Przedstawiamy kolejny wpis z cyklu RODO dla przedsiębiorców, gdzie przeanalizujemy dla Was sytuację, w której znalazł się Krzysztof – właściciel sklepu z akcesoriami komputerowymi, który po dokonanej kradzieży postanowił wykorzystać popularny wśród przedsiębiorców sposób na „złapanie złodzieja”. Czy zrobił to legalnie?

Krzysztof od niespełna 2 lat prowadzi w centrum miasta mały sklep z akcesoriami komputerowymi. Zatrudnia dwóch pracowników. Ze względu na to, że w sklepie oferowane i magazynowane są towary o sporej wartości, Krzysztof zdecydował się zamontować monitoring. W dniu uruchomienia kamer  Krzysztof poinformował o tym swoich pracowników. Zakupił także znaki „obiekt monitorowany” do odpowiedniego oznaczenia pomieszczeń i przymocował je w widocznych miejscach. Dodatkowo Krzysztof postanowił, że wykorzysta dość powszechny wśród właścicieli okolicznych sklepów sposób na odstraszenie potencjalnych złodziei. Już następnego dnia po zamontowaniu monitoringu, na drzwiach wejściowych sklepu ukazał się komunikat: „Osoby dokonujące kradzieży na terenie tego sklepu wyrażają zgodę na publikację swego wizerunku. Jeżeli nie wyrażasz na to zgody – prosimy nie wchodzić”. Pewnego dnia, niespełna kilka minut przed godziną zamknięcia sklepu Krzysztof odebrał połączenie od przerażonego pracownika. Okazało się, że na terenie sklepu doszło do kradzieży słuchawek o bardzo dużej wartości. Krzysztof podczas przeglądania nagrań z monitoringu zauważył, że pewien mężczyzna, usunął zabezpieczenie ze słuchawek, następnie włożył je do swojej torby, po czym niepostrzeżenie opuścił sklep. Sylwetka i twarz sprawcy były na nagraniu dobrze widoczne. Nie zastanawiając się ani chwili Krzysztof pobrał fragment nagrania i umieścił filmik z kradzieży w mediach społecznościowych. Następnego dnia przygotował plakaty z wizerunkiem kradnącego i rozwiesił je w witrynie sklepu. Wszystko opisał nagłówkami: „Poszukuję złodzieja” i „Uwaga złodziej”. Był przekonany, że komunikat wiszący na drzwiach wejściowych pozwala mu na takie działanie. Jakież było jego zdziwienie, gdy klient odwiedzjący sklep zwrócił mu uwagę, że upubliczniając wizerunek sprawcy kradzieży i nazywając go publicznie „złodziejem” łamie przepisy prawa. Czy klient sklepu miał rację? Co powinien zrobić Krzysztof?

1. Monitoring w miejscu pracy

Krzysztof w swojej firmie zdecydował się zamontować monitoring. W tym miejscu warto przypomnieć, że art. 22² § 1 Kodeksu Pracy podaje ściśle określone powody do wykorzystania kamer w miejscu pracy, wśród nich: zapewnienie bezpieczeństwa pracowników, ochrona mienia, kontrola produkcji lub zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Krzysztof, który obawiał się kradzieży ze względu na posiadanie wartościowego towaru mógł w takiej sytuacji powołać się na przesłankę ochrony mienia. Na tym jednak nie kończy się procedura wprowadzania monitoringu w miejscu pracy. Krzysztof w kolejnym kroku popełnił bowiem duży błąd…

Kluczowym dla legalizacji monitoringu jest obowiązek poinformowania pracowników o jego stosowaniu, celu, zakresie i zasięgu, albowiem “ukryty” monitoring to naruszenie dóbr osobistych pracownika, a w szczególności jego prawa do prywatności. Żeby uniknąć błędu Krzysztofa jako pracodawca musisz pamiętać, aby o monitoringu poinformować swoich pracowników, nie później niż 2 tygodnie przed jego uruchomieniem. W jaki sposób? Przepisy mówią o „sposobie przyjętym u danego pracodawcy”. Możesz więc zrobić to za pośrednictwem wiadomości mailowej, spotkania lub wywieszenia informacji na tablicy ogłoszeń. Przede wszystkim każdy pracownik powinien otrzymać dodatkowo na piśmie informacje o celach, zakresie i sposobie zastosowania monitoringu w zakładzie pracy. Miej na uwadze, że jesteś administratorem danych osobowych, który w każdej sytuacji powinien odpowiednio stosować przepisy RODO.

Wprowadzenie przez Krzysztofa oznaczeń „obiekt monitorowany” było jak najbardziej stosowne. W 22² § 9 Kodeksu Pracy przeczytamy o konieczności widocznego i czytelnego oznaczenia, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed uruchomieniem monitoringu.

2. Zgoda złodzieja – co na to RODO?

Krzysztof jak wielu przedsiębiorców był przekonany, że wywieszając klauzulę informacyjną w witrynie sklepu, postępuje w ten sposób zgodnie z RODO. Niestety umieszczenie takiego komunikatu nie legitymuje w żaden sposób właściciela sklepu do upublicznienia wizerunku złodzieja.

Jeżeli wizerunek sprawcy kradzieży uchwycony na sklepowych kamerach pozwala na jego identyfikację jakiekolwiek wykorzystywanie tego wizerunku będzie stanowiło formę przetwarzania danych osobowych. To zaś byłoby możliwe, gdyby administrator tych danych, w tym przypadku pracodawca publikujący fotografię, legitymował się co najmniej jedną z przesłanek legalizujących owo przetwarzanie. Przykładem takiej przesłanki jest uzyskanie zgody osoby, której wizerunek jest publikowany. Udzielona zgoda musi być: „dobrowolna, konkretna, świadoma i jednoznaczna” (art. 4 pkt 11 RODO). Samo wejście na teren sklepu po zapoznaniu się z komunikatem nie spełnia powyższych wymogów. Trudno bowiem mówić o zgodzie dobrowolnej i jednoznacznej, skoro nie pozostawia się monitorowanemu wyboru. W sytuacji Krzysztofa nie ulega wątpliwości, że klauzuli informacyjnej z art. 13 RODO nie mógł zastąpić komunikat na drzwiach wejściowych.  Skierowane do potencjalnych złodziei ostrzeżenie nie stanowi bowiem skutecznej podstawy prawnej przetwarzania danych osobowych.

Czy istnieje wobec tego jakieś inne rozwiązanie? Na mocy unijnego rozporządzenia możesz przetwarzać dane, jeżeli takie działania są niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora (art. 6 ust. 1 lit. f RODO). Z pewnością w przesłance tej mieści się przekazanie nagrania policji. Pamiętaj, jednak że działanie na własną rękę z powołaniem się na „uzasadnione interesy” nigdy nie może odbywać się kosztem podstawowych praw i wolności podmiotu danych, które zawsze mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora. Jeżeli zależy Tobie na tym, aby dowiedzieć się czegoś więcej na temat monitoringu wizyjnego, zapraszamy do odsłuchania 6 odcinka naszego podcastu – „Legalne Spotkania” : Monitoring Przyszłości – „Nasze Kamery Widzą wszystko” .

3. Rozpowszechnianie wizerunku – jak robić to legalnie ?

Dokonując oceny legalności działania Krzysztofa nie można nie wspomnieć o regulacjach prawnych w kontekście wizerunku, które mają ogromne znaczenie dla jego ochrony. I tak art. 23 Kodeksu Cywilnego zalicza wizerunek do katalogu dóbr osobistych, których ochrony w oparciu o przepisy  kodeksu można dochodzić w procesie sądowym.

Wizerunek osoby można z kolei naruszyć między innymi poprzez jego rozpowszechnianie. Za rozpowszechnianie uważa się „sytuację w której stworzona zostaje możliwość zapoznania się z wizerunkiem bliżej nieokreślonemu (z góry), nie zamkniętemu kręgowi osób” (Wyrok SA w Krakowie z 19.04.2016 r., I ACa1 826/15). Rozpowszechnienie wizerunku (poza wyjątkami nieznajdującymi zastosowania w sytuacji przestawionej w stanie faktycznym), zgodnie z art. 81 Ustawy o prawie autorskim i prawach pokrewnych by było legalne bezwzględnie wymaga zgody osoby na nim przestawionej. W związku z powyższym trzeba jednoznacznie stwierdzić, że Krzysztof mimo poczucia, że postępuje właściwie moralnie, udostępniając nagrania w Internecie i rozwieszając plakaty naruszył dobra osobiste sprawcy kradzieży.

Warto wspomnieć, że w niektórych sytuacjach okazuje się, że ochrona dóbr osobistych nie ma charakteru absolutnego. Ze względu na ważny interes społeczny właściwy prokurator lub sąd może zezwolić na publikację wizerunku podejrzanego, w przypadku którego toczy się postępowanie przygotowawcze lub sądowe.

