Kategoria: Bez kategorii

Siłownie, kluby fitness i inne obiekty sportowe gromadzą i przetwarzają dane osobowe swoich klientów na każdym etapie współpracy – od rejestracji, przez obsługę treningów, po płatności i monitorowanie postępów. W związku z rosnącym znaczeniem ochrony prywatności oraz obowiązującymi przepisami, takimi jak Rozporządzenie o Ochronie Danych Osobowych (RODO), siłownie muszą szczególnie zadbać o to, jak przechowują i przetwarzają te dane. W artykule omówimy, jak RODO wpływa na działalność siłowni, jakie obowiązki nakłada na przedsiębiorców oraz jakie praktyki pozwalają na zgodne z prawem przetwarzanie danych w branży fitness.

1. RODO a siłownia – dlaczego to ważne?

RODO weszło w życie w 2018 roku, a jego wpływ na branżę fitness wciąż jest odczuwalny. Siłownie to przedsiębiorstwa, które przetwarzają dane osobowe swoich klientów na wielu płaszczyznach – od procesu rejestracji, przez monitorowanie postępów, po rozliczenia finansowe. Dane te są niezbędne do prawidłowego funkcjonowania siłowni, ale równocześnie muszą być odpowiednio zabezpieczone przed nieuprawnionym dostępem, utratą, zmianą lub ujawnieniem.

Wszystkie te dane – w tym dane kontaktowe, finansowe i zdrowotne – podlegają ochronie zgodnie z RODO. Siłownie muszą zadbać o ich bezpieczeństwo i przestrzegać odpowiednich procedur.

2. Jakie dane przetwarza siłownia?

Siłownie przetwarzają różnorodne dane osobowe, w tym:

• Dane kontaktowe: imię, nazwisko, adres e-mail, numer telefonu – wykorzystywane do komunikacji z klientami (np. potwierdzenia rejestracji, przypomnienia o zajęciach, oferty promocyjne).
• Dane dotyczące członkostwa: numer karty członkowskiej, data rozpoczęcia i zakończenia umowy, status płatności – służą do zarządzania członkostwem i rozliczeniami.
• Dane zdrowotne (wrażliwe): informacje o stanie zdrowia, alergiach, kontuzjach czy historii medycznej – niezbędne do dostosowania planu treningowego do indywidualnych potrzeb klienta.
• Dane dotyczące aktywności fizycznej: zapisy treningów, postępy, liczba odwiedzin siłowni, rodzaje wykonywanych ćwiczeń – zbierane przez aplikacje treningowe lub urządzenia monitorujące aktywność (np. smartwatch).

Każdy z tych rodzajów danych musi być odpowiednio chroniony, aby zapewnić zgodność z RODO.

3. Obowiązki siłowni w zakresie ochrony danych osobowych

Zgodnie z RODO, każda siłownia, która przetwarza dane osobowe, ma obowiązek stosować odpowiednie środki bezpieczeństwa i przestrzegać zasad przetwarzania danych. Niewłaściwe zarządzanie danymi może prowadzić do poważnych konsekwencji prawnych i finansowych. Kluczowe obowiązki to:

a) Uzyskanie zgody na przetwarzanie danych

Siłownia musi uzyskać zgodę klientów na przetwarzanie ich danych osobowych. Zgoda ta musi być dobrowolna, świadoma, jednoznaczna i może zostać wycofana w każdym momencie. Klient powinien wiedzieć, jakie dane są zbierane, w jakim celu, przez jaki czas i jakie ma prawa w zakresie ich usunięcia lub modyfikacji.

b) Przestrzeganie zasad ochrony danych

RODO wprowadza szereg zasad, które muszą być przestrzegane przy przetwarzaniu danych osobowych, m.in.:

