blog

Wszyscy wielokrotnie w ciągu dnia używamy haseł, pinów, tokenów zabezpieczających. Między innymi w Internecie, podczas autoryzacji transakcji bankowych, w trakcie logowania do systemów, aplikacji, skrzynki e-mail w pracy, czy w telefonie do serwisów społecznościowych. Większość z nas sądzi, że nasze hasła są nie do złamania i korzystamy z nich w prawidłowy sposób. Mimo to można było przeczytać w 2019 roku o możliwości zakupu na forach hackerskich bazy „Collection #1”, która zawierała 773 mln adresów e-mail oraz 21 mln haseł pochodzących z ponad 2000 serwisów (w tym również polskich), zaktualizowana baza kosztowała jedyne 45 dolarów. Więc na pewno bardzo duża liczba osób zainteresowanych ją kupiła. Dobrze, aby nie znalazły się w takiej bazie nasze dane do logowań do serwisów, co groziłoby możliwością podszycia się pod naszą osobę. Czym się zatem kierować i jakie są zasady tworzenia prawidłowych haseł?: 

1. Długość hasła, to wg powszechnie obowiązujących przepisów i przekonania: 8 znaków. Warto tu przypomnieć że, im więcej znaków, tym lepiej. Zalecamy minimum 12 znaków.

2. Hasło winno składać się z kombinacji, a więc małych i wielkich liter, – cyfr, – znaków specjalnych.

3. Hasło powinno składać się ze znaków wybieranych z całej klawiatury (trudniej je dostrzec osobie obserwującej naszą klawiaturę – najlepiej abyśmy wpisywali je dwoma rękoma.)

4. Hasło nie powinno składać się z klawiszy sąsiadujących (nawet gdy pozornie spełnia stopień komplikacji); #edc$rfv, 9i8u7y.

5. Hasło nie powinno zawierać danych związanych z Twoja osobą, takich jak: imię, nazwisko, powszechnie znane fakty z Twojego życia czy otoczenia, np.: Tomek123, gruby!@#

6. W haśle nie należy używać słów, które tworzą znane wszystkim kolokacje, powiedzenia, tytuły, cytaty, teksty piosenek, ponieważ nie jest to przypadkowy ciąg wyrazów. Pamiętaj, iż istnieje tzw. metoda brute force – technika łamania haseł lub kluczy kryptograficznych polegająca na sprawdzeniu wszystkich możliwych kombinacji.

7. Każde hasło winno być zmienne w czasie. Zaleca się, aby zmieniać hasło co najmniej raz w miesiącu (w zależności od stopnia trudności hasła lub zalecanych wymagań producenta aplikacji, systemu z którego korzystamy)

8. Hasło powinno być odrzucane przez systemy komputerowe za każdym razem gdy ich zmiana jest niewielka np.: w styczniu ustawiono = hasło1, w lutym = hasło2 oraz nie dopuszczać możliwości stosowania tego samego hasła co najmniej przez rok.

9. Nie należy posługiwać się jednym hasłem w wielu miejscach, to samo dotyczy loginu, np.: portale społecznościowe, sklepy internetowe, systemy w pracy, dostęp do skrzynki e-mail.

10. Nie powinno się zapisywać haseł w miejscach ogólnodostępnych np.; w pracy na monitorze, pod klawiaturą, na kartce umieszczonej w portfelu, torbie. Takie hasła mogą być znalezione przez personel zewnętrzny, trafić w ręce złodzieja, jak również innych osób podczas zgubienia np. portfela, torby. Haseł nie powinno się przysyłać również mailem, ani innymi komunikatorami.

11. Koniecznie należy zmieniać hasła domyślne (tzw.: default password) dla urządzeń, które instalujesz w domu np.: routerów, modemów. Listy haseł dla tych urządzeń są powszechnie dostępne, gdyż służą do logowania się w przypadkach zagubienia dokumentacji technicznej. 