Podsumowując, aby legalnie rozpowszechniać wizerunek musimy dysponować zgodą osoby na nim przedstawionej. W przypadku relacji właściciel sklepu – złodziej skuteczne uzyskanie takiej zgody jest niemal absurdalne i w zasadzie niemożliwe. Pamiętać należy, że wizerunek to dana osobowa – cecha lub zestaw cech, po których można zidentyfikować konkretną osobę. Dlatego każde przetwarzanie wizerunku musi poprzedzać zgoda spełniająca kryteria RODO (dobrowolna, konkretna, świadoma i jednoznaczna), a także Ustawy o prawie autorskim i prawach pokrewnych, według której zgoda na publikację wizerunku musi być niewątpliwa i nie może być domniemywana, tj. osoba musi widzieć co najmniej, w jaki sposób będzie przedstawiony jej wizerunek, w jakim miejscu i czasie.

Niezmiennie zachęcamy Cię do lektury naszych kolejnych wpisów na blogu prawniczym!

Jeśli towarzyszą Ci jakiekolwiek wątpliwości prawne związane ze stosowaniem RODO w Twojej firmie,
zapraszamy do kontaktu przez stronę Kancelarii Prawnej  i na e-mail kancelaria@wskp.pl.

Szerzej na temat RODO, mówiliśmy w trakcie naszego podcastu „Legalne Spotkania” odcinek 5 : RODO w praktyce, z czym się to je?. Zapraszamy!

Inne wpisy z cyklu
RODO dla przedsiębiorców: 

• Rodo dla firm – RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 1
• Dokumentacja Rodo w e-commerce – RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 2
• Rodo w rekrutacji – RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 3
• Rozpowszechnianie wizerunku złodzieja – czy to legalne? – RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 4

Artykuł Rozpowszechnianie wizerunku złodzieja – czy to legalne? RODO w obliczu kradzieży pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

1. Informuj i wymagaj zgody

Twoja strona internetowa, podobnie jak niemal wszystkie tego typu witryny, wykorzystuje pliki cookies. Najłatwiejszym sposobem na dopełnienie obowiązku informacyjnego i otrzymanie zgody użytkownika będzie klauzula z możliwością potwierdzenia zgody. Taką informację najlepiej umieścić w powiadomieniu typu pop up lub w pasku informacyjnym u dołu strony. Poniżej  stworzyliśmy dla Ciebie wzór przykładowego powiadomienia:
 

Treść powiadomienia możesz dowolnie modyfikować – szczególnie w zakresie serwisów tj. Instagram, Facebook czy YouTube, z którymi współpracujesz. Szczegółową treść dokumentów opracuj w ramach polityki prywatności i polityki cookies (o których pisaliśmy w poprzednim wpisie: RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 2). W klauzuli wystarczające jest umieszczenie odpowiednich linków do tych dokumentów. Pamiętaj, by na koniec poinformować użytkownika, że może modyfikować domyślne ustawienia plików cookies. Najczęściej, będzie się to jednak wiązać z ograniczeniem w korzystaniu z serwisów partnerskich i brakiem innych funkcjonalności w poruszaniu się po witrynie.

2. RODO w zatrudnieniu – niezbędnik rekrutera

Jeśli twoja firma prężnie się rozwija to najwyższy czas na poszukiwanie nowych rąk do pracy. Jako przyszły pracodawca zadbaj o spełnienie wymogów RODO już na pierwszym etapie rekrutacji. Przygotuj ogłoszenie na konkretne stanowisko, w którym umieścisz klauzulę informacyjną z linkiem umożliwiającym zapoznanie się z polityką prywatności Twojej firmy. Może ona brzmieć następująco:
 

Kandydat, który chce aplikować na stanowisko w Twojej firmie musi wyrazić zgodę na przetwarzanie danych osobowych dla potrzeb danej rekrutacji. Możesz go poinformować, aby w CV zawarł zgodę na przetwarzanie danych osobowych przez konkretnie Twoją firmę. Miej na uwadze, że jeśli nie zdecydujesz się podjąć współpracy z danym kandydatem powinieneś zniszczyć wysłane przez niego dokumenty, gdyż jako Administrator jesteś upoważniony przez RODO do przetwarzania danych osobowych tylko w niezbędnym zakresie. Jeśli jednak zależy Ci na stworzeniu bazy potencjalnych  kandydatów możesz poprosić kandydata o zawarcie odrębnej klauzuli w CV, gdzie wyrazi zgodę na przetwarzanie jego danych na poczet przyszłych rekrutacji.
W art. 22¹ § 1 Kodeksu Pracy znajdziesz katalog danych osobowych, których pracodawca żąda od osoby ubiegającej się o zatrudnienie, obejmuje on: imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe wskazane przez kandydata, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia. We wcześniejszej wersji przywołanego przepisu pracodawca jedynie „mógł żądać” wymienionych danych osobowych, teraz zaś jest do tego zobligowany. Nasuwa się  zatem pytanie co z pozostałymi elementami CV, bez których wielu pracodawców nie wyobraża sobie efektywnej rekrutacji. Otóż dane kandydata biorącego udział w rekrutacji można oczywiście przetwarzać w zakresie szerszym niż wskazuje na to powyższy katalog. Trzeba jednak pamiętać, że dodatkowe dane osobowe  takie jak zdjęcie, referencje od poprzednich pracodawców czy zainteresowania kandydata można przetwarzać wyłącznie na podstawie dobrowolnej jego zgody.

3. Jak wdrożyć nowego pracownika?

a) podstawa prawna
Na etapie nawiązywania współpracy z nowo zatrudnionym pracownikiem nie możesz zapomnieć o obowiązkach jakie nakłada na Ciebie RODO. To właśnie na tym etapie przetwarzasz największą ilość jego danych osobowych ( w tym danych osobowych wrażliwych) więc jako Administrator musisz zadbać o każdy szczegół. Naszym zdaniem z punktu widzenia pracodawcy kluczowe jest posiadanie ważnych podstaw prawnych do przetwarzania danych Twoich pracowników. UODO podczas kontroli z pewnością w pierwszej kolejności zwróci uwagę, czy przetwarzasz tylko takie dane osobowe, co do których legitymujesz się odpowiednią podstawą prawną.
Podobnie jak w przypadku danych osobowych kandydata do pracy, o których pisaliśmy powyżej w Kodeksie Pracy znajdziemy katalog danych, których pracodawca żąda od pracownika już w procesie zatrudniania go. Katalog ten zgodnie z art. 22¹ §1 i 3 Kodeksu Pracy obejmuje: adres zamieszkania, numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość, inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,  wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie, numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Pracownik udostępnia swoje dane w formie oświadczenia. Pamiętaj, że RODO nie zabrania Ci żądać od pracownika potwierdzenia danej okoliczności np. dyplomu ukończenia konkretnych studiów, kursów itp. Z naszych obserwacji wynika, że wątpliwości wśród pracodawców pojawiają się najczęściej wtedy, gdy zamierzają przetwarzać dane osobowe pracownika, które wykraczają poza katalog z art. 22¹ § 3 Kodeksu Pracy. Warto więc zwrócić uwagę, że jeśli chcesz umieścić wizerunek pracownika w postaci zdjęcia na stronie internetowej lub planujesz wprowadzić identyfikatory w miejscu pracy, możesz przetwarzać takie dane osobowe tylko w oparciu o uprzednią zgodę pracownika.
b) minimalizacja danych
Zgodnie z zasadą minimalizacji danych pracodawca powinien pozyskiwać jedynie dane osobowe adekwatne i stosowne do celów, w których są przetwarzane, czyli do realizacji procesu zatrudnienia. Pierwszy dokument, który przychodzi na myśl w zakresie pozyskiwania danych osobowych pracownika, to kwestionariusz osobowy. Minimalizację procesu przetwarzania ułatwią Ci gotowe wzory kwestionariuszy pracowniczych umieszczane na rządowych stronach internetowych.
c) obowiązek informacyjny
Jeśli informowałaś/eś kandydatów na etapie rekrutacji, tym bardziej musisz kompleksowo poinformować pracownika o przetwarzaniu jego danych osobowych w momencie podejmowania współpracy. Pracodawca powinien przekazać pracownikowi wszystkie informacje wymagane przez art. 13 RODO w momencie pozyskania jego danych osobowych. Przyjętą w tym zakresie praktyką jest zamieszczanie treści obowiązku informacyjnego w umowie o pracę zawieranej z pracownikiem bądź w treści kwestionariusza osobowego. Jeśli modyfikujesz politykę przetwarzania danych osobowych w Twojej firmie, gdyż wymagają tego np. nowoprzyjęte rozwiązania techniczne pamiętaj, że ciąży na Tobie obowiązek aktualizacji celów przetwarzania danych, o których bezwzględnie musisz informować zatrudnionych, często także wymagać ich zgody.
d) upoważnienie
Upoważnienie pracownika to dokument sporządzony w formie pisemnej, dzięki któremu Administrator przyzwala pracownikowi na przetwarzanie danych osobowych w jego imieniu.
Przepisy prawa nie przewidują szczegółowych wytycznych co do treści upoważnienia do przetwarzania danych osobowych. Proponujemy więc, by taki dokument zawierał przede wszystkim informacje o aktualnym Administratorze oraz dane pracownika, któremu przyznawane jest uprawnienie wraz z datą i miejscem wystawienia. Musisz zadbać także o to by w treści upoważnienia wskazać zakres danych osobowych, na których pracownik będzie miał prawo dokonywać operacji.
Warto umieścić sformułowanie mówiące o tym, że przetwarzanie danych osobowych przez wskazanego pracownika będzie odbywać się zgodnie z poleceniami Administratora i przez określony czas – zwykle do momentu zakończenia zatrudnienia w danej firmie oraz postanowienie umożliwiające cofnięcie upoważnienia w dowolnym momencie. Często spotykaną praktyką jest nałożenie na pracownika obowiązku zachowania poufności nie tylko przez okres, w którym przetwarza on dane, ale również po zakończeniu współpracy lub cofnięciu upoważnienia.

