również określać precyzyjnie cel profilowania oraz podstawę prawną.

W przypadku profilowania prowadzonego w sposób zautomatyzowany osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Powyższe nie dotyczy sytuacji, w której decyzja ta:

  • jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
  • jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą; lub
  • opiera się na wyraźnej zgodzie osoby, której dane dotyczą.

Powyższe wyłączenia dotyczą przetwarzania danych zwykłych. W przypadku, w którym mówimy natomiast o danych szczególnej kategorii, przetwarzanie danych osobowych w drodze profilowania zautomatyzowanego może mieć miejsce gdy:

  • jest ono niezbędne ze względów związanych z ważnym interesem publicznym na podstawie  prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do celu lub
  • osoba, której dane dotyczą wyraziła zgodę na takie profilowanie
  • istnieją właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.

Bezpieczeństwo danych osobowych

administrator jest zobowiązany do zapewnienia odpowiednich środków ochrony danych przetwarzanych w procesie profilowania.

Przejrzystość 

proces profilowania musi być transparentny. Osoba, której dane dotyczą, powinna być w stanie zrozumieć, jakie decyzje są podejmowane na podstawie jej profilu.

Minimalizacja danych osobowych

zgodnie z zasadą minimalizacji danych, administrator powinien ograniczać zbieranie i przetwarzanie danych osobowych do niezbędnego minimum w kontekście celu profilowania.

Prawo do sprzeciwu

RODO przewiduje prawo sprzeciwu wobec profilowania, co oznacza, że osoba, której dane dotyczą może sprzeciwić się przetwarzaniu jej danych w tym celu. Prawo do sprzeciwu odnosi się do każdej formy profilowania (nie tylko zautomatyzowanego).

Prawo dostępu do danych

osoba, której dane dotyczą ma prawo uzyskania dostępu do danych przetwarzanych do celów związanych z profilowaniem. Warto w tym miejscu wspomnieć o decyzji Prezesa Urzędu Ochrony Danych Osobowych z 07.10.2021 r. (ZSPR.440.331.2019.PR.PAM), w której to decyzji stwierdzono, iż profil marketingowy stanowi dane osobowe, z którymi ma prawo zapoznać się osoba, której te dane dotyczą. W konsekwencji Prezes UODO nakazał administratorowi udostępnienie informacji o kategoriach marketingowych (profilu behawioralnym) przypisanych podmiotowi danych na podstawie plików cookies, a także wskazanie jakie informacje dotyczące tej osoby zostały powiązane z informacjami wynikającymi z plików cookies.

Inspektor Ochrony Danych – wzmocnienie bezpieczeństwa przetwarzanych danych osobowych w organizacji

Zapraszamy na webinar:

Inspektor Ochrony Danych – wzmocnienie bezpieczeństwa przetwarzanych danych osobowych w organizacji.

W dobie dynamicznego rozwoju technologii oraz coraz bardziej zaawansowanych zagrożeń związanych z przetwarzaniem danych osobowych, funkcja Inspektora Ochrony Danych (IOD) staje się niezwykle istotnym elementem w zapewnianiu bezpieczeństwa przetwarzanych danych oraz przestrzeganiu przepisów dotyczących ochrony prywatności.

Podczas webinaru omówione zostaną rola i zadania IOD w kontekście jego relacji z administratorem danych oraz wskazane zostanie jak zadania IOD wpływają na skuteczną ochronę danych w organizacji. Uczestnictwo w webinarze pomoże Państwu lepiej zrozumieć jak można lepiej zadbać o dane osobowe pracowników, klientów, partnerów biznesowych i innych interesariuszy. Pomocne we właściwym kształtowaniu zadań, roli i pozycji Inspektora Ochrony Danych są wyniki badań przeprowadzonych przez Europejską Radę Ochrony Danych, z których rekomendacje zostaną Państwu przedstawione. Zostaną Państwu również zaprezentowane wyniki sprawozdania Urzędu Ochrony Danych Osobowych na temat badania kluczowych obowiązków administratorów w zakresie zapewnienia prawidłowego wykonywania funkcji IOD.

 

Data: Czwartek, 14 Marca 2024 r., godz. 11:00-12:30

Zarejestruj się bezpłatnie!

Spotkanie poprowadzi:

Krzysztof Gołaszewski

 Doświadczony menedżer z praktyką zdobytą w centralnej administracji państwowej oraz w dużych spółkach akcyjnych w sektorze telekomunikacyjnym, energetycznym i bankowym.
Jest ekspertem w dziedzinie ochrony danych osobowych, ładu korporacyjnego, zarządzania procesowego, audytu, compliance i etyki biznesu.
Jest certyfikowanym oficerem compliance, posiada certyfikat PRINCE-2. Uczestniczył w procesach dostosowania organizacji do RODO, audytach zgodności z prawem ochrony danych osobowych, przygotowywaniach dokumentacji wdrożeniowych, opiniowania umów oraz opiniowania projektów aktów prawnych z punktu widzenia przepisów dotyczących ochrony danych osobowych. Wyróżnia się biegłością w tworzeniu dokumentacji prawnej dotyczącej ochrony danych osobowych.

Sztuczna inteligencja w objęciach prawa unijnego. Główne problemy regulacyjne w czasie inkubacyjnym.

Sztuczną inteligencję w UE będą regulować pierwsze na świecie kompleksowe przepisy dotyczące AI – Akt o sztucznej inteligencji (Regulation of the European Parliament and of the Council laying down harmonised rules on Artificial Intelligence – Artificial Intelligence Act).

Unijne rozporządzenie to przełomowy akt prawny, wykraczający poza skalę europejską. Na szczeblu międzynarodowym Organizacja Współpracy Gospodarczej i Rozwoju (OECD) przyjęła (niewiążące) zalecenie w sprawie sztucznej inteligencji w 2019 roku, UNESCO przyjęło zalecenia w sprawie etyki sztucznej inteligencji w 2021 roku, Rada Europy pracuje obecnie nad międzynarodową konwencją w sprawie AI.

W przestrzeni Unii Europejskiej prace toczą się od dłuższego czasu. I tak, Parlament Europejski wezwał Komisję Europejską do oceny wpływu sztucznej inteligencji i opracowania unijnych ram dla sztucznej inteligencji w swoich szeroko zakrojonych zaleceniach z 2017 roku w sprawie przepisów prawa cywilnego dotyczących robotyki. W 2019 roku Niezależna Grupa Ekspertów Wysokiego Szczebla do spraw Sztucznej Inteligencji przyjęła Wytyczne w zakresie etyki dotyczące godnej zaufania sztucznej inteligencji. W Białej księdze w sprawie sztucznej inteligencji z 2020 roku Komisja Europejska zobowiązała się do promowania wykorzystania sztucznej inteligencji i przeciwdziałania zagrożeniom związanym z niektórymi zastosowaniami tej nowej technologii. W 2020 i 2021 roku Parlament przyjął szereg rezolucji wzywających do przyjęcia przepisów UE w dziedzinie sztucznej inteligencji. W pierwszej rezolucji zwrócono się do Komisji aby ustanowiła ramy prawne zasad etycznych dotyczących opracowywania, wdrażania i wykorzystywania sztucznej inteligencji, robotyki i powiązanych technologii w Unii. W drugiej rezolucji wezwano do harmonizacji ram prawnych dotyczących roszczeń z tytułu odpowiedzialności cywilnej i nałożenia odpowiedzialności na operatorów systemów AI wysokiego ryzyka. Ponadto Parlament przyjął szereg zaleceń wzywających do wspólnego podejścia UE do AI w zakresie własności intelektualnej, prawa karnego, edukacji, kultury i obszarów audiowizualnych, a także w odniesieniu do cywilnych i wojskowych zastosowań AI.

