Koniec sierpnia ma w sobie coś z nagłego przebudzenia.

Z jednej strony jeszcze żyjemy wspomnieniem urlopu, a z drugiej – w głowie pojawia się już lista rzeczy do zrobienia przed 1 września.

W szkołach, przedszkolach i innych placówkach edukacyjnych zaczyna się wtedy prawdziwy wyścig z czasem. Sale trzeba przygotować, grupy podzielić, dzienniki uruchomić, dokumenty uporządkować…

I gdzieś pomiędzy tym wszystkim pojawia się temat, na który część osób reaguje charakterystycznym spojrzeniem w sufit:

RODO.

Zanim więc uznasz, że „tym zajmiemy się we wrześniu”, warto poświęcić kilka minut na cztery rzeczy, które dobrze sprawdzić jeszcze przed powrotem dzieci i uczniów do ławek.

1. Zdjęcia z akademii – czyli klasyczna pułapka na start

Pierwszy apel, uśmiechnięte twarze, poczet sztandarowy, kwiaty, dyrektor z mikrofonem… 📸

Zdjęcie gotowe. Teraz tylko wrzucić je na Facebooka.

I właśnie tutaj warto na chwilę się zatrzymać.

Jeżeli placówka planuje publikować zdjęcia, na których można rozpoznać konkretne osoby, trzeba wcześniej zadbać o odpowiednią podstawę prawną i spełnienie wymogów dotyczących publikacji wizerunku.

Samo:

„Przecież rodzice wiedzą, że szkoła wrzuca zdjęcia na Facebooka”

to trochę za mało.

Warto jasno określić gdzie, w jakim celu i na jakich zasadach wizerunek może być publikowany. Szczególnie jeśli zdjęcia mają trafić nie tylko na stronę internetową szkoły, ale również do mediów społecznościowych czy lokalnych publikacji.

Krótko mówiąc: zanim klikniesz „Opublikuj”, sprawdź, czy wszystko jest przygotowane tak, jak powinno.

2. Nowi ludzie na pokładzie? Sprawdź upoważnienia

Nowy nauczyciel? Nowa osoba w sekretariacie? Pracownik techniczny?

Zanim ktoś otrzyma dostęp do dziennika elektronicznego, dokumentacji uczniów czy innych systemów zawierających dane osobowe, warto upewnić się, że ma odpowiednie upoważnienie do przetwarzania danych i został zapoznany z obowiązującymi zasadami bezpieczeństwa.

I tutaj ważne rozróżnienie:

upoważnienie nie jest podstawą prawną przetwarzania danych.

Jest natomiast sposobem formalnego określenia, kto w ramach swoich obowiązków może mieć dostęp do konkretnych danych.

Czyli kolejny punkt do sprawdzenia przed 1 września – bez odkładania go na „później”.

3. Alergie, leki i zdrowie – tutaj minimalizm naprawdę ma znaczenie

Zielona szkoła, wycieczka, obóz albo zwykłe funkcjonowanie w placówce.

Informacje o alergiach, przyjmowanych lekach czy stanie zdrowia dziecka mogą należeć do szczególnych kategorii danych osobowych. Dlatego trzeba obchodzić się z nimi szczególnie ostrożnie.

Nie oznacza to oczywiście, że wychowawca ma nie wiedzieć o poważnej alergii ucznia.

Wręcz przeciwnie – odpowiednie osoby powinny mieć dostęp do informacji, które są im potrzebne do zapewnienia dziecku bezpieczeństwa.

Ale już kartka z informacją:

„UWAGA! JASIEK – ALERGIA NA ORZESZKI”

przyklejona w miejscu, gdzie może ją przeczytać pół szkoły, zdecydowanie nie jest najlepszym pomysłem.

Zasada jest prosta:

tylko tyle danych, ile naprawdę potrzeba, i tylko dla osób, które naprawdę ich potrzebują.

4. Dziennik elektroniczny – „123456” nadal nie jest dobrym hasłem

Wakacje się skończyły, więc czas obudzić również cyfrową czujność. 🔐

Przed rozpoczęciem roku szkolnego warto przypomnieć pracownikom kilka podstawowych zasad:

• zmieniamy stare lub tymczasowe hasła,
• stosujemy odpowiednio silne i unikalne hasła,
• nie zapisujemy danych logowania na karteczkach przyklejonych do monitora,
• nie udostępniamy swoich kont innym osobom,
• wylogowujemy się z systemów, szczególnie korzystając ze wspólnych komputerów.

Bo jeśli hasło znajduje się na żółtej karteczce przyklejonej do monitora, to technicznie rzecz biorąc nie jest już hasłem.

Jest instrukcją obsługi. 😉

Mniej biurokracji, więcej spokoju

RODO w szkole nie musi oznaczać stosu dokumentów, skomplikowanych procedur i poczucia, że każdy podpis wymaga kolejnego podpisu.

Chodzi przede wszystkim o rozsądne zasady, odpowiednie zabezpieczenia i świadome obchodzenie się z danymi osobowymi.

A początek roku szkolnego to dobry moment, żeby sprawdzić, czy wszystko rzeczywiście działa tak, jak powinno.

Jeżeli nie macie pewności, czy dokumentacja, procedury i zabezpieczenia w Waszej placówce są przygotowane prawidłowo – warto sprawdzić to zanim pojawi się problem, a nie dopiero wtedy, gdy ktoś zacznie zadawać pytania.

Bo nowy rok szkolny lepiej zacząć od przygotowanej szkoły, a nie od gaszenia pożarów. 🔥

Powodzenia w nowym roku szkolnym! 🎒

Okres urlopowy oraz podróże służbowe sprzyjają dzieleniu się emocjami w mediach społecznościowych. Jednym z najczęstszych nawyków – dostrzegalnym zarówno u młodszych użytkowników, jak i dorosłych – jest publikowanie zdjęć kart pokładowych (boarding pass), paszportów oraz dowodów osobistych.

Choć intencją autorki bądź autora posta jest jedynie poinformowanie sieci kontaktów o wyjeździe, z punktu widzenia ochrony danych osobowych (RODO) oraz cyberbezpieczeństwa jest to działanie stanowiące wysokie ryzyko. Wektory zagrożeń wynikające z nieprzemyślanej publikacji dokumentów tożsamości i biletów są znacznie poważniejsze, niż powszechnie się uważa.

Jakie dane ujawniasz na zdjęciu dokumentu lub biletu?

Większość użytkowników błędnie zakłada, że zasłonięcie imienia i nazwiska na karcie pokładowej całkowicie neutralizuje ryzyko. To groźny mit.

1. Kod kreskowy i kod QR (Kopalnia danych PII)

Na każdej karcie pokładowej znajduje się kod dwuwymiarowy (QR) lub jednowymiarowy kod kreskowy (zgodny ze standardem IATA Bar Coded Boarding Pass – BCBP). Służą one do automatycznej odprawy na lotnisku i zawierają niezaszyfrowane dane:

• Pełne dane osobowe pasażera,
• Numer PNR (Passenger Name Record) – unikalny kod rezerwacji w systemie dystrybucyjnym (GDS),
• Numer biletu elektronicznego (e-ticket number),
• Numer programu lojalnościowego (często powiązany z punktami/milami i danymi płatniczymi),
• Dane kontaktowe (adres e-mail, numer telefonu podane przy rezerwacji).

Dostępne bezpłatnie w sieci narzędzia oraz aplikacje mobilne pozwalają odczytać i zdekodować zawartość takiego kodu ze zdjęcia w ułamku sekundy – nawet przy niskiej rozdzielczości fotografii.

2. Strefa MRZ oraz numer PESEL

W przypadku dowodów osobistych i paszportów kluczowa jest tzw. strefa MRZ (Machine Readable Zone) – dwa lub trzy wiersze cyfr i liter na dole dokumentu. Zawiera ona m.in. numer dokumentu, datę ważności, datę urodzenia oraz PESEL. W połączeniu ze zdjęciem twarzy z selfie, przestępca uzyskuje pełny zestaw danych wrażliwych wymagany do przejęcia tożsamości.

Potencjalne scenariusze nadużyć i cyberatrakcji

Udostępnienie danych z dokumentów podróżnych otwiera przestępcom drogę do kilku konkretnych typów ataków:

🔴 Nieuprawniony dostęp do rezerwacji (Inżynieria społeczna i nieuprawniona modyfikacja)

Dysponując jedynie nazwiskiem i kodem PNR z kodu QR, dowolna osoba może zalogować się do panelu zarządzania rezerwacją na stronie linii lotniczej. Konsekwencje mogą obejmować:

• Modyfikację danych podróżnych: zmianę przydzielonych miejsc, anulowanie usług dodatkowych.
• Odwołanie lub zmianę lotu: zmiana daty wylotu lub całkowite anulowanie rezerwacji.
• Przejęcie konta lojalnościowego: wytransferowanie zgromadzonych mil lotniczych lub zmiana danych dostępowych.

🔴 Kradzież tożsamości (Identity Theft)

Zbiór danych z dowodu osobistego lub paszportu umożliwia:

• Zaciągnięcie zobowiązań finansowych w instytucjach pozabankowych (tzw. szybkie pożyczki/chwilówki),
• Założenie rachunku bankowego („na słupa”) wykorzystywanego do prania pieniędzy lub oszustw (np. metodą „na BLIK”),
• Zakup kart SIM na skradzione dane w celu prowadzenia nielegalnej działalności.

🔴 Rekonesans pod kątem kradzieży z włamaniem (OSINT)

Publikowanie karty pokładowej z dokładną datą i godziną wylotu to klasyczny błąd z zakresu bezpieczeństwa fizycznego. Przestępcy wykorzystujący biały wywiad (OSINT) otrzymują precyzyjną informację o czasie nieobecności domowników pod adresem zamieszkania.

Udostępnianie danych a RODO: Wyjątek osobisty i jego granice

Ogólne Rozporządzenie o Ochronie Danych (RODO / GDPR) nakłada na podmioty gospodarcze surowe wymogi dotyczące przetwarzania danych osobowych. Należy jednak pamiętać o prawnym aspekcie samoistnego publikowania danych:

Wyjątek o charakterze osobistym lub domowym (Art. 2 ust. 2 lit. c RODO):

Przepisy RODO nie mają zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności o charakterze wyłącznie osobistym lub domowym.

Co to oznacza w praktyce?

Jeśli użytkownik dobrowolnie opublikuje własne dane osobowe na publicznym profilu w mediach społecznościowych, nie dochodzi do naruszenia RODO przez platformę czy osoby trzecie przeglądające post. Odpowiedzialność za wyciek ponosi sam właściciel danych.

W momencie jednak, gdy osoba trzecia wykorzysta te dane do celów przestępczych, wkraczamy w sferę Kodeksu karnego (m.in. art. 190a § 2 KK – podszywanie się pod inną osobę w celu wyrządzenia jej szkody majątkowej lub osobistej). Proces dowodowy i odkręcanie skutków takiego czynu bywają jednak wyjątkowo długotrwałe.

Standardy higieny cyfrowej (Cyberygiene) – Jak postępować?

Aby skutecznie chronić prywatność i dane osobowe, warto wdrożyć następujące zasady:

• Zasada minimalizacji danych: Rezygnacja z fotografowania dokumentów tożsamości i biletów. Lepszą alternatywą są zdjęcia estetyczne (widok z okna, bagaż, architektura lotniska).
• Skuteczna anonimizacja: Jeśli publikacja karty jest konieczna, obowiązkowo należy zasłonić (nieprzezroczystym, jednolitym kryciem) dane tekstowe oraz w całości kod QR/kreskowy.
• Opóźnienie publikacji (Relock): Publikowanie materiałów z podróży po powrocie do miejsca zamieszkania ogranicza ryzyko włamania.
• Restrykcja widoczności: Ograniczenie widoczności postów wyłącznie do zweryfikowanego kręgu znajomych na platformach społecznościowych.

Podsumowanie

Karty pokładowe i dokumenty tożsamości to nośniki cyfrowych poświadczeń dostępowych. Ich bezrefleksyjna publikacja w sieci stanowi poważne naruszenie zasad higieny cyfrowej. Edukacja w tym zakresie – zarówno w środowisku firmowym, jak i prywatnym – jest kluczowym elementem budowania świadomości na temat ochrony danych osobowych.

Lepiej zapobiegać niż gasić pożary. Czym jest Threat Modeling i dlaczego prawo „wymusza” go na biznesie?

Kiedy budujesz dom, nie myślisz tylko o kolorze ścian czy wygodnej kanapie. Zastanawiasz się, czy zamki w drzwiach są solidne, czy ogrodzenie powstrzyma nieproszonych gości i czy instalacja elektryczna nie doprowadzi do spięcia.

W świecie tworzenia oprogramowania i usług SaaS (Software as a Service) jest dokładnie tak samo. Nie wystarczy, że aplikacja działa szybko i ładnie wygląda. Musimy wiedzieć, jak może zostać zaatakowana, zanim jeszcze haker w ogóle o tym pomyśli. Narzędziem, które nam w tym pomaga, jest Threat Modeling, czyli Modelowanie Zagrożeń.

Choć brzmi to skomplikowanie i technologicznie, w rzeczywistości opiera się na genialnie prostych zasadach. Zobaczmy, dlaczego to absolutny fundament nowoczesnego biznesu IT.

📌 Czym jest Threat Modeling?

Modelowanie zagrożeń to nic innego jak zorganizowana burza mózgów, podczas której programiści, architekci systemowi i eksperci od bezpieczeństwa wcielają się w rolę detektywów (lub… hakerów). Zamiast czekać, aż aplikacja powstanie i ktoś znajdzie w niej błąd, zadajemy sobie cztery fundamentalne pytania na bardzo wczesnym etapie projektowania:

1. Nad czym właściwie pracujemy? (mapujemy całą aplikację: skąd przychodzą dane, gdzie są zapisywane, kto ma do nich dostęp).
2. Co może pójść nie tak? (szukamy słabych punktów – co jeśli padnie serwer? Co jeśli ktoś wpisze złośliwy kod w formularzu rejestracji?).
3. Co zamierzamy z tym zrobić? (projektujemy zabezpieczenia: wprowadzamy szyfrowanie, dodatkowe weryfikacje, limity prób logowania).
4. Czy wykonaliśmy dobrą robotę? (testujemy nasze rozwiązania i wyciągamy wnioski na przyszłość).

Dzięki temu eliminujemy luki bezpieczeństwa „na papierze”, zanim linijka kodu w ogóle trafi do bazy danych. To ogromna oszczędność czasu i pieniędzy.

📌 Dlaczego przepisy cały czas się zmieniają?

Jeśli prowadzisz firmę, na pewno zauważyłeś, że prawo w obszarze cyberbezpieczeństwa i technologii zmienia się w zawrotnym tempie. Dyrektywy unijne (takie jak RODO/GDPR, a ostatnio m.in. NIS 2 czy DORA) stawiają przed dostawcami aplikacji oraz usług SaaS coraz wyższe wymagania.

Dlaczego przepisy stają się coraz surowsze?

• Żyjemy w chmurze: dzisiejsze firmy nie trzymają danych na serwerze pod biurkiem prezesa. Wszystko działa w modelu SaaS. Jeden wyciek z popularnego narzędzia biznesowego może sparaliżować tysiące firm na całym świecie.
• Hakerzy też mają budżety: cyberprzestępczość to dziś świetnie prosperujący biznes. Ataki są zautomatyzowane i niezwykle sprytne. Prawo musi gonić technologię, by chronić zwykłych użytkowników.
• Odpowiedzialność karna i finansowe kary: dawniej wyciek danych kończył się przeprosinami mailowymi. Dzisiaj to gigantyczne kary finansowe (liczone w milionach euro) oraz osobista odpowiedzialność zarządu firmy za zaniedbania.

W świetle nowych przepisów bezpieczeństwo nie jest już opcjonalnym „dodatkiem”, na który można machnąć ręką. Staje się prawnym obowiązkiem każdego, kto dostarcza usługi cyfrowe.

📊 Podsumowanie

Modelowanie zagrożeń to cyfrowa polisa ubezpieczeniowa. Przepisy prawne będą coraz bardziej rygorystyczne, ale dla firm, które traktują bezpieczeństwo poważnie, nie jest to powód do strachu, lecz standard, który buduje przewagę konkurencyjną. Kiedy klient korzysta z naszego systemu SaaS, powierza nam serce swojej firmy, czyli dane. Dlatego – świat się zmienia, metody ataków ewoluują, przepisy się zaostrzają, a my musimy być zawsze o krok przed zagrożeniem.

Od lat pomagamy Inspektorom Ochrony Danych Osobowych, administratorom i zespołom w firmach prowadzić dokumentację RODO w jednym miejscu — przejrzyście, bezpiecznie i zgodnie z przepisami. Dziś chcemy podzielić się z Wami ważną informacją: pracujemy nad nową wersją RODO Online.

To nie jest kolejna kosmetyczna poprawka. To przemyślana modernizacja całego serwisu — od sposobu, w jaki poruszasz się po panelu, po to, jak szybko znajdziesz potrzebne informacje i wykonasz codzienne zadania. Chcemy, żeby RODO Online był nie tylko narzędziem zgodnym z przepisami, ale przede wszystkim wygodnym partnerem w pracy, który oszczędza czas i redukuje frustrację.

Dlaczego teraz?

Świat ochrony danych osobowych nie stoi w miejscu. Rosną oczekiwania organów nadzorczych, pojawiają się nowe interpretacje przepisów, a organizacje coraz częściej oczekują od narzędzi IT tego, czego przyzwyczailiśmy się do codziennych aplikacji — przejrzystości, szybkości i intuicyjności.

Przez lata RODO Online zyskał zaufanie wielu firm i instytucji. Słuchaliśmy Waszych opinii, obserwowaliśmy, jak pracujecie z systemem na co dzień, i zebraliśmy setki drobnych uwag, które razem tworzą jasny obraz: serwis ma robić to, co zawsze robił — tylko jeszcze efektywniej.

Nowa wersja to odpowiedź na realne potrzeby użytkowników, a nie zmiana dla samej zmiany.

Co się zmieni z perspektywy użytkownika?

Świeży, przejrzysty wygląd – pierwsze wrażenie ma znaczenie — także w pracy z dokumentacją RODO. Odświeżamy interfejs tak, aby był lżejszy wizualnie, bardziej czytelny i spójny w całym serwisie. Większy kontrast, lepsze rozmieszczenie elementów, czytelniejsze tabele i formularze — wszystko po to, żeby po zalogowaniu od razu wiedzieć, gdzie jesteś i co możesz zrobić. Nie chodzi o modę. Chodzi o to, żeby po godzinie pracy z rejestrami, uprawnieniami czy wnioskami osób, których dane dotyczą, oczy nie męczyły się, a kluczowe informacje były widoczne od pierwszego spojrzenia.

Intuicyjna nawigacja – w nowej wersji upraszczamy strukturę i logiczne powiązania między modułami. Chcemy skrócić drogę od pytania „co muszę zrobić?” do „zrobione”. Mniej kliknięć, mniej przełączania między zakładkami, więcej sensownie poukładanych ekranów.

Szybsza i wygodniejsza praca – czas Inspektora Ochrony Danych jest cenny. Każda minuta spędzona na szukaniu opcji w menu to minuta, której nie poświęcisz analizie ryzyka, audytowi czy konsultacji z zarządem.

W nowej wersji skupiamy się na:

• sprawniejszym wyszukiwaniu danych,
• czytelniejszych podglądach,
• prostszym wypełnianiu formularzy.
• wygodniejszej pracy na różnych urządzeniach.

RODO Online to nie tylko narzędzie dla IOD. Z niego korzystają administratorzy danych, pracownicy zgłaszający incydenty, osoby realizujące szkolenia czy obieg dokumentów. Dla każdej z tych ról przygotowujemy bardziej zrozumiałe ekrany, z językiem i układem dopasowanym do zakresu uprawnień.

Większa pewność i spokój w pracy

Nowy wygląd i lepsza nawigacja to nie wszystko. Równolegle wzmacniamy stabilność i bezpieczeństwo serwisu — bo wiemy, że powierzacie nam dane i dokumentację, od której zależy zgodność z RODO.

Nowa wersja będzie szybsza, bardziej niezawodna i przygotowana na dalszy rozwój — nowe moduły, integracje i wymagania prawne, które nieuchronnie nadchodzą.

Co pozostaje bez zmian?

To ważne: modernizujemy sposób pracy z systemem, nie jego sens.

• Wasze dane, rejestry, dokumenty i historia działań zostają.
• Logika zgodna z RODO i sprawdzona w praktyce zostaje.
• Zespół wsparcia technicznego, materiały szkoleniowe i kontakt z nami — zostają.

RODO Online nadal będzie kompleksowym narzędziem do prowadzenia dokumentacji ochrony danych osobowych — od rejestrów czynności przetwarzania, przez zarządzanie uprawnieniami i incydentami, po obsługę praw osób, szkolenia i raporty.

Dla obecnych użytkowników oznacza to płynne przejście — bez utraty danych i bez konieczności budowania dokumentacji od nowa.

Jak powstaje nowa wersja?

Pracujemy etapami. Najpierw fundamenty — to, czego nie widać na pierwszy rzut oka, ale co decyduje o szybkości, bezpieczeństwie i możliwościach rozwoju. Potem moduły.

Na każdym etapie testujemy rozwiązania z myślą o realnych scenariuszach — nie o abstrakcyjnych użytkownikach, ale o Inspektorze przygotowującym się do kontroli, administratorze aktualizującym uprawnienia po zmianach organizacyjnych czy pracowniku składającym pierwsze zgłoszenie incydentu.

Co dalej?

Nowa wersja RODO Online to inwestycja w wygodę, przejrzystość i efektywność — trzy rzeczy, które w codziennej pracy z RODO mają równie duże znaczenie jak sama zgodność z przepisami.

Będziemy informować o postępach prac na naszym blogu i w kanałach społecznościowych. RODO to wyzwanie, które nie znika. My chcemy, żeby narzędzie do jego realizacji było tak dobre, jak to tylko możliwe.

Dziękujemy za zaufanie — i do zobaczenia w nowym RODO Online.

Sztuczna inteligencja wchodzi do firm szybciej niż procedury, polityki prywatności i audyty. I właśnie dlatego temat RODO + AI jest dziś tak „klikalny” — bo dotyczy nie tylko prawników i IOD, ale też marketingu, HR, e-commerce i zwykłych użytkowników.

Dlaczego ten temat jest teraz ważny

AI nie działa w próżni. Jeśli system przetwarza dane osobowe, to RODO nadal ma zastosowanie, a samo użycie „inteligentnego narzędzia” nie zwalnia z obowiązków administratora. W praktyce oznacza to, że firma musi wiedzieć, jakie dane zbiera, po co je przetwarza, na jakiej podstawie prawnej i kto ma do nich dostęp.
Dla czytelnika bez prawniczego przygotowania najprostszy przekaz brzmi tak: AI może pomagać, ale nie może robić z danych „wolnej amerykanki”.

Co RODO wymaga przy AI

Najważniejsze zasady są bardzo praktyczne: legalność, przejrzystość, minimalizacja danych, ograniczenie celu, bezpieczeństwo i rozliczalność. Jeśli firma używa AI do analizy CV, obsługi klienta, profilowania użytkowników albo generowania rekomendacji, musi umieć wyjaśnić, dlaczego takie przetwarzanie jest legalne i jak chroni dane.
Ważny jest też privacy by design i privacy by default — czyli projektowanie systemu tak, by od początku zbierał możliwie mało danych i tylko tyle, ile naprawdę trzeba.

Najczęstsze błędy firm

Najczęściej problem zaczyna się od tego, że ktoś wdraża narzędzie AI „do testu”, a potem zostaje ono na stałe w procesach, bez aktualizacji polityki prywatności i bez analizy ryzyka. Drugi częsty błąd to wklejanie do zewnętrznego narzędzia treści zawierających dane osobowe bez sprawdzenia, kto jest dostawcą, gdzie są serwery i czy dane trafiają poza organizację.
Trzeci problem to automatyzacja decyzji bez odpowiednich zabezpieczeń, zwłaszcza tam, gdzie wynik może istotnie wpływać na człowieka, np. w rekrutacji, ocenie wiarygodności czy obsłudze reklamacji.

Kiedy trzeba zrobić DPIA

Ocena skutków dla ochrony danych, czyli DPIA, jest szczególnie ważna tam, gdzie AI służy do profilowania, podejmowania zautomatyzowanych decyzji, przetwarzania danych wrażliwych albo działania na dużą skalę. W praktyce warto ją rozważyć także wtedy, gdy wdrożenie AI zmienia sposób podejmowania decyzji o ludziach albo zwiększa zakres analizy danych osobowych.
Dla zwykłego czytelnika można to ująć prosto: jeśli system AI zaczyna „decydować za człowieka” albo mocno wpływa na jego sytuację, firma powinna zatrzymać się i sprawdzić ryzyko.

RODO a AI Act

RODO i AI Act to nie to samo, ale działają równolegle. AI Act porządkuje zasady korzystania ze sztucznej inteligencji, ale nie zastępuje RODO, gdy w grę wchodzą dane osobowe.
To ważne, bo wiele firm mylnie zakłada, że „jak jest AI Act, to temat prywatności jest załatwiony”. Nie jest — jeśli przetwarzasz dane osobowe, nadal musisz mieć podstawę prawną, przejrzystość i odpowiednie zabezpieczenia.

Co warto zrobić już teraz

Najlepszy, praktyczny zestaw działań wygląda tak:

• Spisz wszystkie narzędzia AI używane w firmie i ustal, jakie dane przetwarzają.
• Sprawdź podstawę prawną dla każdego procesu.
• Zaktualizuj politykę prywatności i komunikaty dla użytkowników.
• Oceń, czy potrzebna jest DPIA.
• Ustal zasady dla pracowników: czego nie wolno wklejać do modeli AI.

Wnioski

AI nie jest problemem samym w sobie. Problem zaczyna się wtedy, gdy firma wdraża ją szybciej niż potrafi opisać, zabezpieczyć i rozliczyć przetwarzanie danych osobowych. Dlatego najbezpieczniejsze podejście do RODO + AI jest proste: mniej danych, więcej kontroli i pełna przejrzystość.

Kontrola ze strony Urzędu Ochrony Danych Osobowych (UODO) to sytuacja, która może spotkać każdą firmę przetwarzającą dane osobowe – niezależnie od jej wielkości. Choć myśl o niej może być stresująca, odpowiednie przygotowanie sprawi, że proces przebiegnie sprawnie, a ryzyko nałożenia kary zostanie zminimalizowane. W tym artykule wyjaśniamy, co sprawdza UODO, jak wygląda kontrola i jak się do niej przygotować.

Kiedy może dojść do kontroli UODO?

UODO może przeprowadzić kontrolę:

• Na skutek skargi osoby fizycznej (np. klienta, byłego pracownika)
• Z urzędu – w ramach działań prewencyjnych
• W związku z podejrzeniem naruszenia przepisów RODO
• W następstwie zgłoszenia naruszenia ochrony danych przez firmę

Jak wygląda kontrola krok po kroku?

1. Zawiadomienie o kontroli
   W większości przypadków kontrola jest zapowiedziana – firma otrzymuje pisemne zawiadomienie, zwykle z 7-dniowym wyprzedzeniem.
   Wyjątek: UODO może również przeprowadzić kontrolę bez zapowiedzi, jeśli istnieje podejrzenie poważnego naruszenia.
2. Przyjazd inspektorów
   Kontrolerzy UODO identyfikują się legitymacją służbową i upoważnieniem. Sprawdzają dokumentację, systemy informatyczne oraz przeprowadzają rozmowy z personelem.
3. Zakres kontroli
   UODO może zbadać m.in.:
   • Czy firma posiada odpowiednie podstawy prawne przetwarzania danych
   • Jak realizowane są prawa osób, których dane dotyczą
   • Czy firma wdrożyła środki organizacyjne i techniczne zabezpieczające dane
   • Jak prowadzony jest rejestr czynności przetwarzania
   • Czy właściwie reaguje się na incydenty
4. Protokół i zalecenia
   Po kontroli UODO sporządza protokół i może zalecić wprowadzenie zmian lub nałożyć sankcje.

Jak przygotować się do kontroli UODO?

1. Uzupełnij i uporządkuj dokumentację RODO

• Polityka ochrony danych osobowych
• Rejestr czynności przetwarzania danych i/lub rejestr kategorii czynności
• Zgody na przetwarzanie danych – przechowywane w sposób umożliwiający udowodnienie ich uzyskania
• Umowy powierzenia przetwarzania danych (np. z firmami hostingowymi, biurem księgowym)
• Oceny ryzyka i analizy DPIA (ocena skutków dla ochrony danych)
• Procedury reagowania na incydenty i naruszenia

2. Zweryfikuj zgodność praktyki z dokumentacją

Dokumenty to jedno, ale kontrolerzy sprawdzają też realne działania w firmie – np. czy dane są właściwie zabezpieczone, czy pracownicy przestrzegają procedur itd.