RODO w zatrudnieniu to niezwykle obszerny i wielowątkowy temat. Przetwarzanie danych osobowych nie kończy się przecież na tradycyjnych papierowych nośnikach. Dlatego zapraszamy Cię do następnego wpisu, gdzie przeczytasz o monitoringu w miejscu pracy, lokalizowaniu pracownika przez GPS oraz pracy zdalnej – a wszystko to w ujęciu RODO w przystępnej formule case study.
Jeśli towarzyszą ci jakiekolwiek wątpliwości prawne związane ze stosowaniem RODO w Twojej firmie,
zapraszamy do kontaktu z naszą Kancelarią!
 

Artykuł RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 3 pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

1. RODO w sieci. Nie daj się złapać.

Podczas gdy firmy masowo przenoszą swoją działalność do internetu, a konsumenci coraz chętniej korzystają z bezpiecznych zakupów on-line musisz uświadomić sobie jak wiele operacji na danych  osobowych przeprowadzasz jako administrator danych przy transakcjach na odległość. (dowiedz się czy jesteś administratorem danych osobowych z naszego poprzedniego wpisu →  RODO dla przedsiębiorców w pytaniach i odpowiedziach.
 

 

2. Twoje obowiązki.

RODO nakłada na administratora danych osobowych (ADO) mnóstwo wymogów począwszy od obowiązków względem, osób których dane przetwarza, po czynności, które musi wykonać wobec organu nadzorczego. Z punktu widzenia działalności w internecie te pierwsze wydają się niezwykle istotne. Warto wspomnieć tylko, że obowiązki wobec organu nadzorczego polegają głównie na zgłaszaniu naruszeń ochrony danych osobowych, co nie ulega wątpliwości – również w branży e-commerce – zdarza się. Na wszelki wypadek przygotuj więc procedurę ewidencjonowania naruszeń
i miej pod ręką wzór raportu z naruszeń danych osobowych. Wychodzimy z założenia, że lepiej jest zapobiegać naruszeniom przez świadome i staranne przetwarzanie danych niż brać odpowiedzialność za niekontrolowany ich wyciek lub utratę. Jeśli jednak taki incydent zdarzy się w Twojej firmie w ciągu 72 godzin musisz podjąć decyzję czy zgłaszasz naruszenie do Prezesa UODO, czy nie. Formularze do  zgłoszeń znajdziesz na stronie UODO pod linkiem: https://uodo.gov.pl/pl/134/233.
 
Art. 24 i następne RODO, stanowią, że jako administrator jesteś zobowiązany:

• wdrażać odpowiednie środki techniczne i organizacyjne, aby przetwarzanie danych osobowych odbywało się zgodnie z przepisami RODO
• wykazać, że proces przetwarzania danych osobowych jest
  zgodny z przepisami RODO (najczęściej za pomocą kodeksów postępowania i mechanizmów certyfikacji)
• wdrażać odpowiednie polityki ochrony danych;
• chronić dane w tzw. „fazie projektowania” (wstępnej) przetwarzając je tylko w zakresie niezbędnym dla konkretnego celu przetwarzania;
• prowadzić dokumentację opisującą sposób, cele i środki przetwarzania danych;
• zapewnić kontrolę nad tym, jakie dane osobowe, kiedy, komu i w jakim celu powierzasz;
• zapewnić, że do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające odpowiednie upoważnienie i że przetwarzają dane wyłącznie na Twoje polecenie;
• szkolić osoby, które mają dostęp do danych i uświadamiać je zakresie bezpieczeństwa danych;
• prowadzić rejestr osób upoważnionych do przetwarzania danych osobowych;
• poinformować osoby, których dane dotyczą o prawach które im przysługują, o adresie swojej siedziby, celu zbierania i przetwarzania danych i o dalszych podmiotach, którym powierzasz ich dane (tzw. obowiązek informacyjny);
• współpracować z organem nadzorczym (w zakresie wcześniej wspomnianych naruszeń bezpieczeństwa danych)
• zawiadomić podmioty, których dane osobowe zostały naruszone: bez zbędnej zwłoki, jasnym i prostym językiem, opisując charakter naruszenia i środki przez Ciebie poczynione;
• przeprowadzić analizy ryzyka oraz w razie konieczności opracować oceny skutków naruszeń;

3. Wymagane dokumenty

Wiesz już, że ciąży na Tobie bardzo wiele obowiązków i zapewne zastanawiasz się jak zapewnić
w swoim sklepie internetowym bezpieczne przetwarzanie danych osobowych? Wskazówek dostarcza już sama treść rozporządzenia, gdyż przykładowy wykaz środków ujęty został w art. 32 RODO i zalicza się do nich:

• pseudonimizację i szyfrowanie danych osobowych;
• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
• zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
• regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych
  i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Analiza ryzyka
Aby ustalić, czy stopień bezpieczeństwa przetwarzania danych jest odpowiedni, radzimy Ci przeprowadzić analizę ryzyka. Zastanów się w jaki sposób przetwarzane przez Ciebie dane mogą zostać narażone na dostęp nieuprawnionych osób i stwórz prostą tabelę, w której opiszesz na czym polega każdy z możliwych incydentów i ile trwać może niechciana ekspozycja danych.
 
Rejestr przetwarzania
Ogromne znaczenie dla ochrony danych osobowych ma również tzw. rejestr przetwarzania.  Po pierwsze uświadom sobie w jakich sytuacjach przetwarzasz dane osobowe swoich klientów bądź użytkowników, następnie sprecyzuj jakie dane osobowe przetwarzasz w ramach tych operacji (o tym jakie czynności obejmuje przetwarzanie i co rozumieć pod pojęciem „dane osobowe” przeczytasz w naszym poprzednim wpisie o RODO dla firm.
W Twoim rejestrze zgodnie z art. 30 RODO muszą znaleźć się następujące informacje:

1. imię i nazwisko oraz dane kontaktowe administratora (jeśli prowadzisz np. jednoosobową działalność gospodarczą podaj swoje dane, jeśli działasz w formie spółki pamiętaj, że to ona jest administratorem danych osobowych);
2. cele przetwarzania danych (np. zakładanie konta przez klienta, podawanie e-maila do newslettera, realizowanie i wysyłka zamówień, wystawianie faktur, informowanie klientów o konkursach czy promocjach);
3. kategorie osób, których dane są przetwarzane oraz kategorie danych (np. klienci posiadający konto w Twoim sklepie: imię, nazwisko, e-mail, realizowanie i wysyłka zamówień: imię, nazwisko, e-mail, adres zamieszkania, numer telefonu);
4. kategorie odbiorców, którym dane zostaną ujawnione (tutaj najczęściej będzie brak, bo przecież nie masz zamiaru ujawniać nikomu danych);
5. informacje o ewentualnym przekazywaniu danych do państwa trzeciego i podanie jego nazwy;
6. jeżeli jest to możliwe, planowany termin usunięcia danych osobowych (np. usuniecie danych klienta, który dokonał zakupu bez zakładania konta, rezygnacja z otrzymywania newslettera)
7. jeżeli jest to możliwe ogólny opis technicznych i organizacyjnych środków bezpieczeństwa (np. dostęp do komputera i danych zabezpieczony hasłem, określenie sposobu weryfikacji, certyfikat SSL dla domeny, ochrona antywirusowa na komputerze).

Zwolnione z obowiązku prowadzenia rejestru mogą być podmioty, które przetwarzają dane w sposób sporadyczny, sklepy internetowe jednak nie mogą być zaliczone do takich podmiotów.
 