14 czerwca 2023 roku Parlament Europejski uchwalił akt (przyjmując stanowisko negocjacyjne, w ramach trójstronnych negocjacji (tzw. trilogi, czyli negocjacje pomiędzy PE, Radą i Komisją Europejską). 9 grudnia 2023 roku doszło po prawie 15 godzinach negocjacji (które nastąpiły po prawie 24-godzinnej debacie poprzedniego dnia) do porozumienia między krajami UE a członkami Parlamentu Europejskiego. Europa tym samym zajęła pozycję pioniera normatywnego w obszarze AI, przy czym należy pamiętać, że akt przewiduje aż dwuletnie vacatio legis.

Podstawowe założenia aktu o sztucznej inteligencji

Ogólnym celem proponowanego aktu o sztucznej inteligencji, zaprezentowanego w kwietniu 2021 roku, jest zapewnienie prawidłowego funkcjonowania jednolitego rynku poprzez stworzenie warunków dla rozwoju i wykorzystywania godnych zaufania systemów sztucznej inteligencji w Unii.

W powszechnym odczuciu społecznym oczekuje się, że technologie sztucznej inteligencji przyniosą szeroki wachlarz korzyści ekonomicznych i społecznych w wielu sektorach gospodarki. Są one szczególnie przydatne do poprawy przewidywania, optymalizacji operacji i alokacji zasobów oraz personalizacji usług. Równocześnie zwraca się uwagę na wpływ systemów sztucznej inteligencji na prawa podstawowe (chronione chociażby na mocy Karty praw podstawowych UE). W szczególności systemy AI mogą zagrażać prawom podstawowym, takim jak prawo do niedyskryminacji, wolności słowa, godności ludzkiej, ochrony danych osobowych i prywatności. Politycy zobowiązali się do opracowania „humanocentrycznego” podejścia do sztucznej inteligencji, aby zapewnić Europejczykom możliwość korzystania z nowych technologii zgodnie z unijnymi wartościami i zasadami, w szczególności założono szereg celów szczegółowych: (i) zapewnienie, że systemy AI wprowadzane na rynek na rynek UE będą bezpieczne i zgodne z obowiązującym prawem UE, (ii) zapewnienie pewności prawa w celu ułatwienia inwestycji i innowacji, (iii) wzmocnienie zarządzania i skutecznego egzekwowania prawa UE w zakresie praw podstawowych i wymogów bezpieczeństwa, (iv) ułatwienie rozwoju jednolitego rynku dla zgodnych z prawem, bezpiecznych i godnych zaufania aplikacji AI oraz (v) zapobieganie fragmentacji rynku.

Nowe ramy AI, oparte na art. 1149 i art. 1610 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), w założeniu miały zawierać neutralną technologicznie definicję systemów sztucznej inteligencji, ustanowienie klasyfikacji systemów AI z różnymi wymogami i obowiązkami dostosowanymi do „podejścia opartego na ryzyku”. Systemy AI stwarzające „niedopuszczalne” ryzyko byłyby zakazane. Systemy AI „wysokiego ryzyka” byłyby dozwolone, ale podlegałby zestawowi wymogów i obowiązków. Te systemy sztucznej inteligencji, które stwarzałyby jedynie „ograniczone ryzyko” podlegałyby ograniczonym obowiązkom w zakresie przejrzystości.

Zakres regulacji aktu o sztucznej inteligencji

Przyjęte przepisy AI ACT dotyczą wszystkich podmiotów, które wprowadzają do obrotu lub oddają do użytku systemy (niezależnie od tego, czy mają swoją siedzibę w UE, a zatem np. Google Inc. w przypadku Barda), jeżeli skutki związane z wykorzystanie dostarczonych przez nich systemów powstają na terenie Unii. Rozporządzenie wprowadza kategoryzację systemów, na te stwarzające (i) niedopuszczalne ryzyko, (ii) wysokie ryzyko, (iii) ograniczone ryzyko oraz (iv) niskie lub minimalne ryzyko. I tak:

1. Niedopuszczalne ryzyko: zakazane praktyki AI

  • systemy, które wykorzystują szkodliwe manipulacyjne „techniki podprogowe”,
  • systemy, które wykorzystują określone grupy szczególnie wrażliwe (niepełnosprawność fizyczna lub umysłowa),
  • systemy wykorzystywane przez organy publiczne lub w ich imieniu do celów oceny społecznej,
  • zdalne systemy identyfikacji biometrycznej „w czasie rzeczywistym” w publicznie dostępnych przestrzeniach na potrzeby do celów egzekwowania prawa, z wyjątkiem ograniczonej liczby przypadków;

2. Wysokie ryzyko: regulowane systemy SI wysokiego ryzyka

  • systemy wykorzystywane jako element bezpieczeństwa produktu lub objęte unijnym prawodawstwem harmonizacyjnym w zakresie zdrowia i bezpieczeństwa (np. zabawki, lotnictwo, samochody, urządzenia medyczne, windy),
  • systemy wdrożone w ośmiu konkretnych obszarach określonych w załączniku III, które Komisja mogłaby aktualizować w razie potrzeby za pomocą aktów delegowanych (art. 7):
  • identyfikacja biometryczna i kategoryzacja osób fizycznych,
  • zarządzanie infrastrukturą krytyczną i jej obsługa,
  • kształcenie i szkolenie zawodowe,
  • zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia,
  • dostęp do podstawowych usług prywatnych i publicznych oraz korzystanie z nich świadczeń,
  • egzekwowanie prawa;
  • zarządzanie migracją, azylem i kontrolą graniczną;
  • wymiar sprawiedliwości i procesy demokratyczne.