3. Zadbaj o zabezpieczenia techniczne i organizacyjne

• Hasła, szyfrowanie, dostęp ograniczony do wybranych osób
• Aktualne oprogramowanie
• Szkolenia dla pracowników w zakresie ochrony danych osobowych

4. Przygotuj zespół na kontakt z kontrolerami

• Wskaż osoby odpowiedzialne za kontakty z UODO
• Upewnij się, że wiedzą, gdzie znajdują się wymagane dokumenty
• Przeszkol ich, jak odpowiadać na pytania – zwięźle, zgodnie z prawdą, bez spekulacji

5. Regularnie przeprowadzaj audyty wewnętrzne

Dobrą praktyką jest cykliczne sprawdzanie zgodności z RODO wewnątrz firmy. Pozwala to na wykrycie i usunięcie nieprawidłowości zanim zrobi to UODO.

Co grozi za nieprawidłowości?

UODO może nałożyć:

• Zalecenia naprawcze (np. dostosowanie procedur)
• Ostrzeżenie
• Czasowy zakaz przetwarzania danych
• Administracyjne kary pieniężne – nawet do 20 mln euro lub 4% rocznego obrotu (dla dużych firm)

W praktyce kary dla MŚP są niższe, ale nadal mogą być dotkliwe – od kilku do kilkuset tysięcy złotych.

Kontrola UODO nie musi być powodem do paniki – jeśli Twoja firma rzeczywiście stosuje zasady RODO w praktyce, ma uporządkowaną dokumentację i odpowiednio przeszkolony personel, nie masz się czego obawiać. Jeżeli Twoja firma chce zaoszczędzić czas i pieniądze może skorzystać z outsourcingu Inspektora Ochrony Danych Osobowych. Specjaliści firmy GRUPA ELKA mogą zadbać o wszystkie kwestie związane z ochroną danych w Twojej firmie.

Jakie dane zbierają o Tobie aplikacje mobilne i jak chronić swoją prywatność?

Współczesny świat opiera się na technologiach mobilnych. Codziennie korzystamy z dziesiątek aplikacji: do komunikacji, zakupów, bankowości, zamawiania jedzenia czy monitorowania zdrowia. Wygoda, jaką oferują, jest ogromna, jednak rzadko zastanawiamy się nad ceną, jaką za nią płacimy.

Instalując nową aplikację, często nieświadomie oddajemy dostęp do ogromnych zasobów informacji. Wiele z nich to dane osobowe w rozumieniu RODO, a ich niekontrolowane udostępnianie może prowadzić do poważnych naruszeń prywatności.

Co widzi Twój smartfon? Zakres zbieranych danych

Aplikacje mobilne potrafią gromadzić zaskakująco szczegółowe informacje:

• Dane podstawowe: imię, nazwisko, adres e-mail, numer telefonu.
• Dane techniczne: adres IP, model urządzenia, unikalny identyfikator reklamowy.
• Dane wrażliwe i behawioralne: lokalizacja GPS (często w czasie rzeczywistym), lista kontaktów, treść wiadomości, dane biometryczne (odciski palców, skan twarzy) oraz sposób, w jaki poruszamy się po menu aplikacji.

Problem nadmiarowości: Często aplikacje proszą o uprawnienia, które nie są im niezbędne do działania. Czy latarka naprawdę potrzebuje Twojej lokalizacji, a edytor zdjęć dostępu do mikrofonu? Akceptowanie wszystkich zgód „bez patrzenia” to najprostsza droga do utraty kontroli nad własnym cyfrowym śladem.

RODO a świat aplikacji mobilnych

Zgodnie z unijnym rozporządzeniem RODO, przetwarzanie danych przez aplikacje musi opierać się na konkretnych zasadach:

1. Obowiązek informacyjny: użytkownik musi wiedzieć, kto jest administratorem danych, w jakim celu są zbierane i komu przekazywane.
2. Dobrowolna zgoda: zgoda musi być świadoma i jednoznaczna. Co ważne – użytkownik musi mieć możliwość jej wycofania w dowolnym momencie bez negatywnych konsekwencji.
3. Minimalizacja danych: twórcy aplikacji powinni zbierać tylko te informacje, które są realnie niezbędne do świadczenia danej usługi.

Niestety, nie każda firma przestrzega tych wytycznych. Dane są często traktowane jako „waluta”, służąca do tworzenia profili marketingowych lub sprzedaży podmiotom trzecim.

Jak skutecznie chronić swoje dane? 5 kroków do bezpieczeństwa

Nie musisz rezygnować z technologii, by być bezpiecznym. Wystarczy wdrożyć kilka nawyków:

1. Zarządzaj uprawnieniami

W systemach Android i iOS możesz w każdej chwili sprawdzić, do czego mają dostęp Twoje aplikacje. Wyłącz dostęp do lokalizacji, kamery czy mikrofonu tam, gdzie nie jest to konieczne.

2. Czytaj (choćby pobieżnie) polityki prywatności

Sprawdź kluczowe punkty: czy aplikacja udostępnia dane partnerom reklamowym i jak długo je przechowuje.

3. Wybieraj alternatywy dbające o prywatność

Korzystaj z przeglądarek blokujących śledzenie, komunikatorów z szyfrowaniem end-to-end (np. Signal) oraz usług pocztowych, które nie analizują Twoich wiadomości w celach reklamowych.

4. Korzystaj ze swoich praw

Masz prawo dostępu do swoich danych, ich sprostowania, a także „prawo do bycia zapomnianym” (usunięcia danych). Jeśli administrator ignoruje Twoje prośby, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

5. Zachowaj czujność przy instalacji

Zadaj sobie pytanie: czy ta gra/narzędzie naprawdę potrzebuje dostępu do mojej listy kontaktów? Jeśli masz wątpliwości – odmów dostępu lub poszukaj innej aplikacji.

Podsumowanie

W świecie aplikacji mobilnych ochrona prywatności nie jest opcją – to konieczność. Twoje dane są wykorzystywane do budowania profilów kredytowych, ubezpieczeniowych czy zakupowych. Świadome zarządzanie zgodami to Twoja najlepsza tarcza.

Profesjonalne wsparcie dla biznesu

Jeśli prowadzisz firmę i tworzysz własne rozwiązania mobilne lub korzystasz z nich w pracy, musisz zadbać o pełną zgodność z przepisami. Specjaliści GRUPA ELKA świadczą profesjonalne doradztwo w zakresie ochrony danych osobowych oraz oferują outsourcing Inspektora Ochrony Danych (IOD). Pomagamy chronić Twoich klientów i Twój biznes, oszczędzając Państwa czas i pieniądze.

Branża nieruchomości przetwarza ogromne ilości danych osobowych. Od zapytań ofertowych i negocjacji, po podpisywanie umów i ich realizację – informacje o najemcach oraz właścicielach krążą między agentami, zarządcami, notariuszami, księgowymi czy firmami ochroniarskimi.

W dobie cyfryzacji ochrona danych osobowych stała się nie tylko wymogiem prawnym, ale przede wszystkim fundamentem zaufania klientów. W poniższym artykule wyjaśniamy obowiązki nakładane przez RODO, wskazujemy najczęstsze błędy oraz podpowiadamy, jak wdrożyć bezpieczne praktyki.

Jakie dane są przetwarzane w branży nieruchomości?

W zależności od charakteru działalności (sprzedaż, najem, zarządzanie), zakres przetwarzanych danych może obejmować:

• Dane identyfikacyjne: imię i nazwisko, PESEL, dane z dokumentów tożsamości.
• Dane kontaktowe: e-mail, numer telefonu.
• Informacje o nieruchomościach: adres zamieszkania oraz adresy obiektów.
• Dane finansowe: numery rachunków bankowych, potwierdzenia dochodów, zdolność kredytowa.
• Dane z umów: szczegóły dotyczące najmu, sprzedaży czy dostawy mediów.
• Dane technologiczne: nagrania z monitoringu, systemy kontroli dostępu (karty, kody).

Niewłaściwe przetwarzanie tych informacji grozi nie tylko wysokimi karami finansowymi, ale również nieodwracalną utratą reputacji.

Podstawy prawne przetwarzania danych

Zgodnie z art. 6 RODO, dane osobowe mogą być przetwarzane wyłącznie w oparciu o konkretną podstawę prawną. W sektorze nieruchomości są to najczęściej:

1. Umowa – niezbędna do realizacji najmu, zarządzania czy pośrednictwa.
2. Obowiązek prawny – np. rozliczenia podatkowe, zgłoszenie najmu do urzędu skarbowego czy przechowywanie dokumentacji księgowej.
3. Zgoda osoby, której dane dotyczą – np. w celach marketingowych lub przy wysyłce newslettera.
4. Prawnie uzasadniony interes administratora – np. dochodzenie roszczeń lub monitoring bezpieczeństwa (wymaga przeprowadzenia tzw. testu równowagi).

Kluczowe zasady ochrony danych w praktyce

Aby zachować zgodność z przepisami, należy kierować się trzema filarami:

1. Minimalizacja danych

Zbieraj tylko to, co jest niezbędne. Jeśli do weryfikacji najemcy wystarczy wgląd w dokument, nie należy go kserować ani skanować bez wyraźnej podstawy prawnej.

2. Przejrzystość i obowiązek informacyjny

Każdy klient musi wiedzieć, kto zarządza jego danymi, w jakim celu i jak długo będą one przechowywane. Takie informacje powinny znaleźć się w przejrzystej klauzuli informacyjnej.

3. Bezpieczeństwo techniczne

Dane muszą być chronione przed kradzieżą i przypadkowym wyciekiem.

• Stosuj sprawdzone systemy CRM i szyfrowane chmury.
• Wprowadź autoryzację dwuetapową (2FA).
• Regularnie niszcz dokumenty papierowe po upływie okresu ich retencji.

Najczęstsze błędy i pułapki

• Udostępnianie danych osobom nieuprawnionym: przekazanie numeru telefonu najemcy ekipie remontowej bez jego wiedzy i zgody jest naruszeniem przepisów.
• Brak retencji danych: przechowywanie dokumentów „na wszelki wypadek” przez wiele lat po wygaśnięciu umowy jest niezgodne z zasadą ograniczenia przechowywania.
• Bezprawne kopiowanie dowodów osobistych: skanowanie dokumentów tożsamości „na wejściu” jest często kwestionowane przez organ nadzorczy (PUODO). Dopuszczalne jest to głównie w sytuacjach wynikających z ustawy o przeciwdziałaniu praniu pieniędzy (AML).

Monitoring wizyjny a RODO

Monitoring to standard w nowoczesnych budynkach, ale wymaga ścisłych reguł:

• Oznakowanie: teren musi być czytelnie oznaczony tabliczkami.
• Prywatność: kamery nie mogą zaglądać do okien ani na prywatne balkony mieszkańców.
• Okres przechowywania: nagrania powinny być nadpisywane, zazwyczaj po upływie maksymalnie 3 miesięcy.

Umowy powierzenia danych – kiedy są niezbędne?

Jeśli korzystasz z usług zewnętrznych podmiotów (biuro rachunkowe, firma IT, zewnętrzna ochrona), dochodzi do powierzenia przetwarzania danych. W takim przypadku niezbędne jest podpisanie umowy powierzenia, która określa:

• Zakres i cel przetwarzania.
• Standardy zabezpieczeń stosowane przez podwykonawcę.
• Zasady usuwania danych po zakończeniu współpracy.

Podsumowanie i dobre praktyki

Branża nieruchomości nie może traktować ochrony danych jedynie jako uciążliwej formalności. Dane najemców i właścicieli to materia wrażliwa, a profesjonalizm w ich obsłudze to klucz do przewagi rynkowej.

Praktyczna lista kontrolna dla Twojej firmy:

1. Zaktualizuj klauzule informacyjne na stronie i w umowach.
2. Przeszkol agentów i administratorów z zakresu ochrony prywatności.
3. Wdróż bezpieczny obieg dokumentów (cyfrowych i papierowych).
4. Wyznacz Inspektora Ochrony Danych (IOD), jeśli skala Twojej działalności tego wymaga.

Wsparcie ekspertów: Specjaliści GRUPA ELKA oferują kompleksową pomoc w dostosowaniu Twojej firmy do wymogów RODO. Korzystając z naszego outsourcingu Inspektora Ochrony Danych Osobowych, zyskujesz gwarancję bezpieczeństwa, oszczędzasz czas i unikasz kosztownych błędów.

RODO Online to kompleksowe narzędzie, które ułatwia zarządzanie dokumentacją RODO w Twojej firmie. W tym artykule przybliżamy, jak system pomaga w codziennej pracy z dokumentami i uprawnieniami pracowników.

System dokumentów — Twoja cyfrowa dokumentacja RODO

Wyobraź sobie, że musisz przygotować upoważnienie dla nowego pracownika. W tradycyjnym systemie oznacza to ręczne wypełnianie formularzy, kopiowanie danych, sprawdzanie numeracji. W RODO Online wystarczy kilka kliknięć:

• Wybierasz szablon dokumentu
• System automatycznie podstawia dane pracownika
• Dokument jest gotowy do pobrania w formacie PDF

System oferuje gotowe szablony najczęściej używanych dokumentów RODO, które możesz dostosować do potrzeb swojej firmy. Wszystkie dane pracownika (imię, nazwisko, stanowisko, itp.) są automatycznie wstawiane w odpowiednie miejsca dokumentu.

Dokumenty dla wielu pracowników naraz

Czy zdarza Ci się, że musisz przygotować ten sam dokument dla całego zespołu? Na przykład regulamin ochrony danych osobowych, który dotyczy wszystkich pracowników? 

RODO Online oferuje dwa sposoby pracy z dokumentami:

1. Dokumenty globalne — idealne, gdy treść jest taka sama dla wszystkich:

• Jeden dokument przypisany do wielu pracowników
• Oszczędność czasu — nie musisz generować osobnego dokumentu dla każdego pracownika
• Łatwe zarządzanie — zmiana w jednym miejscu dotyczy wszystkich

2. Dokumenty indywidualne — gdy każdy pracownik potrzebuje personalizowanej wersji:

• Każdy pracownik otrzymuje dokument z własnymi danymi
• Automatyczna personalizacja treści
• Unikalny numer dokumentu dla każdego pracownika

Automatyczna numeracja — bez błędów

Jednym z największych problemów w ręcznym zarządzaniu dokumentami jest numeracja. Czy numer 15/2024 już został użyty? Który numer będzie następny?

RODO Online rozwiązuje ten problem automatycznie:

• System sam przypisuje kolejne numery dokumentów
• Format numeru: numer/rok (np. 15/2024)
• Unikalność numerów jest gwarantowana — nie ma ryzyka duplikatów
• Możesz też ustawić numer ręcznie, jeśli wolisz

Różne typy dokumentów

System obsługuje wszystkie najważniejsze dokumenty RODO:

• Upoważnienia — formalne dokumenty upoważniające pracowników do przetwarzania danych osobowych
• Oświadczenia — oświadczenia pracowników dotyczące ochrony danych
• Umowy powierzenia — dokumenty powierzenia przetwarzania danych podmiotom zewnętrznym
• Dokumenty anulujące — formalne anulowanie poprzednich upoważnień

Każdy typ dokumentu ma swoje miejsce w systemie i może być łatwo wyszukany i zarządzany.

Wymuszanie akcji na pracownikach

Czy masz pewność, że pracownicy zapoznali się z ważnymi dokumentami? RODO Online pozwala na wymuszenie konkretnych akcji:

Zapoznanie się i akceptacja — dla najważniejszych dokumentów:

• Pracownik musi zapoznać się z treścią
• Pracownik musi zaakceptować dokument
• Opcjonalnie: pracownik może załączyć podpisany dokument potwierdzający

Zapoznanie się — dla dokumentów informacyjnych:

• Pracownik musi jedynie zapoznać się z treścią
• System rejestruje, że pracownik zapoznał się z dokumentem

Dzięki temu zawsze wiesz, kto zapoznał się z dokumentem i kiedy. To szczególnie ważne podczas kontroli UODO.

Automatyczne zarządzanie upoważnieniami

Gdy tworzysz nowe upoważnienie dla pracownika, system automatycznie:

• Oznacza poprzednie upoważnienia jako nieaktualne
• Śledzi, które upoważnienie jest aktualnie ważne
• Przy tworzeniu dokumentu anulującego — automatycznie anuluje wszystkie aktywne upoważnienia

To oznacza, że zawsze masz aktualny obraz sytuacji — wiesz, kto ma aktualne upoważnienie, a kto nie.

System uprawnień — kontrola dostępu do danych

Czym są uprawnienia w praktyce?

Uprawnienie to formalne przyznanie pracownikowi dostępu do określonych danych osobowych. Na przykład:

• Pracownik z działu HR ma uprawnienie do przetwarzania danych osobowych pracowników
• Pracownik z działu sprzedaży ma uprawnienie do przetwarzania danych klientów
• Administrator systemu ma uprawnienie do danych w systemie informatycznym

Kompleksowe zarządzanie uprawnieniami

Każde uprawnienie w systemie zawiera wszystkie niezbędne informacje:

• Kto — który pracownik ma uprawnienie
• Do czego — do jakiego zbioru danych lub czynności przetwarzania
• Kiedy — od kiedy i do kiedy uprawnienie jest ważne
• Status — czy uprawnienie jest aktualnie aktywne, oczekujące czy wygasłe

System automatycznie zarządza statusami uprawnień:

• Uprawnienia z datą zakończenia w przeszłości są automatycznie oznaczane jako nieaktywne
• Uprawnienia z datą rozpoczęcia w przyszłości są oznaczone jako oczekujące
• Zawsze widzisz, które uprawnienia są aktualnie ważne

Weryfikacja uprawnień — nigdy nie przegap terminu

Jednym z największych wyzwań w zarządzaniu RODO jest regularna weryfikacja uprawnień. RODO Online rozwiązuje ten problem:

• Okres weryfikacji — ustaw, jak często uprawnienia powinny być weryfikowane (np. co 6 miesięcy)
• Automatyczne przypomnienia — system informuje Cię, które uprawnienia wymagają weryfikacji
• Rejestr weryfikacji — każda weryfikacja jest zapisywana w systemie z wynikiem

Dzięki temu nigdy nie przegapisz terminu weryfikacji i zawsze będziesz mieć pełną dokumentację procesu.

Jak to wszystko działa razem?

Przykładowy przepływ pracy

Wyobraź sobie sytuację: zatrudniasz nowego pracownika do działu HR, który będzie przetwarzał dane osobowe pracowników.

1. Tworzenie uprawnienia — w systemie tworzysz uprawnienie dla nowego pracownika, wskazując, do jakich danych będzie miał dostęp.

2. Generowanie upoważnienia — system automatycznie generuje formalne upoważnienie z wszystkimi szczegółami. Możesz wskazać, które uprawnienia są formalnie udokumentowane w tym upoważnieniu.

3. Akcja pracownika — pracownik otrzymuje dokument do zapoznania się i akceptacji. System śledzi, czy pracownik wykonał wymaganą akcję.

4. Weryfikacja — w określonych odstępach czasu system przypomina o weryfikacji uprawnień. Możesz zweryfikować uprawnienie lub wygenerować nowe upoważnienie, jeśli sytuacja się zmieniła.

Wszystko to dzieje się w jednym miejscu, bez konieczności przełączania się między różnymi systemami czy arkuszami kalkulacyjnymi.

Raporty i zestawienia — pełna kontrola

RODO Online oferuje szereg raportów, które pomagają w zarządzaniu:

• Zestawienie dokumentów pracowników — kompletna lista wszystkich dokumentów z numerami i przypisanymi pracownikami
• Dokumenty pracowników — wszystkie dokumenty przypisane do konkretnego pracownika
• Umowy powierzenia — zestawienie wszystkich umów powierzenia przetwarzania danych
• Pracownicy i uprawnienia — przegląd wszystkich pracowników z ich uprawnieniami
• Aktywne uprawnienia — lista aktualnie ważnych uprawnień w firmie

Wszystkie raporty można eksportować do formatów PDF lub CSV, co ułatwia przygotowanie dokumentacji na potrzeby kontroli.

Dlaczego warto korzystać z RODO Online?

Oszczędność czasu

Automatyzacja procesów oznacza, że:

• Nie musisz ręcznie wypełniać formularzy
• Nie musisz sprawdzać numeracji dokumentów
• Nie musisz pamiętać o terminach weryfikacji

Mniej błędów

System automatycznie:

• Przypisuje unikalne numery dokumentów
• Zarządza statusami dokumentów i uprawnień
• Przypomina o ważnych terminach

Pełna dokumentacja

Wszystko jest zapisane w jednym miejscu:

• Historia wszystkich dokumentów
• Rejestr weryfikacji uprawnień
• Statusy i zmiany

Zgodność z przepisami

RODO Online pomaga w:

• Prawidłowym dokumentowaniu uprawnień
• Regularnej weryfikacji dostępu do danych
• Przygotowaniu dokumentacji na potrzeby kontroli UODO

Łatwość użycia

Intuicyjny interfejs sprawia, że:

• Nie musisz być ekspertem od RODO, aby korzystać z systemu
• Wszystkie funkcje są dostępne w jednym miejscu
• System prowadzi Cię przez proces krok po kroku

Podsumowanie

RODO Online to nie tylko narzędzie do zarządzania dokumentami — to kompleksowy system wspierający zgodność z RODO. Dzięki automatycznemu generowaniu dokumentów, zarządzaniu uprawnieniami, weryfikacji i raportom, system ułatwia codzienną pracę i pomaga w wypełnianiu obowiązków wynikających z przepisów o ochronie danych osobowych.

Zacznij korzystać z RODO Online już dziś i przekonaj się, jak łatwe może być zarządzanie dokumentacją RODO w Twojej firmie.

9 lutego obchodzimy National Clean Out Your Computer Day. Dla większości użytkowników to po prostu okazja, by komputer zaczął szybciej pracować. Dla nas w Grupie ELKA to jeden z najważniejszych dni w kalendarzu bezpieczeństwa. Dlaczego? Bo cyfrowy bałagan to nie tylko kwestia wydajności, ale przede wszystkim realne ryzyko incydentu RODO.

Zapomniany plik Excela w folderze „Pobrane” może stać się większym problemem, niż myślisz. Dowiedz się, jak proste porządki mogą uratować Twoją firmę przed wyciekiem danych.

Gdzie RODO spotyka się z Twoim dyskiem?

Zgodnie z zasadą ograniczenia przechowywania (Art. 5 ust. 1 lit. e RODO), dane osobowe powinny być przetwarzane tylko tak długo, jak jest to niezbędne. Każdy plik z nazwiskiem, adresem czy numerem telefonu, który „leży i czeka na lepsze czasy”, to niepotrzebny punkt zapalny.

Oto Twoja checklisty na cyfrowe porządki:

1. Folder „Pobrane” (Downloads) – Strefa Zero

To tutaj najczęściej lądują CV kandydatów, eksporty baz klientów czy faktury pobrane „tylko na chwilę” dwa lata temu. Jeśli plik wykonał już swoje zadanie – powinien zniknąć.

• 👉 Zadanie: Przesortuj folder według daty. Usuń wszystko, co zawiera dane osobowe i nie jest już potrzebne do bieżącej pracy.

2. Skrzynka e-mail – Archiwum załączników

Często czyścimy dysk, ale zapominamy o poczcie. Twoje foldery „Elementy wysłane” i „Odebrane” to gigantyczne składowiska danych. Jeśli wysłałeś komuś skan umowy rok temu, ta umowa wciąż tam jest – na serwerze i w Twoim programie pocztowym.

• 👉 Zadanie: Wpisz w wyszukiwarkę maila hasła takie jak: „CV”, „PESEL”, „dowód”, „faktura”. Usuń zbędne wiadomości wraz z załącznikami.

3. Pulpit to nie archiwum

Trzymanie dokumentów z danymi wrażliwymi bezpośrednio na pulpicie to proszenie się o kłopoty. Wystarczy chwila nieuwagi podczas udostępniania ekranu na wideokonferencji (Teams/Zoom), by osoby niepowołane zobaczyły dane, do których nie powinny mieć dostępu.

• 👉 Zadanie: Przenieś pliki do odpowiednich, zabezpieczonych folderów sieciowych lub chmury firmowej zgodnie z polityką firmy.

4. Zapomniana chmura (OneDrive, Google Drive, SharePoint)

Współczesny „dysk” to często przestrzeń w chmurze. Udostępniłeś komuś folder „do wglądu” w 2021 roku? Istnieje duża szansa, że ten dostęp jest nadal aktywny.

• 👉 Zadanie: Przejrzyj uprawnienia do udostępnionych plików. Cofnij dostęp osobom, które już go nie potrzebują.

5. Zombie-konta i stare aplikacje (Shadow IT)

Nieużywane programy to nie tylko marnowanie miejsca. To także potencjalne luki bezpieczeństwa. Każda aplikacja, której nie aktualizujesz, może stać się furtką dla hakerów.

• 👉 Zadanie: Przejrzyj listę zainstalowanych programów. Odinstaluj te, których nie używałeś przez ostatnie pół roku. Przy okazji wyczyść zapisane w przeglądarce hasła do serwisów, z których już nie korzystasz.

6. Kosz systemowy – Ostateczne pożegnanie

Wyrzucenie pliku do kosza to tylko zmiana jego lokalizacji. Dane wciąż tam są i czekają na… no właśnie, na kogo? Na Ciebie, byś je definitywnie usunął, albo na kogoś, kto przejmie Twój sprzęt.

• 👉 Zadanie: Opróżnij kosz. Trwale.

Dlaczego to takie ważne?

Mniej danych na dysku to mniejsza „powierzchnia ataku”. W przypadku awarii, kradzieży laptopa czy ataku typu ransomware (szyfrowanie dysku dla okupu), skala problemu jest wprost proporcjonalna do ilości danych, jakie posiadasz. Porządek to Twoja pierwsza linia obrony.

Wyzwanie Grupy ELKA dla Ciebie:

Nie musisz od razu czyścić całego dysku. Zacznij od małego kroku:
Znajdź jeden plik starszy niż 2 lata, który zawiera dane osobowe i usuń go trwale.

Zrobiłeś to? Gratulacje! Właśnie zmniejszyłeś ryzyko incydentu w swojej firmie.

---

Chcesz dowiedzieć się, jak wdrożyć profesjonalną politykę retencji danych w Twojej organizacji? Skontaktuj się z ekspertami Grupy ELKA. Pomagamy zamienić cyfrowy chaos w bezpieczne i zgodne z prawem środowisko pracy.

Czyste biurko, czysta sumienie — i zgodność z RODO

Poniedziałek, 12 stycznia 2026 roku. Dla wielu pracowników to nie zwykły początek tygodnia, ale świetna okazja do przemeblowania swojego biurka. W Polsce, gdzie świadomość ochrony danych osobowych rośnie, Dzień Sprzątania Biurka to idealna chwila, by połączyć dwie rzeczy: wygodę pracy i bezpieczeństwo informacji.

Brzmi jak połączenie dwóch różnych światów? Wcale nie. Bałagan na biurku to nie tylko problem estetyczny czy kwestia porządku osobistego — to rzeczywiste zagrożenie dla bezpieczeństwa danych i zgodności z RODO.

Chaos na biurku = brak kontroli nad danymi

Wyobraź sobie typowe biurko pracownika: stosy papierów, notatniki ze starymi hasłami, drukowane dokumenty zawierające numery PESEL albo adresy klientów, rozrzucone porządku karteczki samoprzylepne z logowaniem, a obok — telefon czy laptop z dostępem do systemów biznesowych.

To nie tylko wygląda niedbale. To jest **aktywna bomba czasowa**.

Badania pokazują, że chaos w przestrzeni pracy utrudnia nie tylko koncentrację i obniża efektywność — zwiększa również ryzyko nieuprawnionego dostępu do wrażliwych dokumentów. Pracownik, który nie wie dokładnie, gdzie ma jakie papiery, łatwiej je gubi. Gościu, który wchodzi do biura, może zobaczyć dane osobowe na biurku. Sprzątaczka przychodzi wieczorem, a na stole zostały wydruki z danymi klientów…

Artykuł 32 RODO jasno wskazuje: kontroler danych musi wdrożyć **odpowiednie techniczne i organizacyjne środki** zapewniające bezpieczeństwo danych osobowych. To obejmuje ochronę przed nieuprawnionym dostępem, utratą, uszkodzeniem czy zmianą danych.

Sprzątanie biurka? To właśnie jedna z takich organizacyjnych miar bezpieczeństwa.

Biały szum w głowie vs. skupienie na pracy

Może zaskakuje, ale połączenie między zamieszaniem na biurku a brakkiem skupienia jest naukowo potwierdzony.

Pracownicy, którzy pracują w otoczeniu zaleganego papieru, rozproszeni są aż o 40% więcej niż ci, którzy mają czystą przestrzeń. Umysł musi ciągle przetwarzać wizualne bałagany — co pochłania energię umysłową, którą moglibyśmy poświęcić rzeczywistej pracy.