12. Używaj haseł losowo frazowych (niepowiązanych ze sobą w sposób logiczny) z wymiennością znaków, np.: W3r0ni^k@!, z@b_@Wk@^p_@uLi

13. Często tworząc hasło do konta w celu jego zresetowania wymagane jest udzielenie odpowiedzi na wybrane pytanie należy wówczas pamiętać, aby odpowiedź nie zawierała danych, które tak naprawdę można o nas uzyskać w sieci (np. z portali społecznościowych) lub są łatwe do odgadnięcia, tutaj także zaleca się użycie silnego hasła w odpowiedzi na pytanie pozwalające na zresetowanie hasła do naszego konta. Jeżeli jest taka możliwość, warto też ustawić i korzystać z Authenticatora generującego odpowiedni kod dostępu.

14. Coraz większą popularnością cieszą się zarówno komercyjne (płatne) jak i darmowe generatory haseł. Warto z nich skorzystać.

15. Jeżeli dalej masz problem z ustawieniem silnego hasła, które powinno mieć odpowiednią trudność, skorzystaj z linków aby sprawdzić czy jest wystarczająco dobre; https://howsecureismypassword.net/, http://www.passwordmeter.com/

Przepisy przewidują odpowiedzialność karną za udostępnianie haseł lub za bezprawne uzyskanie informacji:

Art. 267. KK

Bezprawne uzyskanie informacji

§ 1. Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

§ 2. Tej samej karze podlega, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego.

(…)

§ 4. Tej samej karze podlega, kto informację uzyskaną w sposób określony w § 1-3 ujawnia innej osobie.

(…)

a także:

Art. 269b KK. § 1. Kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego w art. 165 § 1 pkt 4, art. 267 § 3, art. 268a § 1 albo § 2 w związku z § 1, art. 269 § 1 lub 2 albo art. 269a, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym, systemie teleinformatycznym lub sieci teleinformatycznej, podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

Art. 107. 1. Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch, zgodnie z Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000)).

Należy wspomnieć, że w przewodniku zabezpieczeń Windowsa 10, w ramach minimalizacji ryzyka zaleca się  aby nie można było powtórzyć ostatnich 24 haseł. Zaleca się również aby weryfikacja za pomocą hasła była wymagana przy wzbudzaniu komputera ze stanu uśpienia. Należy edukować użytkowników odnośnie zasad używania haseł. Podnoszenie świadomości wśród użytkowników odnośnie ochrony tożsamości wpływa znacząco na bezpieczeństwo całego systemu. 

Jeżeli chciałbyś się dowiedzieć więcej na temat szkolenia i stworzenia dokumentacji dot. m.in. wprowadzenia polityki haseł, stworzenia Instrukcji Zarządzania Systemem Informatycznym,  to zapraszamy do kontaktu z naszymi specjalistami pomoc@rodo-online.eu, tel. +48 885 206 000, +48 885 960 500.

Ponieważ pozyskiwanie danych członków rodziny pracownika zgłaszanych przez pracodawcę do ubezpieczenia zdrowotnego odbywa się na podstawie przepisów prawa, które zapewniają odpowiednią ochronę ich praw, pracodawca może skorzystać ze zwolnienia z dopełniania wobec nich obowiązku informacyjnego.  

Przepisy ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych przesądzają, które osoby podlegają obowiązkowi ubezpieczenia zdrowotnego (art. 66). Stanowią też w jakich terminach obowiązek ten powstaje i jak należy go dopełnić. 

Jeżeli członkowie rodziny pracownika nie mają własnego tytułu do ubezpieczenia zdrowotnego, ma on obowiązek ich zgłosić w ciągu 7 dni od zaistnienia okoliczności, które spowodowały konieczność takiego zgłoszenia. Pracownik powinien poinformować o tym podmiot właściwy do dokonania zgłoszenia do ubezpieczenia zdrowotnego, np. pracodawcę (art. 67 ust. 3). W przypadku gdy członek rodziny zgłoszony do ubezpieczenia zdrowotnego nabył własny tytuł do ubezpieczenia lub zaistniały inne okoliczności, przez które stracił status członka rodziny – pracownik powinien w ciągu 7 dni zaistnienia tych okoliczności (art. 76) powiadomić płatnika składki, aby go wyrejestrował. 