Wszystkie systemy sztucznej inteligencji wysokiego ryzyka podlegają zestawowi nowych obowiązków, w tym m.in. ocena zgodności ex ante działania takich systemów pod kątem wpływu na prawa podstawowe osób fizycznych, zarejestrowanie systemów w ogólnounijnej bazie danych zarządzanej przez Komisję przed wprowadzeniem ich na rynek lub do użytku. Systemy AI wysokiego ryzyka wykorzystywane do identyfikacji biometrycznej wymagałyby oceny zgodności przez „jednostkę notyfikowaną”. Oczywiście dostawcy systemów sztucznej inteligencji wysokiego ryzyka zobowiązani są wdrożyć odpowiednie środki bezpieczeństwa. Systemy muszą spełniać szereg wymogów w szczególności w zakresie zarządzania ryzykiem, testowania, solidności technicznej, szkolenia w zakresie danych i zarządzania danymi, przejrzystości, nadzoru ludzkiego i cyberbezpieczeństwa (art. 8-15). Dostawcy spoza UE muszą posiadać autoryzowanego przedstawiciela w UE, który będzie m.in, zapewniał ocenę zgodności, system monitorowania po wprowadzeniu do obrotu i w razie potrzeby podejmował działania naprawcze.

3. Ograniczone ryzyko: obowiązki w zakresie przejrzystości

Systemy AI stwarzające „ograniczone ryzyko”, takie jak systemy generatywne wchodzące w interakcje z ludźmi (tj. chatboty, jak np. ChatGPT), systemy rozpoznawania emocji, systemy kategoryzacji biometrycznej i systemy sztucznej inteligencji, które generują lub manipulują treściami graficznymi, audio lub wideo [jak np. sieci kontradyktoryjne (GANs), wariancyjne autoenkodery (VAEs), czy deepfakes], podlegałyby ograniczonemu zestawowi obowiązków w zakresie przejrzystości. Po interakcji z tymi aplikacjami użytkownik będzie mógł zdecydować, czy chce z nich dalej korzystać. Użytkownicy powinni być świadomi, że interakcja odbywa się ze sztuczną inteligencją. W każdym przypadku konieczne będzie informowanie użytkowników o tym, że mają oni do czynienia z treściami generowanymi przez AI.

4. Niskie lub minimalne ryzyko: brak obowiązków

Wszystkie inne systemy sztucznej inteligencji stwarzające jedynie niskie lub minimalne ryzyko mogą być opracowywane i wykorzystywane w UE bez konieczności spełniania rozbudowanych obowiązków prawnych. Rozporządzenie przewiduje możliwość stosowania kodeksów postępowania, aby zachęcić dostawców systemów sztucznej inteligencji nieobarczonych wysokim ryzykiem do dobrowolnego stosowania obowiązkowych wymogów dla systemów AI wysokiego ryzyka.

Akt nakłada na państwa członkowskie wymóg wyznaczenia jednego lub większej liczby właściwych organów, w tym krajowego organu nadzoru, którego zadaniem będzie nadzorowanie stosowania i wdrażania rozporządzenia, a także ustanawia Europejską Radę ds. Sztucznej Inteligencji (złożoną z przedstawicieli państw członkowskich i Komisji).

W przypadku uporczywego nieprzestrzegania przepisów państwa członkowskie mogą podjąć wszelkie odpowiednie środki w celu środki w celu ograniczenia, zakazania, wycofania lub wycofania z rynku danego systemu AI wysokiego ryzyka. Przewidziane kary administracyjne to od 7,5 mln euro lub 1,5% całkowitego rocznego światowego obrotu, do 35 mln euro lub 7% całkowitego rocznego światowego obrotu, w zależności od wagi naruszenia

Rozporządzenie przyznaje także osobom, których prawa zostały naruszone decyzją wydaną z wykorzystaniem systemu sztucznej inteligencji, do wniesienia skargi do właściwego organu państwowego, a także zaskarżenie do sądu.

Rozbieżności stanowisk / kontrowersje

Definicja sztucznej inteligencji

Prawna definicja systemów sztucznej inteligencji zawarta w rozporządzeniu została poddana ostrej krytyce. Niektórzy interesariusze podkreślają, że definicja systemów AI jest dość szeroka i może obejmować znacznie więcej niż to, co jest subiektywnie rozumiane jako AI, w tym najprostsze algorytmy wyszukiwania, sortowania i routingu, co w konsekwencji może prowadzić do „nadregulacji”.  Problem dotyczy też traktowania tzw. „wstępnych komponentów AI”. Brak jasności definicji może prowadzić do niepewności prawnej, zwłaszcza w przypadku niektórych systemów, które nie kwalifikowałyby się jako systemy AI, podczas gdy ich użycie może mieć wpływ na prawa podstawowe. Niektóre środowiska wzywają prawodawców UE do wyłączenia systemów sztucznej inteligencji opracowanych i wykorzystywanych do celów badawczych i oprogramowania open source (OSS) z regulacji. Inni komentatorzy kwestionują czy proponowana definicja jest rzeczywiście neutralna technologicznie ponieważ odnosi się przede wszystkim do oprogramowania, pomijając potencjalne przyszłe rozwiązania technologiczne w dziedzinie sztucznej inteligencji.

Ograniczenie rynku

Francja, Niemcy i Włochy sprzeciwiły się regulowaniu modeli podstawowych, argumentując, że hamowałoby to rozwój europejskich systemów AI. 18 listopada 2023 roku państwa te opublikowały wspólny dokument, tzw. non-paper, który odzwierciedla wspólne stanowisko trzech głównych gospodarek europejskich w kwestii modeli podstawowych.

Grupa biznesowa DigitalEurope skrytykowała przepisy, uznając je za kolejne obciążenie dla firm. Z kolei European Enterprises Alliance podkreśla, że istnieje ogólna niepewność co do ról i obowiązków różnych podmiotów w łańcuchu wartości AI (deweloperów, dostawców i użytkowników AI). Jest to szczególnie trudne dla firm dostarczających aplikacje i interfejsy programowania aplikacji ogólnego przeznaczenia lub modele AI typu open source, które nie są specjalnie przeznaczone dla systemów AI ale mimo to są wykorzystywane przez strony trzecie w sposób, który można uznać za obarczony wysokim ryzykiem. AlgorithmWatch podkreśla, że zastosowanie konkretnych zasad nie powinno zależeć od rodzaju technologii, ale od jej wpływu na jednostki i środowisko.

Biometria i scoring społeczny w AI

Niektóre zainteresowane strony (głównie organizacje – obrońcy praw człowieka) wzywają do wprowadzenia zakazu masowego dla arbitralnie ukierunkowanego wykorzystania danych biometrycznych w przestrzeni publicznej. Grupa AccessNow twierdzi, że przepisy dotyczące zakazanych praktyk AI są zbyt niejasne, i proponuje szerszy zakaz wykorzystywania sztucznej inteligencji do kategoryzowania ludzi na podstawie danych fizjologicznych, behawioralnych lub biometrycznych (w tym do rozpoznawania emocji, a także niebezpiecznych zastosowań w kontekście działań policyjnych, migracji, azylu i zarządzania granicami). Proponują zakazanie istniejących manipulacyjnych systemów sztucznej inteligencji (np. deepfake), scoringu społecznościowego i niektórych danych biometrycznych. Ponadto niektórzy podkreślają, że akt nie odnosi się do systemowych zagrożeń dla zrównoważonego rozwoju stwarzanych przez sztuczną inteligencję zwłaszcza w obszarze ochrony klimatu i środowiska.