Dla pracodawcy to oznacza:

– Spadek produktywności — pracownicy potrzebują więcej czasu na wykonanie tych samych zadań

– Większa liczba błędów — zmęczony umysł gorzej się skupia i łatwiej popełnia omyłki

– Wypalenie zawodowe — stres wynikający z poczucia chaosu kumuluje się przez cały dzień

Ale czysty, dobrze zorganizowany biurek to:

– ✓ Szybszy dostęp do dokumentów (nie szukasz 20 minut wpisu)

– ✓ Mniejszy stres i większa pewność siebie

– ✓ Lepsza samoorganizacja i czasami nawet lepsze relacje w zespole (bo nie jesteś zirytowany chaosem)

Dokumenty drukowane: zapomniany wymiar bezpieczeństwa

Tu dogłębimy główny problem.

Wielu pracodawców skupia się na cyberbezpieczeństwie: hasła, dwuskładnikowe uwierzytelnianie, szyfrowanie emaili. To wszystko ważne. Ale co z papierem?

Fizyczne dokumenty zawierające dane osobowe to osobna kategoria ryzyka, którą RODO traktuje z taką samą powagą jak dane cyfrowe.

Papiery na biurku mogą zawierać:

– Numery PESEL pracowników

– Adresy zamieszkania klientów

– Dane finansowe

– Umowy zawierające wrażliwe informacje

– Notatki z rozmów z klientami

Jeśli dokumenty te nie są bezpiecznie przechowywane (a biurko to nie bezpieczne przechowywanie), każdy może je zobaczyć:

– Pracownik z innego działu, który przychodzi do ciebie z pytaniem

– Sprzątaczka przychowywana wieczorami

– Gość zaproszony do biura

– Nawet osoba, która przypadkowo wyjrzy przez okno

A przecież to naruszenie RODO.

Co zrobić z papierami?

Dzień Sprzątania Biurka to idealny moment, aby:

1. Przejrzeć wszystkie dokumenty

– Czy rzeczywiście potrzebujesz tego wydruku z 2023 roku?

– Czy papier zawiera dane osobowe czy dane niejawne?

– Kiedy ta informacja przestanie być potrzebna?

2. Bezpiecznie zniszczyć stare dokumenty

To nie znamena wyrzucenia do kosza. RODO wymaga bezpiecznego zniszczenia. To oznacza:

– Maszynę do niszczenia papieru (shredder)

– Lub oddanie do specjalistycznej firmy zajmującej się bezpieczną destrukcją dokumentów

– Nigdy zwykły kosz na śmieci

3. Przechowywać aktywne dokumenty bezpiecznie

– Zamknięta szuflada biurka (lepiej z kluczem)

– Segregator w zamkniętej szafce

– Jeśli to możliwe — przejść na formę cyfrową (skan zamiast papieru)

Plan działania: Bezpieczne sprzątanie biurka

Nie ma tu miejsca na kaos. Oto konkretny plan:

Krok 1: Przygotowanie (15 minut)

– Przygotuj trzy pojemniki/torby: „Przechowaj”, „Zniszsz” i „Wyrzuć”

– Zaloguj się do systemów, w których będziesz szukać informacji (np. kiedy dokumenty przestają być potrzebne)

– Miej pod ręką listę dokumentów, które masz obowiązek przechowywać ze względów prawnych

Krok 2: Przegląd dokumentów (30–60 minut)

Dla każdego dokumentu zadaj pytania:

– Czy zawiera dane osobowe?

– Czy jest jeszcze aktualny/potrzebny?

– Jak długo muszę go przechowywać (ze względów prawnych czy biznesowych)?

– Czy mogę go zdigitalizować i zniszczyć oryginał?

Krok 3: Organizacja (20 minut)

– Dokumenty, które przechowujesz, włóż do zamkniętej szuflady lub szafki

– Oznacz je (np. data, czego dotyczą) — by wiedzieć kiedy je usunąć

– Pamiętaj: jeśli papier zawiera dane osobowe, nie może leżeć na widoku

Krok 4: Bezpieczne zniszczenie (15 minut + oddanie)

– Dokumenty przeznaczone do zniszczenia poproś kogoś z zespołu, by je zniszczył przy użyciu shredderu

– Lub poproś zespół IT/administracji o wskazanie procedury bezpiecznej destrukcji

– Jeśli to duża ilość dokumentów zawierających dane osobowe, rozważ umowę z firmą specjalizującą się w bezpiecznej destrukcji

Krok 5: Cyfralizacja (opcjonalnie, ale zalecane)

– Jeśli pracujesz dużo z papierami, rozważ ich skanowanie

– Przechowywanie cyfrowych kopii w bezpiecznym miejscu (szyfrowany dysk, serwer firmowy)

– Oryginały bezpiecznie zniszcz

Czyste biurko = czysta reputacja (i mniej grzywnę)

To nie są tylko słowa. GDAŃSKA Urząd Ochrony Danych Osobowych (UODO) [odpowiednik GDPR dla Polski] regularnie karze organizacje, które nie wdrażają odpowiednich bezpieczeństwa fizycznego.

Przykład: Jeśli dokumenty zawierające dane osobowe leżą na biurku bez zabezpieczenia, a ktoś je fotografuje lub kopiuje, organizacja jest odpowiedzialna. Grzywna? Może sięgać aż do 10 milionów złotych lub do 4% obrotu rocznego (co wyższa wartość).

To już nie jest kwestia porządku. To kwestia prawna i finansowa.

Sprzątanie to kultura bezpieczeństwa

Najlepsze firmy rozumieją, że bezpieczeństwo danych to nie projekt jednorazowy — to kultura, która musi być zakorzeniona w codziennych praktykach.

Dzień Sprzątania Biurka może być okazją do wprowadzenia takiej kultury:

Dla pracowników:

– Pokażcie swoim kolegom, jak bezpiecznie sprzątać biurko

– Podzielcie się listą kontrolną

– Zróbcie to razem — może być to nawet zabawne

Dla kierownictwa:

– Wprowadzić procedury dotyczące przechowywania dokumentów

– Zapewnić dostęp do shreddów lub usług destrukcji

– Szkolić pracowników na temat RODO i bezpieczeństwa danych raz na pół roku

Dla zespołu IT i ochrony danych:

– Zweryfikować, czy wszystkie dokumenty w biurach rzeczywiście powinny tam być

– Sprawdzić, czy pracownicy wdrażają procedury

– Włączyć sprzątanie biurka do procedur bezpieczeństwa informacji

Podsumowanie: Czysty biurek to inwestycja w bezpieczeństwo

12 stycznia 2026 roku to idealny moment na start. Nie chodzi tu tylko o estetykę czy „nowe postanowienia noworoczne”. To jest o:

– 🎯 Produktywności — pracownik z czystym biurkiem jest bardziej skupiony

– 🔒 Bezpieczeństwie danych — brak dokumentów na widoku = brak ryzyka nieuprawnionych dostępów

– ⚖️ Zgodności z RODO — prawidłowe przechowywanie i zniszczenie dokumentów to wymóg prawny

– 😌 Spokoju ducha — zarówno dla pracownika, jak i dla pracodawcy

Sprzątanie biurka to nie „czyt-czyt, wszystko w kosz”. To świadomy, bezpieczny proces.

Czy będziesz część tego ruchu?

—

Checklist: Bezpieczne Sprzątanie Biurka

Drukuj i zawieszaj w biurze:

– [ ] Przejrzyj wszystkie dokumenty na biurku

– [ ] Zidentyfikuj dokumenty zawierające dane osobowe

– [ ] Sprawdź, jak długo muszą być przechowywane

– [ ] Oddziel dokumenty do zniszczenia od tych, które przechowujesz

– [ ] Bezpiecznie zniszcz papiery (shredder, firma specjalizowana)

– [ ] Pozostałe dokumenty przechowuj w zamkniętej szafie/szufladzie

– [ ] Rozważ digitalizację często używanych dokumentów

– [ ] Usuń notatki ze starymi hasłami/logowaniem

– [ ] Upewnij się, że biurko jest teraz wolne od danych osobowych

– [ ] Wdróż rutynę sprzątania — raz na miesiąc przejrzyj biurko ponownie

Dzień Sprzątania Biurka to dzień dla bezpieczeństwa danych. Zacznij od siebie. Zaraz możesz zaproponować to całemu zespołowi.

---

W erze cyfrowej transformacji zarządzanie ryzykiem przestało być domeną wyłącznie działów IT czy prawnych. Stało się fundamentem strategii biznesowej. Przed organizacjami w Polsce stoi dziś gigantyczne wyzwanie: jak spójnie zarządzać wymogami RODO, nadchodzącą implementacją Dyrektywy NIS2 oraz nowym AI Act? Odpowiedzią jest konwergencja i integracja.

Ewolucja: Od ochrony danych do odporności cyfrowej

Unijne prawo cyfrowe opiera się na wspólnej zasadzie: podejściu opartym na ryzyku (Risk-Based Approach). Choć fundament jest ten sam, każda z regulacji kieruje światło na nieco inny aspekt:

1. RODO (od 2018 r.): Skupia się na ochronie praw i wolności osób fizycznych. Tu kluczowa jest poufność, integralność i dostępność danych osobowych.
2. NIS2 (implementacja 2024/2025): Kładzie nacisk na odporność operacyjną i ciągłość usług. Celem jest ochrona gospodarki i społeczeństwa przed skutkami incydentów cybernetycznych.
3. AI Act (2025+): Wprowadza ocenę skutków dla praw podstawowych (FRIA), dbając, by algorytmy nie dyskryminowały i pozostawały pod nadzorem człowieka.

Tabela: Porównanie paradygmatów ryzyka

Regulacja	Główny przedmiot oceny	Cel ochrony	Metoda oceny
RODO	Dane osobowe	Prawa i wolności jednostki	DPIA
NIS2	Sieci, systemy, łańcuch dostaw	Ciągłość usług i odporność	Analiza ryzyka cyber
AI Act	Algorytmy, dane treningowe	Prawa podstawowe (etyka)	FRIA

Pułapka silosów: Dlaczego oddzielne analizy to błąd?

Prowadzenie trzech niezależnych analiz ryzyka (DPIA dla RODO, analiza cyber dla NIS2 i FRIA dla AI) to prosta droga do redundancji i wysokich kosztów. Strategiczne podejście zakłada integrację tych procesów w ramach jednego Zintegrowanego Systemu Zarządzania Ryzykiem (ISRMS), opartego na standardach takich jak ISO 27001.

Pamiętajmy: poważny wyciek danych to jednocześnie naruszenie RODO, incydent operacyjny pod NIS2 oraz potencjalny dowód na błędy w systemie AI.

Filar I: RODO jako fundament (Art. 32 i DPIA)

Zgodnie z Art. 32 RODO, organizacje muszą wdrażać środki adekwatne do ryzyka. Kluczem do rozliczalności są regularne przeglądy i szczegółowa Ocena Skutków dla Ochrony Danych (DPIA).

W tym obszarze platforma RODO Online staje się nieocenionym wsparciem dla Inspektora Ochrony Danych (IOD). Dzięki precyzyjnemu mapowaniu zagrożeń (ponad 70 zdefiniowanych kategorii) oraz automatyzacji dokumentacji, pozwala na:

• Kwantyfikację ryzyka dla konkretnych zasobów i procesów.
• Szybkie generowanie planów postępowania z ryzykiem.
• Udokumentowanie zasady proporcjonalności, co jest kluczowe podczas kontroli.

Filar II: NIS2 i dynamiczne zarządzanie cyberbezpieczeństwem

Dyrektywa NIS2 wymusza na podmiotach kluczowych i ważnych (np. energetyka, transport, ochrona zdrowia, ale też produkcja żywności czy chemikaliów) wdrożenie rygorystycznych środków zarządzania ryzykiem.

Tu z pomocą przychodzi ekspertyza Grupa ELKA. Samodzielne wdrożenie wymogów Art. 21 NIS2 (zarządzanie incydentami, bezpieczeństwo łańcucha dostaw, segmentacja sieci) jest trudne. Grupa ELKA łączy funkcję IOD z audytem technicznym, tłumacząc zawiłe przepisy na konkretne rozwiązania technologiczne, takie jak systemy EDR, polityki backupu czy procedury reagowania na incydenty.

Filar III: AI Act i ocena FRIA

Sztuczna Inteligencja to nowa warstwa ryzyka. AI Act wymaga, aby dla systemów wysokiego ryzyka przeprowadzić ocenę FRIA. Co istotne, unijny ustawodawca przewidział synergię: rzetelnie przeprowadzona DPIA w systemie RODO Online może i powinna stanowić fundament dla FRIA. Integracja tych analiz pozwala uniknąć duplikowania pracy zespołów Data Science i Compliance.

Sygnalista: Twoje systemy wczesnego ostrzegania

Zintegrowane ryzyko to także czynnik ludzki. Wiele naruszeń RODO czy incydentów NIS2 zostaje wykrytych dzięki czujności pracowników. Wdrożenie platformy sygnalista-online.eu to nie tylko obowiązek prawny, ale strategiczny ruch obniżający prawdopodobieństwo wystąpienia kryzysu. Anonimowe zgłoszenie błędu proceduralnego pozwala naprawić lukę, zanim ta przerodzi się w kosztowny wyciek danych lub przestój w produkcji.

Rekomendacje dla liderów biznesu

Jak przygotować organizację na nadchodzące zmiany?

1. Zrezygnuj z silosów: Połącz siły IOD, CISO i działów prawnych w ramach jednej metodyki oceny ryzyka.
2. Automatyzuj fundamenty: Wykorzystaj rodo-online.eu do uporządkowania procesów przetwarzania danych. To baza, bez której nie zbudujesz zgodności z NIS2 ani AI Act.
3. Zadbaj o detekcję: Wdróż sygnalista-online.eu, by wyłapywać ryzyka „u źródła” i poprawiać wskaźniki odporności operacyjnej.
4. Weryfikuj technicznie: Skorzystaj z profesjonalnych audytów ELKA-IT.pl, aby mieć pewność, że Twoje zabezpieczenia nie są tylko „na papierze”, ale realnie chronią infrastrukturę.

Konkluzja: Zintegrowane zarządzanie ryzykiem to nie tylko wymóg regulatora – to warunek stabilności Twojej firmy w cyfrowym świecie. Czas na działanie jest teraz.

---

Chcesz dowiedzieć się, jak zautomatyzować analizę ryzyka w Twojej firmie? Sprawdź nasze narzędzia na rodo-online.eu lub umów się na audyt z ekspertami elka-it.pl.

W wielu firmach RODO nadal żyje w Excelu, Wordzie i wydrukach w segregatorach – działa to tylko, dopóki nic się nie zmienia i nikt nie pyta o dowody zgodności. Gdy pojawi się kontrola, naruszenie albo rotacja pracowników, szybko wychodzi na wierzch brak aktualności, wersjonowania i jasnego podziału odpowiedzialności.

• Trudno sprawdzić, czy wszystkie rejestry, upoważnienia i umowy są aktualne i podpisane.
• Każda zmiana wymaga ręcznego przenoszenia danych między plikami (ryzyko błędów, duplikatów, nadpisania).
• Brakuje dziennika zdarzeń – nie wiadomo, kto co zmienił, kiedy nadał lub odebrał uprawnienia.

Co realnie daje automatyzacja RODO

Automatyzacja to nie „magia AI”, tylko zastąpienie ręcznej pracy powtarzalnymi regułami i gotowymi procesami w jednym systemie.. Wdrożony program do RODO Online porządkuje dokumentację, pilnuje terminów i prowadzi użytkownika przez wymagane kroki, tak aby spełnić zasadę rozliczalności.

Kluczowe elementy automatyzacji:

• Centralna baza procesów, podmiotów, osób, umów i uprawnień, zamiast kilkunastu rozproszonych plików.
• Workflow dla incydentów, wniosków osób (dostęp, sprzeciw, usunięcie) i okresowych sprawdzeń, z przypisaniem zadań do konkretnych osób.
• Powiadomienia i przypomnienia o terminach (retencja, przeglądy, odpowiedzi na żądania osoby, ważność umów / upoważnień).

Excel i dokumenty w szufladzie – plusy i minusy

Excel i tradycyjne dokumenty mają jeden niepodważalny atut: są tanie na start i wszystkim znane. Dla najmniejszych organizacji może to wystarczyć, ale tylko do czasu, gdy zakres przetwarzania danych i liczba obowiązków zaczynają rosnąć.

Minusy ręcznego modelu:

• Brak spójności – wersje plików w mailach, na pendrive’ach, w chmurze i na serwerze, bez jednego „źródła prawdy”.
• Wysokie ryzyko „zgubienia” dokumentu lub pomyłki w kopiuj–wklej, co przy danych osobowych jest szczególnie wrażliwe.
• Brak łatwego raportowania – przygotowanie zestawienia do zarządu lub na kontrolę oznacza kilka godzin dłubania w plikach.

Jak działa system RODO Online

Programy klasy RODO Online integrują wszystkie kluczowe obszary RODO w jednym narzędziu – od rejestrów po incydenty i wnioski osób, dzięki czemu codzienna obsługa sprowadza się do pracy „w systemie”, a nie w dziesiątkach plików. System prowadzi użytkownika przez procesy krok po kroku i pozwala szybciej reagować na zmiany w organizacji.

Na przykład RODO Online oferuje m.in.:

• Rejestr kategorii czynności i procesów z informacjami o celach, kategoriach danych, odbiorcach i zabezpieczeniach, utrzymywany w jednym miejscu.
• Obsługę incydentów i naruszeń (zgłoszenie, analiza, ocena skutków, przygotowanie materiału do zgłoszenia organowi nadzorczemu).
• Rejestry uprawnień oraz mechanizmy stałej kontroli uprawnień, tak aby wiedzieć, kto ma dostęp do jakich danych i kiedy trzeba weryfikować dostęp.
• Kalendarz i powiadomienia e‑mail o ważnych terminach (np. przeglądy, odpowiedzi na wnioski, kończące się upoważnienia), plus dzienne raporty podsumowujące istotne zdarzenia.

Excel vs RODO Online – praktyczne różnice

Obszar	Excel / dokumenty w szufladzie	RODO Online
Przechowywanie danych	Rozproszone pliki, brak jednego źródła prawdy	Centralna baza z kontrolą dostępu i uprawnień
Aktualizacje i zmiany	Ręczne poprawki, ryzyko nadpisania i błędów	Formularze i workflow, historia zmian, wersjonowanie
Incydenty i wnioski	Ad hoc w mailach/notatkach	Zgłoszenia, statusy, powiadomienia, raporty z realizacji
Kontrola uprawnień	Ręczne listy dostępów, brak cyklicznej weryfikacji	Automatyczna weryfikacja i przypomnienia o przeglądach
Raportowanie i kontrole	Godziny składania danych z wielu plików	Gotowe raporty i zestawienia jednym kliknięciem
Skalowalność i bezpieczeństwo	Ograniczone, rośnie chaos wraz ze skalą	Zaprojektowane pod rosnącą organizację i większe wymagania

Kiedy warto zrobić krok w stronę automatyzacji

Decyzja o przejściu z Excela na system do RODO zazwyczaj dojrzewa, gdy liczba procesów, pracowników i incydentów zaczyna przekraczać możliwości jednej osoby „od RODO”. Jeśli firma ma coraz więcej zapytań klientów, rośnie liczba systemów IT i podmiotów przetwarzających, a przy każdej zmianie danych trzeba aktualizować kilka arkuszy – to sygnał, że czas na narzędzie, które tę pracę odciąży.

System typu RODO Online pozwala zachować to, co w Excelu lubisz (przejrzystość i elastyczność), ale dodaje to, czego brakuje do pełnej zgodności: automatyzację zadań, kontrolę uprawnień, historię zmian i gotowe raporty na potrzeby zarządu czy organu nadzorczego. Dzięki temu RODO staje się stałym, przewidywalnym procesem w tle, a nie „akcją ratunkową” przed kontrolą.

Kontrola przeprowadzana przez Urząd Ochrony Danych Osobowych (UODO) może dotyczyć każdej firmy, która przetwarza dane osobowe. Dobra wiadomość jest taka, że odpowiednie przygotowanie pozwala przejść ją spokojnie, bez chaosu i bez ryzyka kar. W tym poradniku znajdziesz najważniejsze informacje o tym, kiedy może dojść do kontroli UODO, jak wygląda jej przebieg i co zrobić, aby Twoja firma była na nią gotowa.

---

Kiedy UODO może skontrolować firmę?

Najczęstsze powody kontroli to:

• skarga osoby fizycznej (np. klienta, pacjenta, pracownika),
• kontrola z urzędu, w ramach działań prewencyjnych,
• podejrzenie naruszenia przepisów RODO,
• zgłoszenie naruszenia danych osobowych przez samą firmę.

W praktyce skargi pracownicze i klienckie są głównym źródłem kontroli.

---

Jak przebiega kontrola UODO? Krok po kroku

1. Zawiadomienie o kontroli

W większości przypadków firma otrzymuje zawiadomienie co najmniej 7 dni przed planowanym rozpoczęciem czynności.

Wyjątek: UODO może pojawić się bez zapowiedzi, jeśli istnieje ryzyko poważnego naruszenia danych.

2. Przyjazd inspektorów

Kontrolerzy okazują:

• legitymację służbową,
• upoważnienie do przeprowadzenia kontroli.

Przeprowadzają rozmowy, analizują dokumenty, sprawdzają zabezpieczenia i funkcjonowanie systemów informatycznych.

3. Co sprawdza UODO?

Inspektorzy weryfikują m.in.:

• podstawy prawne przetwarzania danych,
• realizację praw osób fizycznych,
• stosowane zabezpieczenia techniczne i organizacyjne,
• prowadzenie Rejestru Czynności Przetwarzania,
• procedury obsługi incydentów i naruszeń,
• zgodność praktyki z deklarowaną dokumentacją.

4. Protokół i zalecenia

Po zakończeniu kontroli UODO sporządza protokół. Może:

• wydać zalecenia,
• nałożyć obowiązek wprowadzenia zmian,
• wystawić ostrzeżenie,
• a w poważniejszych sytuacjach — nałożyć karę finansową.

---

Jak przygotować firmę na kontrolę UODO? [CHECKLISTA]

1. Uporządkuj dokumentację RODO

Przygotuj i zaktualizuj:

• Politykę ochrony danych osobowych
• Rejestr czynności przetwarzania / rejestr kategorii czynności
• Zgody na przetwarzanie danych (z potwierdzeniem ich udzielenia)
• Umowy powierzenia danych (hosting, księgowość, monitoring, mailing itp.)
• Oceny ryzyka oraz DPIA, jeśli są wymagane
• Procedury reagowania na naruszenia
• Polityki IT: haseł, uprawnień, archiwizacji, kopii zapasowych

2. Sprawdź zgodność teorii z praktyką

Dokumenty muszą odzwierciedlać rzeczywiste działania w firmie. UODO bardzo dokładnie sprawdza:

• czy dostęp do danych jest właściwie ograniczony,
• czy zabezpieczenia działają faktycznie, nie tylko „na papierze”,
• czy personel wie, jak postępować z danymi.

3. Wzmocnij zabezpieczenia techniczne i organizacyjne

Zadbaj o:

• silne hasła i zarządzanie dostępem,
• szyfrowanie urządzeń,
• aktualizacje systemów,
• regularne kopie zapasowe,
• aktualne szkolenia RODO dla pracowników.

4. Przygotuj osoby odpowiedzialne za kontakt z UODO

Wyznacz konkretne osoby, które będą rozmawiać z kontrolerami. Powinny wiedzieć:

• gdzie znajdują się dokumenty,
• jak odpowiadać zwięźle i zgodnie z prawdą,
• czego nie mówić (domysły, niepotwierdzone informacje).

5. Regularnie wykonuj audyty wewnętrzne

Systematyczne kontrole zgodności pozwalają wykryć błędy wcześniej, zanim zauważy je UODO.

---

Jakie sankcje może nałożyć UODO?

W zależności od skali naruszeń urząd może zastosować:

• zalecenia naprawcze,
• ostrzeżenie,
• ograniczenie lub zakaz przetwarzania danych,
• kary administracyjne – dla MŚP zwykle od kilku do kilkuset tysięcy złotych.

---

Chcesz mieć pewność, że Twoja firma przejdzie kontrolę UODO bez stresu?

Skorzystaj z profesjonalnego outsourcingu Inspektora Ochrony Danych oferowanego przez Grupę ELKA

Oferujemy:

• pełne wdrożenie i obsługę RODO,
• wsparcie na każdym etapie kontroli UODO,
• audyty i stałe monitorowanie zgodności,
• gotowe procedury i dokumentację,
• szkolenia dla pracowników,
• szybkie reagowanie na incydenty i naruszenia.

Dzięki temu Twoja firma spełnia wymogi RODO, a kontrola UODO przebiega bez obaw i niespodzianek.

Czym jest udostępnianie danych osobowych?

Udostępnianie danych osobowych to jedna z form przetwarzania danych w rozumieniu art. 4 pkt 2 RODO. Polega na przekazaniu danych osobowych innemu odbiorcy – czyli osobie fizycznej, osobie prawnej, organowi publicznemu, jednostce lub innej organizacji – która otrzymuje te dane, ale przetwarza je we własnych celach (a nie w imieniu administratora).

Inaczej mówiąc:

• Udostępnienie ma miejsce wtedy, gdy przekazujemy dane komuś, kto sam staje się administratorem tych danych.
• Powierzenie natomiast dotyczy sytuacji, gdy przekazujemy dane podmiotowi, który przetwarza je wyłącznie w naszym imieniu, na podstawie umowy powierzenia (np. firma hostingowa, biuro rachunkowe).

Mówiąc prościej: jeśli ktoś otrzymuje dane i wykorzystuje je „na własny rachunek”, a nie w naszym imieniu – to nie jest przetwarzanie, tylko udostępnienie.

Przykłady udostępnienia danych:

• przekazanie danych pracownika do związku zawodowego, urzędu skarbowego czy ZUS-u,
• ujawnienie danych klienta na żądanie organu publicznego,
• publikacja imienia i nazwiska zwycięzcy konkursu na stronie internetowej,
• przekazanie danych kontrahenta innemu partnerowi handlowemu.

Dlaczego rejestrowanie udostępnień jest ważne?

RODO wymaga, aby administrator był w stanie wykazać, że przetwarzanie danych odbywa się zgodnie z przepisami (zasada rozliczalności – art. 5 ust. 2 RODO).

Rejestrowanie przypadków udostępnienia danych:

• pozwala udokumentować komu, kiedy i na jakiej podstawie dane zostały ujawnione,
• ułatwia odpowiedź na wnioski osób, których dane dotyczą (np. o informację, komu ich dane zostały przekazane),
• stanowi element systemu bezpieczeństwa i kontroli przepływu danych,
• może być wymagane podczas audytu lub kontroli UODO.

Jak serwis RODO Online rejestruje udostępnienia danych

W serwisie RODO Online funkcjonuje moduł służący do prowadzenia rejestru udostępnień danych osobowych. Dzięki niemu administrator ma pełną kontrolę nad wszystkimi przypadkami ujawnienia danych podmiotom zewnętrznym.

System umożliwia:

1. Zarejestrowanie każdego udostępnienia – z określeniem daty, odbiorcy, zakresu danych oraz podstawy prawnej przekazania.
2. Opis celu udostępnienia – np. realizacja obowiązku prawnego, wniosek organu ścigania, wykonanie umowy.
3. Eksport danych – możliwość wygenerowania raportu w formacie PDF lub CSV na potrzeby audytu lub kontroli UODO.
4. Ścieżkę audytu – każda modyfikacja wpisu jest zapisywana w historii zmian, co wzmacnia zasadę rozliczalności.

Dzięki temu administratorzy korzystający z RODO Online nie muszą tworzyć osobnych arkuszy czy dokumentów – wszystko odbywa się w jednym, bezpiecznym środowisku, zgodnym z wymogami RODO.

Podsumowanie

Udostępnienie danych osobowych to nie to samo co powierzenie – to przekazanie danych innemu administratorowi, który samodzielnie decyduje o ich dalszym przetwarzaniu.
Dokumentowanie takich przypadków jest obowiązkiem wynikającym z zasad RODO, a serwis RODO Online zapewnia wygodne, narzędzie do prowadzenia rejestru udostępnień, dzięki czemu użytkownicy mogą skutecznie realizować zasadę rozliczalności i lepiej chronić dane, które przetwarzają.

Wraz z rozpoczęciem roku szkolnego szkoły i placówki oświatowe intensywnie przetwarzają dane osobowe uczniów, ich rodziców oraz pracowników. Te dane są niezbędne do realizacji zadań edukacyjnych, wychowawczych i opiekuńczych, jednak ich przetwarzanie musi odbywać się zgodnie z RODO oraz krajowymi przepisami oświatowymi.