Ubezpieczony, który nie poinformuje podmiotu właściwego do dokonania zgłoszenia do ubezpieczenia zdrowotnego o okolicznościach powodujących konieczność zgłoszenia lub wyrejestrowania członka rodziny, podlega karze grzywny (art. 193 pkt 6). Jednocześnie w celu ubezpieczenia zdrowotnego członka rodziny pracownik wypełnia i przekazuje pracodawcy-płatnikowi formularz ZUS ZCNA „Zgłoszenie danych o członkach rodziny dla celów ubezpieczenia zdrowotnego”. Został on wprowadzony przez § 1 ust. 1 pkt 2 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z dnia 20 grudnia 2018 r. w sprawie określenia wzorów zgłoszeń do ubezpieczeń społecznych i ubezpieczenia zdrowotnego, imiennych raportów miesięcznych i imiennych raportów miesięcznych korygujących, zgłoszeń płatnika składek, deklaracji rozliczeniowych i deklaracji rozliczeniowych korygujących, zgłoszeń danych o pracy w szczególnych warunkach lub o szczególnym charakterze, raportów informacyjnych, oświadczeń o zamiarze przekazania raportów informacyjnych oraz innych dokumentów. 

Na podstawie wskazanych przepisów można przyjąć, że w związku z pozyskiwaniem przez pracodawcę od pracownika danych członków jego rodziny niezbędnych do zgłoszenia ich do ubezpieczenia zdrowotnego, pracodawca nie będzie musiał dopełniać wobec nich obowiązku informacyjnego, o którym mowa w art. 14 RODO. 

Przetwarzanie danych członka rodziny w zgłoszeniu do ubezpieczenia jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, czyli pracodawcy-płatniku (art. 6 ust. 1 lit. c RODO). Ponadto pozyskiwanie tych danych jest wyraźnie uregulowane prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą. Spełniona jest zatem wskazana w art. 14 ust. 5 lit. c ogólnego rozporządzenia o ochronie danych przesłanka uprawniająca do odstąpienia od obowiązku dopełniania obowiązku informacyjnego wobec osób, których dane są pozyskiwane w sposób inny niż bezpośrednio od nich.

Plan ciągłości działania (BCP – Business Continuity Plan), powinien zostać wprowadzony u każdego administratora, któremu zależy na ciągłości działania firmy. Pozwala sprawnie i szybko reagować na sytuacje kryzysowe (typu: katastrofa naturalna, awaria infrastruktury, cyberatak – sytuacje mające najbardziej destrukcyjny wpływ na naszą firmę).

Przy BCP trzeba wziąć pod uwagę kluczowe procesy dla firmy oraz przewidywalność możliwych zagrożeń, przy jego opracowywaniu powinno brać udział jak najwięcej osób zajmującymi się danymi procesami. Z doświadczenia zauważmy, że firmy które tego nie wprowadziły i nie aktualizują kluczowych procesów nie są świadome zagrożeń oraz ich nie kontrolują, jedynie częściowo biorą je pod uwagę przy analizie ryzyka. Prowadzi to niestety do tego, że podczas awarii serwera lub awarii prądu ciągłość pracy i działania jest zaburzona (w niektórych branżach może się to skończyć niedotrzymaniem umów na usługę, stratami obsługiwanych klientów, a nawet utratą reputacji). Często awarie dysków serwera, gdy w firmie nie są wykonywane cykliczne kopie zewnetrzne, może doprowadzić również do naruszeń danych osobowych, które w danej firmie są przetwarzane (wystąpić może brak zapewnienia ciągłości przetwarzania danych osobowych w systemach informatycznych).