Podejście oparte na ryzyku (Risk-based approach)

Co do zasady wszyscy z zadowoleniem przyjmują podejście oparte na ryzyku (znane chociażby z RODO, NIS czy DORA). Niemniej jedną z głównych obaw ekspertów jest to, że przepisy dotyczące  praktyk wysokiego ryzyka mogą okazać się nieskuteczne w rzeczywistości, ponieważ ocenę ryzyka pozostawia się samoocenie dostawcy usług, który może celowo ją dostosowywać (manipulować) do poziomu własnego interesu biznesowego.

Zarządzanie, egzekwowanie i sankcje dotyczące sztucznej inteligencji

Eksperci podnoszą obawy dotyczące nadmiernego delegowania uprawnień regulacyjnych na prywatne europejskie organizacje normalizacyjne, brak demokratycznego nadzoru, w tym braku możliwości wpływania przez interesariuszy (organizacje społeczeństwa obywatelskiego, stowarzyszenia konsumenckie) na opracowywanie norm oraz brak środków sądowych umożliwiających ich kontrolę po ich przyjęciu. Zalecają, aby rozporządzenie kodyfikowało zestaw prawnie wiążących wymogów dla systemów sztucznej inteligencji wysokiego ryzyka (np. zakazane formy dyskryminacji algorytmicznej).

Podsumowanie

Przyjęcie pierwszych regulacji prawnych w obszarze sztucznej inteligencji – rozumiane jako osiągnięcie trudnego konsensusu pomiędzy państwami, gospodarkami Unii Europejskiej – należy niewątpliwie uznać za sukces. Natomiast sama treść aktu i proponowane w nim rozwiązania już wzbudzają kontrowersję. Główna oś sporu rozgranicza zwolenników wolnego rynku (zarzucających „nadregulację” i ograniczanie swobody technologicznej, a w konsekwencji rynku i rozwoju) od obrońców praw obywatelskich (w szczególności prywatności) wskazujących na ryzyka i zagrożenia. Skuteczność rozwiązań normatywnych (np. kwestia dokonywania autooceny ex ante) – co jasne – zostanie zweryfikowana dopiero w praktyce. Przyjęcie aktu pozwala jednak (przy zastrzeżeniu długiego okresu vacatio legis) przejść z poziomu dyskusji na poziom normatywny funkcjonowania sztucznej inteligencji (ze wszystkimi z tego tytułu płynącymi konsekwencjami w warstwie jurysprudencji, orzecznictwa czy doktryny).

 

Prezes Urzędu Ochrony Danych Osobowych – wybór, kompetencje i wyzwania na 2024 r.

Czteroletnia kadencja pełniącego obecnie obowiązki Prezesa Urzędu Ochrony Danych Osobowych Jana Nowaka minęła w maju ub. roku. Obecnie rozpoczął się wybór nowego Prezesa UODO. Prezesa Urzędu powołuje i odwołuje Sejm za zgodą Senatu.  W dniu 19 grudnia 2023 r. w Sejmie odbyła się debata z potencjalnymi kandydatami na ww. stanowisko. Spotkanie to  było dostępne dla organizacji społecznych i ekspertów, którym umożliwiono zadawanie merytorycznych pytań.  W wydarzeniu tym  wzięło udział 7 kandydatów. Spotkanie było transmitowane na żywo, z zapisem można się zapoznać na stronie internetowej Sejmu.

Sejm będzie dalej pracował nad oceną czterech kandydatur zgłoszonych przez kluby parlamentarne.  Jakuba Groszkowski   zgłoszony przez posłów z Klubu PIS, Konrad Komornicki i Andrzej Rybus-Tołłoczko zgłoszeni przez posłów z Klubu PSL – Trzecia Droga i Klubu Polska 2050 – Trzecia Droga. Czwartym kandydatem na fotel Prezesa UODO jest Mirosław Wróblewski zgłoszony przez posłów z Klubu Koalicja Obywatelska. Zgłoszeni kandydaci 9 stycznia br. staną przed Komisją  Sprawiedliwości i Praw Człowieka. Z harmonogramu najbliższego posiedzenia Sejmu, które rozpocznie się 10 stycznia posłowie zadecydują, który z kandydatów zostanie wskazany jako nowy Prezes  UODO.

Wybór i kompetencje Prezesa Urzędu Ochrony Danych Osobowych

Zgodnie z ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych Prezesa UODO powołuje i odwołuje Sejm Rzeczypospolitej Polskiej za zgodą Senatu Rzeczypospolitej Polskiej. Kadencja Prezesa Urzędu trwa 4 lata, licząc od dnia złożenia ślubowania. Prezes Urzędu po upływie kadencji wykonuje swoje obowiązki do czasu objęcia stanowiska przez nowego Prezesa Urzędu. Co istotne ta sama osoba nie może być Prezesem Urzędu więcej niż przez dwie kadencje. Kadencja Prezesa Urzędu wygasa z chwilą jego śmierci, odwołania lub utraty obywatelstwa polskiego. Prezes Urzędu nie może należeć do partii politycznej.

Na stanowisko Prezesa UODO może być powołana osoba, która: jest obywatelem polskim, posiada wyższe wykształcenie, wyróżnia się wiedzą prawniczą i doświadczeniem z zakresu ochrony danych osobowych, korzysta z pełni praw publicznych, nie była skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe, posiada nieposzlakowaną opinię.[1]

Zadania organu nadzorczego możemy podzielić na zadania o charakterze nadzorczym, doradczym, edukacyjnym, współpracy z innymi organami nadzorczymi. Na szczególną uwagę zasługuje art. 57 RODO, który enumeratywnie wskazuje co należy do zadań organu nadzorczego. Są to m.in.;

  • monitorowanie i egzekwowanie stosowania przepisów z zakresu ochrony danych osobowych;
  • upowszechnianie w społeczeństwie wiedzy o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienie tych zjawisk;
  • upowszechnianie wśród administratorów i podmiotów przetwarzających wiedzy o ochronie danych osobowych;
  • rozpatrywanie skarg osób, których dane dotyczą;
  • współpraca z innymi organami nadzorczymi, w tym dzielenie się informacjami w celu zapewnienia spójnego stosowania i egzekwowania RODO;
  • prowadzenie postępowań w sprawie stosowania RODO;
  • zatwierdzanie wiążących reguł korporacyjnych.

Przed nowym Prezesem UODO czeka wiele wyzwań. W trackie debaty potencjalni kandydaci wskazywali między innymi na konieczność wzmocnienia roli UODO zarówno na poziomie krajowym,  jak i europejskim.

Rynek oczekuje, że nowy Prezes UODO zajmie  się także współpracą z inspektorami ochrony danych oraz  administratorami w celu wypracowania standardów i praktyk zmierzających do osiągniecia zgodności organizacji jakie oni reprezentują z RODO. Niewątpliwie niezbędne będą w tym zakresie akcje edukacyjne, spotkania branżowe, konferencje mające na agendzie zagadnienia nie ograniczające się wyłącznie do obszaru ochrony danych osobowych, ale i  bezpieczeństwo przetwarzanych informacji oraz rolę sztucznej inteligencji.