Kategorie przetwarzanych danych w szkołach

Placówki oświatowe gromadzą szerokie spektrum informacji, które można podzielić na kilka kategorii:

Dane identyfikacyjne i kontaktowe:

• Dane podstawowe ucznia (imię, nazwisko, PESEL, adres)
• Informacje kontaktowe rodziców (telefon, e-mail, adres)
• Dokumenty rekrutacyjne i świadectwa

Dane szczególnej kategorii:

• Informacje o stanie zdrowia (alergie, choroby przewlekłe)
• Orzeczenia poradni psychologiczno-pedagogicznych
• Dane dotyczące pomocy społecznej

Dane związane z procesem edukacyjnym:

• Oceny i frekwencja
• Wyniki egzaminów i sprawdzianów
• Informacje o zachowaniu i postępach

Wizerunek i monitoring:

• Zdjęcia z wydarzeń szkolnych
• Nagrania z monitoringu wizyjnego
• Materiały promocyjne szkoły

Podstawy prawne przetwarzania w szkołach

Szkoły, jako administratorzy danych, muszą opierać przetwarzanie na konkretnych podstawach prawnych określonych w RODO:

Art. 6 ust. 1 lit. c RODO – najczęstsza podstawa dla szkół publicznych. Przetwarzanie wynika z obowiązku prawnego ciążącego na placówce zgodnie z Prawem oświatowym.

Art. 6 ust. 1 lit. e RODO – realizacja zadania w interesie publicznym. Edukacja jest zadaniem publicznym państwa.

Art. 6 ust. 1 lit. a RODO – zgoda jest potrzebna tylko w wyjątkowych sytuacjach, takich jak publikacja wizerunku czy udział w projektach zewnętrznych.

Art. 9 ust. 2 lit. h RODO – umożliwia przetwarzanie danych zdrowotnych w celach opieki medycznej i społecznej.

Obowiązki administratora – szkoły

Dyrektor szkoły, jako administrator danych, musi zapewnić przestrzeganie kluczowych zasad RODO :

Obowiązek informacyjny

Szkoła musi przekazać uczniom i rodzicom klauzulę informacyjną zawierającą wszystkie elementy z art. 13-14 RODO. Informacje te powinny być:

• Dostępne na stronie internetowej szkoły
• Wywieszone na tablicach informacyjnych
• Przekazane w sposób jasny i przejrzysty

Zabezpieczenie danych

Placówka musi wdrożyć odpowiednie środki techniczne i organizacyjne zabezpieczeń:

• Kontrola dostępu do pomieszczeń z danymi
• Zabezpieczenie systemów informatycznych
• Szkolenia personelu w zakresie ochrony danych
• Procedury postępowania z naruszeniami

Wyznaczenie Inspektora Ochrony Danych

Każda publiczna placówka oświatowa ma obowiązek powołania IOD zgodnie z art. 37 RODO. Inspektor powinien:

• Posiadać fachową wiedzę prawną i praktyczną
• Być niezależny w wykonywaniu zadań
• Zostać zgłoszony do UODO

Prawa uczniów i rodziców

Osoby, których dane są przetwarzane, mają szereg uprawnień wynikających z RODO

• Prawo dostępu – możliwość uzyskania informacji o przetwarzanych danych
• Prawo sprostowania – korekta nieprawidłowych informacji
• Prawo do ograniczenia przetwarzania – w określonych sytuacjach
• Prawo do przenoszenia danych – w ograniczonym zakresie
• Prawo do złożenia skargi do Prezesa UODO

Kiedy potrzebna jest zgoda rodziców?

Wbrew powszechnym przekonaniom, zgoda nie jest zawsze konieczna. Szkoła potrzebuje zgody tylko gdy:

• Publikuje zdjęcia uczniów w celach promocyjnych
• Organizuje projekty z podmiotami zewnętrznymi
• Udostępnia dane firmom komercyjnym (np. ubezpieczeniowym)
• Przetwarzanie wykracza poza obowiązki wynikające z prawa

Dobre praktyki dla placówek

Aby skutecznie chronić dane uczniów, szkoły powinny:

W obszarze organizacyjnym:

• Opracować procedury ochrony danych
• Przeprowadzać regularne szkolenia personelu
• Wdrożyć zasadę „need to know” – dostęp tylko dla uprawnionych
• Prowadzić rejestr czynności przetwarzania

W obszarze technicznym:

• Zabezpieczyć systemy informatyczne
• Używać szyfrowania danych wrażliwych
• Regularnie aktualizować oprogramowanie
• Monitorować dostęp do systemów

Wsparcie dla szkół

Specjaliści GRUPY ELKA oferują profesjonalne usługi outsourcingu Inspektora Ochrony Danych Osobowych dla placówek oświatowych. Takie rozwiązanie zapewnia:

• Dostęp do eksperckiej wiedzy prawnej
• Znaczną oszczędność czasu i kosztów
• Kompleksowe wsparcie w zakresie zgodności z RODO
• Bieżące monitorowanie zmian legislacyjnych

Ochrona danych osobowych w szkołach to nie tylko obowiązek prawny, ale także kwestia budowania zaufania między placówką a rodzicami. Właściwe wdrożenie przepisów RODO, przy wsparciu wykwalifikowanego IOD, gwarantuje bezpieczeństwo danych uczniów i spokój wszystkich stron procesu edukacyjnego.

Europejski Inspektor Ochrony Danych (EIOD) opublikował raport TechSonar 2025, który stanowi mapę drogową dla wszystkich administratorów danych i inspektorów ochrony danych (IOD). W raporcie zidentyfikowano 6 kluczowych trendów technologicznych, które zrewolucjonizują podejście do ochrony danych osobowych w nadchodzącym roku.

Dla nas, jako praktyków RODO, to nie tylko lektura, ale przede wszystkim przewodnik, jak proaktywnie przygotować się na wyzwania, które niesie ze sobą sztuczna inteligencja.

Czym jest TechSonar i dlaczego jest tak ważny?

TechSonar to inicjatywa EIOD, której celem jest przewidywanie technologicznych trendów, zanim staną się one realnym zagrożeniem dla prywatności. Tegoroczny, prawie 50-stronicowy dokument, koncentruje się głównie na sztucznej inteligencji i jej wpływie na dane osobowe. To sygnał, że to właśnie AI będzie głównym polem bitwy o prywatność w 2025 roku.

Sześć kluczowych wyzwań AI dla RODO w 2025 roku

Raport TechSonar 2025 wskazuje na sześć obszarów, na które musimy zwrócić szczególną uwagę:

Generacja wspomagana wyszukiwaniem (RAG): Modele językowe, które wykorzystują zewnętrzne bazy danych do precyzyjnych odpowiedzi, mogą niechcący ujawnić dane osobowe. Kontrola nad tym, co i w jaki sposób jest ujawniane, staje się ogromnym wyzwaniem, a zasada minimalizacji danych jest tu poważnie zagrożona.

AI na urządzeniach końcowych: Sztuczna inteligencja zintegrowana z naszymi urządzeniami, takimi jak smartfony czy inteligentne głośniki, przetwarza ogromne ilości danych, często bez naszej świadomej zgody. Zapewnienie poufności i kontroli nad okresem ich przechowywania to zadanie, które wymaga nowych, solidnych zabezpieczeń.

AI multimodalna: Modele, które jednocześnie przetwarzają różne typy danych (tekst, obrazy, dźwięk), tworzą nowe ryzyka. Na przykład, multimodalne rozpoznawanie emocji może prowadzić do jeszcze bardziej zaawansowanego profilowania, co stawia pod znakiem zapytania zasadę przejrzystości i prawo do sprzeciwu.

Oduczanie maszynowe (Machine Unlearning): Technologia ta pozwala na usuwanie danych z modeli AI. Choć brzmi jak idealne rozwiązanie dla realizacji „prawa do bycia zapomnianym”, w praktyce jest to niezwykle trudne do wdrożenia. Istnieje ryzyko, że usunięcie danych może zaburzyć działanie całego systemu.

Skalowany nadzór (Scalable Oversight): Ten trend dotyczy dostosowywania działania AI w celu zapewnienia bezpieczeństwa. W kontekście RODO kluczowe jest wprowadzenie mechanizmów kontroli, które będą w stanie monitorować procesy przetwarzania danych w czasie rzeczywistym.

Neuro-symboliczna AI: Połączenie różnych modeli AI, które mają naśladować ludzkie rozumowanie, tworzy nowe wyzwania dla zasady przejrzystości. Jak wytłumaczyć decyzję algorytmu, jeśli bazuje on na tak skomplikowanych i złożonych wnioskach?

Praktyczne implikacje dla zgodności z RODO

Raport nie tylko identyfikuje zagrożenia, ale również wskazuje, co powinniśmy zrobić, aby im sprostać.

Obowiązki administratorów danych:

Przeprowadzenie DPIA: Jeśli wdrażasz systemy AI, nie ma co do tego wątpliwości — ocena skutków dla ochrony danych (DPIA) jest obowiązkowa.

Transparentność: Upewnij się, że algorytmy są zrozumiałe dla użytkowników, a decyzje podejmowane przez AI można łatwo wyjaśnić.

Prawo do wyjaśnienia: Zapewnij swoim klientom i pracownikom możliwość uzyskania informacji na temat, dlaczego system AI podjął daną decyzję.

Reagowanie na naruszenia: Pamiętaj o 72-godzinnym terminie na zgłoszenie naruszenia ochrony danych osobowych, nawet jeśli dotyczy ono systemów AI.

Jakie działania podjąć w 2025 roku?

Szkolenia: Koniecznie zorganizuj szkolenia dla pracowników, które połączą wiedzę o AI z praktycznymi aspektami RODO.

Audyty: Regularnie sprawdzaj, czy wdrożone systemy AI są zgodne z zasadami RODO.

Polityki prywatności: Zaktualizuj swoje polityki, aby uwzględniały nowe ryzyka związane z AI.

Współpraca: Nawiąż współpracę z organami nadzorczymi, takimi jak UODO. Ich interpretacje i wytyczne będą kluczowe w 2025 roku.

Podsumowanie

Raport TechSonar 2025 nie pozostawia złudzeń. Sztuczna inteligencja to nie tylko szansa na rozwój, ale również nowe, poważne wyzwania dla ochrony danych osobowych. Naszym zadaniem jest przygotować się na nie proaktywnie i kompleksowo.

Kluczem do sukcesu jest łączenie wiedzy technicznej z prawem. Tylko dzięki temu będziemy mogli czerpać korzyści z AI, jednocześnie chroniąc dane osobowe i pozostając w pełnej zgodności z RODO.

RODO Online – wersja 5.4.0 – Rewolucyjna aktualizacja, która zmienia sposób zarządzania ochroną danych osobowych

W dobie rosnących wymagań prawnych i coraz bardziej zaawansowanych cyberzagrożeń, efektywne zarządzanie ochroną danych osobowych staje się kluczowym elementem sukcesu każdej organizacji. System RODO Online w wersji 5.4.0 wprowadza przełomowe funkcjonalności, które nie tylko usprawniają codzienną pracę, ale także zapewniają pełną zgodność z przepisami RODO.

Kluczowe innowacje w wersji 5.4.0

Szablony uprawnień – oszczędność czasu i eliminacja błędów.

Jedną z najważniejszych nowości jest wprowadzenie szablonów uprawnień, które rewolucjonizują sposób zarządzania dostępem pracowników do danych osobowych.

Co to oznacza dla Twojej firmy?

• Oszczędność czasu: Zamiast ręcznie konfigurować uprawnienia dla każdego pracownika, możesz wykorzystać gotowe szablony.
• Bezpieczeństwo: Eliminacja błędów ludzkich przy przypisywaniu uprawnień.
• Przejrzystość: Pełna kontrola nad tym, kto ma dostęp do jakich danych.
• Elastyczność: Możliwość kopiowania uprawnień między pracownikami lub tworzenia własnych szablonów

Zaawansowany moduł audytów – profesjonalne zarządzanie zgodnością z przepisami prawa.

Moduł audytów przeszedł kompletną metamorfozę, wprowadzając funkcjonalności na poziomie profesjonalnych narzędzi audytorskich.

Nowe możliwości:

• Inteligentna nawigacja: Przejście między pytaniami bez utraty postępu.
• Zalecenia audytowe: Dodawanie szczegółowych rekomendacji.
• Raporty w czasie rzeczywistym: Generowanie raportów na każdym etapie audytu.
• Informacje kontekstowe: Szybki dostęp do przepisów i wskazówek.
• Załączniki i notatki: Pełna dokumentacja procesu audytowego.

Przypisanie IOD do firmy – centralizacja zarządzania.

Nowa funkcjonalność pozwala na przypisanie Inspektora Ochrony Danych do konkretnej firmy, co zapewnia:

• Precyzyjne zarządzanie: Każda firma ma swojego dedykowanego IOD (wybranego spośród użytkowników serwisu)
• Automatyzacja: Dane IOD automatycznie wypełniają się m.in. w rejestrach.
• Bezpieczeństwo: Zabezpieczenie przed przypadkowym usunięciem przypisanego IOD.
• Kontakt: Dodatkowe pola na telefon i adres dla lepszej komunikacji.

Ulepszone zarządzanie dokumentami:

Dokumenty zostały wzbogacone o nowe funkcjonalności:

• Drzewo uprawnień: Przejrzysty widok powiązanych uprawnień w dokumentach.
• Rozszerzone raportowanie – pełna transparentność.

Nowe raporty zapewniają kompletną widoczność działań w systemie odnośnie do modułu Obiegu dokumentów:

• Zestawienie akcji pracowników: Szczegółowe śledzenie aktywności związanych z dokumentami.
• Zestawienie dokumentów pracowników: Pełna dokumentacja z filtrowaniem.

Incydenty i naruszenia zostały wzbogacone o: datę zakończenia zdarzenia, co zapewnia pełną dokumentację cyklu życia incydentu.

Dlaczego warto wybrać serwis RODO Online?

Korzyści biznesowe:

• Redukcja kosztów związanych z błędami w dokumentacji
• Minimalizacja ryzyka naruszeń RODO
• Centralizacja zarządzania wieloma lokalizacjami
• Automatyzacja procesów związanych z uprawnieniami
• Skalowalność systemu wraz z rozwojem firmy
• Wsparcie dla struktur wielopodmiotowych
• Profesjonalne audyty
• Zaawansowane raportowanie dla zarządu

Zalety:

• Kompleksowość – system obejmuje wszystkie aspekty zarządzania ochroną danych osobowych – od podstawowych dokumentów po zaawansowane audyty.
• Intuicyjność – nowoczesny interfejs użytkownika sprawia, że nawet osoby bez doświadczenia w RODO mogą efektywnie korzystać z systemu.
• Bezpieczeństwo najwyższe standardy bezpieczeństwa danych, certyfikacje i regularne aktualizacje.
• Wsparcie – dedykowany zespół ekspertów ds. RODO gotowy do pomocy.
• Rozwój – ciągłe innowacje i dostosowanie do zmieniających się przepisów.

Podsumowanie

RODO Online 5.4.0 to nie tylko aktualizacja – to rewolucja w zarządzaniu ochroną danych osobowych. Nowe funkcjonalności sprawiają, że system staje się niezbędnym narzędziem dla każdej organizacji, która poważnie traktuje zgodność z RODO.

RODO Online – Twój partner w zarządzaniu ochroną danych osobowych

Rodzinne wakacje to czas radości i relaksu, ale dla rodziców świadomych ochrony prywatności mogą też oznaczać dodatkowe wyzwania związane z bezpieczeństwem danych osobowych dzieci. W 2025 roku, gdy technologie stają się coraz bardziej zaawansowane, a usługi turystyczne coraz częściej zbierają dane biometryczne i śledzą lokalizację, ochrona prywatności najmłodszych nabiera szczególnego znaczenia.

Zgoda rodziców – fundament ochrony danych dziecka

Kluczowa zasada RODO stanowi, że przetwarzanie danych osobowych dzieci poniżej 16 roku życia wymaga zgody rodzica lub opiekuna prawnego. W praktyce wakacyjnej oznacza to, że hotele, parki rozrywki, centra sportowe czy nawet restauracje oferujące specjalne programy dla dzieci muszą uzyskać wyraźną zgodę od rodziców przed zbieraniem jakichkolwiek danych osobowych dziecka.

Najczęstsze sytuacje wymagające zgody rodzicielskiej:

• rejestracja w klubach dziecięcych w hotelach
• korzystanie z programów lojalnościowych skierowanych do dzieci
• uczestnictwo w konkursach i zabawach organizowanych przez obiekty turystyczne
• użycie aplikacji mobilnych przeznaczonych dla dzieci podczas pobytu

Praktyczna rada: zawsze pytaj o politykę prywatności przed zapisaniem dziecka do jakichkolwiek aktywności wakacyjnych. Większość obiektów turystycznych powinna mieć przygotowane specjalne formularze zgody dla rodziców.

Ochrona wizerunku dziecka – kiedy można publikować zdjęcia?

Publikowanie zdjęć dzieci z wakacji w mediach społecznościowych stało się powszechną praktyką, ale niesie ze sobą poważne ryzyko dla prywatności małoletnich. Pamiętaj, że każde zdjęcie dziecka opublikowane w internecie może być wykorzystane przez osoby trzecie w sposób, którego nie jesteś w stanie przewidzieć ani kontrolować.

Najważniejsze zasady bezpiecznego udostępniania:

• unikaj tagowania lokalizacji w czasie rzeczywistym – publikuj zdjęcia wakacyjne po powrocie do domu
• sprawdzaj ustawienia prywatności – upewnij się, że zdjęcia są widoczne tylko dla zaufanych osób
• nie publikuj zdjęć z danymi identyfikującymi – unikaj pokazywania numerów pokojów, adresów hoteli, dokumentów
• zastanów się nad przyszłością dziecka – czy będzie zadowolone z faktu, że jego wakacyjne zdjęcia są dostępne w internecie?

Alternatywne rozwiązania: rozważ tworzenie prywatnych albumów rodzinnych lub używanie aplikacji do udostępniania zdjęć tylko dla bliskiej rodziny i przyjaciół.

Aplikacje dla dzieci w podróży – bezpieczeństwo przede wszystkim

Nowoczesne aplikacje turystyczne coraz częściej oferują specjalne funkcje dla dzieci, od interaktywnych map po gry edukacyjne związane z odwiedzanymi miejscami. Jednak wiele z tych aplikacji może zbierać znacznie więcej danych niż to konieczne, włączając w to lokalizację, nawyki użytkowania czy nawet nagrania głosowe.

Co sprawdzić przed instalacją aplikacji dla dziecka:

• politykę prywatności – czy jest napisana w zrozumiały sposób?
• uprawnienia aplikacji – czy żąda dostępu do mikrofonu, aparatu, kontaktów?
• wiek docelowy – czy aplikacja jest rzeczywiście przeznaczona dla dzieci w wieku twojego dziecka?
• możliwość kontroli rodzicielskiej – czy możesz ograniczyć funkcjonalności lub dostęp do danych?

Bezpieczne alternatywy: wybieraj aplikacje od renomowanych deweloperów, które wyraźnie deklarują zgodność z przepisami o ochronie dzieci online, takimi jak COPPA (w USA) czy GDPR-K (specjalne przepisy RODO dla dzieci).

Parki rozrywki i zbieranie danych biometrycznych

Współczesne parki rozrywki coraz częściej wykorzystują zaawansowane technologie, w tym systemy rozpoznawania twarzy, skanery linii papilarnych do wstępu czy opaski RFID śledzące lokalizację gości. Te technologie, choć zapewniają wygodę i bezpieczeństwo, mogą również naruszać prywatność dzieci.

Na co zwrócić uwagę:

• systemy płatności bezgotówkowej – czy wymagają podania danych dziecka?
• opaski identyfikacyjne – jakie dane przechowują i jak długo?
• zdjęcia na atrakcjach – czy dziecko może odmówić zrobienia zdjęcia?
• systemy antykradzieżowe – czy skanują dane biometryczne dzieci?

Twoje prawa jako rodzica: masz prawo zapytać o cel zbierania danych, czas ich przechowywania oraz możliwość odmowy wyrażenia zgody na ich przetwarzanie.

Praktyczny przewodnik – checklist RODO na rodzinne wakacje

Przed wyjazdem:

•  sprawdź politykę prywatności hotelu, szczególnie dotyczącą dzieci
•  przygotuj kopie dokumentów dzieci i przechowuj je oddzielnie od oryginałów
•  zaktualizuj ustawienia prywatności w mediach społecznościowych
•  zainstaluj tylko niezbędne aplikacje i sprawdź ich uprawnienia

W trakcie wakacji:

•  nie zostawiaj dokumentów dzieci jako zabezpieczenie
•  pytaj o cele zbierania danych przed zapisaniem dziecka do aktywności
•  unikaj publikowania zdjęć z geolokalizacją w czasie rzeczywistym
•  monitoruj aktywność dziecka w internecie, szczególnie przy korzystaniu z hotelu Wi-Fi

Po powrocie:

•  usuń niepotrzebne aplikacje turystyczne z urządzeń dziecka
•  sprawdź, czy można usunąć dane dziecka z systemów obiektów turystycznych
•  przejrzyj zdjęcia przed publikacją w mediach społecznościowych
•  porozmawiaj z dzieckiem o tym, czego nauczyło się o prywatności podczas wakacji

Pamiętaj, że ochrona prywatności dziecka to inwestycja w jego bezpieczną przyszłość cyfrową.Edukując dzieci od najmłodszych lat o znaczeniu ochrony danych osobowych, pomagasz im rozwijać zdrowe nawyki cyfrowe, które będą im służyć przez całe życie.

W jednej z podwarszawskich szkół podstawowych doszło do poważnego incydentu związanego z nielegalnym wykorzystaniem technologii sztucznej inteligencji. Grupa uczniów wygenerowała za pomocą aplikacji AI nagi wizerunek swojej koleżanki – osoby niepełnoletniej – a następnie rozpowszechniała go wśród rówieśników i zachęcała do podobnych działań na Instagramie. Sprawa trafiła do Prezesa Urzędu Ochrony Danych Osobowych (UODO), który natychmiast powiadomił organy ścigania.

Poważne naruszenie prywatności i danych osobowych

Prezes UODO w swoim komunikacie podkreślił, że nawet jeśli nie doszło do rzeczywistej sesji zdjęciowej, wygenerowanie i rozpowszechnianie obrazu zawierającego wizerunek dziecka w kontekście seksualnym stanowi rażące naruszenie prawa i może mieć poważne skutki prawne i emocjonalne dla ofiary.

Wizerunek osoby – także ten cyfrowo przetworzony – stanowi daną osobową, której nie można przetwarzać bez podstawy prawnej, a w przypadku osoby niepełnoletniej – tym bardziej bez zgody jej przedstawicieli ustawowych. Sytuacja staje się jeszcze poważniejsza, jeśli obraz dotyczy sfery seksualnej – wtedy mamy do czynienia z danymi szczególnej kategorii, podlegającymi szczególnej ochronie.

Konsekwencje prawne

Prezes UODO przypomniał, że:

• Nieuprawnione przetwarzanie danych osobowych, w tym wizerunku, podlega karze grzywny, ograniczenia wolności lub pozbawienia wolności do lat 2.
• W przypadku danych wrażliwych – np. związanych z seksualnością – kara może wynosić do 3 lat.
• Dodatkowo działania uczniów mogą zostać zakwalifikowane jako przestępstwo z art. 202 § 3 Kodeksu karnego, czyli produkcja i rozpowszechnianie pornografii dziecięcej. Za taki czyn grozi od 2 do 15 lat pozbawienia wolności.

Psychologowie i eksperci ostrzegają

Psycholog dziecięcy ostrzega, że doświadczenie tak głębokiego naruszenia prywatności może prowadzić do zaburzeń lękowych, depresji, a nawet myśli samobójczych. Wiek szkolny to czas szczególnej wrażliwości na odrzucenie, a publiczne udostępnienie takiego zdjęcia może wywołać traumatyczne konsekwencje.

Ekspert ds. cyberbezpieczeństwa podkreśla, że raz udostępniony obraz może rozprzestrzeniać się w sieci bez kontroli, nawet po usunięciu z pierwotnego źródła. To ogromne zagrożenie dla prywatności i przyszłości dziecka – zarówno w wymiarze społecznym, jak i zawodowym.

Potrzeba edukacji cyfrowej i odpowiedzialności

Sprawa z podwarszawskiej szkoły pokazuje, jak bardzo potrzebna jest dziś edukacja cyfrowa – zarówno wśród dzieci, jak i dorosłych. Nauczyciele i rodzice muszą mieć świadomość, jakie zagrożenia wiążą się z nieodpowiedzialnym użyciem technologii. Jednocześnie szkoły powinny wprowadzać jasne zasady korzystania z urządzeń i aplikacji oraz podejmować działania wychowawcze i prewencyjne.

Podsumowanie

To dramatyczne wydarzenie to nie tylko przestroga, ale i realny przykład, jak rozwój technologii – w tym sztucznej inteligencji – może zostać wykorzystany w sposób skrajnie nieetyczny i niezgodny z prawem. W takiej sytuacji rolą organów państwowych, szkół i rodziców jest stanowcza reakcja, edukacja i ochrona ofiar.

Do pobrania:
Cyberprzemoc – praktyczny poradnik dla rodziców
Infografika/ dziecko w sieci zagrożeń

Ochrona danych osobowych to nie tylko obowiązek instytucji i firm, ale także prawo każdego obywatela. RODO – czyli Rozporządzenie o Ochronie Danych Osobowych – daje osobom fizycznym konkretne uprawnienia, które warto znać i z nich korzystać.

Od momentu wejścia w życie RODO (25 maja 2018 roku) każda osoba fizyczna na terenie Unii Europejskiej zyskała silniejsze narzędzia do kontrolowania swoich danych osobowych. W praktyce oznacza to, że możemy lepiej chronić swoją prywatność – zarówno w relacjach z pracodawcą, sklepem internetowym, bankiem, jak i w kontaktach z administracją publiczną.

1. Masz prawo wiedzieć, kto i dlaczego przetwarza Twoje dane

Zawsze możesz zapytać daną instytucję lub firmę, jakie dane na Twój temat gromadzi, w jakim celu, jak długo będzie je przechowywać oraz komu je udostępnia. Taki wniosek nazywany jest „żądaniem dostępu do danych”. Podmiot ma obowiązek odpowiedzieć w ciągu 30 dni.

2. Masz prawo do bycia zapomnianym

W określonych sytuacjach masz prawo żądać usunięcia swoich danych – np. gdy dane są przetwarzane bez podstawy prawnej lub gdy wycofałeś zgodę na ich przetwarzanie. To tzw. „prawo do bycia zapomnianym”. Warto jednak pamiętać, że nie zawsze będzie ono możliwe do zrealizowania – np. gdy przetwarzanie danych wynika z obowiązków prawnych (np. księgowych czy podatkowych).

3. Masz prawo do sprostowania danych

Jeśli Twoje dane są nieaktualne, nieprawidłowe lub niepełne – masz prawo zażądać ich poprawienia. Podmiot przetwarzający dane powinien niezwłocznie zaktualizować informacje.

4. Uważaj, komu podajesz swoje dane

Zanim udostępnisz swoje dane osobowe – szczególnie przez internet – upewnij się, czy masz do czynienia z wiarygodnym podmiotem. Sprawdź politykę prywatności i cel przetwarzania danych. Unikaj udostępniania danych wrażliwych (np. PESEL, dane medyczne) bez wyraźnej potrzeby.

5. Zgoda musi być świadoma i dobrowolna

Pamiętaj, że zgoda na przetwarzanie danych osobowych musi być wyrażona w sposób jasny i świadomy. Nie może być „ukryta” w długim regulaminie ani warunkowana np. dostępem do usługi, jeśli nie jest to niezbędne do jej wykonania.

6. Masz prawo do sprzeciwu

Możesz sprzeciwić się przetwarzaniu swoich danych w celach marketingowych lub w przypadku, gdy dane są przetwarzane na podstawie tzw. „uzasadnionego interesu administratora”. Administrator musi wtedy rozpatrzyć, czy dalsze przetwarzanie jest rzeczywiście konieczne.

7. Zgłoś naruszenie do UODO

Jeśli uważasz, że Twoje dane są przetwarzane niezgodnie z prawem – możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Można to zrobić zarówno elektronicznie, jak i tradycyjnie – pisemnie.

Podsumowanie

RODO nie powinno być postrzegane jako biurokratyczny obowiązek, lecz jako narzędzie chroniące nasze prawa. Świadomość przysługujących nam uprawnień pozwala skutecznie kontrolować, kto, kiedy i w jakim celu korzysta z naszych danych. W świecie, w którym informacja jest jednym z najcenniejszych zasobów – ochrona danych osobowych to kwestia nie tylko bezpieczeństwa, ale i wolności.

Rocznica wejścia w życie RODO w Polsce – 25 maja 2025: Jak zmieniło się przetwarzanie danych osobowych?

25 maja 2025 roku obchodzimy 7. rocznicę wejścia w życie RODO – przełomowego aktu prawnego, który zrewolucjonizował podejście do ochrony danych osobowych w całej Unii Europejskiej, w tym również w Polsce. To dobra okazja, by podsumować, co się zmieniło, jakie wyzwania nadal stoją przed organizacjami i jak Polacy zaadaptowali się do nowych realiów.