Dobrze stworzony plan musi być rzetelnie przygotowany, oczywiście nigdy nie będziemy gotowi na wszystkie okoliczności w 100% ale mimo wszystko straty będą mniej dotkliwe bądź uda nam się i naszym klientom ich nie odczuć. Przy BCP musimy oceniać zatem kluczowe procesy i obszary dla naszej organizacji. Warto wprowadzić cykliczne testy pozwalające sprawdzić nasz plan ciągłości działania i procedury. Zaznaczyć należy, że nie może być to raz stworzony dokument odłożony na półkę ale musimy do niego powracać oraz aktualizować przy różnych zmianach procesów i obszarów, aby zawsze był jak najbardziej aktualny i dostosowany do warunków. W procedurze powinien być zawarty również krok po kroku plan przywrócenia lub odzyskania danych. Wtedy będzie wiadomo, kto w krytycznej sytuacji jest odpowiedzialny za zaplanowane akcje, najczęściej będzie to ASI (Administrator Systemu Informatycznego) ale równie dobrze może być to informatyk z firmy zewnętrznej (z którą mamy podpisaną umowę powierzenia na usługę IT lub usługę serwisową). Ważne żeby pracownicy, kierownicy i sam ADO wiedział, co należy zrobić aby w jak najszybszym czasie przywrócić normalne funkcjonowanie firmy.

Jeżeli zastanawiasz się nad opracowaniem i wprowadzeniem Planu ciągłości działania w swojej firmie lub chcesz zminimalizować przyszłe krytyczne ryzyko to zapraszamy do kontaktu z naszymi specjalistami pomoc@rodo-online.eu, tel. +48 885 206 000, +48 885 960 500.

Przy tworzeniu dokumentacji ochrony danych osobowych, nie możemy zapomnieć o warunkach informacyjnych. Od klientów otrzymujemy liczne zapytania czy i jak mają realizować ten obowiązek, a jeżeli go realizują w jakiś sposób, to czy jest poprawny. Przy realizacji tego obowiązku zastosowanie mają głównie przepisy RODO oraz wytyczne organów nadzorczych zajmujących się realizacją tego obowiązku.

Zdarza się, że nie raz najlepszym rozwiązaniem dla klientów jest warstwowe spełnianie warunku informacyjnego, głównie jeżeli jest monitorowany teren i zakład pracy. W pierwszej części powinny znaleźć się podstawowe dane dotyczące tożsamości administratora, celach i rodzajach przetwarzania oraz prawach osoby (aby osoba szybko mogła zapoznać się z najbardziej interesującymi ją informacjami). Pierwsza część może być umieszczona jako informacja najlepiej przy piktogramie monitoringu w dobrze widocznym miejscu najlepiej przed wejściem do budynku lub na bramie. 

Natomiast w kolejnej szczegółowej warstwie przedstawiamy już wszystkie wymagane pozostałe informacje, które znajdziemy w art. 13 RODO, czyli w przypadku zbierania danych bezpośrednio od osoby, której dane dotyczą. Klauzula taka może być umieszczona wewnątrz firmy na sekretariacie, czy na stronie www tak, aby łatwo było zapoznać się z całością klauzuli, ważne aby warstwa pierwsza wspominała gdzie znajdziemy pełne informacje.

Treść klauzuli informacyjnej zgodnie z art. 13 powinna być przekazywana podczas pozyskiwania danych osobowych. Jeżeli chodzi o art. 14 (wtórny obowiązek) w przypadku pozyskiwania danych w sposób inny niż od osoby, której dane dotyczą – terminy jego spełnienia wyznacza ust. 3.