 

[1] Art. 34 Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

 

COLD MAILING W KONTEKŚCIE ADMINISTRATORA DANYCH OSOBOWYCH I PROCESORA

W dzisiejszym świecie, kiedy rynek jest coraz bardziej konkurencyjny, skuteczna komunikacja z potencjalnym klientem jest kluczowym elementem strategii marketingowej wielu firm. Jednym z narzędzi, które cieszy się ogromną popularnością w tym kontekście jest cold mailing. W niniejszym artykule wyjaśnimy, kiedy cold mailing wykonywany jest z poziomu Administratora Danych Osobowych, a kiedy z poziomu Procesora oraz jakie obowiązki i ryzyka występują po każdej ze stron.

Czym właściwie jest cold mailing?

Cold mailing to praktyka wysyłania niezamówionych wiadomości e-mail do osób lub przedsiębiorstw w celu nawiązania kontaktu biznesowego. Najprościej rzecz ujmując jest to narzędzie wykorzystywane do zdobycia nowych klientów lub partnerów biznesowych. Z powyższej definicji wynika, iż czynności podejmowane w ramach cold mailingu związane są ściśle zarówno z informacją handlową jak i marketingiem bezpośrednim. Aby korzystać z owego narzędzia zgodnie z prawem, należy zatem uwzględnić – poza przepisami dotyczącymi ochrony danych osobowych – również przepisy dotyczące legalnego prowadzenia marketingu bezpośredniego rozumianego jako przesyłanie informacji handlowej drogą elektroniczną. Na temat dopuszczalności narzędzia marketingowego jakim jest cold mailing oraz obowiązujących w tym zakresie przepisów prawa wspominaliśmy już wcześniej w publikacji:

Dopuszczalność cold calling i cold mailing na gruncie RODO

W niniejszym artykule chcielibyśmy się skupić na roli Administratora Ochrony Danych oraz Procesora w procesie cold mailingu.

Różnica pomiędzy Administratorem Danych Osobowych a Procesorem:

Aby zrozumieć rolę Administratora Danych Osobowych oraz Procesora w procesie cold mailingu, dla przypomnienia należy wskazać podstawową różnicę pomiędzy tymi dwiema rolami występującymi w procesie przetwarzania danych osobowych:

  1. Administrator Danych Osobowych: to podmiot, który określa cele i środki przetwarzania danych osobowych. Tym samym, Administrator decyduje o tym, dlaczego i jakie dane osobowe są przetwarzane.
  2. Procesor: jest podmiotem przetwarzającym dane osobowe w imieniu i na rzecz Administratora. Procesor działa zgodnie z instrukcjami Administratora.

Mając powyższe na uwadze, rozważmy kilka możliwych scenariuszy:

  1. przedsiębiorca samodzielnie realizuje cold mailing – w tej sytuacji podmiot występuje w roli Administratora Danych Osobowych. Odpowiada w szczególności za: legalność przetwarzanych danych (czy dane znajdujące się w bazie zostały pozyskane legalnie, również w przypadku zakupu bazy danych), prawidłowość spełnienia obowiązku informacyjnego oraz pozyskanie skutecznych i ważnych zgód. Wszelkie obowiązki wynikające z przetwarzania danych osobowych w ramach prowadzonego cold mailingu spoczywają na podmiocie, który go realizuje (w tym również obowiązek informacyjny, o którym mowa w art. 14 RODO, w przypadku zakupu bazy danych). 
  2. przedsiębiorca zleca cold mailing firmie zewnętrznej, przy czym cold mailing będzie realizowany w stosunku do podmiotów z bazy danych będących w posiadaniu wykonawcy – w takiej sytuacji to podmiot zewnętrzny odpowiada za legalność posiadanej bazy danych i spełnienie obowiązku informacyjnego. Jednakże, mając na uwadze fakt, iż kampania marketingowa prowadzona jest w imieniu i na rzecz podmiotu zlecającego, należy podkreślić, iż podmiot zlecający uzyska rolę Administratora Danych Osobowych, który będzie zobowiązany do spełnienia obowiązku informacyjnego i pozyskania ważnych zgód, celem prowadzenia komunikacji z potencjalnym klientem.
  3. przedsiębiorca zleca cold mailing podmiotowi zewnętrznemu, przy czym będzie on prowadzony w stosunku do adresatów z bazy danych podmiotu zlecającego – jesteśmy zobowiązani jako Administrator Danych Osobowych do zawarcia z podmiotem zewnętrznym umowy powierzenia przetwarzania danych osobowych zgodnie z przepisem art. 28 RODO. Jako Administrator Danych Osobowych ponosimy również pełną odpowiedzialność za legalność i prawidłowość prowadzonego cold mailingu.
  4. przedsiębiorca zleca cold mailing firmie zewnętrznej, przy czym baza danych adresatów będzie budowana przez wykonawcę, zgodnie z założeniami przekazanymi przez zlecającego, z danych dostępnych publicznie – Administratorem Danych Osobowych będzie podmiot zlecający, tym samym obowiązki z tego wynikające spoczywać będą właśnie na tym podmiocie. Jednakże jeśli po zrealizowaniu umowy, wykonawca będzie korzystał z utworzonej w ten sposób bazy danych również na potrzeby innych klientów, wówczas będzie musiał zweryfikować podstawę prawną swojego działania i określić swoją rolę. Warto w tym miejscu krótko omówić kwestie korzystania na potrzeby cold mailingu z danych dostępnych publicznie. Dane dostępne publicznie to dane, z którymi bez większego nakładu sił i środków może zapoznać się nieograniczony krąg osób. Niezależnie jednak o tego, że dane te zostały upublicznione, należy uznać je za dane osobowe ( o ile będą stanowiły informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej). W przypadku korzystania z danych dostępnych publicznie do celów marketingowych, należy przede wszystkim pamiętać o spełnieniu obowiązku informacyjnego, o którym mowa w art. 14 RODO. Jak wynika jasno z art. 14 ust. 2 lit f) RODO: administrator podaje osobie, której dane dotyczą informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą, w tym źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych. Sam fakt, iż dane adresatów zostały pozyskane ze źródeł dostępnych publicznie, nie zwalnia zatem Administratora z obowiązku spełnienia w stosunku do tych osób obowiązku informacyjnego.  

Rola Procesora w cold mailingu:

W sytuacji, w której zlecamy firmie zewnętrznej realizację strategii marketingowej w formie cold mailing, wówczas firma ta występuje w roli Procesora. Dzieje się tak dlatego, ponieważ to Administrator Danych Osobowych (firma, która inicjuje wysyłkę wiadomości) decyduje o celach i sposobach przetwarzania danych osobowych, podczas gdy podmiot realizujący tę wysyłkę wykonuje jedynie polecenie Administratora. Procesor nie ma kontroli nad listą adresową i nie może korzystać z niej do celów innych aniżeli określone przez Administratora.  