---

🔍 RODO w skrócie – przypomnienie

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, znane jako RODO, obowiązuje od 25 maja 2018 roku. Jego celem było ujednolicenie zasad przetwarzania danych w całej UE i wzmocnienie praw obywateli. W Polsce to również dzień, w którym wdrożono ustawę o ochronie danych osobowych.

---

🧩 Co się zmieniło przez te 7 lat?

1. Większa świadomość społeczna

Polacy zaczęli zwracać uwagę na to, co dzieje się z ich danymi. Wzrosło zainteresowanie politykami prywatności i świadome zarządzanie zgodami.

2. Nowe obowiązki dla firm

Organizacje musiały dostosować procedury, systemy IT i przeszkolić personel. Wzrosło znaczenie dokumentacji i wdrażania odpowiednich polityk bezpieczeństwa.

3. Kary i kontrole

UODO aktywnie kontroluje zgodność z RODO, a wysokość nakładanych kar stale rośnie. Tylko w 2024 roku wartość kar przekroczyła 14 milionów złotych.

4. RODO w cyfrowym świecie

Rozporządzenie miało kluczowe znaczenie dla e-commerce, usług chmurowych i portali społecznościowych, podnosząc standardy bezpieczeństwa.

---

⚠️ Wciąż aktualne wyzwania

• Złożoność przepisów dla MŚP
• Przeciążenie organizacyjne przy raportowaniu i audytach
• Rozwój technologii (AI, big data), który stawia przed RODO nowe pytania i wymaga aktualizacji regulacji

---

📊 Dane mówią same za siebie

Zgłoszenia naruszeń do UODO:

• 2024: 14 842
• 2023: 14 069
• 2022: 12 772

Wartość kar (2024): blisko 14 mln zł
Liczba decyzji: 25

---

🎯 Outsourcing IOD – praktyczne wsparcie dla Twojej firmy

Wraz z RODO pojawiła się nowa funkcja – Inspektor Ochrony Danych (IOD). To on czuwa nad zgodnością działań organizacji z przepisami. Eksperci GRUPY ELKA pełnią tę rolę w wielu firmach – oferując pełne wsparcie, audyty, dokumentację i doradztwo. Outsourcing IOD to oszczędność czasu, pieniędzy i… nerwów.

---

✅ Podsumowanie

RODO to nie tylko regulacja – to kultura ochrony prywatności. Po 7 latach wciąż jest wiele do zrobienia, ale jedno jest pewne: dane osobowe stały się walutą cyfrowego świata, którą trzeba odpowiednio chronić. A my możemy Ci w tym pomóc.

👉 Skontaktuj się z nami, jeśli potrzebujesz wsparcia w obszarze RODO.
📩 kontakt@rodo-online.eu
🌐 rodo-online.eu

Siłownie, kluby fitness i inne obiekty sportowe gromadzą i przetwarzają dane osobowe swoich klientów na każdym etapie współpracy – od rejestracji, przez obsługę treningów, po płatności i monitorowanie postępów. W związku z rosnącym znaczeniem ochrony prywatności oraz obowiązującymi przepisami, takimi jak Rozporządzenie o Ochronie Danych Osobowych (RODO), siłownie muszą szczególnie zadbać o to, jak przechowują i przetwarzają te dane. W artykule omówimy, jak RODO wpływa na działalność siłowni, jakie obowiązki nakłada na przedsiębiorców oraz jakie praktyki pozwalają na zgodne z prawem przetwarzanie danych w branży fitness.

1. RODO a siłownia – dlaczego to ważne?

RODO weszło w życie w 2018 roku, a jego wpływ na branżę fitness wciąż jest odczuwalny. Siłownie to przedsiębiorstwa, które przetwarzają dane osobowe swoich klientów na wielu płaszczyznach – od procesu rejestracji, przez monitorowanie postępów, po rozliczenia finansowe. Dane te są niezbędne do prawidłowego funkcjonowania siłowni, ale równocześnie muszą być odpowiednio zabezpieczone przed nieuprawnionym dostępem, utratą, zmianą lub ujawnieniem.

Wszystkie te dane – w tym dane kontaktowe, finansowe i zdrowotne – podlegają ochronie zgodnie z RODO. Siłownie muszą zadbać o ich bezpieczeństwo i przestrzegać odpowiednich procedur.

2. Jakie dane przetwarza siłownia?

Siłownie przetwarzają różnorodne dane osobowe, w tym:

• Dane kontaktowe: imię, nazwisko, adres e-mail, numer telefonu – wykorzystywane do komunikacji z klientami (np. potwierdzenia rejestracji, przypomnienia o zajęciach, oferty promocyjne).
• Dane dotyczące członkostwa: numer karty członkowskiej, data rozpoczęcia i zakończenia umowy, status płatności – służą do zarządzania członkostwem i rozliczeniami.
• Dane zdrowotne (wrażliwe): informacje o stanie zdrowia, alergiach, kontuzjach czy historii medycznej – niezbędne do dostosowania planu treningowego do indywidualnych potrzeb klienta.
• Dane dotyczące aktywności fizycznej: zapisy treningów, postępy, liczba odwiedzin siłowni, rodzaje wykonywanych ćwiczeń – zbierane przez aplikacje treningowe lub urządzenia monitorujące aktywność (np. smartwatch).

Każdy z tych rodzajów danych musi być odpowiednio chroniony, aby zapewnić zgodność z RODO.

3. Obowiązki siłowni w zakresie ochrony danych osobowych

Zgodnie z RODO, każda siłownia, która przetwarza dane osobowe, ma obowiązek stosować odpowiednie środki bezpieczeństwa i przestrzegać zasad przetwarzania danych. Niewłaściwe zarządzanie danymi może prowadzić do poważnych konsekwencji prawnych i finansowych. Kluczowe obowiązki to:

a) Uzyskanie zgody na przetwarzanie danych

Siłownia musi uzyskać zgodę klientów na przetwarzanie ich danych osobowych. Zgoda ta musi być dobrowolna, świadoma, jednoznaczna i może zostać wycofana w każdym momencie. Klient powinien wiedzieć, jakie dane są zbierane, w jakim celu, przez jaki czas i jakie ma prawa w zakresie ich usunięcia lub modyfikacji.

b) Przestrzeganie zasad ochrony danych

RODO wprowadza szereg zasad, które muszą być przestrzegane przy przetwarzaniu danych osobowych, m.in.:

• Zasada minimalizacji danych: Siłownia może zbierać tylko dane niezbędne do realizacji konkretnego celu.
• Zasada ograniczenia przechowywania: Dane powinny być przechowywane tylko tak długo, jak są potrzebne.
• Zasada legalności, rzetelności i przejrzystości: Dane zbierane są na podstawie umowy lub zgody klienta, a klient powinien wiedzieć, jakie dane są zbierane i w jakim celu.
• Zasada prawidłowości: Dane muszą być aktualne i poprawne.
• Zasada integralności i poufności: Dane muszą być odpowiednio zabezpieczone.
• Zasada rozliczalności: Siłownia musi być w stanie udowodnić, że przetwarza dane zgodnie z RODO.

c) Zabezpieczenie danych

Siłownie muszą wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić bezpieczeństwo danych. Należy stosować szyfrowanie, zabezpieczenie baz danych przed nieautoryzowanym dostępem oraz kontrolować dostęp do systemów informatycznych.

d) Szkolenie pracowników

Każdy pracownik siłowni, który ma dostęp do danych osobowych, musi przejść odpowiednie szkolenie z zakresu ochrony danych. Szkolenie powinno obejmować zasady przechowywania danych, zabezpieczania informacji przed nieautoryzowanym dostępem i procedury w przypadku naruszenia ochrony danych.

4. Przechowywanie i usuwanie danych

RODO nakłada obowiązek przechowywania danych osobowych przez czas niezbędny do realizacji celu, w jakim zostały zebrane. W kontekście siłowni oznacza to, że dane osobowe klientów powinny być przechowywane:

• Przez okres trwania umowy członkowskiej.
• Po zakończeniu umowy dane mogą być przechowywane do realizacji obowiązków prawnych, takich jak cele podatkowe (5 lat) czy roszczenia prawne (do 6 lat).
• Dane przetwarzane na podstawie zgody (np. marketing) mogą być przechowywane do momentu wycofania zgody przez klienta.

5. Uprawnienia osób, których dane dotyczą

Klienci siłowni mają prawo do:

• Dostępu do swoich danych.
• Poprawiania danych, jeśli są nieaktualne lub niekompletne.
• Usunięcia danych, jeśli nie są one już niezbędne do przetwarzania.
• Ograniczenia przetwarzania danych.
• Przenoszenia danych do innego administratora.

Siłownie muszą umożliwić realizację tych praw w sposób szybki i prosty.

Podsumowanie

Ochrona danych osobowych w branży fitness jest kluczową kwestią. Siłownie przetwarzają ogromną ilość danych, w tym dane wrażliwe, co wymaga szczególnej ostrożności i przestrzegania przepisów RODO. Profesjonalne doradztwo i wsparcie w zakresie ochrony danych, takie jak usługi outsourcingu funkcji Inspektora Ochrony Danych Osobowych, to rozwiązanie, które pozwala zaoszczędzić czas i pieniądze, zapewniając jednocześnie zgodność z przepisami. Firma GRUPA ELKA oferuje kompleksowe wsparcie w zakresie ochrony danych osobowych, pomagając w dostosowaniu działalności siłowni do wymogów RODO.

Docer.pl, popularna platforma do przechowywania plików, znalazła się w epicentrum poważnego incydentu cyberbezpieczeństwa. Najnowsze doniesienia serwisu Niebezpiecznik.pl ujawniają masowy wyciek wrażliwych danych klientów polskich banków, w tym szczegółowe wykazy operacji, adresy i nazwiska.

Ten incydent nie jest zwykłą pomyłką użytkownika – skala wycieku sugeruje znacznie poważniejszy problem, potencjalnie związany z naruszeniem bezpieczeństwa zewnętrznego źródła. Co to oznacza dla Ciebie i jak możesz się zabezpieczyć?

Docer.pl: Wygoda z cieniem ryzyka?

Docer.pl jest powszechnie wykorzystywany do przechowywania i udostępniania dokumentów. Niestety, jak pokazują liczne przypadki z przeszłości, platformy tego typu bywają nieświadomymi „przechowalniami” wrażliwych danych. Skan dowodu osobistego, dokumenty bankowe, akty notarialne – to tylko niektóre z poufnych plików, które już wcześniej trafiały na Docer.pl, często w wyniku ludzkiej nieuwagi.

Jednak obecny wyciek ma zupełnie inny charakter. Nie chodzi o pojedyncze pliki, a o całe zbiory danych, co wskazuje na potencjalne włamanie lub wyciek z jednego, konkretnego źródła zewnętrznego.

Twój wyciąg bankowy na widoku publicznym?

Jak informuje Niebezpiecznik.pl, jeden z użytkowników natrafił na Docer.pl na dokument zawierający jego osobiste dane – wykaz operacji z mBanku. Co więcej, plik ten nie został tam umieszczony przez niego samego. To samo dotyczy dokumentów klientów Alior Banku i Santander Banku. Kluczowe jest, że źródłem wycieku nie były bezpośrednio te banki.

Prawdopodobnym scenariuszem jest wyciek z firmy zewnętrznej, która przetwarzała dane w imieniu banków lub ich klientów – na przykład biura rachunkowego czy firmy księgowej. Brak oficjalnego potwierdzenia źródła tylko potęguje niepewność.

Co ci grozi? Poważne konsekwencje wycieku danych

Skala incydentu jest alarmująca, a potencjalne konsekwencje dla osób, których dane wyciekły, są poważne:

• Kradzież tożsamości: Wyciekłe dane mogą zostać wykorzystane do podszywania się pod Ciebie.
• Oszustwa finansowe: Dostęp do historii transakcji i danych osobowych ułatwia przeprowadzanie ataków phishingowych i innych form oszustw.
• Phishing: Cyberprzestępcy mogą wykorzystać te informacje do tworzenia bardziej wiarygodnych i skutecznych wiadomości phishingowych.

Co Powinieneś Zrobić? Natychmiastowe Kroki Ochronne

Jeśli podejrzewasz, że Twoje dane mogły wyciec, podejmij natychmiastowe działania:

• Monitoruj swoje konta bankowe: Regularnie sprawdzaj historię transakcji pod kątem podejrzanych operacji.
• Zastrzeż dokumenty tożsamości: Skontaktuj się z odpowiednimi instytucjami (np. bankiem, BIK) w celu zastrzeżenia dowodu osobistego i innych ważnych dokumentów.
• Zachowaj szczególną ostrożność wobec prób phishingowych: Nie klikaj w podejrzane linki, nie otwieraj nieznanych załączników i nie udostępniaj swoich danych osobowych przez telefon lub e-mail.
• Rozważ kontakt z bankiem: Twój bank może zaoferować dodatkowe środki bezpieczeństwa i doradzić w konkretnej sytuacji.

Lekcja dla wszystkich: bezpieczeństwo danych to podstawa

Choć Docer.pl nie był celem ataku, ten incydent przypomina o kluczowej roli bezpieczeństwa danych podczas wymiany i przechowywania dokumentów online. Eksperci ds. cyberbezpieczeństwa podkreślają:

• Szyfruj wrażliwe pliki: Zawsze szyfruj pliki zawierające dane osobowe i finansowe przed ich udostępnieniem online.
• Korzystaj z bezpiecznych kanałów komunikacji: Wybieraj zaufane i zabezpieczone platformy do wymiany dokumentów.
• Zwracaj uwagę na uprawnienia dostępu: Upewnij się, kto ma dostęp do Twoich plików i regularnie weryfikuj te uprawnienia.
• Bądź świadomy zagrożeń: Regularnie aktualizuj swoją wiedzę na temat cyberbezpieczeństwa i najnowszych metod ataków.

Co dalej? Czekamy na oficjalne informacje

Na chwilę obecną brak jest oficjalnych informacji na temat dokładnej skali wycieku i odpowiedzialności za ten incydent. Sprawa jest w toku analizy, a my będziemy śledzić rozwój sytuacji i informować o wszelkich nowych ustaleniach.

Pamiętaj, bezpieczeństwo Twoich danych jest w Twoich rękach. Bądź czujny i podejmuj świadome decyzje online!

Rozporządzenie o Ochronie Danych Osobowych (RODO), obowiązujące od 25 maja 2018 roku, zgodnie z art. 1 ust. 1 obejmuje ochroną osoby fizyczne, czyli wyłącznie żyjących ludzi. Potwierdza to także motyw 27 RODO, który jednoznacznie wskazuje, że rozporządzenie nie dotyczy danych osobowych osób zmarłych. Jednocześnie umożliwia państwom członkowskim Unii Europejskiej regulowanie tej kwestii na poziomie krajowym.

Warto podkreślić, że zdolność prawna osoby fizycznej wygasa wraz z jej śmiercią. Jednak dane osoby zmarłej mogą pozostawać powiązane z danymi jej bliskich, dlatego ich przetwarzanie powinno odbywać się z należytą starannością i poszanowaniem prywatności.

Przetwarzanie danych osób zmarłych

Mimo że RODO nie obejmuje danych osób zmarłych, ich przetwarzanie powinno być zgodne z zasadami etyki i prywatności. Dane te mogą znajdować się m.in. w:

1. Dokumentacji medycznej – zgodnie z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta, po śmierci pacjenta dostęp do jego dokumentacji medycznej mają jedynie jego bliscy.
2. Dokumentach spadkowych – w postępowaniu spadkowym notariusze, sądy oraz instytucje finansowe mogą przetwarzać dane osoby zmarłej i jej bliskich w celu realizacji formalności.
3. Dokumentach dotyczących upamiętnienia i genealogii – zgodnie z prawem możliwe jest przetwarzanie danych w celach historycznych czy naukowych, pod warunkiem poszanowania godności zmarłego.

Ochrona praw osób zmarłych w polskim prawie

Zgodnie z art. 24 Kodeksu cywilnego, niektóre dobra osobiste mogą być chronione po śmierci. Dotyczy to np. czci, pamięci czy wizerunku zmarłego. Rodzina może dochodzić swoich praw w sytuacji szkalowania lub publicznego pomawiania osoby zmarłej.

Podobne zasady dotyczą praw autorskich do dzieł pozostawionych przez zmarłego. Zgodnie z polskim prawem, prawa autorskie wygasają po 70 latach od śmierci autora, po czym jego utwory przechodzą do domeny publicznej.

Kto ma dostęp do danych osób zmarłych?

Niektóre branże szczególnie często mają do czynienia z danymi osób zmarłych i powinny przestrzegać określonych regulacji. Dotyczy to m.in.:

• pracowników służby zdrowia (lekarzy, pielęgniarek, ratowników medycznych),
• notariuszy, adwokatów, pracowników sądów,
• zakładów pogrzebowych,
• historyków, archiwistów, archeologów i genealogów.

Dane osób zmarłych mogą też występować w dokumentacji urzędowej. Na przykład oświadczenia majątkowe osób publicznych (np. radnych, burmistrzów) publikowane w Biuletynie Informacji Publicznej powinny być usuwane po ich śmierci, ponieważ ich dalsze przetwarzanie staje się bezcelowe.

Prywatność osób zmarłych a zasady etyczne

Chociaż dane osób zmarłych nie są chronione przez RODO, nie oznacza to, że mogą być swobodnie udostępniane. Kluczowe jest zachowanie zasad prywatności i etyki, zwłaszcza wobec rodzin zmarłych.

Specjaliści GRUPY ELKA świadczą profesjonalne usługi outsourcingu Inspektora Ochrony Danych, oferując wsparcie w kwestiach związanych z ochroną danych osobowych. Nasza usługa zapewnia bezpieczeństwo i zgodność z przepisami, pomagając Państwa firmie w prawidłowym zarządzaniu danymi.

Jeśli masz pytania dotyczące ochrony danych osobowych, skontaktuj się z nami – pomożemy rozwiać wszelkie wątpliwości.

Usprawnij procesy audytowe i zapewnij zgodność z RODO

Poznaj nasz nowy moduł audytowy – jeszcze skuteczniejsze narzędzie do zapewnienia zgodności z RODO!

Z naszym intuicyjnym modułem konfiguracji możesz samodzielnie tworzyć zarówno proste listy kontrolne, jak i zaawansowane szablony audytowe. Dzięki temu weryfikacja zgodności z RODO staje się prostsza i bardziej efektywna. Wystarczy kilka kliknięć, by stworzyć audyt dopasowany do specyfiki Twojej organizacji.

Dlaczego audyt RODO jest kluczowy?

Administrator danych lub podmiot przetwarzający ma obowiązek regularnego testowania, mierzenia i oceny skuteczności środków technicznych oraz organizacyjnych, które zapewniają bezpieczeństwo przetwarzania danych. Wraz z rozwojem firmy mogą pojawiać się nowe aspekty przetwarzania danych osobowych, a dotychczasowe procedury mogą wymagać aktualizacji. Audyt pozwala na wykrycie ewentualnych luk i usprawnienie procesów.

Ponadto, zgodnie z zasadą rozliczalności określoną w art. 5 RODO, administrator danych nie tylko musi przestrzegać przepisów, ale także być w stanie wykazać ich stosowanie. Najlepszym sposobem na spełnienie tego wymogu jest regularne przeprowadzanie audytów oraz tworzenie rzetelnych raportów.

Audyt jako narzędzie zapewnienia zgodności

Od początku obowiązywania RODO jasne było, że ochrona danych osobowych musi być wdrożona w praktyce, a nie tylko w teorii. Urząd Ochrony Danych Osobowych (UODO) oraz Europejska Rada Ochrony Danych (EROD) wskazują audyt jako jedno z kluczowych narzędzi monitorowania zgodności.

Regularne przeprowadzanie audytów pozwala organizacjom:

• Zmniejszyć ryzyko naruszenia przepisów i uniknąć kar,
• Szybko identyfikować i eliminować potencjalne zagrożenia,
• Spełniać fundamentalne obowiązki wynikające z RODO, takie jak analiza ryzyka czy prowadzenie rejestru czynności przetwarzania.

Moduł audytowy – wsparcie dla Twojej organizacji

Nasze rozwiązanie zapewnia kompleksowe wsparcie w procesie audytowania zgodności z RODO. Dzięki elastycznym funkcjom konfiguracji możesz łatwo dostosować audyt do swoich potrzeb. Moduł umożliwia definiowanie obszarów przetwarzania, dobór odpowiednich zagadnień i typów pytań oraz przeprowadzanie audytów zgodnie z najwyższymi standardami.

Przeprowadzając audyt RODO, uzyskasz pełny obraz stanu faktycznego i formalnego przetwarzania danych w organizacji. Na tej podstawie stworzysz szczegółowy raport, który wskaże kluczowe rekomendacje oraz priorytety wdrożenia niezbędnych działań.

Nie czekaj – zadbaj o zgodność z RODO już dziś i usprawnij swoje procesy audytowe z naszym modułem!

Biometria w pracy

            W obecnych czasach przy coraz bardziej rozwijających się technologiach biometria w codziennym życiu zaczyna odgrywać coraz większą rolę. Zgodnie z definicją biometria to nauka, która zajmuje się badaniem cech behawioralnych lub fizycznych ludzi i następnie na podstawie tego umożliwia identyfikację tożsamości konkretnej osoby. Możemy się z nią spotkać np. robiąc zakupy, ale też coraz częściej wkracza w obszar sfery zawodowej czyli umożliwia kontrolę pracownika w firmie. Tego typu technologia daje duże szanse, ale niesie ze sobą również różnego rodzaju niebezpieczeństwa. Należy zwrócić uwagę, że dane biometryczne zaliczane są do grupy danych wrażliwych, które zgodnie z RODO nie powinny być udostępnianie i podlegają szczególnej ochronie. W poniższym artykule zwrócimy szczególną uwagę na wykorzystywanie tego typu rodzaju danych przez pracodawców w firmach.

            Według Rozporządzenia o Ochronie Danych Osobowych dane biometryczne pozyskiwane są na skutek zaawansowanego przetwarzania technicznego. Przetwarzanie to obejmuje cechy fizyczne, behawioralne czy też fizjologiczne co umożliwia zidentyfikowanie konkretnej osoby. Jako przykłady można podać identyfikację osoby na podstawie twarzy, odciska palca, głosu, tego jak ktoś się podpisuje czy też chodzi.

            Zgodnie z zaleceniami Prezesa Urzędu Ochrony Danych Osobowych oraz art. 221b Kodeksu pracy dane biometryczne pracownika mogą być przetwarzanie w dwóch przypadkach:

1. Obecny lub potencjalny pracownik wyraża świadomą i dobrowolną zgodę na przetwarzanie jego danych. Musi mieć również możliwość wycofania tej zgody w każdym momencie.
2. Przetwarzanie danych pracownika wynika z konieczności zapewnienia bezpieczeństwa dostępu do bardzo kluczowych dla firmy informacji, których wyciek mógłby zaszkodzić poważnie firmie. Podobnie sprawa ma się z zapewnieniem bezpieczeństwa kluczowym pomieszczeniom np. laboratoria. 

Warto podkreślić, że pracodawca nie ma prawa wykorzystywać biometrii do ewidencjonowania rejestracji czasu pracy. Jest to niezgodne z obecnie obowiązującym w Polsce prawem.

Jeżeli jednak w innym kraju europejskim przepisy prawne danego państwa stanowią inaczej wówczas dopuszcza się przetwarzanie danych biometrycznych pracownika w kwestii czasu pracy. Wynika to z indywidualnych preferencji danego państwa. Wówczas dodatkowo takie państwo może ewentualnie opierać się na art. 9 ust. 2 lit. b RODO.

Przed wprowadzeniem w firmie identyfikacji biometrycznej pracowników należy przeanalizować kilka kwestii. Czy tego rodzaju przetwarzanie danych ma więcej pozytywnych stron niż zagrożeń jakie rodzi tego typu metoda uwierzytelniania. Warto się zastanowić czy można cel przetwarzania danych osiągnąć w prostszy, tańszy i bezpieczniejszy sposób. Jeżeli jest to możliwe należy zrezygnować z biometrii. Należy mieć na uwadze, że jest to przetwarzanie danych dużego ryzyka.

Jeżeli jednak firma podejmie decyzje, że decyduje się wprowadzić w firmie biometrię do uwierzytelniania powinna kierować się zasadą minimalizacji pozyskiwanych danych. Tutaj należy się powołać na art. 5 RODO w związku z tym przetwarzanie powinno być stosowne, adekwatne i ograniczać się do realizacji konkretnych celów. Dodatkowo motyw 39 RODO wskazuje, że tego typu przetwarzania dopuszczalne jest tylko wtedy gdy nie da się tego uzyskać w prostszy sposób. Nie powinno się nadmiernie przetwarzać i gromadzić tego typu danych. Kluczowe znaczenie przed lub w trakcie wprowadzania weryfikacji biometrycznej ma przeprowadzenie przez administratora przy wsparciu Inspektora Ochrony Danych Osobowych analizy ryzyka oraz oceny skutków dla ochrony danych (DPIA).

            Jeżeli pracodawca oceni, że wprowadzenie biometrii jest niezbędne i zgodne z przepisami powinien następnie określić operacje przetwarzania związane z wprowadzeniem biometrii. 

Jeżeli chodzi o dostęp do pomieszczeń lub określonych zagadnień w firmie można wyodrębnić następujące obszary:

1. Weryfikacja tożsamości pracownika przy użyciu cech biometrycznych
2. Autoryzacja pracownika – weryfikacja tożsamości podczas uzyskiwania dostępu do zabezpieczonych stref lub danych
3. Zbieranie i archiwizowanie danych osobowych – zapisanie wymaganych informacji w systemie biometrycznym
4. Obróbka danych w celu wykrywania oszustw – badanie zapisów w celu zapobiegania nieuprawnionemu dostępowi
5. Zapis dodatkowych informacji – rejestrowanie danych, takich jak godziny dostępu czy miejsce lokalizacji
6. Archiwizowanie i udostępnianie danych w uzasadnionych sytuacjach – np. w celu badania incydentów lub wypełnienia obowiązków prawnych

Tego typu operacje muszą być zgodne z Rozporządzeniem o Ochronie Danych Osobowych oraz pokrywać się z zasadą minimalizacji danych oraz proporcjonalności przetwarzania.

Można wymienić następujące techniki służące realizacji powyższych operacji:

1. Kontrola udostępnianych informacji – potwierdzenie danych przekazanych przez użytkownika
2. Tokeny urządzeniowe
3. Wykorzystywanie kluczy lub certyfikatów – cyfrowa weryfikacja tożsamości za pomocą unikalnych identyfikatorów
4. Analiza behawioralna – ocena typowych schematów zachowań
5. Ocena cech biometrycznych czyli np.:
   1. Podpis
   1. Odcisk palca czy też dłoni
   1. Tęczówka oka
   1. Głos

Aby uzyskać wysoki poziom weryfikacji przez biometrie można łączyć różna metody przedstawione powyżej. Należy dostosować metody do organizacji, celu przetwarzania czy też jej zasobów. 

Aby przetwarzanie danych biometrycznych było bezpieczne i adekwatne powinny być zapewnione odpowiednie gwarancje takie jak np.:

1. Powiadamianie osób, których dane dotyczą- oznacza, że osoba musi wiedzieć, że jej dane są przetwarzane
2. Powinna istnieć możliwość zerwania powiązania wzorca biometrii od danej osoby
3. Zapewnić fakt, że dane są przetwarzane tylko do realizacji konkretnego celu przetwarzania
4. Dane biometryczne powinny być odpowiednio zabezpieczone przez ich wyciekiem np. przez ich szyfrowanie
5. Bazy biometryczne nie powinny być łączone ani mieszane ze sobą
6. Dane powinny być usuwane po zrealizowaniu określonego wcześniej celu
7. Powinna być wykonane DPIA, a dane bezpieczeństwo danych z perspektywy RODO powinno być już uwzględnione i zapewnione w momencie rozpoczęcia projektu danego systemu

Jak wynika z powyżej przedstawionych treści kwestia biometrii w miejscu pracy nie jest tak jednoznaczna i prosta. Każdy pracodawca przed jej wprowadzeniem w firmie powinien dokładnie przeanalizować plusy i minusy jej wprowadzenia oraz ocenić ryzyko. Warto podkreślić, że pracodawca jako administrator danych powinien przeprowadzić ocenę ryzyka- DPIA. W tym przypadku kluczową rolę odgrywa Inspektor Ochrony Danych Osobowych, który wspiera administratora przy wszystkich kwestiach związanych z ochroną danych osobowych w firmie. Tego typu wsparcie jest szczególnie ważne przy przetwarzaniu danych wrażliwych. Warto podkreślić, że specjaliści z GRUPA ELKA świadczą outsourcing funkcji Inspektora Ochrony Danych Osobowych oraz mogą wesprzeć Państwa Organizację również w kwestiach cyberbezpieczeństwa. 

Monitoring noworodków i ich matek ukryty w zegarach, brak zgody pacjentów, a na koniec zagubienie nagrań – to scenariusz, który skończył się rekordową karą dla Centrum Medycznego Ujastek.

Łączna kwota: 1 145 891,25 zł!