• Zasada minimalizacji danych: Siłownia może zbierać tylko dane niezbędne do realizacji konkretnego celu.
• Zasada ograniczenia przechowywania: Dane powinny być przechowywane tylko tak długo, jak są potrzebne.
• Zasada legalności, rzetelności i przejrzystości: Dane zbierane są na podstawie umowy lub zgody klienta, a klient powinien wiedzieć, jakie dane są zbierane i w jakim celu.
• Zasada prawidłowości: Dane muszą być aktualne i poprawne.
• Zasada integralności i poufności: Dane muszą być odpowiednio zabezpieczone.
• Zasada rozliczalności: Siłownia musi być w stanie udowodnić, że przetwarza dane zgodnie z RODO.

c) Zabezpieczenie danych

Siłownie muszą wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić bezpieczeństwo danych. Należy stosować szyfrowanie, zabezpieczenie baz danych przed nieautoryzowanym dostępem oraz kontrolować dostęp do systemów informatycznych.

d) Szkolenie pracowników

Każdy pracownik siłowni, który ma dostęp do danych osobowych, musi przejść odpowiednie szkolenie z zakresu ochrony danych. Szkolenie powinno obejmować zasady przechowywania danych, zabezpieczania informacji przed nieautoryzowanym dostępem i procedury w przypadku naruszenia ochrony danych.

4. Przechowywanie i usuwanie danych

RODO nakłada obowiązek przechowywania danych osobowych przez czas niezbędny do realizacji celu, w jakim zostały zebrane. W kontekście siłowni oznacza to, że dane osobowe klientów powinny być przechowywane:

• Przez okres trwania umowy członkowskiej.
• Po zakończeniu umowy dane mogą być przechowywane do realizacji obowiązków prawnych, takich jak cele podatkowe (5 lat) czy roszczenia prawne (do 6 lat).
• Dane przetwarzane na podstawie zgody (np. marketing) mogą być przechowywane do momentu wycofania zgody przez klienta.

5. Uprawnienia osób, których dane dotyczą

Klienci siłowni mają prawo do:

• Dostępu do swoich danych.
• Poprawiania danych, jeśli są nieaktualne lub niekompletne.
• Usunięcia danych, jeśli nie są one już niezbędne do przetwarzania.
• Ograniczenia przetwarzania danych.
• Przenoszenia danych do innego administratora.

Siłownie muszą umożliwić realizację tych praw w sposób szybki i prosty.

Podsumowanie

Ochrona danych osobowych w branży fitness jest kluczową kwestią. Siłownie przetwarzają ogromną ilość danych, w tym dane wrażliwe, co wymaga szczególnej ostrożności i przestrzegania przepisów RODO. Profesjonalne doradztwo i wsparcie w zakresie ochrony danych, takie jak usługi outsourcingu funkcji Inspektora Ochrony Danych Osobowych, to rozwiązanie, które pozwala zaoszczędzić czas i pieniądze, zapewniając jednocześnie zgodność z przepisami. Firma GRUPA ELKA oferuje kompleksowe wsparcie w zakresie ochrony danych osobowych, pomagając w dostosowaniu działalności siłowni do wymogów RODO.

Docer.pl, popularna platforma do przechowywania plików, znalazła się w epicentrum poważnego incydentu cyberbezpieczeństwa. Najnowsze doniesienia serwisu Niebezpiecznik.pl ujawniają masowy wyciek wrażliwych danych klientów polskich banków, w tym szczegółowe wykazy operacji, adresy i nazwiska.

Ten incydent nie jest zwykłą pomyłką użytkownika – skala wycieku sugeruje znacznie poważniejszy problem, potencjalnie związany z naruszeniem bezpieczeństwa zewnętrznego źródła. Co to oznacza dla Ciebie i jak możesz się zabezpieczyć?

Docer.pl: Wygoda z cieniem ryzyka?

Docer.pl jest powszechnie wykorzystywany do przechowywania i udostępniania dokumentów. Niestety, jak pokazują liczne przypadki z przeszłości, platformy tego typu bywają nieświadomymi „przechowalniami” wrażliwych danych. Skan dowodu osobistego, dokumenty bankowe, akty notarialne – to tylko niektóre z poufnych plików, które już wcześniej trafiały na Docer.pl, często w wyniku ludzkiej nieuwagi.