Podsumowanie:

Cold mailing może być skutecznym narzędziem biznesowym, ale musi być prowadzony z poszanowaniem obowiązujących przepisów, w tym w zakresie ochrony danych osobowych. Rozróżnienie roli Administratora oraz Procesora jest kluczowe i od tego należy zacząć decydując się na korzystanie z tej formy marketingu.

Przed przeprowadzeniem cold mailingu, podmiot musi zrozumieć swoją rolę i obowiązki wynikające z ochrony danych osobowych oraz dostosować swoje działania i środki, aby działać zgodnie z prawem i uniknąć ryzyka naruszenia danych osobowych.

 

 

Zasady naczelne RODO

Zasady ruchu drogowego, zasady współżycia społecznego, zasady wychowania to tylko niektóre z powszechnych znanych nam zasad. Jako zasadę określa się wszelkie normy i sposoby postępowania w określonych sytuacjach, w danej dziedzinie życia, odgórnie sankcjonowane przepisami prawa, których nieprzestrzeganie może powodować przykre konsekwencje.

Artykuł 5 RODO określa kilka podstawowych zasad przetwarzania danych osobowych. Stanowią one drogowskaz dla administratora i podmiotu przetwarzającego w jaki sposób traktować dane osobowe. Są to:

  1. Zgodność z prawem, rzetelność, przejrzystość – zgodnie z zasadą przetwarzanie danych osobowych powinno opierać się na jednej z podstaw prawnych wskazanych odpowiednio w art. 6 RODO bądź 9 RODO w zależności od tego z jakimi danymi osobowymi mamy do czynienia. W przypadku kiedy mówimy o podstawie przetwarzania danych zwykłych w grę wchodzą zgoda, niezbędność do wykonania umowy, obowiązek prawny, ochrona żywotnych interesów oraz prawnie uzasadniony interes administratora. Przetwarzanie danych szczególnych kategorii to oparcie na przesłankach wskazanych enumeratywnie w art. 9 ust 2 RODO. Należy pamiętać również, że nie samym RODO żyją procesy biznesowe. Administrator i podmiot przetwarzający powinni mieć na uwadze zarówno przepisy prawa krajowego jak i europejskiego. Dobrym przykładem zawsze są procesy związane z obsługą kadrową – płacową. Pracodawca jako administrator w przypadku przetwarzania danych osobowych pracowników musi brać pod uwagę nie tylko RODO, ale także przepisy Kodeksu pracy oraz akty z nim powiązane.
  2. Ograniczenie celu – zasada ta została zdefiniowana w art. 5 ust. 1 pkt e) RODO i stanowi dyrektywę nakazującą przechowywanie danych osobowych jedynie przez okres, w jakim przetwarzanie to jest niezbędne dla celów, dla których dane te są przetwarzane. W sytuacji gdy wszystkie cele przetwarzania danych uległy dezaktualizacji dane powinny zostać trwale usunięte. W tym zakresie administrator powinien przygotować i wdrożyć formalną procedurę retencji. Procedura retencji powinna wskazywać maksymalny czas przechowywania danych oraz sposób ich usunięcia.
  3. Minimalizacja danych – zgodnie z tą zasadą dane powinny być adekwatne czyli odpowiednie zgodne, stosowne. Innymi słowy administrator nie powinien zbierać danych osobowych „na zapas”, na przyszłość, bez jasno określonych potrzeb i dla czysto hipotetycznych celów. Z praktyki audytowej mogę powiedzieć, że zasada adekwatności często jest naruszana przez działy HR chociażby poprzez kserowanie dowodów tożsamości, praw jazdy czy legitymacji studenckich. Jest to praktyka nagminna, niestety. O ile niektórzy z odchodzą od tej praktyki na rzecz stosownych oświadczeń/notatek służbowych o tyle niektóry usilnie chcą przetwarzać ww. dokumenty opierając się chociażby o przesłankę zgody. Należy jasno wskazać, że zgoda w takim przypadku w żaden sposób nie uzdrowi takiego procederu.
  4. Prawidłowość – zasada ta jest dość często wykorzystywana przez podmioty danych składających żądania zmiany/aktualizacji danych w procesie obsługi żądań. Administrator powinien dbać o to by dane osobowe były aktualne i prawidłowe.
  5. Integralność i poufność – dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Administrator powinien wprowadzić procedurę oceny ryzyka przetwarzania danych, zapewniającą uwzględnienie relewantnych czynników ryzyka oraz udokumentowanie faktu dokonania oceny. W przypadkach określonych w art. 37 RODO należy przeprowadzić ocenę skutków przetwarzania (DPIA).
  6. Rozliczalność – administrator zobowiązany jest być w stanie w dowolnym czasie wykazać, że realizowane przez niego operacje przetwarzania danych są zgodne z podstawowymi zasadami przetwarzania danych określonymi w RODO. Zasada rozliczalności nakłada zatem na administratora danych ciężar dowodowy, polegający na konieczności wykazania przez niego zarówno przed organem nadzorczym, jak również przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych[1]. Klienci często zadają pytania w jaki sposób mają zapewnić zasadę rozliczalności. Moje doświadczenie pokazuje, że zasada to może być zrealizowana poprzez:
  • wdrożenie dokumentacji RODO, dostosowanej do specyfiki działalności klienta;
  • systematyczne audyty ochrony danych osobowych, zakończone sprawozdaniem;
  • programy szkoleń podnoszących świadomość z zakresu ochrony danych osobowych;
  • powołanie inspektora ochrony danych osobowych i zespołu ochrony danych osobowych;
  • ocenę ryzyka, DPIA, LIA dla procesów przetwarzania opartych na przesłance prawnie uzasadnionego interesu administratora danych.

Niektórzy mówią, że zasady są po to, żeby je łamać. W przypadku naruszenie podstawowych zasad przetwarzania RODO przewiduje przykre konsekwencje, a mianowicie administracyjną karę pieniężną w wysokości do 20 000 000 EURO, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

[1] Decyzja Prezesa UODO ZSPU.421.3.2019

Dokumentacja z zakresu ochrony danych osobowych

Przygotowanie i wdrożenie właściwej dokumentacji jest jednym z podstawowych elementów wdrożenia systemu ochrony. Wdrożenie RODO jest procesem złożonym i wielowymiarowym. Obejmuje kilka etapów, które powinny być realizowane z uwzględnieniem specyfiki działalności organizacji, rodzaju i zakresu przetwarzanych danych osobowych oraz jej możliwości finansowych i organizacyjnych.

Wdrożenie RODO jest nie tylko spełnieniem obowiązku  prawnego, ale także wielką korzyścią dla organizacji. Pomaga w budowaniu zaufania i lojalności klientów i partnerów biznesowych, poprawia reputację i wizerunek organizacji oraz chroni ją przed negatywnymi skutkami naruszeń ochrony danych osobowych, takimi jak kary finansowe, roszczenia odszkodowawcze czy utrata konkurencyjności na rynku.