Czy Twoja firma jest gotowa na kontrolę UODO?

---

Nielegalny monitoring – kamery ukryte w zegarach

W lipcu 2023 roku Centrum Medyczne Ujastek w Krakowie zamontowało kamery na oddziale neonatologii. Problem?

• Kamery były ukryte w zegarach.
• Nagrywały noworodki i ich matki bez ich wiedzy.
• Rejestrowały nawet dźwięk!

Kobiety karmiły dzieci, pielęgnowały je, rozmawiały z lekarzami – nie wiedząc, że każda sekunda jest nagrywana. To rażące naruszenie prywatności i przepisów RODO.

UODO nie miał wątpliwości – 687 534,75 zł kary za brak przejrzystości i nielegalne nagrywanie 190 osób, w tym:

• 30 noworodków,
• 60 rodziców,
• 97 pracowników personelu,
• 3 studentów odbywających praktyki.

Ale to jeszcze nie koniec.

---

Ktoś ukradł nagrania? Brak zabezpieczeń kosztował kolejne setki tysięcy

26 lipca 2023 roku Centrum Medyczne Ujastek zgłosiło UODO jeszcze poważniejszy incydent: zaginięcie kart pamięci z nagraniami.

Co wykazała kontrola?

❌ Brak szyfrowania danych – każdy mógł obejrzeć nagrania noworodków i ich matek.
❌ Brak analizy ryzyka – placówka nawet nie przewidziała takiej sytuacji!
❌ Brak procedur bezpieczeństwa – nikt nie wiedział, jak chronić tak wrażliwe dane.

Efekt? Kolejna kara: 458 356,50 zł.

Łącznie: 1 145 891,25 zł.

---

Czy Twoja firma może sobie pozwolić na taki błąd?

Centrum Medyczne Ujastek to tylko jeden z wielu przykładów. Coraz więcej firm i instytucji płaci ogromne kary za naruszenia ochrony danych osobowych. Jak uniknąć tego błędu?

🔹 Dbaj o transparentność – pacjenci i pracownicy muszą wiedzieć, że są monitorowani.
🔹 Szyfruj dane – nagrania nie mogą być łatwo dostępne dla niepowołanych osób.
🔹 Zabezpiecz sprzęt – monitoring musi spełniać najwyższe standardy RODO.
🔹 Przeprowadzaj audyty – regularna kontrola pozwoli uniknąć katastrofy.

Nie czekaj, aż UODO zapuka do Twoich drzwi. Sprawdź, czy monitoring w Twojej firmie jest zgodny z prawem.

---

Bezpieczeństwo danych i monitoring – my się tym zajmiemy!

GRUPA ELKA to ekspert w dziedzinie ochrony danych osobowych i bezpiecznego monitoringu.

✔ Dobierzemy odpowiednie urządzenia i skonfigurujemy je zgodnie z przepisami.
✔ Zaszyfrujemy i zabezpieczymy nagrania przed niepowołanym dostępem.
✔ Przygotujemy procedury zgodne z RODO, abyś nigdy nie znalazł się w sytuacji Centrum Medyczne Ujastek.
✔ Zajmiemy się całą dokumentacją – masz pewność, że działasz legalnie.

Nie ryzykuj milionowych kar. Sprawdź, czy Twoje systemy monitoringu spełniają wymogi RODO.

📞 Zadzwoń teraz: +48 885 206 000
📧 Napisz: kontak@rodo-online.eu

👉 Nie czekaj – działaj, zanim będzie za późno!

W dzisiejszych czasach ochrona danych osobowych jest kwestią kluczową. Każda osoba fizyczna powinna zwracać uwagę komu i w jakim celu udostępnia swoje dane osobowe. W dobie powszechnej cyfryzacji istnieje wiele zagrożeń dla człowieka. Przestępcy posiadają wiele narzędzi i sposobów na wykorzystanie danych osobowych w celach oszustw i popełniania przestępstw.

W ostatnim czasie poruszony został problem wykorzystania przez grupy przestępcze danych osobowych dwóch mężczyzn, w celu kupna samochodów i ich ubezpieczenia. W mediach opisane były przypadki mężczyzn na których dane osobowe zakupiono w pierwszym przypadku około 27 samochodów, a w drugim 18. Przestępcy uzyskali tylko imię i nazwisko oraz numer PESEL każdego z tych mężczyzn, co umożliwiło im dokonanie oszustw. Warto podkreślić, że tego typu dane, każdy z nas podaje w wielu miejscach np. w aptece, u lekarza czy chociażby przy okazji wpisywania się na listę poparcia kandydata danej partii przed wyborami politycznymi. Tutaj członkowie grup przestępczych wykorzystali imię i nazwisko oraz PESEL tych poszkodowanych mężczyzn do zawarcia umów kupna- sprzedaży samochodów. Warto podkreślić, że przy każdej umowie kupna samochodu przestępcy podali fikcyjny adres zamieszkania oraz fikcyjny numer i serie dowodu osobistego. Następnie okazało się, że przestępcy kupili na poszkodowanych mężczyzn odpowiednio 27 i 18 samochodów. Dużym problemem przy tego typu transakcjach kupna sprzedaży był fakt, że przestępcy z zagranicy przy podpisywaniu umowy kupna samochodu dysponowali jedynie karteczką ze spisanymi danymi, a nie fizycznym dokumentem identyfikującym tożsamość. Osoba, która sprzedawała samochód nie zweryfikowała danych kupującego z jego dokumentem czy to paszportem czy też dowodem osobistym, przez co w umowach kupna aut znalazły się dane poszkodowanych mężczyzn. Warto podkreślić, że osoby sprzedające samochody, często za nieduże pieniądze, nie dopełniły należytego obowiązku ciążącego na sprzedającym i mogą za to w przyszłości odpowiadać karnie. Jest to cenna lekcja dla wszystkich sprzedających różnego rodzaju pojazdy by dokładać staranności przy podpisywaniu umowy kupna- sprzedaży i dobrze weryfikować dane podawane przez kupującego. Niestety problemy wspomnianych wcześniej mężczyzn dopiero się zaczęły. Na samochody, które przestępcy kupili na ich dane zostały zawarte polisy OC. Zostały one zawarte na imię, nazwisko i numer PESEL. Również przy polisach ubezpieczeniowych został sfałszowany adres zamieszkania oraz podpis. W związku z tym faktem każdy z mężczyzn teoretycznie był właścicielem kilkunastu samochodów na które zostały zawarte polisy. Mężczyźni dowiedzieli się o tym fakcie, gdy towarzystwa ubezpieczeniowe zaczęły się do nich zgłaszać z wnioskami o płatność za założone polisy. Dodatkowo auta, które miały niewykupione polisy OC mogą być powodem nałożenia przez Ubezpieczeniowy Fundusz Gwarancyjny na tych poszkodowanych kar pieniężnych w wysokości do 9600 zł za auto. Powoduje to fakt, że taki poszkodowany może zostać wezwany do pokrycia łącznie OC i kar za kilkanaście aut na kwotę sięgającą nawet kilkuset tysięcy złotych. Warto podkreślić, że jeden z poszkodowanych został wpisany nawet do Krajowego Rejestru Długów.​Dodatkowo poszkodowani mężczyźni, którzy przez oszustwo stali się „właścicielami” tylu aut, otrzymali mandaty za wykroczenia popełniane w Polsce oraz za granicą, a także byli podejrzewani o dokonanie przestępstw, których udziałem były te auta np. kradzież paliwa czy jakaś kolizja. Dodatkowo urząd skarbowy zgłosił się do jednego z poszkodowanych w celu żądania opłacenia podatku od umów kupna- sprzedaży.

Można zadać sobie pytanie czy poszkodowali mogli uniknąć tego typu niekorzystnego posługiwania się ich danymi przez przestępców ? Niestety odpowiedz jest właściwie prosta. Było to praktycznie niemożliwe i taka sytuacja może spotkać każdego z nas. Należy podkreślić, że wprowadzona niedawno możliwość zastrzeżenia PESELU nie obejmuj umów kupna- sprzedaży pojazdów oraz umów zawierania polisy OC. Więc w tym wypadku nie ma dobrej możliwości aby zabezpieczyć się przed takimi przypadkami. Należy mieć nadzieję, że w przyszłości ustawodawca weźmie pod uwagę tego typu sytuacje i przepisy prawa zostaną dostosowane by chronić ludzi przed tego typu sytuacjami.

​Jeżeli jednak taka sytuacja spotka kogoś z nas powinno wykonać się trzy czynności:

1. Złożyć zawiadomienie o popełnieniu przestępstwa do prokuratury

2. Złożyć zawiadomienie o tego typu sytuacji do Ubezpieczeniowego Funduszu Gwarancyjnego

3. Sprawdzać regularnie w mObywatelu jak wygląda sytuacja z zarejestrowanymi na nas fikcyjnie samochodami za pomocą strony www, gdyż wówczas można sprawdzić dane pochodzące z CEPiKU

Jak wynika z powyższych informacji każda osoba powinna chronić swoje dane osobowe, szczególnie PESEL. Należy na ten fakt zwracać uwagę i nie podawać przypadkowo swoich danych. Warto zwrócić uwagę, że często wyciek danych osoby fizycznej następuje z różnego rodzaju firm, które przetwarzają dane osobowe do swojej działalności. Każda z tych firm powinna się zastanowić czy w odpowiedni sposób zabezpiecza dane klientów oraz czy wie jak postąpić w razie wycieku danych osobowych. Na podstawie powyższego artykułu widać, że dane które wyciekną z bazy konkretnej firmy mogą wywołać wiele szkód dla klienta. Firma taka może być narażona na konsekwencję finansowe oraz utracić renomę oraz zaufanie klientów. Specjaliści firmy GRUPA ELKA świadczą usługi, które mogą pomóc każdej firmie zabezpieczyć się w zakresie cyberbezpieczeństwa oraz kwestiach związanych z RODO za pomocą outsourcingu Inspektora Ochrony Danych Osobowych.

Uważaj na to co skanujesz smartfonem na parkingach

Ministerstwo Cyfryzacji ostrzega przed fałszywymi kodami QR na parkingach. Rząd wydał krótki komunikat, który sugeruje, że coś jest na rzeczy i fałszywe kody QR pojawiają się na parkometrach. Skala oszustwa jest trudna do oszacowania – wcześniej dotyczyło kilku dużych miast, tym razem może obejmować nawet całą Polskę.

Fałszywe QR kody na parkometrach to rosnący problem, który może prowadzić do oszustw, a także do nieautoryzowanego pobierania opłat od użytkowników. Złodzieje tworzą kopie prawdziwych kodów QR lub generują fałszywe kody, które mogą prowadzić do stron internetowych podszywających się pod oficjalne systemy płatności. Użytkownik, skanując taki kod, może zostać przekierowany do fałszywej witryny, gdzie zostanie poproszony o wprowadzenie danych osobowych oraz numeru karty płatniczej, a dane i środki finansowe mogą zostać skradzione. Szczególnie ważne jest aby nie dać się oszukać, wtedy gdy wybierzemy się do innego miasta, gdyż wygląd oznakowań na parkometrach nie jest jednolity w całym kraju i różni się w zależności od miejscowości. 

W parkomatach zazwyczaj można zapłacić za pomocą gotówki, BLIK-iem lub kartą płatniczą. Bilet parkingowy można także wykupić za pośrednictwem aplikacji typu SkyCash, moBiLET czy mPay itp. 

Aby ustrzec się przed oszustami umieszczającymi fałszywe QR kody na parkometrach, warto podjąć kilka kluczowych kroków ostrożności. Oto praktyczne porady, które pomogą zminimalizować ryzyko stania się ofiarą oszustwa:

1. Sprawdzaj źródło QR kodu

• Oficjalne parkometry: Upewnij się, że kod QR pochodzi z autentycznego parkometru. Fałszywe kody mogą wyglądać podobnie do oryginalnych, ale mogą być umieszczone w innych miejscach (np. na naklejkach) lub być źle wydrukowane. Sprawdź, czy kod znajduje się bezpośrednio na parkometrze i jest dobrze widoczny.
• Oficjalne aplikacje i strony: Korzystaj z aplikacji mobilnych dedykowanych do płatności za parkowanie. Większość miast oferuje swoje aplikacje lub zaufane platformy, które umożliwiają bezpieczne płacenie bez potrzeby skanowania kodów QR.

2. Zachowaj czujność przy skanowaniu kodu

• Sprawdzenie poprawności: Jeśli skanujesz kod QR, upewnij się, że adres strony, na którą prowadzi, jest zgodny z oficjalną witryną systemu parkingowego. Fałszywe strony mogą mieć zbliżoną nazwę domeny, ale subtelne różnice (np. dodatkowe znaki, błędy w nazwie).
• Unikaj podejrzanych linków: Jeśli po zeskanowaniu kodu pojawi się strona, która wydaje się podejrzana (np. ma dziwne grafiki lub prosi o wprowadzenie nadmiarowych danych), natychmiast zakończ proces.

3. Sprawdzaj wygląd kodu

• Drukowanie i stan kodu: Fałszywe kody mogą być słabej jakości lub rozmazane, co utrudnia ich zeskanowanie. Jeśli zauważysz, że kod QR na parkometrze jest nieczytelny, źle wydrukowany lub wygląda podejrzanie (np. jest naklejony na innych częściach parkometru), zgłoś to odpowiednim służbom.
• Zerknij na parkometr: Upewnij się, że parkometr jest w dobrym stanie i nie został usunięty lub uszkodzony w sposób podejrzany. Oszuści mogą naklejać swoje kody na starych lub zdezelowanych urządzeniach.

4. Korzystaj z aplikacji parkingowych

• Oficjalne aplikacje: Wiele miast i operatorów parkingów oferuje aplikacje mobilne do opłacania parkowania. Zamiast skanować QR kod na parkometrze, skorzystaj z aplikacji, która jest bezpiecznym sposobem płatności.
• Płatności bez QR kodów: Aplikacje często umożliwiają płacenie za parkowanie przy użyciu numeru rejestracyjnego pojazdu lub innych identyfikatorów, eliminując potrzebę skanowania QR kodu.

5. Sprawdź informacje na parkometrze

• Numer telefonu lub adres strony: Większość legalnych parkometrów ma umieszczony numer telefonu lub adres strony internetowej, do której można się odwołać w razie wątpliwości. Jeśli zauważysz jakiekolwiek podejrzane zmiany lub brak tych informacji, bądź ostrożny.
• Informacje o operatorze parkingowym: Zaufane urządzenia mają oznaczenia firmy/operatora odpowiedzialnego za system płatności. Jeżeli nie widać żadnych informacji o operatorze, lepiej nie korzystać z parkometru.

6. Zgłaszaj podejrzane sytuacje

• Kontakt z władzami: Jeśli natkniesz się na parkometr z fałszywym kodem QR lub zauważysz, że coś wydaje się nieprawidłowe, niezwłocznie zgłoś to odpowiednim służbom miejskim lub firmie odpowiedzialnej za parking. W ten sposób pomożesz uniknąć oszustw w przyszłości.

7. Ostrożność przy płatnościach online

• Unikaj podawania danych w nieznanych miejscach: Jeśli zostaniesz przekierowany do strony, która prosi o dane osobowe, numer karty kredytowej lub inne wrażliwe informacje, upewnij się, że strona jest bezpieczna (sprawdź, czy adres zaczyna się od „https” i czy widoczny jest symbol kłódki w przeglądarce).
• Płatność przez zaufane platformy: Korzystaj tylko z oficjalnych metod płatności dostępnych na znanych platformach.

Dzięki tym krokom możesz znacząco zmniejszyć ryzyko zostania ofiarą oszustów stosujących fałszywe kody QR na parkometrach.

Szkolenie pracowników z zakresu ochrony danych osobowych jest bardzo ważną kwestią. 81 % firm w sektorze małych i średnich przedsiębiorstw szkoli pracowników z ochrony danych osobowych. Niestety niecała 1/5 nie robi tego w ogóle. Na podstawie danych przedstawionych przez Urząd Ochrony Danych Osobowych aż 60 % przedsiębiorstw, które szkolą własny personel czyni to tylko jeden raz przy okazji zatrudnienia. Wśród tych przedsiębiorstw górują mikrofirmy, w których procent szkolonych jednorazowo pracowników wynosi około 59 %. W przypadku średnich firm jest to 52 %, a podium zamykają małe firmy z wynikiem 40 %. Jeżeli przeanalizujemy te firmy na podstawie branży w jakiej działają to najczęściej są to firmy z branży usługowej- około 67 % lub budowlanej- 61 %. Przewagę mają tutaj jednoosobowe działalności gospodarcze w stosunku do spółek, procentowo jest to 63 do 55. Według badania przeprowadzonego przez serwis ChronPESEL.pl i KRD pod patronatem UODO tylko około 22 % firm twierdzi, że ponownie szkoli pracowników z zakresu ochrony danych osobowych w trakcie dalszego trwania zatrudnienia. Najlepiej sytuacja wygląda w małych firmach, gdzie deklarację taką złożyło aż 41 % badanych. Drugie miejsce zajmują średnie firmy z wynikiem 35 %, a na ostatnim miejscu są mikrofirmy z niskim wynikiem tylko 21 %. Tego typu rezultat może być wynikiem niewielkich rotacji personelu. Jeżeli spojrzymy na powyższe wyniki z perspektywy branży to góruje branża produkcyjna z wynikiem 57 %, następnie jest branża handlowa z wynikiem 35%, a na końcu jest branża transportowa- 34 %. Z tego spółki to 31 % badanych, a jednoosobowe działalności gospodarcze to 12 %.

Należy zwrócić uwagę, że w firmie bez względu na jej wielkość najsłabszym ogniwem z perspektywy bezpieczeństwa jest człowiek. Nieprzeszkolone osoby popełniają najczęściej podstawowe błędy. Mogą np. otworzyć e-maila z wirusem, ustawiają hasła łatwe do odgadnięcia lub udostępniają je innym pracownikom. Kolejnym częstym błędem pracowników, którzy nie przeszli szkolenia lub mieli je dawno jest nieszyfrowanie wysyłanych mailowo plików czy też trzymanie przez nich w chmurze niezabezpieczonych dokumentów z danymi osobowymi klientów bądź współpracowników. Kolejnym dużym błędem jest używanie przez nich niezaszyfrowanych pendrive lub dysków przenośnych.

Tego typu zaniedbania mogą prowadzić do utraty zaufania klientów, spadku renomy i prestiżu firmy czy w ostateczności dużych strat finansowych czy też kar nałożonych na daną firmę. Dużo właścicieli firm z sektora małych i średnich przedsiębiorstw lekceważy zagrożenie ze strony hakerów. Prezesi firm przypuszczają, że są mało atrakcyjnym celem ze względu na wielkość firmy. Nic bardziej mylnego. Cyberprzestępcy starają się wykraść jak najwięcej danych nie patrząc przy tym na wielkość organizacji. Każda firma powinna mieć świadomość, że nawet najlepsze zabezpieczenia nie będą skuteczne gdy pracownik nie jest przeszkolony z zakresu ochrony danych osobowych czy też z zakresu cyberbezpieczeństwa.

59 % przedsiębiorców deklaruje, że po ataku hakerów i wycieku danych zgłosiła by to organom ścigania. 2% mniej ankietowanych podjęła by działania mające na celu poinformowanie osób, których dane wyciekły oraz zmieniła by hasła na używanych w firmie komputerach. Tylko ponad połowa firm deklaruje, że zwiększyła by poziom zabezpieczeń. Z powyższych danych wynika, że aż 40 % firm z sektora MŚP nie wie jak zachować się po ataku hackerskim i potencjalnym wycieku danych osobowych. Najgorsze jest, że tylko 42 % badanych zgłosiła by wyciek danych do UODO, a jako administratorzy powinni to wykonać jeżeli istnieje ryzyko (wyższe niż małe) szkodliwego wpływu na osoby, których dane zostały ujawnione.

W naszym kraju funkcjonuje około 2,3 mln firm z sektora małych, mikro i średnich. 3 % badanych deklaruje, że kradzież danych z ich przedsiębiorstwa zakończyła się sukcesem i tym samym dane wyciekły. W związku z tym można oszacować, że około 71 tys. firm utraciło dane, które były dla nich cenne w mniejszym bądź większym stopniu. Należy podkreślić, że są to przypadki w których administrator posiada wiedze o utracie danych. Należy zadać sobie pytanie jak wiele danych rzeczywiście co roku jest kradzionych, a o ilu przypadkach firmy nie wiedzą. Przecież część ataków hackerskich nie pozostawia widocznych na pierwszy rzut oka śladów. Według badania ankietowego największe zagrożenie dotyczy firm transportowych. Aż 32 % badanych z tego sektora deklaruje, że ich firma była obiektem ataku cyberprzestępców. Należy również zwrócić uwagę na fakt w jaki sposób przedsiębiorstwa przekazują dane do podmiotów świadczących dla nich usługi z zakresu księgowo- kadrowego. Zaraz po atakach hackerskich, drugim najczęstszym problemem związanym z wyciekiem danych osobowych są kwestie związanie z odpowiednim zabezpieczeniem przepływu danych osobowych do podmiotu przetwarzającego dane na zlecenie administratora.

Ochrona danych osobowych w firmie jest bardzo ważną kwestią. Należy chronić dane by zapobiec osłabieniu wizerunku firmy lub uniknięciu konsekwencji finansowych dla przedsiębiorstwa. Warto pamiętać o zapewnieniu firmie określonego poziomu bezpieczeństwa. Należy podkreślić, że specjaliści z GRUPY ELKA świadczą usługi z zakresu outsourcingu Inspektora Ochrony Danych Osobowych oraz przeprowadzają szkolenia z zakresu ochrony danych osobowych. Dodatkowo nasza firma świadczy usługi z zakresu cyberbezpieczeństwa.

Montowanie przydomowego monitoringu na własnej posesji jest popularnym sposobem na zwiększenie bezpieczeństwa. W momencie coraz łatwiej dostępnych kamer, przystępnych cenowo, gwarantujących coraz lepszą jakość i obszerną pamięć, wiele osób decyduje się na ich zakup i instalację. Czy taka ochrona jest dozwolona przez polskie prawo? Problem może pojawić się, wtedy gdy kamery swoim zasięgiem obejmują ulicę lub teren należący do sąsiada.

Instalacja systemu monitoringu na posesji to skuteczny sposób na zwiększenie bezpieczeństwa. Dzięki temu ochrona własnego dobytku staje się znacznie prostsza, tym bardziej że kamery zazwyczaj wyposażone są w funkcje detekcji ruchu i mogą być sterowane zdalnie. To pozwala również na obserwacje otoczenia nawet wtedy, gdy właściciele nieruchomości znajdują się poza domem. Choć z pewnością jest to duże udogodnienie, ale czy jest legalne? W tym przypadku obowiązują pewne ograniczenia. Kamera obejmująca wyłącznie teren posesji osoby, która ją instaluje, nie jest objęta regulacjami RODO. Art. 2 ust. 2 lit. c RODO przewiduje, że rozporządzenie nie ma zastosowania, gdy dane osobowe są przetwarzane przez osobę fizyczną w ramach działalności o charakterze czysto osobistym lub domowym. Sytuacja jednak się zmienia, gdy kamera rejestruje teren znajdujący się poza prywatną posesją. Właściciele kamer często nie zdają sobie sprawy z tego, jak istotną różnicę z punktu widzenia  RODO powoduje choćby przypadkowe, nieumyślne nakierowanie kamery na drogę czy sąsiednią nieruchomość.  

Kamera monitoringu swoim zasięgiem obejmuje drogę

W sytuacji, gdy kamery monitoringu obejmują teren poza Twoją posesją i rejestrują  na nośnikach danych osoby które się tam znajdują, wówczas dochodzi do przetwarzania danych osobowych, a to oznacza, że masz obowiązek przestrzegania przepisów RODO.W szczególności należy ustalić cel monitoringu oraz upewnić się, czy nie jest możliwe zastosowanie innych środków, które pozwolą go zrealizować, a nie będą wymagały gromadzenia danych, które mogą być uznane za nadmiarowe. Konieczne jest również wskazanie uzasadnionego interesu administratora i uzasadnienie, dlaczego nagrywanie konkretnego miejsca jest ważniejsze niż prawo do prywatności osób, które znajdą się na nagraniach. 

Decydując się na montaż kamer obejmujących drogę należy zdawać sobie sprawę z obowiązków ciążących na Tobie jako administratorze danych osobowych:

1. Jako administrator danych masz obowiązek poinformowania o kamerach – możesz to zrobić, umieszczając w widocznym miejscu znak informujący o prowadzonym monitoringu. 

2. Następnie jesteś zobowiązany do zabezpieczenia sprzętu służącego rejestracji obrazu i nagrań z nich pochodzących. Musisz się upewnić, że system, który stosujesz w celu monitoringu posesji gwarantuje ochronę danych osobowych. 

3. I na koniec jako administrator danych osobowych masz obowiązek zapewnić osobom, które znajdują się na nagraniach, dostęp do danych.

Kamera obejmująca posesję sąsiada

Kolejnym częstym przypadkiem są kamery nagrywające (choćby częściowo) posesję sąsiada. W tym przypadku bardzo trudne będzie powołanie się na prawnie uzasadniony interes administratora, który byłby ważniejszy niż prawo do prywatności sąsiada.

Nagrywanie posesji sąsiada będzie możliwe za jego zgodą, a ma on prawo w każdej chwili wycofać tę zgodę, w takim przypadku należy natychmiast zaprzestać używania kamer w ten sposób.

Podsumowanie

Monitoring prywatny jest legalny i o ile obejmuje on jedynie teren posesji, a przy tym nie rejestruje wizerunku osób trzecich, przepisy RODO nie mają zastosowania. W przeciwnym razie, utrwalając wizerunek osób trzecich, musisz stosować się do przepisów tego rozporządzenia. W przypadku naruszenia prywatności innych osób lub nieprzestrzegania przepisów prawa, osoby prowadzące monitoring mogą ponieść odpowiedzialność karną lub cywilną.

Nie można jednak zaprzeczyć faktom, że kamery na posesji zwiększają poziom bezpieczeństwa i stają się skutecznym narzędziem do ochrony przed włamywaczami i innymi przestępcami. Co więcej, nagrania z monitoringu mogą pomóc także w przypadku ustalenia zdarzeń podczas roszczenia o wypłatę odszkodowania z tytułu ubezpieczenia, czy ustaleniu sprawców ewentualnych szkód na posesji. Dlatego warto rozważyć jego zastosowanie.

Ostatnia pandemia Covid-19 ? spowodowała, że duża liczba pracowników z pracy stacjonarnej w biurze przeszła na pracę zdalną ?. Wówczas pracownicy zostali zmuszeni do kontaktów wirtualnych ?, zarówno między sobą, jak i z innymi osobami w firmie. Aby móc realizować zadania zawodowe, zaczęli wykorzystywać programy umożliwiające komunikację, takie jak Microsoft Teams, Zoom czy Google Meet ??. Dzięki wideokonferencjom ? mogli skutecznie kontaktować się z klientami, wymieniać pomysły w organizacji i realizować codzienne obowiązki. Słysząc i widząc się nawzajem, praca zdalna była możliwa na profesjonalnym poziomie ??, zastępując codzienne spotkania w biurze.

Mimo że pandemia już się skończyła, wielu pracowników nadal pracuje zdalnie ? i korzysta z tych narzędzi. Podobnie jest z pracownikami różnych oddziałów firmy, którzy kontaktują się online. Warto jednak zastanowić się ?, czy podczas wideokonferencji odpowiednio chronimy nasze dane osobowe ?.

Każdy uczestnik wideokonferencji udostępnia pewien zakres danych osobowych. Mogą to być: imię, nazwisko, e-mail, głos, wizerunek czy adres IP ??. Zgodnie z art. 4 pkt 1 RODO, są to dane osobowe, ponieważ umożliwiają identyfikację osoby fizycznej. Ponadto, organizowanie wideokonferencji, nagrywanie ich ?️, czy transmitowanie na żywo to przetwarzanie danych osobowych zgodnie z art. 4 pkt 2 RODO. Urząd Ochrony Danych Osobowych (UODO) ?️ wydał w 2020 roku szereg zaleceń, aby zminimalizować ryzyko związane z przetwarzaniem danych podczas wideokonferencji.

Pierwsza zasada mówi o tym, aby organizacja wybierająca oprogramowanie do wideokonferencji zapoznała się z jego polityką prywatności ?. Pracownik powinien sprawdzić, jakie dane aplikacja chce uzyskać – np. dostęp do kontaktów lub lokalizacji ??. Ważne, by aplikacje instalować tylko z oficjalnych źródeł, takich jak Google Play czy App Store. Należy również zadbać o to, aby nikt nie miał dostępu do tego, co widzimy na ekranie ?️. Aplikacja powinna korzystać z szyfrowania ?, a pracownik powinien korzystać z zabezpieczonego hasłem Wi-Fi ?.