Umowa powierzenia
Przepisy RODO szczególną uwagę przywiązują do podmiotów, które w imieniu administratora przetwarzają dane osobowe. Przykładem podmiotu przetwarzającego będzie np. firma kurierska, która dostarcza Twoje towary do klientów lub firma księgująca przelewy. Pamiętaj, że podmiot przetwarzający działa w Twoim imieniu na podstawie umowy. RODO dopuszcza zawarcie umowy również w formie elektronicznej. Umowa musi określać przedmiot i czas trwania przetwarzania, jego charakter i cel. Aby kontrolować przepływ danych między Tobą, a Twoimi kontrahentami stwórz wykaz wszystkich podmiotów, którym powierzasz przetwarzanie danych wraz z opisem celu, dla którego do tego przetwarzania dochodzi, charakteru powierzenia i czasu. Zwróć uwagę czy podmioty, którym powierzasz dane, zapewniają stosowanie odpowiednich środków ochrony danych osobowych. Bez względu na wszystko  jesteś odpowiedzialny za dane, które powierzasz swoim kontrahentom.
 
Polityka prywatności
Na koniec kilka słów o polityce prywatności.  Polityka prywatności to dokument, który powinien znaleźć się na stronie internetowej każdego podmiotu, który przetwarza dane osobowe. Za pomocą polityki prywatności dopełniasz obowiązku informacyjnego, który nakłada na Ciebie treść RODO. Dokument powinien więc zawierać wszystkie informacje o sposobie zbierania i przetwarzania danych osobowych za pośrednictwem Twojej strony internetowej. Rozważ umieszczenie polityki prywatności w widocznym i łatwo dostępnym dla użytkownika miejscu  np. w postaci linku w stopce.  Ponadto, polityka prywatności to miejsce na poinformowanie Twoich użytkowników, że zbierasz  pliki cookies czyli tzw. „ciasteczka” – pamiętaj, że na administratorze bezwzględnie spoczywa wymóg uzyskania zgody użytkownika w tym zakreise. Jeśli używasz Google Analytics, Pixela Facebooka, różnego rodzaju wtyczek w tym społecznościowych czy narzędzi do powiadomień „push” informacja o tym również powinna znaleźć się w treści polityki prywatności.
 
Bezpieczne przetwarzanie danych osobowych osiągniesz wyłącznie dzięki starannej procedurze wdrożenia RODO i systematycznej, przejrzystej dokumentacji. Jeśli potrzebujesz pomocy w stworzeniu formularzy i wzorów, dostosowanych do prowadzonej przez Ciebie działalności skontaktuj się z nami!
Zapraszamy do śledzenia kolejnego wpisu, w którym poruszymy między innymi kwestie monitoringu w miejscu pracy, klauzul rekrutacyjnych, wykorzystywaniu wizerunku pracownika, upoważnieniach do przetwarzania danych i inne, na które warto zwrócić uwagę stosując RODO w zatrudnieniu.
 
 

Artykuł RODO dla przedsiębiorców w pytaniach i odpowiedziach – część 2 pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

1. Od przystępnej teorii do praktyki

RODO czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych, w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
Tekst rozporządzenia obowiązuje na terenie całej Unii Europejskiej. Każda forma działalności związana z przetwarzaniem danych osobowych osób przebywających w Polsce będzie pociągać za sobą obowiązek zastosowania nie tylko RODO, ale także krajowych przepisów wdrażających RODO w polskim systemie prawnym. Ponadto, podmiot przetwarzający dane osobowe i tak będzie musiał stosować przepisy RODO, o ile oferuje towary i usługi na terenie UE. Tym sposobem zagraniczny przedsiębiorca przebywający na terytorium Polski, korzystający z usług np. operatora internetowego, który nie ma w Polsce siedziby czy oddziału może domagać się ochrony na podstawie RODO jeśli usługa, z której korzysta jest dostępna w języku polskim i można zapłacić za nią w polskiej walucie. Eksterytorialność RODO wiązać się będzie z koniecznością spełnienia wielu nowych obowiązków przez podmioty, które wcześniej mogły uniknąć stosowania unijnych przepisów dotyczących przetwarzania danych osobowych. Ceną za ujednolicenie procedur jest obszerne ujmowanie zagadnień w tym posługiwanie się wieloma pojęciami. Doprecyzowanie przynajmniej tych zasadniczych ma fundamentalne znaczenie dla prawidłowego stosowania polityki ochrony danych osobowych w Twojej firmie.
Które z pojęć powinnaś/powinieneś znać? Najistotniejsze dla regulacji pojęcia zostały zdefiniowane w art. 4 RODO, a w części też doprecyzowane w preambule do RODO. Chodzi w szczególności o pojęcie danych osobowych, danych osobowych szczególnej kategorii, administratora danych osobowych, przetwarzania danych oraz podmiotu przetwarzającego dane. Dane osobowe mogą przybierać różną formę, począwszy od identyfikatorów takich jak imię i nazwisko, numerów identyfikacyjnych takich jak PESEL, wykazów informacji zawierających dane, po zdjęcia, filmy czy dane biometryczne (np. odciski linii papilarnych, głos, pismo). Zawsze muszą być to informacje, które dotyczą osoby fizycznej, bądź pozwalają na jej identyfikację. Warto pamiętać, że katalog danych osobowych szczególnej kategorii tzw. danych wrażliwych (w odróżnieniu od katalogu danych osobowych) jest katalogiem zamkniętym.
 

 
Podmiotem odpowiedzialnym za zgodne z przepisami prawa przetwarzanie danych osobowych jest tzw. administrator danych osobowych. Zgodnie z RODO administratorem danych osobowych nie jest osoba, która przetwarza dane w celach osobistych lub domowych.  Czy jesteś administratorem? Jeśli decydujesz o celach i sposobach przetwarzania danych osobowych z pewnością tak. Przedsiębiorca zawsze jest administratorem danych osobowych wykorzystywanych w zakresie prowadzonej przez siebie działalności. W przypadku osób fizycznych kwestia jest jednoznaczna,
zaś w przypadku osób prawnych administratorem danych będzie zawsze spółka, a nie jej organ, czy konkretna osoba w nim zasiadająca.
Jeżeli chcesz dowiedzieć się czy jako administrator dopełniasz wszystkich obowiązków jakie nakłada na Ciebie RODO zapraszamy do naszych kolejnych wpisów.
Prawodawca unijny przewidział sytuację, w której administrator upoważni do przetwarzania danych osobowych w jego imieniu inny podmiot. Jeśli administrator nie będzie sam przetwarzał danych, których jest administratorem, zleci to tzw. podmiotowi przetwarzającemu. Podmiot taki nie jest zatem administratorem danych, jeśli przetwarza dane w imieniu administratora, ale tylko wykonawcą zlecenia. Podmiot przetwarzający dane osobowe powinien przetwarzać je na podstawie pisemnej zgody administratora. Przepisy RODO nie wymagają, aby przetwarzanie odbywało się na podstawie odrębnie zawartej umowy powierzenia. Można więc umieścić warunki przetwarzania danych bezpośrednio w umowie zawieranej z kontrahentem.
Sama definicja przetwarzania danych zawarta w art. 4 pkt 2 RODO polega na przykładowym wyliczeniu działań na danych osobowych zwłaszcza takich jak zbieranie, przechowywanie, adaptowanie, modyfikowanie, rozpowszechnianie, usuwanie. Proces przetwarzania danych może obejmować jedną albo więcej operacji oznacza to, że wykonanie nawet jednej operacji na danych będzie oznaczało ich  przetwarzanie.
Odpowiedzi na pytania jak prawidłowo przetwarzać i przechowywać dane osobowe oraz jak trwale je usunąć znajdziesz w kolejnych artykułach.
 

2. Czy musisz wdrożyć RODO w swojej firmie?

Uruchamiasz swój sklep internetowy, pozyskujesz nowych klientów, rozpoczynasz współpracę
z firmą kurierską, przeprowadzasz rozmowy kwalifikacyjne i zatrudniasz nowych pracowników,
w końcu montujesz system monitoringu wizyjnego. To jak wiele danych osobowych napływa do Ciebie podczas tych działań zależy od zakresu Twojej działalności i zawsze musi zostać zabezpieczone przez ich przejrzyste gromadzenie i rzetelne przechowywanie. Krótko mówiąc, każdy przedsiębiorca, który chce legalnie sprzedawać produkty lub świadczyć usługi obywatelom UE musi stosować się do przepisów RODO. Do RODO muszą stosować się również osoby, które wprawdzie nie prowadzą działalności gospodarczej, ale przetwarzanie danych odbywa się w związku z jakąś ich zorganizowaną aktywnością, np. blogerzy internetowi wysyłający newslettery.
Oprócz oczywistych obowiązków administratora danych osobowych, których temat poruszymy
w następnym wpisie warto zadbać także o szczegóły: stopkę e-mail z klauzulą informacyjną, upoważnienia dla pracowników do przetwarzania danych osobowych, analizę ryzyka naruszenia danych osobowych w Twojej firmie czy zbiór zasad wewnętrznej procedury postępowania w przypadku ich naruszenia. Jeśli zatrudniasz pracowników warto rozważyć także przeprowadzenie szkolenia z zakresu RODO.