Mikroprzedsiębiorcy (będący administratorami danych osobowych) zgodnie z art. 4a ustawy o prawach konsumenta Dz. U. 2020.0.287 wykonują obowiązki z art. 13 RODO, gdy zawierają umowy poza lokalem, na odległość lub w inny sposób. Spełniają ten obowiązek wywieszając w widocznym miejscu w firmie lub udostępniają na swojej stronie www wymagane informacje. Przepisu nie stosuje się, jeżeli osoba, której dane dotyczą, nie ma możliwości zapoznania się z informacjami, o których mowa w art. 13; wtedy należy rozważyć inny sposób spełnienia warunku. Nie można go zastosować również jeżeli administrator przetwarza i udostępnia innym administratorom szczególne kategorię danych, chyba, że osoba wyraziła na to zgodę lub udostępnienie jest niezbędne do wypełnienia obowiązku ciążącego na administratorze. W przypadku osób fizycznych prowadzących działalność gospodarczą mikroprzedsiębiorca samemu musi określić sposób spełnienia obowiązku informacyjnego.

ICO (Brytyjski organ nadzorczy) oraz Grupa Robocza 29 RODO, wyróżniają podobne sposoby spełnienia obowiązku informacyjnego; elektronicznie (wiadomość tekstowa, www, e-mail, aplikacje mobilne), ustnie (osobiście lub telefonicznie; w tym wcześniej nagrane informacje pozwalające odsłuchać szczegółową warstwę), pisemnie (wyjaśnienia, media drukowane, ulotki, ogłoszenia, formularze, informacje w dokumentacji umownej, schematy), za pomocą znaków graficznych, kodów QR (jeżeli informacja zamieszczana jest w przestrzeni publicznej, jeżeli wprowadzane są publiczne kampanie informacyjne w przypadku pozyskiwania danych osobowych za pomocą urządzeń inteligentnych nie zawierających ekranu, w tym urządzenia typu IoT, ostrzeżenia głosowe, filmy wideo, cyfrowe konfiguracje). 

Jeżeli zastanawiają się Państwo jak w poprawny sposób spełnić warunek informacyjny wobec Państwa klientów, pracowników, kontrahentów to zapraszamy do kontaktu z naszymi specjalistami pomoc@rodo-online.eu, tel. +48 885 206 000, +48 885 960 500.

Każdy z Państwa zapewne wie jak ważne są szkolenia pracowników, podwykonawców realizujących zadania w interesie administratora danych osobowych (ADO). W Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), znajdziemy w kilku miejscach odniesienia dotyczące szkoleń. 

Najważniejsze odniesienie znajdziemy w art. 39, gdzie są określone zadania które powinien realizować Inspektor Ochrony Danych, znajdziemy tu informację m.in. dot. szkoleń i przeprowadzanych audytów. Jeżeli natomiast podmiot nie musi powoływać IODa, to zadania, które powinien realizować spadają na samego administratora (czyli np. właściciela firmy). Należy pamiętać, że to właśnie na nim spoczywa główny ciężar odpowiedzialności za ochronę danych osobowych. To w interesie ADO jest to aby pracownicy mieli odpowiednie kwalifikacje oraz wiedzę. Każdy powinien być przeszkolony i zapoznany ze specyfiką danej firmy, zajmowanym stanowiskiem i znać przepisy regulujące przetwarzanie danych osobowych. Pracownik powinien wiedzieć jak postąpić i zareagować np. na postępowanie w sytuacji incydentu, bądź naruszenia lub jak realizować prawa osób fizycznych. Do realizacji tych zadań nieodzowne wydają się być szkolenia, myślę, że najlepszą jakość uzyskujemy będąc na miejscu i szkoląc bezpośrednio, ale w dobie pandemii należy rozważyć sytuację, w której będzie ciężko odwiedzić klienta (żółta/czerwona strefa) i zebrać wszystkich pracowników przetwarzających dane osobowe, tym bardziej że w wielu wypadkach wykorzystuje się już pracę zdalną. 