Podczas wideokonferencji należy ograniczyć ilość udostępnianych danych do minimum ?. Pracownik powinien używać innego hasła do wideokonferencji niż do pozostałych programów ? i unikać udostępniania linków do konferencji w mediach społecznościowych ?. Warto także korzystać z VPN ?, zamazywać tło za sobą ? oraz włączać kamerę i mikrofon tylko wtedy, gdy to konieczne ?️?.

Organizacje często mają różne cele przetwarzania danych osobowych związane z wideokonferencjami ? – mogą to być transmisje na żywo, udostępnianie ekranu czy panele dyskusyjne. Ważne jest, aby wideokonferencje były wykorzystywane zgodnie z wcześniej określonymi celami i unikać zbierania nadmiarowych danych ?.

Przetwarzanie danych osobowych musi być zgodne z prawem ?. W tym przypadku chodzi głównie o wizerunek pracownika. Przykładowo, art. 6 ust. 1 lit. b RODO mówi, że przetwarzanie jest niezbędne do wykonania umowy, a pracownik, mając obowiązki zawodowe, musi realizować zadania takie jak szkolenia czy rozmowy biznesowe ?. Art. 6 ust. 1 lit. a RODO zakłada, że pracownik dobrowolnie wyraża zgodę na przetwarzanie swoich danych ?️.

Każda organizacja powinna, w miarę możliwości, wybierać dostawców oprogramowania z siedzibą w UE ?, ponieważ Unia Europejska przykłada dużą wagę do ochrony danych osobowych. Warto jednak przeanalizować potencjalne korzyści i zagrożenia związane z transferem danych do państw trzecich ?. W takich przypadkach pomocne mogą być konsultacje z Inspektorem Ochrony Danych Osobowych ?️‍♂️, który może doradzić w kwestiach ochrony prywatności.

Pamiętajmy, że bezpieczna wideokonferencja to nie tylko wygoda, ale i obowiązek prawny oraz odpowiedzialność za dane osobowe, które przetwarzamy ??.

Od środy 25 września sygnalista jest chroniony ?️
Od tego dnia osoby zgłaszające nieprawidłowości w związku z wykonywaną pracą zyskały ochronę przed działaniami odwetowymi kadry kierowniczej organizacji.

Kto może być sygnalistą? ?
Sygnalistą może być każda osoba narażona na działania odwetowe po dokonaniu zgłoszenia, niezależnie od podstawy i formy świadczenia pracy. Taka sama pomoc będzie przysługiwała również osobie pomagającej sygnaliście i osobie z nim powiązanej. Działania odwetowe mogą polegać np. na pozbawieniu awansu, podwyżki, nagrody ? lub w skrajnych przypadkach zwolnieniu z pracy.
Status sygnalisty jest przyznawany w momencie dokonania zgłoszenia. Tożsamość takiej osoby musi być zachowana w tajemnicy ?. Firma, organizacja decyduje, czy przyjmowane będą anonimowe zgłoszenia.

Ustawa o ochronie sygnalistów ?
Ustawa o ochronie sygnalistów będzie wchodziła w życie etapami. Państwowa Inspekcja Pracy zaznacza, że od 25 września 2024 r. osoby zgłaszające nieprawidłowości zyskają ochronę, natomiast przepisy określające zasady składania przez nich zgłoszeń o nieprawidłowościach będą wchodziły w życie w późniejszych terminach. Nowe procedury zaczną więc w pełni obowiązywać dopiero od 1 stycznia 2025 r. ?
Z przepisów ustawy wynika, że firmy zatrudniające co najmniej 50 osób (niezależnie od umowy) są zobowiązane do wdrożenia procedury zgłoszeń wewnętrznych i stworzenia kanałów do ich przyjmowania.
Wyjątkiem są m.in. podmioty działające w sektorze finansowym ? (np. banki), które mają obowiązek stworzenia kanałów zgłoszeń w każdym przypadku. Nie dotyczy to też działalności w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu ? i ochrony środowiska ? oraz jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 tys. mieszkańców.

Jak ma wyglądać procedura zgłaszania nieprawidłowości? ?
W ciągu siedmiu dni od zgłoszenia sygnalista otrzymuje potwierdzenie, że jego zawiadomienie zostało przyjęte, chyba że jest to zgłoszenie anonimowe. Następnym krokiem jest podjęcie przez pracodawcę działań następczych. Jeśli osoba lub zespół wyznaczone do obsługi zgłoszeń nieprawidłowości oceni, że zgłoszenie jest zasadne, wszczyna się postępowanie wyjaśniające.
W ciągu trzech miesięcy sygnalista powinien otrzymać informację zwrotną na temat podjętych działań następczych w związku ze zgłoszeniem działań. Nie musi to jednak oznaczać zakończenia rozpoznawania zgłoszenia, chociaż rekomenduje się tu szybkie i sprawne działanie.
Ustawa określa, jakich obszarów może dotyczyć zgłoszenie:

• Korupcja ?
• Zamówienia publiczne ?
• Usługi, produkty i rynki finansowe ?
• Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu ??
• Bezpieczeństwo produktów i ich zgodność z wymogami ?
• Bezpieczeństwo transportu ?
• Ochrona środowiska ?
• Ochrona radiologiczna i bezpieczeństwo jądrowe ☢️
• Bezpieczeństwo żywności i pasz ?
• Zdrowie i dobrostan zwierząt ?
• Zdrowie publiczne ?
• Ochrona konsumentów ?️
• Ochrona prywatności i danych osobowych ?
• Bezpieczeństwo sieci i systemów teleinformatycznych ?️
• Interesy finansowe Skarbu Państwa oraz jednostek samorządu terytorialnego i Unii Europejskiej ?
• Rynek wewnętrzny Unii Europejskiej, w tym publicznoprawne zasady konkurencji i pomocy państwa oraz opodatkowania osób prawnych ?
• Konstytucyjne wolności i prawa człowieka i obywatela w stosunkach jednostki z organami władzy publicznej ⚖️

Jak inaczej można sygnalizować problem w pracy? ?
Oprócz zawiadomienia wewnętrznego zgłaszający może skorzystać z dwóch innych opcji sygnalizowania. Pierwsza to zgłoszenie zewnętrzne do Rzecznika Praw Obywatelskich lub organu publicznego. Zgodnie z ustawą ta możliwość wejdzie w życie od 25 grudnia. Druga to ujawnienie publiczne, np. poprzez media albo serwisy społecznościowe. ?

Ministerstwo pracy wskazało jednak, że dokonanie ujawnienia publicznego nie powinno być pierwszym krokiem. Resort zaznaczył, że w razie braku zaufania do pracodawcy powinno zostać dokonane zgłoszenie zewnętrzne do organu publicznego.

Dla wszelkich organizacji Grupa ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości i ich obsługi sygnalista-online.eu.
System umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewnia także pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937.

Serwis Sygnalista Online został zaprojektowany tak, żeby w sposób bezpieczny i intuicyjny pomóc firmom oraz organizacjom w spełnieniu wymogów zdefiniowanych w Dyrektywie UE. Bardzo ważnym elementem procesu przetwarzania zgłoszeń jest maksymalne zachowanie poufności danych Sygnalistów. Treści zgłoszeń oraz dane Sygnalisty są szyfrowane ?, a ich odczytanie wymaga znajomości hasła oraz klucza. Każdy wgląd w treść zgłoszenia oraz dane Sygnalisty odnotowywany jest w dzienniku zdarzeń zgłoszenia. ?

JAKĄ POMOC OFERUJE SYGNALISTA ONLINE?

Spójność rozwiązań
Generowanie procedury na określonych przez Użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń.

Rozliczalność
Spersonalizowany, w pełni bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń.

Zgodność
Spełnione wymagania Dyrektywy 2019/1937, Ustawy o ochronie sygnalistów oraz RODO.

Konfigurowalność
Możliwość zarządzania ustawieniami oraz dostosowanie rozwiązań do własnych potrzeb.

Poufność
Zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych.

Przejrzystość
Dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych. ?

Zachęcamy do kontaktu ? kontakt@sygnalista-online.eu, z przyjemnością wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu.

? Akt urodzenia dziecka pracownika – jak długo pracodawca może go przechowywać?

Każda firma musi przechowywać akta swoich pracowników zgodnie z przepisami prawa. Teczka personalna pracownika składa się z kilku części, w tym dokumentów związanych z urlopami i świadczeniami, w których może znaleźć się akt urodzenia dziecka.

? Aby pracodawca mógł przyznać np. urlop macierzyński, ojcowski czy rodzicielski, pracownik musi dostarczyć skrócony odpis aktu urodzenia dziecka lub jego kopię (§ 4 ust. 2 rozporządzenia MRPiPS z dnia 8 grudnia 2015 r.).

? Okres przechowywania dokumentów: Zgodnie z przepisami, pracodawca ma obowiązek przechowywać akta pracownika przez 10 lat od zakończenia stosunku pracy dla osób zatrudnionych po 31 grudnia 2018 roku. Dla pracowników zatrudnionych przed tą datą, okres ten wynosi 50 lat. Dotyczy to również kopii aktu urodzenia dziecka.

? RODO: Pracodawca może przechowywać jedynie te dane, które są niezbędne do realizacji jego obowiązków wynikających z przepisów prawa. Akt urodzenia dziecka może być potrzebny np. w przypadku kontroli z ZUS, aby wykazać zasadność udzielenia danego urlopu czy przyznania świadczenia socjalnego.

Podsumowując, pracodawca ma prawo przechowywać kopię aktu urodzenia dziecka przez cały okres zatrudnienia pracownika oraz przez okres archiwizacji akt, czyli 10 lub 50 lat w zależności od daty zatrudnienia.

Internet to nie tylko zabawa – poznaj zagrożenia i chroń się!

Internet stał się nieodłączną częścią naszego życia. Ułatwia nam codzienne zakupy, kontakt z bliskimi oraz dostarcza rozrywki. Jednakże, w sieci kryją się także niebezpieczeństwa, o których warto wiedzieć, zwłaszcza jeśli jesteś osobą starszą.???

Jakie zagrożenia czyhają w sieci?

❗️ Oszuści podszywający się pod bliskich lub instytucje: Mogą wysyłać maile lub wiadomości SMS, udając członka rodziny, przyjaciela, bank czy urząd. Ich celem jest wyłudzenie poufnych danych, takich jak hasła do bankowości internetowej czy numery kart kredytowych. Często stosują techniki manipulacyjne, aby wywołać poczucie pilności lub strachu, co zwiększa szanse na powodzenie ich oszustwa.

❗️Fałszywe strony internetowe: Oszuści tworzą strony, które łudząco przypominają strony znanych banków, sklepów internetowych czy portali społecznościowych. Ich celem jest nakłonienie Cię do podania danych osobowych lub danych karty kredytowej. Warto zawsze dokładnie sprawdzać adres URL strony i unikać klikania w linki z nieznanych źródeł.

❗️Wirusy i złośliwe oprogramowanie: Mogą uszkodzić Twój komputer lub ukraść Twoje dane. Mogą też zostać wykorzystane do wysyłania spamu lub rozprzestrzeniania innych zagrożeń. Zainfekowanie komputera może nastąpić poprzez otwieranie załączników z podejrzanych maili lub odwiedzanie niezaufanych stron internetowych.

❗️Nękanie i cyberprzemoc: W internecie możesz paść ofiarą nękania lub cyberprzemocy. Może to obejmować obraźliwe wiadomości, groźby, a nawet publikowanie Twoich zdjęć lub filmów bez Twojej zgody. Cyberprzemoc może mieć poważne konsekwencje dla zdrowia psychicznego i poczucia bezpieczeństwa.

Jak chronić się przed zagrożeniami w sieci?

✋?Bądź ostrożny/a z kim się kontaktujesz: Nie ufaj wszystkim, co przeczytasz lub komu usłyszysz w internecie. Uważaj na maile i wiadomości SMS od nieznanych osób, nawet jeśli udają kogoś, kogo znasz. Zawsze weryfikuj tożsamość nadawcy przed podaniem jakichkolwiek danych.

✋?Nie podawaj poufnych danych w sieci: Nigdy nie podawaj nikomu w internecie swoich haseł, numerów kart kredytowych ani innych poufnych danych. Banki i instytucje nigdy nie proszą o takie informacje poprzez maile lub SMS-y.

✋?Korzystaj z silnych haseł: Używaj różnych haseł do różnych kont i zmieniaj je regularnie. Hasło powinno być długie i zawierać litery, cyfry oraz znaki specjalne. Silne hasła znacznie utrudniają dostęp do Twoich kont niepowołanym osobom.

✋?Instaluj oprogramowanie antywirusowe: Oprogramowanie antywirusowe może pomóc chronić komputer przed wirusami i złośliwym oprogramowaniem. Pamiętaj o regularnej aktualizacji tego oprogramowania, aby zapewnić sobie najwyższy poziom ochrony.

✋?Bądź ostrożny/a z tym, co klikasz: Nie klikaj w linki w podejrzanych wiadomościach e-mail lub na stronach internetowych. Pamiętaj, że nie wszystko, co widzisz w internecie, jest prawdziwe. Unikaj otwierania załączników i linków od nieznanych nadawców.

✋?Dbaj o prywatność w mediach społecznościowych: Uważaj na to, jakie informacje udostępniasz w mediach społecznościowych. Nie publikuj danych osobowych, takich jak adres domowy lub numer telefonu. Zastanów się dwa razy, zanim udostępnisz swoje prywatne życie publicznie.

✋?Rozmawiaj z bliskimi o zagrożeniach w sieci: Rozmawiaj z rodziną i przyjaciółmi o zagrożeniach w sieci i o tym, jak się przed nimi chronić. W razie wątpliwości lub problemów poproś o pomoc. Wspólna edukacja na temat bezpieczeństwa online jest kluczem do ochrony przed zagrożeniami.

Pamiętaj, że internet to nie tylko zabawa. Dbaj o swoje bezpieczeństwo i korzystaj z niego rozważnie! Dzięki odpowiedniej wiedzy i ostrożności możesz cieszyć się wszystkimi korzyściami, jakie oferuje sieć, unikając przy tym potencjalnych zagrożeń.❌?

Otrzymujesz podejrzane wiadomości od nieznanych nadawców lub zauważyłeś na rachunku przelew za usługę, której nie zamawiałeś? Takie sytuacje mogą być wynikiem wycieku danych osobowych, które podałeś podczas rejestracji konta w sklepie internetowym, zakupów online lub umawiania wizyty u lekarza. Świadomość, że ktoś obcy może zrobić zakupy lub zaciągnąć kredyt na Twoje nazwisko, może być bardzo niepokojąca i wywoływać podobny dyskomfort psychiczny, jak mieszkanie w domu, do którego wcześniej ktoś się włamał.

Najpoważniejsze zagrożenie wynikające z utraty kontroli nad danymi osobowymi to kradzież tożsamości, czyli bezprawne wejście w posiadanie danych identyfikujących osobę i wykorzystanie ich bez jej zgody. Przestępcy, którzy ukradli nasze dane, najczęściej robią to, aby uzyskać korzyści majątkowe, np. wyłudzić kredyt, zwłaszcza w parabankach, gdzie można zaciągnąć pożyczkę zdalnie, bez dokładnej weryfikacji tożsamości wnioskodawcy, lub dokonywać zakupów w sklepach internetowych.

Posiadanie przez nieuczciwe osoby numeru PESEL może prowadzić do poważnych konsekwencji. Oszust może uzyskać dostęp do świadczeń opieki zdrowotnej przysługujących osobie, której dane zostały naruszone, a także do informacji o jej stanie zdrowia. Często systemy rejestracji pacjentów opierają się jedynie na potwierdzeniu tożsamości za pomocą numeru PESEL.

Pozornie niegroźne ujawnienie danych do logowania w serwisach internetowych i mediach społecznościowych może zostać wykorzystane do publikowania obraźliwych postów i komentarzy, co może poważnie zaszkodzić wizerunkowi osoby, której dane przejęto.

Mając świadomość powagi sytuacji, nie można lekceważyć sygnałów, które mogą świadczyć o wycieku danych. W każdym przypadku masz prawo zweryfikować te informacje u administratora danych osobowych, czyli dostawcy usług lub produktów, któremu przekazałeś swoje dane, np. podczas rejestracji konta lub składania zamówienia. Administrator ma obowiązek wyjaśnić, czy doszło do naruszenia ochrony danych, a jeśli tak, to jakie są jego skutki i czy Twoje dane zostały objęte tym naruszeniem.

Jak zastrzec utracone dokumenty?

W przypadku zagubienia lub kradzieży dowodu osobistego, prawa jazdy, paszportu lub innego dokumentu tożsamości, należy natychmiast zastrzec ten dokument w banku, w którym posiadasz konto. Zgłoszenia można dokonać w dowolnej placówce swojego banku, a zastrzeżenie będzie skuteczne dla wszystkich rachunków bankowych. Wszystkie banki w Polsce, a także inne instytucje finansowe, są w systemie „Dokumenty Zastrzeżone Związku Banków Polskich”. Zgłoszenia są automatycznie przekazywane do Centralnej Bazy Danych i rozsyłane do pozostałych uczestników systemu. W razie zagubienia dowodu osobistego należy także zgłosić jego utratę do urzędu, który wydał dokument, lub – jeśli przebywasz za granicą – do konsulatu.

Jak zastrzec numer PESEL?

Usługa zastrzeżenia numeru PESEL polega na przekazaniu informacji do instytucji pożyczkowych, że osoba, której numer został zastrzeżony, nie zamierza zawierać umów pożyczki ani zaciągać innych zobowiązań. Usługę można aktywować na przykład poprzez portal gov.pl. Od zeszłego roku każdy może bezpłatnie złożyć wniosek o zastrzeżenie numeru PESEL w urzędzie gminy, banku, SKOK-u, na poczcie, a także elektronicznie, za pomocą aplikacji mobilnej mObywatel. Zastrzeżenie jest odnotowywane w centralnym rejestrze, który musi być weryfikowany przez instytucje finansowe, notariuszy i operatorów telekomunikacyjnych przed zawarciem umów pożyczki, kredytu, leasingu, dokonywaniem niektórych czynności notarialnych lub wydaniem duplikatu karty SIM.

Jak zablokować kartę płatniczą?

Jeżeli ujawnione zostały dane z Twojej karty płatniczej, takie jak numer karty oraz kod CVV, powinieneś niezwłocznie zablokować możliwość dokonywania płatności. Można to zrobić za pomocą bankowości elektronicznej lub dzwoniąc na infolinię swojego banku. Karty można zastrzec w dowolnym momencie, 24 godziny na dobę, 7 dni w tygodniu. Można także skorzystać z uniwersalnego, międzybankowego Systemu Zastrzegania Kart, dzwoniąc pod numer (+48) 828 828 828.

Podsumowanie

Jeżeli masz poważne podejrzenia, że Twoje dane osobowe są wykorzystywane bez Twojej wiedzy i zgody w celach przestępczych, zachowaj spokój. Działaj racjonalnie, podejmując działania adekwatne do rodzaju naruszenia. Czynności, które mogą pomóc w zminimalizowaniu skutków wycieku danych, to zastrzeżenie dokumentów tożsamości, numeru PESEL, kart płatniczych.

Dane około 10 milionów pacjentów przez lata były narażone na kradzież. Dzięki zgłoszeniu sygnalisty udało się załatać luki w aplikacjach używanych przez apteki i lekarzy – poinformował  „Dziennik Gazeta Prawna”. Nie ma jednak gwarancji, że dane nie wyciekły.

„Z programów, których lekarze używają do obsługi wizyt, można było wydobyć dostęp do dokumentacji medycznej pacjentów i ich danych osobowych (w tym adresowych i kontaktowych), a także uzyskać dostęp do systemu e-WUŚ NFZ. Za jego pomocą przestępca mógłby wystawiać refundowane recepty, skierowania czy zwolnienia lekarskie” – podał „Dziennik Gazeta Prawna”.

 Wiceprezes zarządu Polskiej Izby Informatyki Medycznej Tomasz Zieliński stwierdził że, „z punktu widzenia pojedynczego pacjenta to problem większy niż wyciek danych ze szpitala, lekarz Podstawowej Opieki Zdrowotnej ma bowiem dostęp do całej historii leczenia”.

Skala ujawnionych nieprawidłowości jest ogromna, dotyczy kilkunastu tysięcy przychodni, gabinetów lekarskich, stomatologicznych i aptek. Zagrożenie wynika z niewystarczającego zabezpieczenia oprogramowania gabinetowego. 

Po tym, jak doszło do wycieku danych medycznych z ALAB-u w listopadzie ub.r., sygnalista przesłał anonimowy lista do Jakuba Staśkiewicza, (etycznego hakera i autora bloga OpenSecurity.pl). Jego nadawca opisał podatności w systemach dostarczanych przez firmy produkujące takie oprogramowanie, a używanych przez lekarzy w gabinetach.

Staśkiewicz zainteresował się sprawą przeprowadził testy, w styczniu poinformował o wynikach zespół reagowania na incydenty komputerowe CERT Polska. Potwierdziło się, że sygnalista miał rację, luka w zabezpieczaniach istnieje. 

Producenci zapewnili, że „podatności zostały załatane„, a w czerwcu CERT Polska wydał komunikat z opisem sytuacji. „Jak przyznają eksperci NASK, nie znaleziono nigdzie dowodów, by ktoś z podatności skorzystał i pobrał z aplikacji dane pacjentów. Żadnej z takich baz nie wystawiono np. na sprzedaż w darkwebie, nikt też nie zgłosił się do producentów oprogramowania czy placówek po okup” – czytamy w „DGP”.

Na opisanym przykładzie jasno widać jak przydatna jest instytucja Sygnalisty. Przez lata „dziurawe” oprogramowanie było użytkowane przez kilkanaście tysięcy przychodni, gabinetów lekarskich, stomatologicznych, apteki i nikt nie zareagował. Dopiero po ujawnieniu nieprawidłowości odpowiednie instytucje zajęły się zabezpieczeniem programu.

Dla firm, urzędów, placówek służby zdrowia oraz innych instytucji Grupa ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości  i ich obsługi sygnalista-online.eu

System umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewnia także pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937. 

Serwis Sygnalista Online został zaprojektowany tak, żeby w sposób bezpieczny i intuicyjny pomóc firmom oraz organizacjom w spełnieniu wymogów zdefiniowanych w Dyrektywie UE. Bardzo ważnym elementem procesu przetwarzania zgłoszeń jest maksymalne zachowanie poufności danych Sygnalistów. Treści zgłoszeń oraz dane Sygnalisty są szyfrowane, a ich odczytanie wymaga znajomości hasła oraz klucza. Każdy wgląd w treść zgłoszenia oraz dane Sygnalisty odnotowywany jest w dzienniku zdarzeń zgłoszenia. 

JAKĄ POMOC OFERUJE SYGNALISTA ONLINE?

Spójność rozwiązań

Generowanie procedury na określonych przez Użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń

Rozliczalność

Spersonalizowany, w pełni bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń

Zgodność

Spełnione wymagania Dyrektywy 2019/1937, Ustawy o ochronie sygnalistów oraz RODO

Konfigurowalność

Możliwość zarządzania ustawieniami oraz dostosowanie rozwiązań do własnych potrzeb

Poufność

Zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych

Przejrzystość

Dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych

Zachęcamy do kontaktu kontakt@sygnalista-online.eu, z przyjemnością wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu

Rozporządzenie ochrony danych osobowych, które obowiązuje w Polsce od 2018 roku reguluje wiele spraw związanych z danymi osobowymi. Warto jednak podkreślić, że w społeczeństwie wiele osób ma problem z interpretacją konkretnych sytuacji, które spotykają w życiu, a które dotyczą ich danych osobowych. Podobnie jest w przypadku rodziców dzieci, które uczęszczają do szkoły lub uczniów, którzy ukończyli osiemnasty rok życia. W szkole przetwarza się duże ilości danych osobowych.

Art. 99 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe mówi o zakresie obowiązków każdego ucznia jakie powinny być zawarte w statucie każdej szkoły. Punkt drugi stwierdza, że statut szkoły powinien określać termin i formę usprawiedliwienia nieobecności uczniów zarówno tych niepełnoletnich oraz tych, którzy osiągnęli pełnoletność. Warto jednak podkreślić, że w ustawie nie są zawarte konkretne informacje, które powinny znaleźć się w usprawiedliwieniu. Powoduje to sytuację, że w zasadzie w statutach szkół zawarte są różne wymagania. Najczęściej jednak statut wymaga by podane zostały imię i nazwisko dziecka, data oraz przyczyna nieobecności ucznia bądź okoliczności, w wyniku których uczeń nie mógł przybyć na zajęcia. Większość statutów wymaga również by usprawiedliwienie miało charakter pisemny. I tutaj pojawia się wątpliwość czy przyczyna lub okoliczności nieobecności ucznia, czyli najczęściej choroba lub stan zdrowia ucznia powinny być ujawniane. Same dane medyczne są danymi szczególnie chronionymi, a gdy dotyczą dziecka podlegają jeszcze większej ochronie.

Motyw 38 RODO podkreśla, że dane osobowe dzieci podlegają szczególnej ochronie, ponieważ osoby małoletnie nie są świadome ryzyka, konsekwencji i praw przysługującym im w związku z przetwarzaniem ich danych osobowych. Każda szkoła tworząc statut, a w nim pewne zasady powinna kierować się również RODO. W przypadku reguł dotyczących usprawiedliwienia nieobecności, szkoła powinna zwrócić uwagę na zasadę minimalizacji danych oraz zasadę rzetelności przetwarzania danych osobowych. Zgodnie z pierwszą zasadą dane pozyskiwane przez szkołę powinny być adekwatne, stosowne oraz tylko takie, które niezbędne są do osiągnięcia celu w którym są gromadzone i przetwarzane. W przypadku drugiej zasady administrator danych osobowych powinien rozpatrzyć, czy przetwarzanie danych jest wykonywane w oparciu o analizę interesów zarówno administratora jak i osoby fizycznej czyli w naszym wypadku ucznia. Szkoła powinna przeanalizować w jakim stopniu przetwarzanie danych ucznia odnosi się do zapewnienia mu prywatności.

Według stanowiska Urzędu Ochrony Danych Osobowych szkoła nie ma prawa żądać uzasadnienia nieobecności dziecka w szkole. Nie ma prawa również żądać ujawnienia jego danych medycznych, czyli choroby czy stanu zdrowia. Są to dane nadmiarowe, a interes dziecka jako prawo do prywatności znajduje się wyżej niż prawo administratora, czyli szkoły do realizacji swojego celu. UODO wskazuje, że w przepisach nie jest nigdzie określone, że rodzice są zobowiązani do podania uzasadnienia. Mają jednak możliwość samodzielnego podjęcia decyzji o tym czy zechcą podać uzasadnienie, czy też nie. Nauczyciel dostrzegając długotrwałe nieobecności ucznia, mimo iż są usprawiedliwione powinien omówić tą sytuację z rodzicami ucznia bądź w przypadku pełnoletności danej osoby z samym zainteresowanym. W sytuacji dalszych długich nieobecności ucznia nauczyciel może poinformować o swoich wątpliwościach sąd rodzinny.

W dzisiejszych czasach istnieje wiele wątpliwości związanych z ochroną danych osobowych czy to dorosłych czy dzieci. Należy podkreślić, że specjaliści działu ODO GRUPY ELKA świadczą kompleksowy zakres usług związanych z ochroną danych osobowych, w tym outsourcing funkcji Inspektora Ochrony Danych.

W nowoczesnym świecie biznesu zarządzanie zasobami stanowi fundament efektywnego funkcjonowania i bezpieczeństwa każdej organizacji. Jednym z kluczowych procesów jest inwentaryzacja zasobów, która jest formalnym obowiązkiem każdej organizacji. Polega ona na sporządzeniu wykazu wszystkich dostępnych zasobów w organizacji. Zamiast ręcznych rejestrów warto wdrożyć rozwiązania informatyczne, które umożliwiają skuteczne zarządzanie inwentaryzacją i zasobami.

GRUPA ELKA, kierowana własnymi potrzebami, stworzyła serwis Zasoby Online, który w jasny i przejrzysty sposób pozwala na zarządzanie zasobami. System odpowiada na kluczowe pytania dotyczące zasobów firmy, takie jak:

• Jakie zasoby posiada firma (np. narzędzia, flota, oprogramowanie, urządzenia, sprzęt informatyczny i telekomunikacyjny)?
• Gdzie znajdują się te zasoby?
• Kto jest odpowiedzialny za stan poszczególnych zasobów?
• Kiedy upływa termin gwarancji?

Zarządzanie zasobami, czyli znajomość stanu zasobów od momentu zakupu do wycofania z użycia, ma kluczowe znaczenie dla obniżania kosztów działania i podnoszenia produktywności. System do zarządzania zasobami ułatwia zarządzanie licencjami i gwarancjami, umożliwia raportowanie oraz zapewnia stały dostęp do aktualnych informacji, co pozwala na lepsze planowanie, budżetowanie i raportowanie.