3. Skuteczne, proporcjonalne i odstraszające – czy warto się bać?

Mowa oczywiście o administracyjnych karach pieniężnych nakładanych przez Prezesa Urzędu Ochrony Danych Osobowych. Bać się z pewnością nie warto, opłaca się jednak uważać.
Z naciskiem na „opłaca” ponieważ kary sięgają wysokości 20 mln EUR, a w przypadku przedsiębiorstwa (w rozumieniu art. 101 i 102 Traktatu o funkcjonowaniu Unii Europejskiej) –  w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.  Kwota może przyprawić o zawrót głowy, dlatego lepiej upewnić się, czy wszystkie operacje na danych osobowych przebiegają właściwie. Jeśli potrzebujesz porady prawnej bądź planujesz wdrożyć politykę RODO w swojej firmie skorzystaj z naszego doświadczenia.
 

 
 
Zapraszamy do śledzenia kolejnych wpisów, w których znajdą się między innymi praktyczne wskazówki na temat „RODO w miejscu pracy” oraz „RODO od B2B po sklep internetowy”.
 
Upewnij się, czy wszystkie operacje na danych osobowych w twojej firmie przebiegają właściwie. Jeśli potrzebujesz porady prawnej bądź planujesz wdrożyć politykę RODO zapraszamy do kontaktu!
 
 

Artykuł RODO dla przedsiębiorców w pytaniach i odpowiedziach pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

Prawa autorskie, poufność oraz zakaz konkurencji

Prawa osobiste to np. prawo do autorstwa aplikacji, prawo do oznaczania aplikacji swoim nazwiskiem lub nazwą firmy. Prawa majątkowe natomiast to np. prawo do uzyskiwania patentów na dane rozwiązania przyjęte w aplikacji, prawo do kopiowania i udostępniania innym aplikacji, czy prawo do wprowadzania do obrotu aplikacji. Zamawiający, aby zabezpieczyć się przed tym, że Wykonawca po prostu sprzeda rozwiązania przyjęte na rzecz stworzenia jednej aplikacji innemu podmiotowi, powinien zakreślić prawa autorskie w sposób możliwie szeroki. Jest to bardzo istotne bowiem przeniesienie majątkowych praw autorskich obejmuje jedynie te prawa, które są wyraźnie ujęte w umowie. Co ważne, aby skutecznie przenieść prawa autorskie na rzecz zamawiającego umowa musi być sporządzona na piśmie, inaczej przeniesienie praw autorskich będzie nieważne. Wykonawca może domagać się wynagrodzenia za przeniesienie praw autorskich, dlatego należy tę kwestię szczegółowo opisać w umowie.

Przy wykonywaniu aplikacji pracuje wiele osób, tworzone są nowe rozwiązania, każda ze stron udostępnia jakąś część rozwiązań, które nie są publicznie dostępne. Szerokie zakreślenie tajemnicy związanej z informacjami poufnymi pozwoli zapobiec wyciekowi jakichkolwiek danych pracowników, know-how, rozwiązań przyjętych w aplikacji, patentów, projektów itd.

Poza zachowaniem poufności przez strony umowy i zabezpieczeniem się przed wyciekiem informacji poufnych wobec osób trzecich, warto zawrzeć w umowie także zakaz konkurencji, dzięki temu strony będą miały pewność, że kontrahent współpracuje jedynie z drugą stroną i np. nie tworzy równolegle podobnej lub nawet takiej samej aplikacji z wykorzystaniem oferowanych przez drugą stronę rozwiązań samemu lub na rzecz innego podmiotu. Drobiazg, o którym zapomina wielu prawników to zawarcie w umowie zapisu traktującego o zakazie cesji, czyli swoistego przelania praw i obowiązków wynikających z umowy na rzecz innego podmiotu.

Gwarancja, serwis oraz rozwój aplikacji

Wykonanie aplikacji to jedno, ale co w sytuacji, gdy w trakcie jej użytkowania wystąpią błędy, które nie były znane zamawiającemu na początku? Kwestie te można zawrzeć w umowie i określić co w takiej sytuacji, np. można ustalić, że wykonawca jest zwolniony całkowicie z serwisowania aplikacji i że nie udziela gwarancji na wykonaną przez siebie usługę lub przeciwnie, wykonawca jest całkowicie odpowiedzialny za wykonaną usługę i musi dokonywać niezbędnych napraw. Także tutaj warto ustalić, czy wykonywany serwis będzie dodatkowo płatny.

W otaczającym nas świecie rozwój aplikacji to rzecz oczywista. Świat IT rozwija się w bardzo szybkim tempie i zmiany to codzienność, dlatego warto wstępnie ustalić czy strony chcą współpracować nad rozwojem aplikacji, czy wykonanie aplikacji to było jednorazowe zlecenie. W tym miejscu można określić: sposób w jaki ma być prowadzona dalsza współpraca, czy będzie dodatkowo płatna i jaki jest dalszy plan na realizację aplikacji.

Siła wyższa, RODO i postanowienia końcowe

Pandemia koronawirusa COVID-19 pokazała, jak bardzo istotne jest zawarcie w umowie klauzuli o sile wyższej, co prawda wynika ona z mocy prawa, parafrazując art. 471 Kodeksu cywilnego na przykładzie wykonawcy, wykonawca obowiązany jest do naprawienia szkody wynikłej z niewykonania lub nienależytego wykonania aplikacji, chyba że niewykonanie lub nienależyte wykonanie jest następstwem okoliczności, za które wykonawca odpowiedzialności nie ponosi. Warto jednak wymienić w umowie szczegółowo, kiedy strony uważają dane zjawisko za siłę wyższą, a kiedy nie. Można ją rozszerzyć albo zawęzić np. powódź strony mogą uznać za siłę wyższą, natomiast pandemię koronawirusa już nie. Ta klauzula pozwoli zabezpieczyć się przed stratami, które strony ponoszą, mimo że nie mają wpływu na ich powstanie.

RODO! – ochrona danych osobowych, tak tutaj również się pojawia. Należy określić kto będzie administratorem danych osobowych: użytkowników korzystających z aplikacji, wykonawcy, zamawiającego oraz ich pracowników itp. Przy dużych projektach powinno się zawrzeć dodatkową umowę o powierzenie przetwarzania danych w związku z zawarciem umowy na wykonanie aplikacji.

W postanowieniach końcowych warto zawrzeć klauzulę mówiącą o tym, że spory będą załatwiane polubownie, można nawet ustanowić mediacje, ale przede wszystkim należy ustalić jaki sąd będzie właściwy w przypadku, gdy sporu nie uda się załatwić polubownie, warto także ustalić komunikację między stronami (zawiadomienia itd.). Można także wskazać prawo właściwe dla umowy oraz wskazać konkretne przepisy do stosowania dla umowy w sprawach umową nieuregulowanych.

Podsumowując, umowa na wykonanie aplikacji mobilnej należy do grupy umów niezwykle rozbudowanych. Przy pracy nad nią trzeba wziąć pod uwagę wiele abstrakcyjnych czynników, które mogą w przyszłości budzić nieporozumienia. Jeśli zależy Ci na tym, aby twoje interesy w procesie wykonywania aplikacji były w odpowiedni sposób zabezpieczone, twoją umowę powinien przygotować profesjonalista, który zadba o to, aby umowa w sposób ścisły i precyzyjny odnosiła się do wszystkich postanowień poruszonych w niniejszym artykule.

Artykuł Ochrona prawna gdy tworzysz aplikację mobilną – Poradnik cz.II pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

• administrator (osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, samodzielnie lub wspólnie z innymi ustalający cele i sposoby przetwarzania danych osobowych)
• podmiot przetwarzający (osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot przetwarzający dane osobowe w imieniu administratora)
• podmiot certyfikujący
• podmiot monitorujący

Na podstawie RODO Prezesa Urzędu Ochrony Danych Osobowych może w drodze decyzji administracyjnej wymierzyć i nałożyć następujące administracyjne kary pieniężne:

• karę w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa, w przypadku naruszenia przepisów RODO dotyczących:
• obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25 –39 oraz 42 i 43,
• obowiązków podmiotu certyfikującego, o których mowa w art. 42 oraz 4,
• obowiązków podmiotu monitorującego, o których mowa w art. 41 ust. 4.
• karę w wysokości w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa w przypadku naruszenia przepisów RODO w zakresie :
• podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9,
• praw osób, których dane dotyczą, o których mowa w art. 12–22,
• przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej, o którym to przekazywaniu mowa w art. 44–49,
• wszelkich obowiązków wynikających z prawa państwa członkowskiego przyjętego na podstawie rozdziału IX,
• nieprzestrzegania nakazu, tymczasowego lub ostatecznego ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 lub niezapewnienia dostępu skutkującego naruszeniem art. 58 ust. 1.