Nieodzowną zatem pomocą IODa lub administratora jest serwis RODO Online i zakładka „Szkolenia”, gdzie mogą Państwo w szablonach ustalić czy jest to np. szkolenie dla nowo zatrudnionej osoby, czy szkolenie branżowe przy bezpośredniej obsłudze klienta, czy może szkolenie dla pracowników zarządzających reklamacjami. Ilość wprowadzonych szkoleń i ich urozmaicenie zależy tylko od wiedzy i zaangażowania IODa lub ADO (szkolenie można też przypisać tylko do danego pracownika a nawet kilku firm). Po ustaleniu szablonu możemy również załączyć i opisać wszystkie załączniki w formie PDF, z którymi powinien zapoznać się szkolący, na koniec możemy sprawdzić poziom przekazanej wiedzy i informacji, za pomocą testu, który sami generujemy tworząc pytania i podając opcje odpowiedzi. Jest to bardzo wygodne przy audytach np. rocznych gdzie aby przeszkolić pracowników można śmiało wykorzystać zakładkę „szkolenia” i być pewnym, że mamy ciągłość szkoleń pracowników zgodnie z najnowszymi wytycznymi. Naszym zdaniem jak i wielu innych specjalistów z branży ochrony danych osobowych człowiek jest najsłabszym ogniwem przy ochronie danych, w tym wprowadzonych polityk, instrukcji, procedur. Jesteśmy tylko ludźmi więc popełniamy błędy, ważne aby być świadomym jak można je minimalizować i jak pracować w taki sposób aby ochrona danych osobowych stała się normą, a nie wymuszonymi niezrozumiałymi procedurami. Forma przekazanej wiedzy nawet przez odpowiednie przygotowanie materiałów, ciekawe opisanie problemów i procedur, oraz przemyślane przygotowanie testu gwarantuje, że Państwa wiedza zostanie przekazana dla pracowników w sposób zrozumiały, bezpieczny i rozliczany.

Jeśli potrzebujesz pomocy przy realizowaniu szkoleń, to skontaktuj się z doświadczonymi specjalistami; dane kontaktowe znajdziesz na naszej stronie https://rodo-online.eu.

Kolejny artykuł, w którym staramy się odpowiedzieć na pytanie często zadawane Inspektorowi Ochrony Danych: czy ochroniarz, pracownik ochrony może żądać okazania dokumentu tożsamości (wylegitymowania). Zazwyczaj w przypadkach, gdy wpuszcza osobę trzecią czy pracownika firmy na teren chroniony biurowca czy zakładu produkcyjnego. 

Legitymowanie jest czynnością administracyjno – porządkową służącą potwierdzeniu tożsamości. Do tej czynności uprawniony jest zamknięty katalog osób i instytucji, którym takie uprawnienie nadaje np. Ustawa z dnia 22 sierpnia 1997r. o ochronie osób i mienia Dz. U. 1997 Nr 114 poz. 740, czy Ustawa z dnia 6 sierpnia 2010r. o dowodach osobistych Dz.U.2010 nr 167 poz. 1131. Każdy pracownik ochrony ma prawo do legitymowania osób. Każda osoba przebywająca na obszarze lub w obiekcie chronionym może zostać wylegitymowana. Z przepisów wynika, że pracownik ochrony nie ma prawa jej zmusić do poddania się legitymowaniu. I choć osoba odmawiająca wylegitymowania  popełnia wykroczenie (art. 36 Ustawy o ochronie osób i mienia), to pracownik ochrony nie ma możliwości jej za to ukarać. Prawda jest też taka, że (poza pewnymi wyjątkami) ludzie nie mają obowiązku posiadać przy sobie dokumentu i faktycznie bez żadnych konsekwencji mogą go po prostu nie mieć, a jeżeli nie mają go przy sobie to również go nie okażą.

Legitymowania ochroniarz czy pracownik ochrony dokonuje na podstawie:

• dowodu osobistego;
• tymczasowego dowodu osobistego;
• tymczasowego zaświadczenia tożsamości;
• dokumentu potwierdzającego tożsamość cudzoziemca;
• paszportu;
• innych dokumentów potwierdzających tożsamość, zaopatrzonych w fotografię i adres zamieszkania osoby legitymowanej.