Jednak obecny wyciek ma zupełnie inny charakter. Nie chodzi o pojedyncze pliki, a o całe zbiory danych, co wskazuje na potencjalne włamanie lub wyciek z jednego, konkretnego źródła zewnętrznego.

Twój wyciąg bankowy na widoku publicznym?

Jak informuje Niebezpiecznik.pl, jeden z użytkowników natrafił na Docer.pl na dokument zawierający jego osobiste dane – wykaz operacji z mBanku. Co więcej, plik ten nie został tam umieszczony przez niego samego. To samo dotyczy dokumentów klientów Alior Banku i Santander Banku. Kluczowe jest, że źródłem wycieku nie były bezpośrednio te banki.

Prawdopodobnym scenariuszem jest wyciek z firmy zewnętrznej, która przetwarzała dane w imieniu banków lub ich klientów – na przykład biura rachunkowego czy firmy księgowej. Brak oficjalnego potwierdzenia źródła tylko potęguje niepewność.

Co ci grozi? Poważne konsekwencje wycieku danych

Skala incydentu jest alarmująca, a potencjalne konsekwencje dla osób, których dane wyciekły, są poważne:

• Kradzież tożsamości: Wyciekłe dane mogą zostać wykorzystane do podszywania się pod Ciebie.
• Oszustwa finansowe: Dostęp do historii transakcji i danych osobowych ułatwia przeprowadzanie ataków phishingowych i innych form oszustw.
• Phishing: Cyberprzestępcy mogą wykorzystać te informacje do tworzenia bardziej wiarygodnych i skutecznych wiadomości phishingowych.

Co Powinieneś Zrobić? Natychmiastowe Kroki Ochronne

Jeśli podejrzewasz, że Twoje dane mogły wyciec, podejmij natychmiastowe działania:

• Monitoruj swoje konta bankowe: Regularnie sprawdzaj historię transakcji pod kątem podejrzanych operacji.
• Zastrzeż dokumenty tożsamości: Skontaktuj się z odpowiednimi instytucjami (np. bankiem, BIK) w celu zastrzeżenia dowodu osobistego i innych ważnych dokumentów.
• Zachowaj szczególną ostrożność wobec prób phishingowych: Nie klikaj w podejrzane linki, nie otwieraj nieznanych załączników i nie udostępniaj swoich danych osobowych przez telefon lub e-mail.
• Rozważ kontakt z bankiem: Twój bank może zaoferować dodatkowe środki bezpieczeństwa i doradzić w konkretnej sytuacji.

Lekcja dla wszystkich: bezpieczeństwo danych to podstawa

Choć Docer.pl nie był celem ataku, ten incydent przypomina o kluczowej roli bezpieczeństwa danych podczas wymiany i przechowywania dokumentów online. Eksperci ds. cyberbezpieczeństwa podkreślają:

• Szyfruj wrażliwe pliki: Zawsze szyfruj pliki zawierające dane osobowe i finansowe przed ich udostępnieniem online.
• Korzystaj z bezpiecznych kanałów komunikacji: Wybieraj zaufane i zabezpieczone platformy do wymiany dokumentów.
• Zwracaj uwagę na uprawnienia dostępu: Upewnij się, kto ma dostęp do Twoich plików i regularnie weryfikuj te uprawnienia.
• Bądź świadomy zagrożeń: Regularnie aktualizuj swoją wiedzę na temat cyberbezpieczeństwa i najnowszych metod ataków.

Co dalej? Czekamy na oficjalne informacje

Na chwilę obecną brak jest oficjalnych informacji na temat dokładnej skali wycieku i odpowiedzialności za ten incydent. Sprawa jest w toku analizy, a my będziemy śledzić rozwój sytuacji i informować o wszelkich nowych ustaleniach.

Pamiętaj, bezpieczeństwo Twoich danych jest w Twoich rękach. Bądź czujny i podejmuj świadome decyzje online!