 
Indywidualizacja odpowiedzialności – wysokość kary zależy od okoliczności konkretnego przypadku
Jednocześnie wymiar i nakładanie administracyjnych kar pieniężnych jako sankcji administracyjnych w istotnym stopniu nasyconych represyjnością, wymaga pewnej indywidualizacji odpowiedzialności naruszycieli przepisów RODO. Zaznaczyć należy, iż przy wymiarze administracyjnych kar pieniężnych Prezes Urzędu Ochrony Danych Osobowych stosując wskazane sankcje ma zapewnić, aby w każdym indywidualnym przypadku stosowanie powyższych sankcji było skuteczne, proporcjonalne i odstraszające. Przy czym wyżej wymieniony organ nakłada na odpowiedzialne podmioty administracyjnej kary pieniężnej oprócz lub zamiast środków administracyjnych z art. 58 ust. 2 lit. a)–h) oraz j) RODO (np. wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania danych osobowych, w tym również zakazu przetwarzania czy też nakazanie zawieszenia przepływu danych do odbiorców).
Przejawem indywidualizacji odpowiedzialności jest również szeroko rozbudowany katalog okoliczności, które Prezes UODO jest zobowiązany uwzględnić zarówno w procesie nakładania jak i wymiaru administracyjnych kar pieniężnych. Na podstawie art. 82 ust. 2 pkt. a-k RODO do szerokiego spektrum okoliczności wpływających na nałożenie i wymiar administracyjnych kar pieniężnych zalicza się:

• charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,
• umyślny lub nieumyślny charakter naruszenia,
• działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą,
• stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32,
• wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego,
• stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków,
• kategorie danych osobowych, których dotyczyło naruszenie,
• sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie,
• jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 – przestrzeganie tych środków,
• stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42,
• wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

W przypadku, gdy administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w toku tych samych lub powiązanych operacji przetwarzania kilka przepisów RODO, wówczas maksymalna wysokość wskazanej sankcji nie przekracza wysokości kary za najpoważniejsze naruszenie.
 

Celem zabezpieczenia interesów Klienta, uniknięcia ryzyka sankcji z tytułu nieprzestrzegania przepisów dotyczących ochrony danych osobowych konieczne jest przeprowadzenie analizy prawnej i wdrożenie odpowiednich przepisów. W sprawach związanych z ochroną danych osobowych zapraszamy do kontaktu z kancelarią: kancelaria@wskp.pl lub telefonicznie: 577 533 499

Artykuł RODO – odpowiedzialność za naruszenie przepisów pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

• imię i nazwisko,
• datę urodzenia,
• dane kontaktowe wskazane przez taka osobę,
• wykształcenie,
• kwalifikacje zawodowe,
• przebieg dotychczasowego zatrudnienia.

Niezależnie od powyższych danych osobowych pracodawca na potrzeby rekrutacji może pozyskać od kandydata do zatrudnienia również:

• adres zamieszkania,
• numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość,
• inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
• wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie,
• numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Jednakże na gruncie Kodeksu pracy pracodawca może żądać od potencjalnego kandydata do pracy danych dotyczących wykształcenia, kwalifikacji zawodowych, czy przebiegu dotychczasowego zatrudnienia jedynie wówczas, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Tym samym ustawodawca nakłada na pracodawców obowiązek każdorazowej oceny czy dane dotyczące wykształcenia, kwalifikacji zawodowych, jak również określające przebieg dotychczasowej kariery są pracodawcy niezbędne w zakresie potencjalnego stosunku pracy, który ma zostać nawiązany. Powyższa regulacja ma na celu zapewnienie pełnej efektywności zasadzie wynikającej z art. 5 ust. 1 lit. C RODO tj. zasadzie minimalizmu przetwarzania danych osobowych. Zgodnie z RODO wspomniana zasada zakłada, iż przetwarzane dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane”.
Co do zasady osoba ubiegająca się o zatrudnienie udostępnia wskazane dane w formie oświadczenia, jednakże pracodawca może żądać udokumentowania powyższych danych w wymiarze niezbędnym do ich potwierdzenia.
W przypadku potrzeby pozyskania przez pracodawcę innych danych niż powyższe pracodawca może takie dane uzyskać jedynie, gdy taki obowiązek będzie wynikał z powszechnie obowiązujących przepisów prawa lub dane te są niezbędne do realizacji jego uprawnienia.
Zgoda pracownika na przetwarzanie innych danych osobowych
Ponadto, na mocy nowo wprowadzonego art. 22^1a § 1 Kodeksu pracy pracodawca może pozyskiwać „inne dane osobowe” od osoby ubiegającej się o zatrudnienia oraz od pracownika na podstawie wyrażonej przez nich zgody. Jakkolwiek wspomniane „inne dane osobowe” pozyskiwane przez pracodawcę nie mogą stanowić danych wskazanych w art. 10 RODO tj. danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa.
Jednocześnie na podstawie art. 22^1b § 1 Kodeksu pracy powyższa zgoda może być podstawą przetwarzania przez pracodawcę szczególnych kategorii danych osobowych (np. ujawniających poglądy polityczne, czy też danych dotyczących zdrowia lub orientacji seksualnej), jedynie gdy udostępnienie tych danych wynika z inicjatywy pracownika lub osoby ubiegającej o zatrudnienie, przy czym przetwarzać takie dane mogą tylko osoby upoważnione przez pracodawcę, które jednocześnie zobowiązują się do zachowania w tajemnicy powyższych danych.
Zgodnie ze znowelizowanym Kodeksem pracy, w przypadku przetwarzania danych biometrycznych (danych dotyczących cech fizycznych np. odcisk palca) pracownika ustawodawca wskazuje na możliwość przetwarzania takich danych, jeżeli jest to „niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony”.
Forma zgody na przetwarzanie danych osobowych
W uzasadnieniu nowelizacji Kodeksu pracy wskazuje się, iż w nawiązaniu do art. 9 RODO dotyczącego szczególnych kategorii danych osobowych wyżej wymieniona zgoda powinna zostać wyrażona w formie działania w postaci np. wyraźnego oświadczenia woli pracowników. W literaturze podkreśla się, iż aby zgoda wyrażona pisemnie czy telefonicznie mogła być uznana za wyraźną nie może przybrać formy przyjęcia do wiadomości, lecz oświadczenia woli oraz musi zostać zebrana w sposób nie budzący wątpliwości w takim zakresie, iż zgody udziela osoba, której danych osobowych zgoda dotyczy (tak P. Litwiński, P. Barta, M. Kawecki (w:) Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Legalis).
Jednocześnie na podstawie art. 7 ust. 1 RODO w przypadku przetwarzania danych osobowych na podstawie zgody, administrator musi być w stanie wykazać, iż osoba, której dotyczą przetwarzane dane wyraziła na to zgodę. Jednocześnie, przy ocenie czy zgodę wyrażono dobrowolnie, w jak największym stopniu bierze się pod uwagę to czy np. od zgody na przetwarzanie danych osobowych nie jest uzależnione wykonanie umowy, czy też świadczenie usługi, jeśli wskazane przetwarzanie nie jest niezbędne do wykonania tej umowy.
Warto podkreślić, że zgodnie ze znowelizowanym Kodeksem pracy w przypadku braku zgody lub jej wycofania przez pracownika lub osobę ubiegającą się o zatrudnienie wskazane działanie nie może skutkować niekorzystnym traktowaniem tych osób, jak również nie może stanowić podstawy innych ujemnych konsekwencji tj. odmowy zatrudnienia, wypowiedzenia umowy o pracę, czy też jej rozwiązania bez wypowiedzenia.
 

We wszelkich sprawach związanych z wdrażaniem zasad ochrony danych osobowych, przepisów rozporządzenia RODO, jak również audytach stosowania i wsparciem przy bieżącej obsłudze zapraszamy do kontaktu z kancelarią: kancelaria@wskp.pl lub telefonicznie: 577 533 499

Artykuł RODO. Nowe przepisy dostosowujące w Kodeksie pracy pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

 
Niniejszy wpis ma charakter praktycznego poradnika i pozwoli w zależności od etapu – zaplanować, uporządkować lub zweryfikować kompletność wdrożenia RODO w prowadzonej przez Administratora działalności gospodarczej, spółce lub innym podmiocie, na którym ciąży obowiązek wdrożenia RODO.
 