Podsumowując administrator danych osobowych, wdrażając procedury związane z ochroną danych osobowych w swoim podmiocie, jest zobowiązany do stosowania się do zasad wynikających z przepisów RODO, a dokładnie – do zasady ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) oraz zasady minimalizacji danych osobowych (art. 5 ust. 1 lit. c RODO). Jednocześnie podczas weryfikacji tożsamości osoby fizycznej administrator danych powinien pamiętać o konieczności spełnienia wobec niej obowiązku informacyjnego z art. 13 RODO. Przesłanką przetwarzania danych osobowych w ramach prowadzenia tzw. ewidencji wejść i wyjść może być art. 6 ust. 1 lit. f RODO, ponieważ w tym przypadku przetwarzanie danych osobowych będzie niezbędne do realizacji celów wynikających z prawnie uzasadnionych interesów administratora. Jeśli nie wiesz jak wdrożyć procedury ochrony czy warunek informacyjny, to skontaktuj się z doświadczonymi specjalistami; dane kontaktowe znajdziesz na naszej stronie https://rodo-online.eu/

Usunięcie danych osobowych zgodne z RODO

Ogólne rozporządzenie o ochronie danych (RODO) daje osobom fizycznym prawo do żądania usunięcia ich danych osobowych. Administrator ma obowiązek bez zbędnej zwłoki (do miesiąca) usunąć dane osobowe, jeśli zachodzi jedna z następujących okoliczności:

• dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
• osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania;
• osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania;
• dane osobowe były przetwarzane niezgodnie z prawem;
• dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
• dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1.

Z drugiej strony art. 17 ust. 3 RODO wskazuje wprost sytuacje, gdy administrator danych ma prawo odmówić usunięcia (tzn. gdy jest to niezbędne):

• do korzystania z prawa do wolności wypowiedzi i informacji;
• do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3;
• do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania;
• do ustalenia, dochodzenia lub obrony roszczeń.

Wpłynięcie wniosku z żądaniem usunięcia danych osobowych rodzi po stronie administratora szereg obowiązków. W pierwszej kolejności takie żądanie powinno zostać zweryfikowane pod kątem tego, czy administrator przetwarza dane osobowe osoby składającej żądanie oraz czy żądanie to zostało złożone przez uprawnioną osobę. Administrator, jeśli ma uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, powinien zażądać od takiej osoby dodatkowych informacji niezbędnych do potwierdzenia tożsamości. Jeśli na podstawie wskazanych w żądaniu danych osobowych administrator nie jest w stanie jednoznacznie określić, czy dane które przetwarza dotyczą osoby, która zgłosiła żądanie, powinien w miarę możliwości poinformować o tym fakcie taką osobę.  Niejednokrotnie zdarza się, że przekazane administratorowi w żądaniu usunięcia danych dane osobowe nie są wystarczające do zidentyfikowania w bazach właściwej osoby, której dane dotyczą. Imiona i nazwiska mogą się powtarzać, administrator może także dysponować innym zestawem danych niż osoba, której dane dotyczą wskazała w żądaniu usunięcia jej danych. W takich wypadkach uzasadnione będzie poinformowanie osoby żądającej usunięcia danych o zaistniałych przeszkodach w realizacji żądania. Weryfikacja i realizacja żądania może się okazać możliwa dopiero po podaniu dodatkowych danych umożliwiających identyfikację w zasobach administratora.

Administrator po weryfikacji żądania i usunięciu danych zobowiązany jest o jej wynikach poinformować osobę, która takie żądanie złożyła. Informacja ta powinna zostać sformułowana prostym, łatwo zrozumiałym dla odbiorcy językiem. Osoba, która żądała usunięcia danych osobowych, w przypadku nie uwzględnienia żądania powinna także zostać poinformowana o prawie wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Biorą pod uwagę wzrost liczby wniosków o usunięcie danych osobowych przesyłanych przez naszych klientów, którym świadczymy outsourcing IOD. Wnioski przysparzają coraz więcej kłopotów administratorom. Jeśli masz takie problemy lub inne nurtujące cię problemy z ochroną danych osobowych skontaktuj się z nami.