Odpowiedzialność za posiadanie prawidłowo sporządzonej dokumentacji w zakresie ochrony danych osobowych i wdrożenie zasad w niej wskazanych ponosi administrator. 

Należy podkreślić, iż przepisy RODO w swej treści wymieniają jedynie kilka dokumentów, których wdrożenie w organizacji jest obligatoryjne. Oznacza to, iż legislator pozostawił administratorom dużą dowolność w kwestii tworzenia dokumentacji dotyczącej ochrony danych osobowych.

Podejmując decyzję, jakie dokumenty wdrożyć w organizacji, należy mieć na uwadze zasadę rozliczalności opisaną w art. 5 ust. 2 RODO. Zgodnie bowiem z jej brzmieniem, administrator musi być w stanie wykazać przestrzeganie zasad:

  • zgodności z prawem, rzetelności i przejrzystości,
  • ograniczenia celu,
  • minimalizacji danych,
  • prawidłowości,
  • ograniczenia przechowywania,
  • integralności i poufności.

W RODO wskazano wprost dokumenty, jakie powinien posiadać administrator.

Do obowiązkowej dokumentacji można zaliczyć:

  • polityki ochrony danych (jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania) – art. 24 ust. 2 RODO;
  • prowadzenie rejestrów czynności przetwarzania danych osobowych i rejestrów kategorii czynności przetwarzania – art. 30 RODO;
  • prowadzenie rejestru naruszeń – art. 33 ust. 5 RODO;
  • sporządzanie raportu dokumentującego wyniki ocen skutków przetwarzania danych – art. 35 ust. 1.

 

Polityki ochrony danych

 

W myśl art. 24 ust. 2 RODO, jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, odpowiednie środki techniczne i organizacyjne, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.

Z kolei zgodnie z motywem 78 RODO, aby móc wykazać przestrzeganie niniejszego rozporządzenia, administrator powinien przyjąć wewnętrzne polityki i wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych. Takie środki mogą polegać m.in. na minimalizacji przetwarzania danych osobowych, jak najszybszej pseudonimizacji danych osobowych, przejrzystości co do funkcji i przetwarzania danych osobowych, umożliwieniu osobie, której dane dotyczą, monitorowania przetwarzania danych, umożliwieniu administratorowi tworzenia i doskonalenia zabezpieczeń.

Podkreślenia wymaga, iż przepisy RODO nie precyzują jak powinna wyglądać polityka ochrony danych oraz jakie powinna zawierać postanowienia, niemniej, podczas jej tworzenia należy mieć na uwadze zasadę rozliczalności.

Praktyka pokazuje, iż tworząc dokument polityki ochrony danych należy w jej treści uwzględnić takie kwestie, jak:

  1. zasady i cele polityki,
  2. zakres obowiązków i odpowiedzialności w procesie zarządzania bezpieczeństwem danych osobowych;
  3. procedura upoważniania do przetwarzania danych osobowych;
  4. procedura udostępniania i powierzania przetwarzania danych;
  5. realizacja obowiązku informacyjnego i żądania podmiotów danych;
  6. informacje dotyczące prowadzenia rejestry czynności przetwarzania i rejestru kategorii czynności przetwarzania;
  7. analiza ryzyka;
  8. procedura dotycząca realizacji polityki privacy by default, privacy by design oraz DPIA (ocena skutków dla ochrony danych);
  9. zasady wyboru podstawy przetwarzania oraz retencja danych;
  10. środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzania danych;
  11. procedura dotycząca postępowania w przypadku incydentów bezpieczeństwa.

Rejestr czynności przetwarzania danych osobowych i rejestr kategorii czynności przetwarzania

Zgodnie z art. 30 ust. 1 RODO  każdy administrator oraz – gdy ma to zastosowanie – przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych, za które odpowiadają. W rejestrze tym zamieszcza się wszystkie następujące informacje:

  1. imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;
  2. cele przetwarzania;
  3. opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
  4. kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
  5. gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń;
  6. jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;
  7. jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.

Zgodnie z art. 30 ust. 2 RODO, każdy podmiot przetwarzający oraz – gdy ma to zastosowanie – przedstawiciel podmiotu przetwarzającego prowadzą rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora, zawierający następujące informacje:

  1. imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych;
  2. kategorie przetwarzań dokonywanych w imieniu każdego z administratorów;
  3. gdy ma to zastosowanie –przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń;
  4. jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.

Należy zwrócić uwagę, iż zgodnie z motywem 13 RODO, z uwagi na szczególną sytuację mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw rozporządzenie przewiduje wyjątek dotyczący rejestrowania czynności przetwarzania dla podmiotów zatrudniających mniej niż 250 pracowników.  Artykuł 30 ust. 5 RODO doprecyzowuje motyw 13. Stanowi on, że obowiązek prowadzenia rejestru czynności przetwarzania nie ma zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że, przetwarzanie, którego dokonują:

  • może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą,
  • nie ma charakteru sporadycznego,
  • obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o czym mowa w art. 10.

Grupa Robocza artykułu 29 ds. ochrony danych podkreśla, że brzmienie artykułu 30 ust. 5 RODO jasno przewiduje, że trzy rodzaje przetwarzania, do których wyjątek nie ma zastosowania, mają charakter alternatywny („lub”) i wystąpienie któregokolwiek z nich samodzielnie wywołuje obowiązek prowadzenia rejestru czynności przetwarzania.

Rejestry mają formę pisemną, w tym formę elektroniczną.

Zgodnie z motywem 82 RODO, wyróżniamy dwa podstawowe cele prowadzenia rejestrów:

  • zachowanie przez administratora i podmiot przetwarzający zgodności z przepisami RODO;
  • umożliwienie organowi nadzorczemu monitorowania wszystkich procesów przetwarzania danych w organizacji.

Administratorzy lub podmioty przetwarzające oraz – gdy ma to zastosowanie – ich przedstawiciele — mają obowiązek udostępnić rejestry na każde żądanie organu nadzorczego.

Rejestry ułatwiają stałą weryfikację działalności w zakresie przetwarzania danych osobowych — systematyzują wykonywane czynności przetwarzania oraz pomagają w monitoringu prowadzonych operacji przetwarzania danych osobowych pod względem zgodności zarówno z wymaganiami prawnymi, jak i z celami biznesowymi. Informacje zebrane w rejestrach mogą posłużyć również administratorom i podmiotom przetwarzającym do oceny, czy powinni spełnić inne obowiązki wynikające z RODO, np. przeprowadzenie oceny skutków przetwarzania dla ochrony danych osobowych.

Rejestr naruszeń ochrony danych osobowych

Zgodnie z art. 33 ust. 5 RODO administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania niniejszego artykułu.