Rozporządzenie o Ochronie Danych Osobowych (RODO), obowiązujące od 25 maja 2018 roku, zgodnie z art. 1 ust. 1 obejmuje ochroną osoby fizyczne, czyli wyłącznie żyjących ludzi. Potwierdza to także motyw 27 RODO, który jednoznacznie wskazuje, że rozporządzenie nie dotyczy danych osobowych osób zmarłych. Jednocześnie umożliwia państwom członkowskim Unii Europejskiej regulowanie tej kwestii na poziomie krajowym.

Warto podkreślić, że zdolność prawna osoby fizycznej wygasa wraz z jej śmiercią. Jednak dane osoby zmarłej mogą pozostawać powiązane z danymi jej bliskich, dlatego ich przetwarzanie powinno odbywać się z należytą starannością i poszanowaniem prywatności.

Przetwarzanie danych osób zmarłych

Mimo że RODO nie obejmuje danych osób zmarłych, ich przetwarzanie powinno być zgodne z zasadami etyki i prywatności. Dane te mogą znajdować się m.in. w:

1. Dokumentacji medycznej – zgodnie z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta, po śmierci pacjenta dostęp do jego dokumentacji medycznej mają jedynie jego bliscy.
2. Dokumentach spadkowych – w postępowaniu spadkowym notariusze, sądy oraz instytucje finansowe mogą przetwarzać dane osoby zmarłej i jej bliskich w celu realizacji formalności.
3. Dokumentach dotyczących upamiętnienia i genealogii – zgodnie z prawem możliwe jest przetwarzanie danych w celach historycznych czy naukowych, pod warunkiem poszanowania godności zmarłego.

Ochrona praw osób zmarłych w polskim prawie

Zgodnie z art. 24 Kodeksu cywilnego, niektóre dobra osobiste mogą być chronione po śmierci. Dotyczy to np. czci, pamięci czy wizerunku zmarłego. Rodzina może dochodzić swoich praw w sytuacji szkalowania lub publicznego pomawiania osoby zmarłej.

Podobne zasady dotyczą praw autorskich do dzieł pozostawionych przez zmarłego. Zgodnie z polskim prawem, prawa autorskie wygasają po 70 latach od śmierci autora, po czym jego utwory przechodzą do domeny publicznej.

Kto ma dostęp do danych osób zmarłych?

Niektóre branże szczególnie często mają do czynienia z danymi osób zmarłych i powinny przestrzegać określonych regulacji. Dotyczy to m.in.:

• pracowników służby zdrowia (lekarzy, pielęgniarek, ratowników medycznych),
• notariuszy, adwokatów, pracowników sądów,
• zakładów pogrzebowych,
• historyków, archiwistów, archeologów i genealogów.

Dane osób zmarłych mogą też występować w dokumentacji urzędowej. Na przykład oświadczenia majątkowe osób publicznych (np. radnych, burmistrzów) publikowane w Biuletynie Informacji Publicznej powinny być usuwane po ich śmierci, ponieważ ich dalsze przetwarzanie staje się bezcelowe.

Prywatność osób zmarłych a zasady etyczne

Chociaż dane osób zmarłych nie są chronione przez RODO, nie oznacza to, że mogą być swobodnie udostępniane. Kluczowe jest zachowanie zasad prywatności i etyki, zwłaszcza wobec rodzin zmarłych.

Specjaliści GRUPY ELKA świadczą profesjonalne usługi outsourcingu Inspektora Ochrony Danych, oferując wsparcie w kwestiach związanych z ochroną danych osobowych. Nasza usługa zapewnia bezpieczeństwo i zgodność z przepisami, pomagając Państwa firmie w prawidłowym zarządzaniu danymi.

Jeśli masz pytania dotyczące ochrony danych osobowych, skontaktuj się z nami – pomożemy rozwiać wszelkie wątpliwości.