W ostatnim czasie podczas audytów RODO, jak i przy okazji rozmów z naszymi klientami często pada pytanie po co nam umowy powierzenia ? czy musimy zawierać umowę powierzenia z podmiotem x czy y ? Nie jeden z naszych klientów już zdołał się o tym przekonać, że są one istotnym elementem w momencie zaistnienia incydentu czy naruszenia. 

Wyjaśnijmy najważniejsze pojęcia:

• Administrator danych osobowych ustala cele, w jakich dane osobowe są przetwarzane, oraz sposoby, jakimi się je przetwarza. Zatem, jeśli Twoja firma/organizacja decyduje o tym „po co” i „w jaki sposób” powinno się przetwarzać dane, jest ona administratorem danych osobowych. Pracownicy przetwarzający dane w ramach Twojej organizacji wykonują w ten sposób Twoje zadania jako administratora danych.
• Podmiot przetwarzający dane dokonuje przetwarzania danych osobowych wyłącznie w imieniu administratora. Podmiot przetwarzający dane jest zazwyczaj stroną trzecią, czyli podmiotem zewnętrznym wobec firmy. 

Obowiązki podmiotu przetwarzającego względem administratora muszą być określone w umowie lub innym instrumencie prawnym, który podlega prawu Unii lub prawu państwa członkowskiego. Umowa musi na przykład wskazywać, co się stanie z danymi osobowymi po rozwiązaniu umowy. Jak również regulacja taka musi być wiążąca, określać przedmiot i czas trwania przetwarzania, rodzaj danych osobowych oraz kategorie osób, której dane dotyczą, obowiązki i prawa administratora kluczowym w tym zakresie jest art. 28 RODO. Typową działalnością podmiotu przetwarzającego jest dostarczanie rozwiązań IT, czy usług przechowywania danych w chmurze. Podmiot przetwarzający dane może zlecić innemu podmiotowi przetwarzającemu podwykonawstwo części swoich obowiązków albo wyznaczyć podmiot współprzetwarzający dane wyłącznie po otrzymaniu uprzedniej pisemnej zgody administratora danych. Dane powinno powierzać się wyłącznie podmiotowi, który spełnia wymagania z przepisów ochrony danych osobowych. Ciąży na nim dokładnie takie sama odpowiedzialność jak na administratorze. Czyli odpowiedzialność: administracyjna, finansowo-administracyjna, cywilna czy karna.

Należy zwrócić uwagę, że uregulowanie relacji pomiędzy administratorem i podmiotem przetwarzającym w oparciu o umowę powierzenia jest obowiązkiem administratora oraz podmiotu przetwarzającego. Forma takiej umowy może być pisemna lub elektroniczna. Brak uregulowania relacji może być podstawą do nałożenia administracyjnej kary pieniężnej zgodnie z art. 83 ust. 4 a RODO. Podmiot przetwarzający, biorąc pod uwagę charakter przetwarzania, pomaga administratorowi  w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą oraz innych nałożonych na administratora przepisami RODO. Zaleca się aby rola podmiotu przetwarzającego polegała na przekazaniu administratorowi, w ustalonym przez stronie terminie, wszelkich informacji niezbędnych do realizacji określonego obowiązku. Umowa zgodna z przepisami unijnego rozporządzenia, ma na celu zapewnienie administratorowi lepszej kontroli nad przetwarzanymi przez niego danymi osobowymi dlatego jest ważnym elementem. Masz inne pytania, nurtujące cię problemy z ochroną danych osobowych skontaktuj się z doświadczonymi specjalistami dane kontaktowe znajdziesz na naszej stronie https://rodo-online.eu/.