Grupa robocza art. 29 ds. ochrony danych w wytycznych dotyczących zgłaszania naruszenia ochrony danych osobowych na mocy RODO zwraca uwagę, iż rozporządzenie nie określa czasu przechowywania takiej dokumentacji. W przypadku, gdy rejestr zawiera dane osobowe, obowiązkiem administratora będzie określenie odpowiedniego okresu przechowywania zgodnie z zasadami dotyczącymi przetwarzania danych osobowych oraz spełnienie wymogów odnośnie podstawy prawnej przetwarzania. Administrator musi przechowywać dokumentację zgodnie z art. 33 ust. 5 RODO na wypadek, gdyby został wezwany do udowodnienia przed organem nadzorczym spełnienia wymogów zapisanych w tym artykule lub zgodności z zasadą rozliczalności. Jeżeli takie rejestry nie zawierają danych osobowych, wówczas zasada ograniczenia przechowywania zawarta w RODO nie ma zastosowania.

Grupa robocza art. 29 zaleca również dokumentowanie uzasadnienia decyzji podjętej w odpowiedzi na naruszenie. W szczególności należy udokumentować powody decyzji o niezgłoszeniu naruszenia. Należy także podać przyczyny, dla których administrator uważa, że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw i wolności osób fizycznych.

Biorąc pod uwagę powyższe wytyczne i praktykę, w rejestrze należy ująć:

  • informacje o wystąpieniu zdarzenia i stwierdzeniu naruszenia (data i miejsce zdarzenia, data i źródło uzyskania informacji, data i godzina stwierdzenia naruszenia);
  • opis i okoliczności naruszenia (charakter naruszenia, kategoria osób, zakres danych, liczba osób, których naruszenie dotyczy);
  • skutki naruszenia (opis kategorii naruszenia);
  • środki naprawcze i zaradcze;
  • wynik oceny ryzyka naruszenia;
  • czy zgłoszono naruszenie do PUODO – data zgłoszenia, jeżeli nie to z jakich powodów;
  • czy poinformowano osoby, których dane dotyczą, jeśli tak, to w jaki sposób, jeśli nie, to dlaczego.

Prowadzenie ewidencji łączy się z zasadą rozliczalności przewidzianą w art. 5 ust. 2 RODO oraz obowiązkami administratora wynikającymi z art. 24 RODO.

Jak wskazuje art. 33 ust. 5 RODO, organ nadzorczy może zażądać dostępu do dokumentacji (ewidencji) naruszeń i dokumentacja ta powinna pozwolić organowi na zweryfikowanie przestrzegania RODO w zakresie tych obowiązków. Brak udokumentowania naruszenia we właściwy sposób może prowadzić do wykonania przez organ nadzorczy uprawnień na mocy art. 58 RODO lub nałożenia administracyjnej kary pieniężnej zgodnie z art. 83 RODO.

Ocena skutków dla ochrony danych (DPIA)

Zgodnie z art. 35 ust. 1 RODO, jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych.

Zatem, DPIA to proces, który prowadzi do oceny, czy przy przetwarzaniu danych osobowych występuje ryzyko naruszenia praw osób, których dane dotyczą.

Proces ten ma być realizowany przed przystąpieniem do przetwarzania danych (na etapie planowania) i dotyczy niektórych rodzajów przetwarzania, z którymi może wiązać się wysokie ryzyko.

Ocena skutków dla ochrony danych, jest wymagana w szczególności w przypadku:

  1. systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;
  2. przetwarzania na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10 RODO;
  3. systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.

Ocena powinna zawierać co najmniej:

  1. systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora;
  2. ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;
  3. ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
  4. środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

Praktyka pokazuje, że katalog dokumentacji RODO nie jest wystarczający, aby administrator mógł skutecznie wykazać, że jego działalność jest zgodna z przepisami dotyczącymi ochrony danych osobowych.

Doświadczenie, potrzeby organizacji, a także decyzje i wytyczne Prezesa UODO pozwalają zidentyfikować dokumenty, które są niezbędne do przestrzegania przepisów RODO oraz są narzędziami do skutecznego zarządzania procesami związanymi z ochroną danych osobowych.

Do dodatkowej dokumentacji, którą należy prowadzić mając na względzie zasadę rozliczalności, należą m.in.:

  • wzory rejestrów z zakresu ochrony danych osobowych: rejestr upoważnień, szkoleń, wniosków podmiotów danych, danych udostępnionych, które umożliwią wykazanie przestrzegania przepisów RODO;
  • wzory klauzul informacyjnych oraz klauzul zgód dostosowane do aktualnych potrzeb biznesowych, które zapewnią spełnienie obowiązku informacyjnego wobec podmiotu danych;
  • wytyczne dotyczące przeprowadzenia testu równowagi, w których zawarte będą informacje, w jaki sposób należy przeprowadzić test polegający na wykazaniu równowagi między interesami administratora a interesami, prawami i swobodami podmiotu danych;
  • wzór umowy powierzenia, która będzie regulowała relacje pomiędzy administratorem i podmiotem przetwarzającym oraz rejestr umów powierzenia;
  • zasady weryfikacji podmiotu przetwarzającego na etapie wyboru oraz w toku realizacji umowy, które pomogą w spełnieniu obowiązku prawnego przed oraz trakcie powierzenia przetwarzania danych;
  • wewnętrzne procedury i instrukcje dotyczące oceny skutków dla ochrony danych, podejścia privacy by default i privacy by design, które pozwolą zapewnić, że dane osobowe będą chronione przez cały cykl istnienia określonego procesu biznesowego w organizacji, począwszy od fazy jego planowania, poprzez projektowanie, tworzenie, wdrożenie, stosowanie, aż po zakończenie działania danego procesu;
  • wzory upoważnień do przetwarzania danych osobowych i oświadczeń o zachowaniu danych w poufności, które są wymagane aby poszczególne osoby mogły przetwarzać dane osobowe w organizacji;
  • plan retencji danych osobowych, który będzie określał czas przetwarzania danych oraz zasady postępowania w zakresie ustalania czasu przetwarzania danych osobowych przez organizację;
  • polityka kontaktów z organem nadzorczym, która będzie opisywała zasady i tryb kontaktów administratora z organem nadzorczym;
  • dokumentacja dotycząca transferów danych poza EOG;
  • standardowe klauzule umowne;
  • dokumenty regulujące bezpieczeństwo danych osobowych (np. polityka bezpieczeństwa IT).

Wskazany wyżej katalog nie jest zamknięty, powinien być on dostosowany do potrzeb danej organizacji i ryzyk w niej występujących. To zakres działalności administratora wyznacza w dużej mierze obszar do regulacji w zakresie ochrony danych osobowych.

Należy podkreślić, iż ważne jest nie tylko posiadanie odpowiedniej dokumentacji, ale również jej wdrożenie i codzienne stosowanie. W związku z tym, dokumentacja dotycząca ochrony danych osobowych powinna wejść do zbioru regulacji wewnętrznych. Istotne jest również to, aby organy spółki, wszyscy pracownicy oraz współpracownicy zapoznali się z dokumentacją, a także wiedzieli jak ją stosować. Dokumentacja powinna być regularnie sprawdzana i aktualizowana, zarówno wtedy gdy w organizacji zmieniają się procesy, jak również wtedy gdy zmianie ulega stan prawny.