Usprawnij procesy audytowe i zapewnij zgodność z RODO

Poznaj nasz nowy moduł audytowy – jeszcze skuteczniejsze narzędzie do zapewnienia zgodności z RODO!

Z naszym intuicyjnym modułem konfiguracji możesz samodzielnie tworzyć zarówno proste listy kontrolne, jak i zaawansowane szablony audytowe. Dzięki temu weryfikacja zgodności z RODO staje się prostsza i bardziej efektywna. Wystarczy kilka kliknięć, by stworzyć audyt dopasowany do specyfiki Twojej organizacji.

Dlaczego audyt RODO jest kluczowy?

Administrator danych lub podmiot przetwarzający ma obowiązek regularnego testowania, mierzenia i oceny skuteczności środków technicznych oraz organizacyjnych, które zapewniają bezpieczeństwo przetwarzania danych. Wraz z rozwojem firmy mogą pojawiać się nowe aspekty przetwarzania danych osobowych, a dotychczasowe procedury mogą wymagać aktualizacji. Audyt pozwala na wykrycie ewentualnych luk i usprawnienie procesów.

Ponadto, zgodnie z zasadą rozliczalności określoną w art. 5 RODO, administrator danych nie tylko musi przestrzegać przepisów, ale także być w stanie wykazać ich stosowanie. Najlepszym sposobem na spełnienie tego wymogu jest regularne przeprowadzanie audytów oraz tworzenie rzetelnych raportów.

Audyt jako narzędzie zapewnienia zgodności

Od początku obowiązywania RODO jasne było, że ochrona danych osobowych musi być wdrożona w praktyce, a nie tylko w teorii. Urząd Ochrony Danych Osobowych (UODO) oraz Europejska Rada Ochrony Danych (EROD) wskazują audyt jako jedno z kluczowych narzędzi monitorowania zgodności.

Regularne przeprowadzanie audytów pozwala organizacjom:

• Zmniejszyć ryzyko naruszenia przepisów i uniknąć kar,
• Szybko identyfikować i eliminować potencjalne zagrożenia,
• Spełniać fundamentalne obowiązki wynikające z RODO, takie jak analiza ryzyka czy prowadzenie rejestru czynności przetwarzania.

Moduł audytowy – wsparcie dla Twojej organizacji

Nasze rozwiązanie zapewnia kompleksowe wsparcie w procesie audytowania zgodności z RODO. Dzięki elastycznym funkcjom konfiguracji możesz łatwo dostosować audyt do swoich potrzeb. Moduł umożliwia definiowanie obszarów przetwarzania, dobór odpowiednich zagadnień i typów pytań oraz przeprowadzanie audytów zgodnie z najwyższymi standardami.

Przeprowadzając audyt RODO, uzyskasz pełny obraz stanu faktycznego i formalnego przetwarzania danych w organizacji. Na tej podstawie stworzysz szczegółowy raport, który wskaże kluczowe rekomendacje oraz priorytety wdrożenia niezbędnych działań.

Nie czekaj – zadbaj o zgodność z RODO już dziś i usprawnij swoje procesy audytowe z naszym modułem!

Biometria w pracy

            W obecnych czasach przy coraz bardziej rozwijających się technologiach biometria w codziennym życiu zaczyna odgrywać coraz większą rolę. Zgodnie z definicją biometria to nauka, która zajmuje się badaniem cech behawioralnych lub fizycznych ludzi i następnie na podstawie tego umożliwia identyfikację tożsamości konkretnej osoby. Możemy się z nią spotkać np. robiąc zakupy, ale też coraz częściej wkracza w obszar sfery zawodowej czyli umożliwia kontrolę pracownika w firmie. Tego typu technologia daje duże szanse, ale niesie ze sobą również różnego rodzaju niebezpieczeństwa. Należy zwrócić uwagę, że dane biometryczne zaliczane są do grupy danych wrażliwych, które zgodnie z RODO nie powinny być udostępnianie i podlegają szczególnej ochronie. W poniższym artykule zwrócimy szczególną uwagę na wykorzystywanie tego typu rodzaju danych przez pracodawców w firmach.