Zarządzanie zasobami to nie tylko śledzenie produktów i działań. Ważne jest, aby zarządzać zasobami przez cały okres ich eksploatacji i mieć pewność, że nie popadają w zapomnienie, tracąc swoje właściwości lub ulegając zniszczeniu. Normalizowanie, wykrywanie i odzyskiwanie zasobów informatycznych pozwala uniknąć strat finansowych wynikających z braku kontroli nad sprzętem i oprogramowaniem. Zarządzanie zasobami ma także kluczowy wpływ na bezpieczeństwo, zgodnie z normami i standardami zarządzania bezpieczeństwem.

Kilka przykładów związanych z bezpieczeństwem:

• Podatność techniczna: Bez inwentaryzacji systemów nie wiemy, czy są aktualne. Nieaktualne systemy stwarzają podatność, którą może wykorzystać intruz.
• Kontrola dostępu: Bez inwentaryzacji nie wiemy, kto ma dostęp do zasobów i czy jest on uzasadniony. Może się okazać, że uprawnienia są zbyt wysokie lub należy je odebrać.
• Monitorowanie: Bez znajomości stanu zasobów nie wiemy, co i w jakiej ilości monitorować. Brak monitoringu uniemożliwia wychwycenie anomalii i incydentów.
• Ciągłość działania: Niekompletna inwentaryzacja może spowodować brak informacji o gwarancjach czy wsparciu technicznym. Nie będziemy wiedzieć, czy mamy kopie bezpieczeństwa i odpowiednie procedury.
• Prawo licencyjne: Bez inwentaryzacji nie zapanujemy nad wykorzystaniem licencji. Nie wiedząc, ile jakich produktów używają pracownicy, możemy naruszyć prawo.
• Shadow IT: Bez inwentaryzacji nie mamy kontroli nad niezatwierdzonym przez organizację sprzętem czy oprogramowaniem.

Stosowanie rozwiązania Serwis Zasoby Online pozwala maksymalnie wykorzystać możliwości sprzętu i oprogramowania. Posiadanie zinwentaryzowanych zasobów jest konieczne przy wdrażaniu dobrych praktyk i norm z zakresu bezpieczeństwa, a także stanowi fundament dokumentacji ochrony danych osobowych i cyberbezpieczeństwa.

Zgodnie z obecnymi standardami wiedza o posiadanych zasobach jest nieodłącznym elementem każdej infrastruktury czy projektu IT. Usługa Serwis Zasoby Online jest skierowana zarówno do klientów posiadających rozbudowaną infrastrukturę IT, jak i do tych, którzy dopiero rozpoczynają proces transformacji cyfrowej.

Zapraszamy do zapoznania się z ofertą serwisu zasoby-online.eu.

W dzisiejszych czasach samochody osobowe są najpopularniejszym środkiem transportu. Z biegiem lat przekształciły się z prostych pojazdów w zaawansowane maszyny. W przyszłości mają stać się całkowicie niezależne od człowieka. Samochody powinny monitorować zachowanie kierowcy, analizować i optymalizować pracę silnika oraz oceniać otoczenie wokół pojazdu. Już teraz potrafią kontrolować kierunek jazdy. Docelowo samochody mają być w pełni autonomiczne, co zwiększy wygodę podróżowania i bezpieczeństwo.

Aby pojazd był autonomiczny, musi gromadzić wiele danych, a kierowca powinien mieć zapewnioną prywatność. Obecnie nad autonomicznymi samochodami pracują firmy takie jak Tesla Motors, Google, Apple oraz czołowi producenci samochodów. Istnieje sześć poziomów autonomii pojazdów:

1. Poziom 0 – brak automatyzacji; samochód posiada jedynie podstawowe systemy wspomagania kierowcy, takie jak ESP, tempomat czy ABS.
2. Poziom 1 – wykorzystanie jednego elementu autonomizacji, np. utrzymywanie stałej odległości od poprzedzającego pojazdu.
3. Poziom 2 – jazda półautomatyczna; samochód kontroluje kierunek jazdy, utrzymanie pasa ruchu, hamowanie, przyspieszenie oraz odległość od innych pojazdów.
4. Poziom 3 – komputer kieruje pojazdem, ale w niebezpiecznej sytuacji to człowiek przejmuje kontrolę.
5. Poziom 4 i 5 – pełna autonomia pojazdów.

Badania przeprowadzone przez firmę Intel wskazują, że całkowicie autonomiczny samochód pozyskuje od 4 do 6 TB danych każdego dnia. Pojazdy mogą wymieniać dane między sobą (Vehicle to Vehicle), z inteligentną infrastrukturą drogową (Vehicle to Infrastructure), oraz ze wszystkimi elementami otoczenia (Vehicle to Everything). Wszystkie systemy w takich pojazdach muszą chronić dane zgodnie z RODO.

Autonomiczne pojazdy gromadzą różnorodne dane osobowe, m.in. związane z optymalizacją funkcjonowania samochodu, prawidłową eksploatacją pojazdu, oraz sposobem korzystania z niego przez kierowcę. Dane te mogą obejmować zachowanie kierowcy podczas jazdy, jego preferencje, a nawet informacje o stanie zdrowia. Przykładowo, sposób hamowania czy szybkość reakcji mogą wskazywać na różne choroby. Ponadto, dane dotyczące naruszeń prawa, takie jak przekraczanie prędkości, mogą być gromadzone przez pojazd. Informacje te są atrakcyjne dla reklamodawców, którzy mogą tworzyć spersonalizowane reklamy wyświetlane kierowcy podczas jazdy. Autonomiczne auta mogą również informować o warunkach drogowych i zagrożeniach na drodze. Kamery w takich pojazdach rejestrują wizerunki innych pojazdów i ich numery rejestracyjne.

Każda firma gromadząca dane osobowe poprzez autonomiczne pojazdy musi przestrzegać art. 5 ust. 1 lit. C RODO, minimalizując ilość pobieranych danych do niezbędnego minimum. Przetwarzanie danych musi być uzasadnione konkretnym celem, odbywać się na podstawie umowy lub zgody osoby, której dane dotyczą, i być zgodne z prawem. Problem może stanowić uzyskanie zgody, gdy z pojazdu korzysta kilku kierowców. Użytkownicy autonomicznych aut powinni być informowani o zakresie i celu gromadzonych danych, oraz o administratorach tych danych.

Rozwój technologii niesie ze sobą zagrożenia cybernetyczne. Hakerzy mogą przejąć kontrolę nad pojazdem, wgrać wirusa i doprowadzić do niebezpiecznych sytuacji. Autonomiczne auta przyniosą wiele korzyści, ale konieczne jest zapewnienie odpowiednich zabezpieczeń. Specjaliści GRUPY ELKA oferują kompleksowe usługi z zakresu cyberbezpieczeństwa.

14 czerwca Sejm przyjął poprawki Senatu do ustawy o ochronie sygnalistów, a następnie ustawa została podpisana przez prezydenta Andrzeja Dudę 20 czerwca 2024 roku. Ustawa wejdzie w życie trzy miesiące po jej ogłoszeniu, a przepisy dotyczące zgłoszeń zewnętrznych zaczną obowiązywać po sześciu miesiącach. Celem ustawy jest wdrożenie dyrektywy Parlamentu Europejskiego i Rady UE, która miała zostać wprowadzona przez kraje unijne do 17 grudnia 2021 roku.

Kim jest sygnalista?

Sygnalista to osoba fizyczna, która zgłasza naruszenia prawa za pomocą wewnętrznych lub zewnętrznych kanałów zgłoszeń, bądź ujawnia takie informacje publicznie, w kontekście swojej pracy. Sygnalistą może być:

• Pracownik
• Pracownik tymczasowy
• Osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej
• Przedsiębiorca
• Prokurent
• Akcjonariusz lub wspólnik
• Członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej
• Osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy
• Stażysta
• Wolontariusz
• Praktykant
• Funkcjonariusz w rozumieniu art. 1 ust. 1 ustawy z dnia 18 lutego 1994 r. o zaopatrzeniu emerytalnym funkcjonariuszy Policji, ABW, AW, SKW, SWW, CBA, SG, SM, SOP, PSP, SCS i SW
• Żołnierz w rozumieniu art. 2 pkt 39 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny

Zgodnie z ustawą, ochroną zostaną objęte osoby zgłaszające naruszenia prawa niezależnie od formy i podstawy ich zatrudnienia. Sygnalista będzie mógł zgłaszać naruszenia poprzez wewnętrzne kanały zgłoszeń utworzone przez podmioty prywatne i publiczne, zewnętrzne kanały zgłoszeń do odpowiednich organów państwowych, a w szczególnych przypadkach również poprzez publiczne ujawnienie.

Działania sygnalisty mogą dotyczyć następujących obszarów:

• Korupcja
• Zamówienia publiczne
• Usługi, produkty i rynki finansowe
• Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu
• Bezpieczeństwo produktów i ich zgodność z wymogami
• Bezpieczeństwo transportu
• Ochrona środowiska
• Ochrona radiologiczna i bezpieczeństwo jądrowe
• Bezpieczeństwo żywności i pasz
• Zdrowie i dobrostan zwierząt
• Zdrowie publiczne
• Ochrona konsumentów
• Ochrona prywatności i danych osobowych
• Bezpieczeństwo sieci i systemów teleinformatycznych
• Interesy finansowe Skarbu Państwa, jednostek samorządu terytorialnego oraz Unii Europejskiej
• Rynek wewnętrzny UE, w tym zasady konkurencji i pomocy państwa oraz opodatkowania osób prawnych
• Konstytucyjne wolności i prawa człowieka i obywatela w relacjach z organami władzy publicznej

Trzy kanały ujawnienia nieprawidłowości przez sygnalistę:

1. Ujawnienie publiczne – podanie informacji o naruszeniu prawa do wiadomości publicznej.
2. Zgłoszenie zewnętrzne – ustne lub pisemne przekazanie informacji o naruszeniu prawa Rzecznikowi Praw Obywatelskich albo odpowiedniemu organowi publicznemu.
3. Zgłoszenie wewnętrzne – ustne lub pisemne przekazanie informacji o naruszeniu prawa podmiotowi prawnemu (najczęściej pracodawcy).

Zgłoszenia wewnętrzne

Rozdział 3, Art. 23.1 ustawy o ochronie sygnalistów mówi o zgłoszeniach wewnętrznych: przepisy niniejszego rozdziału stosuje się do podmiotu prawnego, w którym na dzień 1 stycznia lub 1 lipca danego roku pracuje zarobkowo co najmniej 50 osób.

Dla firm, urzędów oraz innych instytucji GRUPA ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości i ich obsługi: sygnalista-online.eu. System ten umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewniając pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937.

Jaką pomoc oferuje Sygnalista Online?

• Spójność rozwiązań – generowanie procedury na określonych przez użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń.
• Rozliczalność – spersonalizowany, bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń.
• Zgodność – spełnienie wymagań Dyrektywy 2019/1937, ustawy o ochronie sygnalistów oraz RODO.
• Konfigurowalność – możliwość zarządzania ustawieniami i dostosowanie rozwiązań do własnych potrzeb.
• Poufność – zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych.
• Przejrzystość – dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych.

Zachęcamy do kontaktu: kontakt@sygnalista-online.eu. Chętnie wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu.

NIS 2 to dyrektywa na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Obejmuje środki prawne, których celem jest zwiększenie poziomu bezpieczeństwa w kwestiach cybernetycznych. Celem wprowadzenia powyższej dyrektywy jest konieczność nadążenia za wzrostem cyfryzacji i zmianami w obszarach zagrożeń dla cyberbezpieczeństwa. Należy wziąć pod uwagę, że w czasach nagłego wzrostu liczby cyberataków i incydentów Unia Europejska musiała w jakiś sposób zareagować i wprowadzić mechanizm, który zabezpieczy państwa członkowskie przed tego typu zagrożeniami. Społeczeństwa europejskie muszą w ostatnim czasie mierzyć się z takimi atakami jak np. phishing, ransomware czy różnego rodzaju złośliwe oprogramowania. NIS 2 jest pewną znaczącą częścią strategii bezpieczeństwa w zakresie cybernetyki Unii Europejskiej i jest w pełni zgodny z głównymi priorytetami Komisji Europejskiej, które skupiają się na cyfrowej erze współczesnej Europy.

NIS 2 jest następcą NIS 1, który został utworzony i wprowadzony w życie na terenie Unii Europejskiej w 2016 roku. NIS 2 zostało przyjęte 10 listopada 2022 roku, a opublikowano 16 stycznia 2023 roku. Państwa członkowskie UE mają czas na wprowadzenie NIS 2 do 17 października 2024 roku.

Tak jak wcześniej zostało wspomniane dyrektywa obejmuje środki prawne, które mają za zadanie zwiększyć poziom cyberbezpieczeństwa krajów UE poprzez:

1. Zapewnienie gotowości każdego z krajów członkowskich poprzez stworzenie odpowiednich organów czy zespołów np. CSIRT, czyli zespół reagowania na powstające incydenty bezpieczeństwa komputerowego oraz NIS, czyli krajowy organ do spraw sieci i systemów informatycznych.
   
2. Powołanie grupy współpracy, której celem jest nawiązaniem współpracy między państwami członkowskim Unii Europejskiej w zakresie wymiany informacji i różnego rodzaju doświadczeń.
   
3. Wprowadzenie zasad wysokiej kultury bezpieczeństwa w zakresie cybernetyki w obszarach i sektorach, które mają spore znaczenie dla społeczeństwa czy też dla gospodarki.

NIS 2 obejmuje więcej sektorów przedsiębiorstw i zmienia sposób ich przyporządkowania, bądź też klasyfikacji w stosunku do NIS 1. Podmioty dzieli się według wielkości podmiotu, ważności i rodzaju świadczonych usług czy poziomu powiązania z podmiotami powiązanymi czy też partnerskimi. Do NIS 2 zaliczamy  następujące rodzaje przedsiębiorstw:
transport, opieka medyczna, energia, dostawcy usług cyfrowych, banki i instytucje finansowe, infrastruktura cyfrowa oraz zaopatrzenie w wodę, żywność, dostawca sieci publicznych lub usług komunikacji elektronicznej, przestrzeń kosmiczna, gospodarki ściekami i odpadami, administracja publiczna, usługi cyfrowe takie jak platforma usług społecznych i usług centów danych, usługi pocztowe i kurierskie czy też produkcji niektórych kluczowych produktów.

Dodatkowo dyrektywa rozróżnia podmioty ważne oraz kluczowe. Pierwsza grupa to te, które zatrudniają powyżej 50 pracowników i których roczny obrót przekracza 10 mln EUR, a suma bilansowa to ponad 10 mln EUR. Natomiast druga grupa to przedsiębiorstwa zatrudniające powyżej 250 osób z rocznymi obrotami przekraczającymi 50 mln EUR lub roczna sumą bilansową przekraczającą 43 mln EUR. Nie można zapomnieć jednak o mniejszych przedsiębiorstwach. Mikro i małe firmy odgrywają kluczową rolę dla gospodarki, społeczeństwa oraz określonych typów i sektorów usług, dlatego również zobowiązane są wprowadzić u siebie założenia Dyrektywy NIS 2.

NIS 2 dodatkowo zakłada mocniejszy nacisk na organy zarządzające spółek oraz podnosi kryteria bezpieczeństwa w oparciu o zarządzanie ryzykiem i określenie środków bezpieczeństwa w zakresie cybernetyki. Dyrektywa nakłada obowiązek zgłaszania incydentów bezpieczeństwa przez przedsiębiorstwa, a sankcje za nieprzestrzeganie dyrektywy mają być znacząco wyższe. Dodatkowo NIS 2 wprowadza obowiązek zwrócenia uwagi przez przedsiębiorstwa na kwestie bezpieczeństwa łańcucha dostaw oraz relacji z kontrahentami.

NIS 2 według szacunków może objąć swoim zakresem ponad 6000 różnego rodzaju podmiotów działających aż w 18 różnych sektorach w Polsce. Za niezastosowanie się do dyrektywy może zostać nałożona duża kara finansowa. Na przedsiębiorstwa o charakterze kluczowym kara ma wynosić co najmniej 10 mln EUR lub co najmniej 2% łącznego rocznego światowego obrotu w poprzednim roku obrotowym firmy. Natomiast dla podmiotów ważnych maksymalna kara finansowa to co najmniej 7 mln EUR lub 1,4 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym firmy.

Warto podkreślić, że NIS 2 wprowadza następującą zasadę zgłaszania incydentów poważnych: 24 godziny na przesłanie wczesnego ostrzeżenia oraz 72 godziny na zgłoszenie określonego incydentu. Rozporządzenie wymaga również by przedsiębiorstwo złożyło w odpowiednim czasie raporty okresowe oraz końcowe.

GRUPA ELKA świadczy kompleksowe usługi w obszarze cyberbezpieczeństwa. Nasze usługi świadczone są przez grupę specjalistów, którzy pomogą Państwu dostosować przedsiębiorstwo do standardów nowej dyrektywy.

Do niedawna obowiązywało stanowisko Urzędu Ochrony Danych Osobowych, które mówiło że dane osobowe kandydatów aplikujących w procesie rekrutacyjnym powinny być usuwane niezwłocznie po zakończeniu tego procesu. Wyjątek stanowić może sytuacja, kiedy kandydat wyraził zgodę na przetwarzanie swoich danych na potrzeby przyszłych rekrutacji. Naczelny Sąd Administracyjny orzekł inaczej w sprawie skargi niedoszłej pracownicy firmy wysyłkowej „A”.

Przybliżmy szczegóły sprawy. Pani K. aplikowała do znanej firmy wysyłkowej „A”, niestety kobieta nie dostała pracy. Poprosiła zatem o wykasowanie jej danych z bazy, jednak firma odmówiła argumentując to tym, że musi dysponować jej danymi po skończonym procesie rekrutacji, aby zabezpieczyć się przed ewentualnymi roszczeniami kandydatki do pracy. Pani K. skierowała skargę do Urzędu Ochrony Danych Osobowych. 

Prezes UODO upomniał firmę „A” wytykając jej naruszenie przepisów prawa ochrony danych osobowych poprzez bezpodstawne przetwarzanie danych po zakończeniu rekrutacji. Zdaniem UODO uchybienie to naruszało przepisy Rozporządzenia RODO, w tym m.in. art. 6 ust.1. Decyzję tą zaskarżyła firma „A”, a Warszawski Sąd Administracyjny przychylił się do wniosku firmy wysyłkowej. W opinii WSA, Prezes UODO nie wziął pod uwagę prawnie uzasadnionego interesu Administratora. Firma „A” jako administrator danych i pracodawca jest zobowiązana do respektowania regulacji Kodeksu pracy dotyczących zakazu dyskryminacji, także w trakcie przyjmowania do pracy. Sąd wskazał, że zgodnie z art. 291 Kodeksu pracy obowiązuje 3-letni termin przedawnienia takich roszczeń. Tym samym firma „A” ma uzasadniony interes w przechowywaniu tych danych właśnie przez ten okres w celu potencjalnego ich wykorzystania w możliwym procesie sądowym.

Skargę kasacyjną do Naczelnego Sądu Administracyjnego złożył Prezes UODO, ale została ona oddalona. NSA w oparciu o art. 6 ust. 1 pkt f RODO wskazał, że przetwarzanie danych osobowych musi być oparte o trzy zasadnicze przesłanki: 

1. Administrator musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne.
2. Cele te są uzasadnione interesem prawnym administratora danych. 
3. Interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby której dane są przetwarzane. 

Zdaniem Naczelnego Sadu Administracyjnego wszystkie te przesłanki zostały spełnione i należy uznać, że dozwolone jest przechowywanie danych osobowych kandydatów nieprzyjętych do pracy także po zakończeniu procesu rekrutacji. Sąd wskazał też, że przetwarzanie jest uzasadnione w tych warunkach, o ile sprowadza się ono wyłącznie do przechowywania danych kandydatów odrzuconych w procesie rekrutacji.

Podsumowując, przechowywanie danych po zakończonej rekrutacji jest uzasadnione interesem samych kandydatów jak i pracodawców. Pracodawca może przechowywać dane zebrane w toku rekrutacji od kandydatów przez 3 lata. W okresie tym, kandydaci mogą podnieść zarzut odrzucenia ich aplikacji z powodu dyskryminacji lub nierównego traktowania.

W dzisiejszych czasach prowadzenie firmy jest niełatwym wyzwaniem. Zmieniające się przepisy stanowią ciągłe wyzwanie dla osób pracujących w firmie, szczególnie dla osób na stanowisku kadrowym bądź księgowym. Proces wdrażania nowych technologii w firmie jest jej nieodłączną częścią. Co raz to nowe programy stanowią spore ułatwienie i usprawnienie w firmie, ale również wiążą się z koniecznością dokształcania przez pracowników.

Nieodzownym elementem w działalności firmy stanowią faktury w szczególności firmach zajmujących się sprzedażą towarów lub świadczeniem usług. Tego typu dokument w każdej firmie istnieje od dawna, natomiast z czasem faktury nabrały również formy elektronicznej. Należy również zaznaczyć fakt, że w związku z wejściem w życie RODO znaczenie bezpieczeństwa danych zawartych na fakturze oraz forma ich przetwarzania nabrała nowego znaczenia.

Każda firma w swojej działalności dokonuje transakcji opodatkowanej podatkiem od towarów i usług. Dokumentem podstawowym potwierdzającym taką transakcję jest faktura.

Każda faktura według ustawy z dnia 11 marca 2004 roku o podatku od towarów i usług powinna zawierać następujące informacje:

• imiona i nazwiska podatnika i nabywcy oraz ich adresy
• numer NIP lub KRS podatnika oraz nabywcy
• jeżeli jest taka konieczność imię, nazwisko, adres oraz NIP luk KRS przedstawiciela podatkowego

Przez dane osobowe należy rozumieć wszelkiego rodzaju informację dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane osobowe znajdujące się na fakturach należą do przedsiębiorców. Stronami umowy mogą być osoby fizyczne, spółki cywilne, osoby prawne lub tzw. ułomne osoby prawne czyli: spółki partnerski, spółki jawne, spółki komandytowe oraz komandytowo-akcyjne. Mogą to być również stowarzyszenia czy wspólnoty mieszkańców. W związku z tym, że jawne i powszechnie dostępne są rejestry CEIDG oraz KRS można by wysnuć wniosek, że dane te nie podlegają RODO. Faktycznie dane osób prawnych takie jak dane o firmie, forma osoby prawnej czy dane kontaktowe nie podlegają Rozporządzeniu o Ochronie Danych Osobowych, natomiast wyjątkiem są dane osób fizycznych prowadzący jednoosobową działalność gospodarczą. Mówi o tym motyw 14 RODO, który zakłada, że tego typu dane należy chronić. Dodatkowo ochronie podlegają dane osoby fizycznej jako strony umowy znajdującej się na fakturze oraz dane spółki cywilnej osób fizycznych.

Obecnie firmy wykorzystują zaawansowane narzędzia – programy do fakturowania. Mogą one działać np. w systemie chmurowym lub jako aplikacja. Często zdarza się tak, że łączą się one z bazą danych firmy gdzie pozyskują dane kontrahentów jak również i klientów danej firmy. Dochodzi wówczas do zaawansowanego procesu przetwarzania danych osobowych. W związku z tym należy zwrócić szczególną uwagę na fakt, że tak duże ilości danych powinny być zabezpieczone w odpowiedni sposób. Firma korzystająca z danej platformy powinna sprawdzić czy dany program spełniają normy  zgodne z RODO oraz czy dany operator zapewnia odpowiednie zabezpieczenia organizacyjne oraz techniczne.

Do tego typu środków możemy zaliczyć:

• uwierzytelnianie
• nadawanie odpowiednich uprawnień
• możliwość kasowania danych w przypadku awarii dysku
• zabezpieczenia w formie programu antywirusowego
• ustawienie firewalla
• regularną konserwację systemu
• przeprowadzanie regularnych testów bezpieczeństwa
• regularne szkolenie pracowników

Tego typu programy mogą działać jako osobni administratorzy lub jako podmioty przetwarzające dane osobowe. Niezwykle ważne jest wypełnienie obowiązków wynikających z RODO w relacji administrator do administratora lub zawarcie odpowiedniej umowy powierzenia między administratorem a podmiotem przetwarzającym.

Może również dojść do sytuacji, że dane konkretnej firmy zostaną wytransferowanie poza UE/EOG. Dlatego istotne jest uwzględnić regulacje i zasady międzynarodowego transferu danych przy pomocy mechanizmów jakie przewiduje RODO czyli np. odpowiednie certyfikacje czy klauzule umowne. Ważne jest aby każdy użytkownik programu do obsługi faktur znał swoje prawa oraz zasady przetwarzania danych zawartych w oprogramowaniu z którego korzysta.

Jeżeli dana firma wystawia fakturę dla jednoosobowej działalności gospodarczej musi automatycznie pozyskać odpowiednie dane. Dochodzi wówczas to początkowego etapu przetwarzania danych czyli ich gromadzenia. W związku z tym działając w oparciu o artykuł 13 RODO firma powinna spełnić obowiązek informacyjny.

Składać się on powinien z następujących składowych:

• dane Administratora Danych Osobowych
• dane Inspektora Danych Osobowych
• podstawa prawna przetwarzania danych osobowych oraz cele przetwarzania
• informacje o odbiorcach danych osobowych
• jeżeli zachodzi konieczność przekazania danych to państw trzecich ADO powinien o tym poinformować
• okres przechowywani danych
• informacje dotyczące praw osób do których dane należą

Fakturowanie jest nieodłącznym elementem prowadzenia działalności gospodarczej w Polsce. Należy pamiętać, że są podmioty, których dane na fakturach podlegają ochronie RODO. Należy o to zadbać i nie dopuścić by dane potencjalnego klienta zostały udostępnione stroną do tego nieupoważnionym. Jeżeli by tak się jednak stało nieocenioną pomocą może być usługa Inspektora Ochrony Danych Osobowych. Firma PHU ELKA świadczy usługę zewnętrznego IOD-a. Wiedza oraz szerokie kompetencje specjalistów z działu ODO grupy ELKA mogą wspomóc firmę w zakresie ochrony danych osobowych.

W Polsce od momentu wejścia RODO w życie trwa nieprzerwanie spór dotyczący klasyfikacji tablic rejestracyjnych jako danych osobowych.

Prezes Urzędu Ochrony Danych Osobowych zajmuje stanowisko, że numery rejestracyjne są danymi osobowymi, ale sądy administracyjne (w większości) prezentują przeciwny pogląd. Eksperci są również podzieleni, część popiera kierunek orzecznictwa polskich sądów, ale jest równie liczna grupa specjalistów popierających stanowisko większości krajów UE, które uznają numery rejestracyjne samochodów za dane osobowe.

Zgodnie z art. 4 pkt 1 RODO dane osobowe to „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”. 

Przekładając to na „język polski”, jeżeli na podstawie informacji można zidentyfikować konkretną osobę fizyczną, to są to dane osobowe. Oznacza to, że ta sama informacja może stanowić dane osobowe, a winnym przypadku już nie. Zależy to od możliwości powiązania tej informacji z innymi, co umożliwia identyfikację konkretnej osoby. Odnosi się to także do kwestii czy numer rejestracyjny stanowi dane osobowe. W różnych okolicznościach różnie możemy to postrzegać. Podmiot posiadający interes prawny np. (Policja, Prokuratura, Kancelaria Komornika czy Straż Miejska) w łatwy sposób mogą uzyskać informacje o właścicielu pojazdu, nawet jeśli mają do dyspozycji jedynie numer rejestracyjny. Dużo trudniej „zwykłemu obywatelowi” jest uzyskać informacje o właścicielu pojazdu z Centralnej Ewidencji Pojazdów i Kierowców (CEPiK).

Europejskie organy ochrony danych osobowych  twierdzą, że  w większości przypadków numer rejestracyjny stanowi dane osobowe, zależy to jednak od kontekstu przetwarzania, są to dane osobowe w momencie gromadzenia np. w ramach systemu monitoringu w celu identyfikacji osoby fizycznej, aby nałożyć mandat za złe parkowanie lub inne wykroczenia drogowe.

Nasi zachodni sąsiedzi wprowadzili numery rejestracyjne pojazdów do systemu umożliwiającego ocenę zachowania kierowcy w ruchu drogowym. Oznacza to utożsamianie prowadzącego auto z właścicielem, (odpowiednie służby mają obowiązek zweryfikowania, czy pojazd prowadził właściciel czy inna osoba). Od uprawomocnienia się wyroku Wyższego Sądu Administracyjnego w Münster w 2017 roku, numery rejestracyjne są traktowane w Niemczech jak dane osobowe. Podobne stanowisko przyjęła również Francja, a organy nadzorcze Norwegii oraz Włoch nałożyło wysokie kary dla przedsiębiorców udostępniających numery rejestracyjne podczas transakcji handlowych.

Do rozważenia pozostaje zagadnienie indywidualnych tablic rejestracyjnych. Niektóre mogą wprost sugerować, że właścicielem pojazdu jest konkretny celebryta / znana osobistość, ale  trzeba wziąć pod uwagę, że różnego rodzaju celebryci sami dążą do tego aby być łatwo rozpoznawalnymi.