 

TO DO LIST

RODO daje Administratorom Danych Osobowych wytyczne, dotyczące tego w jaki sposób dostosować procedury dotyczące przetwarzania danych osobowych w ramach działalności prowadzonej przez ADO, celem zapewnienia należytego poziomu bezpieczeństwa przetwarzanych danych. RODO kładzie nacisk na zasadę przejrzystości, która na zewnątrz przejawia się w realizowaniu szeregu obowiązków informacyjnych względem klientów jak i kontrahentów, natomiast w ramach danego przedsiębiorstwa lub spółki znajduje zastosowanie do określenia odpowiednich procedur lub zastosowania określonych rozwiązań, a w ich braku do przeprowadzenia stosownych analiz lub opinii, które będą stanowiły podstawię do przyjęcia czy w ramach prowadzonej działalności określone rozwiązanie jest konieczne czy nie.
1. W świetle powyższego, wprowadzając nowe zasady ochrony danych osobowych na pierwszym etapie każdy ADO powinien przeprowadzić wewnętrzny audyt swojego przedsiębiorstwa lub spółki i ocenić czy stosowane dotychczas procedury, posiadane zabezpieczenia techniczne są skuteczne i wystarczające, a co za tym idzie, czy przetwarzanie danych osobowych odpowiada wymogom RODO. Przeprowadzenie audytu otwarcia wdrożenia sprowadzające się do zbadania wymogów formalno-prawnych, treści stosowanych klauzul, zgód, procedur i zabezpieczeń odnoszących się do danych osobowych, powinno w efekcie umożliwić wykonanie analizy ryzyka. Analiza ryzyka powinna odpowiadać ziszczeniu się hipotetycznie najgorszego scenariusza w zakresie zabezpieczenia danych osobowych w ramach prowadzonej działalności i umożliwiać tym samym stworzenie planu postępowania z ryzykiem i ocenę skutków dla ochrony danych osobowych – innymi słowy analiza ryzyka powinna wskazywać na te obszary przetwarzania danych osobowych u określonego przedsiębiorcy, w ramach których istnieje ryzyko naruszenia tych danych, a efektem tej analizy powinien być plan postępowania z ryzykiem, pozwalający w maksymalnym możliwym zakresie ryzyko to zminimalizować.
2. Każdy Administrator Danych Osobowych ma w świetle RODO obowiązek stworzenia wytycznych technicznych dotyczących stosowanych metod zabezpieczenia przetwarzania danych osobowych, w tym wytycznych dotyczących dostosowania systemów informatycznych. Celowa w tym zakresie jest ścisła współpraca z informatykiem, tak aby maksymalnie zabezpieczyć dane osobowe przetwarzane przez konkretnego ADO w cyberprzestrzeni.
3. Opracowanie rejestru czynności przetwarzania danych będzie dla wielu ADO obowiązkowe. Art. 30 us.t 5 RODO przewiduje wyjątek w tym zakresie jedynie dla przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, pod warunkiem jednak że przetwarzanie, którego dokonują, nie może powodować ryzyka naruszenia praw lub wolności osób, których dane dotyczą, ma charakter sporadyczny lub nie obejmuje szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO.
4. Kolejnym krokiem powinno być przeprowadzenie analizy w zakresie konieczności powołania Inspektora Ochrony Danych (IOD), którego wyznaczenie jest obligatoryjne gdy:
a) przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
b) główna działalność Administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub
c) główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 RODO, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO.
5. Każdy ADO powinien stworzyć rejestr naruszeń ochrony danych osobowych, a także ewidencję żądań dotyczących realizacji praw osób, których dane dotyczą. Jednocześnie, powinien opracować wewnętrzne procedury zgłaszania naruszeń, tworzenia kopii zapasowych, usuwania danych i realizacji prawa do bycia zapomnianym, a także realizacji prawa do przenoszenia danych osobowych, w miarę możliwości technicznych danego Administratora.
6. Wskazane w punkcie powyżej procedury i zasady, powinny zostać zebrane w wewnętrznej Polityce Ochrony Danych Osobowych. Rejestry, wzory upoważnień i wytyczne techniczne mogą zostać ujęte jako załączniki do Polityki Ochrony Danych Osobowych, co pozwoli zachować przejrzystość i kompletność dokumentacji wymaganej przepisami RODO.
7. Ostatnim krokiem wieńczącym cały proces wdrożenia RODO powinno być przeprowadzenie szkolenia dla pracowników lub współpracowników ADO, w zakresie wprowadzonych procedur i wytycznych, celem zabezpieczenia procesu przetwarzania danych osobowych.
 

 

OBOWIĄZKI ADMINISTRATORA WZGLĘDEM PRACOWNIKÓW I KLIENTÓW

Prawidłowe wdrożenie RODO powinno zagwarantować bezpieczeństwo wszelkich przetwarzanych danych osobowych przez Administratora. Chodzi więc nie tylko o dane osobowe pracowników i współpracowników ADO, lecz również o dane osobowe klientów.
Dostosowanie procedur i odhaczenie każdego punktu z wyżej opisanej listy zadań pozwoli na spełnienie tylko jednej płaszczyzny dostosowania procesów przetwarzania danych osobowych do zgodności z prawem, w tym w szczególności przepisami RODO. Druga płaszczyzna wdrożenia sprowadza się do spełnienia przez ADO szeregu obowiązków informacyjnych wobec aktualnych i potencjalnych pracowników, a także aktualnych i nowych klientów.
Poinformowanie pracowników i współpracowników o zakresie przysługujących im praw, może przybrać formę szkolenia, dopuszczalne jest również odebranie od pracowników stosownych oświadczeń. Ponadto, koniecznym jest upoważnienie pracowników do przetwarzania danych osobowych, o ile do takiego dochodzi, w ramach wykonywania przez nich obowiązków pracowniczych.
Jednocześnie, każdy ADO powinien poczynić niezbędne kroki celem poinformowania swoich klientów o przysługujących im uprawnieniach (między innymi poprzez zamieszczenie stosownych klauzul na stronie internetowej, udostępnienie informacji w sekretariacie, opublikowanie polityki prywatności),
a z podmiotami, z którymi współpracuje w ramach świadczonych przez siebie usług powinien podpisać umowy powierzenia przetwarzania danych osobowych, o ile w związku ze współpracą z danym podmiotem dochodzi do powierzenia przetwarzania danych osobowych.

ROZLICZALNOŚĆ

 
RODO jest regulacją nastawioną realizację przez ADO nadrzędnego celu, jakim jest zapewnienie bezpieczeństwa przetwarzanych danych osobowych, z jednoczesnym wypełnieniem obowiązków informacyjnych względem osób, których dane dotyczą. Ponadto, RODO kładzie wyraźny nacisk na zasadę rozliczalności, zgodnie z którą Administrator Danych Osobowych jest odpowiedzialny za przestrzeganie przepisów i zasad wprowadzonych przez RODO oraz musi być w stanie wykazać ich przestrzeganie. Stąd w przypadku podjęcia decyzji o niezastosowaniu określonego rozwiązania proponowanego przez RODO – przykładowo niepowołania Inspektora Ochrony Danych Osobowych, ADO powinien dysponować opinią o braku konieczności zastosowania danego rozwiązania, pozostał ślad po przeprowadzonej w tym zakresie analizie i dokonanej ocenie.

CZAS NA RODO. KONTYNUACJA

Niniejszy wpis jest drugim wpisem z cyklu „CZAS NA RODO”, który będzie kontynuowany, celem pełniejszego przybliżenia zagadnień, regulowanych przez Rozporządzenie. Zapraszamy do bieżącego śledzenia cyklu „CZAS NA RODO” na stronie internetowej naszej Kancelarii, dostępnej pod adresem: www.wskp.pl.
Ponadto, jeśli potrzebują Państwo porady prawnej lub pomocy we wdrożeniu RODO zapraszamy również do kontaktu z Kancelarią WSKP pod adresem mailowym kancelaria@wskp.pl lub nr telefonu: +48 577 533 499 lub stacjonarnie w Krakowie.

Artykuł Czas na RODO – dokumenty i procedury pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.

– czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46/WE (Dz. Urz. UE. L Nr 119) reguluje przetwarzanie przez osoby fizyczne, przedsiębiorstwa lub organizacje danych osobowych.
RODO zacznie obowiązywać od 25 maja 2018 r. i będzie wiążące i bezpośrednio stosowane we wszystkich państwach członkowskich UE.
RODO wprowadza nowe standardy i wskazywane jest jako przykład aktu inteligentnego, który został zaprojektowany w taki sposób, aby chronić podstawowe prawa i wolności osób fizycznych,
w szczególności ich prawo do ochrony danych osobowych. Uwzględnia różnorodne regulacje poszczególnych państw członkowskich UE, a także wielowymiarowość płaszczyzn, na których dochodzi do przetwarzania danych osobowych. Ma za zadanie objąć ochroną w szczególności dane osobowe przetwarzane, zarówno w sposób zautomatyzowany (całkowicie lub częściowo) lub w inny sposób niż zautomatyzowany, za pośrednictwem wszelkiego rodzaju systemów i gromadzonych w ramach zbiorów, prowadzonych zarówno w wersji papierowej jak i elektronicznej. RODO dotknie więc zarówno serwisy poczty elektronicznej (Gmail, Outlook), portale społecznościowe (Facebook, Instagram, Twitter), jak i przedsiębiorców, którzy przetwarzają dane swoich klientów i pracowników.