            Według Rozporządzenia o Ochronie Danych Osobowych dane biometryczne pozyskiwane są na skutek zaawansowanego przetwarzania technicznego. Przetwarzanie to obejmuje cechy fizyczne, behawioralne czy też fizjologiczne co umożliwia zidentyfikowanie konkretnej osoby. Jako przykłady można podać identyfikację osoby na podstawie twarzy, odciska palca, głosu, tego jak ktoś się podpisuje czy też chodzi.

            Zgodnie z zaleceniami Prezesa Urzędu Ochrony Danych Osobowych oraz art. 221b Kodeksu pracy dane biometryczne pracownika mogą być przetwarzanie w dwóch przypadkach:

1. Obecny lub potencjalny pracownik wyraża świadomą i dobrowolną zgodę na przetwarzanie jego danych. Musi mieć również możliwość wycofania tej zgody w każdym momencie.
2. Przetwarzanie danych pracownika wynika z konieczności zapewnienia bezpieczeństwa dostępu do bardzo kluczowych dla firmy informacji, których wyciek mógłby zaszkodzić poważnie firmie. Podobnie sprawa ma się z zapewnieniem bezpieczeństwa kluczowym pomieszczeniom np. laboratoria. 

Warto podkreślić, że pracodawca nie ma prawa wykorzystywać biometrii do ewidencjonowania rejestracji czasu pracy. Jest to niezgodne z obecnie obowiązującym w Polsce prawem.

Jeżeli jednak w innym kraju europejskim przepisy prawne danego państwa stanowią inaczej wówczas dopuszcza się przetwarzanie danych biometrycznych pracownika w kwestii czasu pracy. Wynika to z indywidualnych preferencji danego państwa. Wówczas dodatkowo takie państwo może ewentualnie opierać się na art. 9 ust. 2 lit. b RODO.

Przed wprowadzeniem w firmie identyfikacji biometrycznej pracowników należy przeanalizować kilka kwestii. Czy tego rodzaju przetwarzanie danych ma więcej pozytywnych stron niż zagrożeń jakie rodzi tego typu metoda uwierzytelniania. Warto się zastanowić czy można cel przetwarzania danych osiągnąć w prostszy, tańszy i bezpieczniejszy sposób. Jeżeli jest to możliwe należy zrezygnować z biometrii. Należy mieć na uwadze, że jest to przetwarzanie danych dużego ryzyka.

Jeżeli jednak firma podejmie decyzje, że decyduje się wprowadzić w firmie biometrię do uwierzytelniania powinna kierować się zasadą minimalizacji pozyskiwanych danych. Tutaj należy się powołać na art. 5 RODO w związku z tym przetwarzanie powinno być stosowne, adekwatne i ograniczać się do realizacji konkretnych celów. Dodatkowo motyw 39 RODO wskazuje, że tego typu przetwarzania dopuszczalne jest tylko wtedy gdy nie da się tego uzyskać w prostszy sposób. Nie powinno się nadmiernie przetwarzać i gromadzić tego typu danych. Kluczowe znaczenie przed lub w trakcie wprowadzania weryfikacji biometrycznej ma przeprowadzenie przez administratora przy wsparciu Inspektora Ochrony Danych Osobowych analizy ryzyka oraz oceny skutków dla ochrony danych (DPIA).

            Jeżeli pracodawca oceni, że wprowadzenie biometrii jest niezbędne i zgodne z przepisami powinien następnie określić operacje przetwarzania związane z wprowadzeniem biometrii. 