 
 

CZYJE DANE CHRONI RODO I NA KOGO NAKŁADA OBOWIĄZKI W TYM ZAKRESIE

Jak wynika już z pkt 14 Preambuły do RODO, rozporządzenie ma mieć zastosowanie do osób fizycznych – co ważne niezależnie od ich obywatelstwa czy miejsca zamieszkania – w związku z przetwarzaniem ich danych osobowych. Zakres ochrony wprowadzonej przez RODO nie obejmuje przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw, będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. Wyłączone spod ochrony RODO są też dane osobowe osób zmarłych.
RODO wprowadza również pojęcie danych osobowych stanowiąc w art. 4 pkt 1), że danymi osobowymi są informacje, na podstawie których można bezpośrednio lub pośrednio zidentyfikować osobę fizyczną. Są to między innymi: imię i nazwisko, numer identyfikacyjny (np. PESEL), ale nie tylko. Do danych osobowych zalicza się również dane o lokalizacji czy „jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, kulturową lub społeczną tożsamość osoby fizycznej”. RODO obejmuje również dane dotyczące stanu zdrowia osoby fizycznej, a także tzw. dane genetyczne czy biometryczne.
Ponadto, RODO określa pojęcia „administratora” (tj. osoby fizycznej lub prawnej, organu publicznego, jednostki lub innego podmiotu, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania) oraz „podmiot przetwarzający” (tj. osoby fizycznej lub prawnej, organu publicznego, jednostki lub innego podmiotu, który przetwarza dane osobowe w imieniu administratora).

Obowiązek stosowania RODO od 25 maja 2018 r. dotyczy przetwarzania danych osobowych,
w związku z działalnością prowadzoną przez:

• jednostkę organizacyjną administratora lub podmiotu przetwarzającego, w przypadku, gdy jednostka organizacyjna (przedsiębiorstwo lub inny podmiot) ma siedzibę w Unii Europejskiej lub siedziba jej oddziału znajduje się na terenie UE, niezależnie od miejsca przetwarzania danych;
• jednostkę organizacyjną administratora lub podmiotu przetwarzającego, w przypadku, gdy jednostka organizacyjna (przedsiębiorstwo lub inny podmiot) ma siedzibę poza terytorium UE, lecz oferuje wiążące się z przetwarzaniem, towary lub usługi osobom, których dane dotyczą w Unii (odpłatnie bądź nieodpłatnie) lub zajmuje się monitorowaniem zachowania osób fizycznych w Unii;
• jednostkę organizacyjną administratora lub podmiotu przetwarzającego, w przypadku, gdy jednostka organizacyjna (przedsiębiorstwo lub inny podmiot) ma siedzibę poza terytorium UE, lecz w miejscu tym na mocy prawa międzynarodowego, ma zastosowanie prawo państwa członkowskiego.
Warto zwrócić uwagę, że RODO przewiduje też pewne wyjątki, wyłączając z zakresu swojego zastosowania przetwarzanie danych w ramach działalności nieobjętej zakresem prawa Unii Europejskiej (tj. przykładowo działalności dotyczącej bezpieczeństwa narodowego), a także w ramach działań wykonywanych przez państwa członkowskie, wchodzących w zakres tytułu V rozdział 2 Traktatu o Unii Europejskiej – czyli wspólnej polityki zagranicznej i bezpieczeństwa. Rozporządzenie nie będzie miało zastosowania również do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.
Ponadto, wyłączone spod standardów RODO będzie przetwarzanie danych osobowych, w ramach czynności dokonywanych przez osoby fizyczne o charakterze czysto osobistym lub domowym.
Przykład: Osoba fizyczna korzysta z własnej bazy kontaktów, aby mailowo zaprosić przyjaciół na organizowane przez siebie przyjęcie (wyjątek dotyczący działalności domowej).

NOWE STANDARDY OCHRONY DANYCH OSOBOWYCH

Poza ujednoliceniem regulacji dotyczącej ochrony danych osobowych państw członkowskich, RODO wprowadza nowe i rozszerza dotychczas obowiązujące standardy w zakresie ochrony danych osobowych. Na uwagę, w tym zakresie zasługuje kilka najważniejszych standardów, do których odnosimy się poniżej.

ZASADA PRZEJRZYSTOŚCI

w świetle RODO administrator będzie musiał podjąć szereg środków
i obowiązków, aby w sposób przejrzysty – tj. w zwięzłej, zrozumiałej i łatwo dostępnej formie – poinformować osobę fizyczną, już podczas pozyskiwania jej danych między innymi: o swojej tożsamości adresie lub o tożsamości i danych kontaktowych swojego przedstawiciela, celu przetwarzania danych osobowych, o okresie, przez który dane osobowe będą przechowywane,
o prawie do żądania od administratora usunięcia lub ograniczenia przetwarzania czy o prawie wniesienia sprzeciwu.

PRAWO DO BYCIA ZAPOMNIANYM

innymi słowy każda osoba fizyczna, w określonych sytuacjach, będzie miała prawo zażądać od administratora niezwłocznego usunięcia, dotyczących jej danych osobowych, a administrator będzie w takim wypadku obowiązany do usunięcia takich danych osobowych bez zbędnej zwłoki. Obowiązek administratora dotyczyć będzie również kopii, skanów dokumentacji papierowej czy kopii e-maili, a jeżeli administrator upublicznił dane osobowe (np. trafiły one do Internetu) administrator będzie musiał upewnić się, że zostały one kompleksowo usunięte (włączając w to wszelkie łącza do danych, ich kopie czy replikacje).

PRAWO SPRZECIWU

RODO przyznaje prawo wniesienia sprzeciwu każdej osobie fizycznej,
w dowolnym momencie, z przyczyn związanych z jej szczególną sytuacją, jeśli dotyczące jej dane osobowe są przetwarzane na jednej z następujących podstaw:
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.
Ponadto, prawo wniesienia sprzeciwu, w dowolnym momencie, przysługuje osobie, której dane przetwarzane są na potrzeby marketingu bezpośredniego.

ANALIZA RYZYKA ORAZ ZGŁASZANIE I REJESTR NARUSZEŃ

istotny nacisk RODO kładzie na standardy bezpieczeństwa przetwarzania danych osobowych, np. poprzez wymóg pseudonomizacji i szyfrowania danych osobowych. Na gruncie nowych przepisów administratorzy danych będą obowiązani do przeprowadzenia konstruktywnej analizy, danego rodzaju przetwarzania i oceny skutków planowanych operacji, które z dużym prawdopodobieństwem, ze względu na swój charakter, zakres i kontekst mogą powodować wysokie prawdopodobieństwo naruszenia praw lub wolności osób fizycznych. Ponadto, w przypadku naruszenia ochrony danych osobowych (np. zgubienia firmowego pendrive’a, zawierającego dane osobowe) administrator obowiązany będzie zgłosić takie zdarzenie, stanowiące naruszenie ochrony danych osobowych, właściwemu organowi nadzorczemu, bez zbędnej zwłoki (tj. nie później niż w ciągu 72 godzin). W przypadku zaś gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadomi osobę, której dane te dotyczą. Dodatkowo, na administratorze spoczywać będzie obowiązek dokumentowania wszelkich naruszeń poprzez prowadzenie rejestru naruszeń.

CZAS NA RODO. ROZWINIĘCIE.

Niniejszy wpis stanowi wprowadzenie do cyklu „CZAS NA RODO” i porusza jedynie wybrane zagadnienia, regulowane przez Rozporządzenie. Cykl będzie w najbliższych tygodniach kontynuowany na stronie www.wskp.pl – zapraszamy do bieżącego śledzenia strony.
Ponadto, jeśli potrzebują Państwo porady prawnej lub pomocy we wdrożeniu RODO zapraszamy również do kontaktu z Kancelarią WSKP z siedzibą w Krakowie pod adresem mailowym kancelaria@wskp.pl, nr telefonu: +48 577 533 499 lub osobiście w naszym biurze: ul. prof. M.Życzkowskiego 14/53, 31-864 Kraków.

Artykuł Czas na RODO. Wstęp – czyli co to jest, kogo dotyczy i jakie standardy wprowadza pochodzi z serwisu Kancelaria Prawna i obsługa prawna firm - WSKP Kraków.