Jeżeli chodzi o dostęp do pomieszczeń lub określonych zagadnień w firmie można wyodrębnić następujące obszary:

1. Weryfikacja tożsamości pracownika przy użyciu cech biometrycznych
2. Autoryzacja pracownika – weryfikacja tożsamości podczas uzyskiwania dostępu do zabezpieczonych stref lub danych
3. Zbieranie i archiwizowanie danych osobowych – zapisanie wymaganych informacji w systemie biometrycznym
4. Obróbka danych w celu wykrywania oszustw – badanie zapisów w celu zapobiegania nieuprawnionemu dostępowi
5. Zapis dodatkowych informacji – rejestrowanie danych, takich jak godziny dostępu czy miejsce lokalizacji
6. Archiwizowanie i udostępnianie danych w uzasadnionych sytuacjach – np. w celu badania incydentów lub wypełnienia obowiązków prawnych

Tego typu operacje muszą być zgodne z Rozporządzeniem o Ochronie Danych Osobowych oraz pokrywać się z zasadą minimalizacji danych oraz proporcjonalności przetwarzania.

Można wymienić następujące techniki służące realizacji powyższych operacji:

1. Kontrola udostępnianych informacji – potwierdzenie danych przekazanych przez użytkownika
2. Tokeny urządzeniowe
3. Wykorzystywanie kluczy lub certyfikatów – cyfrowa weryfikacja tożsamości za pomocą unikalnych identyfikatorów
4. Analiza behawioralna – ocena typowych schematów zachowań
5. Ocena cech biometrycznych czyli np.:
   1. Podpis
   1. Odcisk palca czy też dłoni
   1. Tęczówka oka
   1. Głos

Aby uzyskać wysoki poziom weryfikacji przez biometrie można łączyć różna metody przedstawione powyżej. Należy dostosować metody do organizacji, celu przetwarzania czy też jej zasobów. 

Aby przetwarzanie danych biometrycznych było bezpieczne i adekwatne powinny być zapewnione odpowiednie gwarancje takie jak np.:

1. Powiadamianie osób, których dane dotyczą- oznacza, że osoba musi wiedzieć, że jej dane są przetwarzane
2. Powinna istnieć możliwość zerwania powiązania wzorca biometrii od danej osoby
3. Zapewnić fakt, że dane są przetwarzane tylko do realizacji konkretnego celu przetwarzania
4. Dane biometryczne powinny być odpowiednio zabezpieczone przez ich wyciekiem np. przez ich szyfrowanie
5. Bazy biometryczne nie powinny być łączone ani mieszane ze sobą
6. Dane powinny być usuwane po zrealizowaniu określonego wcześniej celu
7. Powinna być wykonane DPIA, a dane bezpieczeństwo danych z perspektywy RODO powinno być już uwzględnione i zapewnione w momencie rozpoczęcia projektu danego systemu

Jak wynika z powyżej przedstawionych treści kwestia biometrii w miejscu pracy nie jest tak jednoznaczna i prosta. Każdy pracodawca przed jej wprowadzeniem w firmie powinien dokładnie przeanalizować plusy i minusy jej wprowadzenia oraz ocenić ryzyko. Warto podkreślić, że pracodawca jako administrator danych powinien przeprowadzić ocenę ryzyka- DPIA. W tym przypadku kluczową rolę odgrywa Inspektor Ochrony Danych Osobowych, który wspiera administratora przy wszystkich kwestiach związanych z ochroną danych osobowych w firmie. Tego typu wsparcie jest szczególnie ważne przy przetwarzaniu danych wrażliwych. Warto podkreślić, że specjaliści z GRUPA ELKA świadczą outsourcing funkcji Inspektora Ochrony Danych Osobowych oraz mogą wesprzeć Państwa Organizację również w kwestiach cyberbezpieczeństwa. 

Monitoring noworodków i ich matek ukryty w zegarach, brak zgody pacjentów, a na koniec zagubienie nagrań – to scenariusz, który skończył się rekordową karą dla Centrum Medycznego Ujastek.

Łączna kwota: 1 145 891,25 zł!

Czy Twoja firma jest gotowa na kontrolę UODO?

---

Nielegalny monitoring – kamery ukryte w zegarach

W lipcu 2023 roku Centrum Medyczne Ujastek w Krakowie zamontowało kamery na oddziale neonatologii. Problem?

• Kamery były ukryte w zegarach.
• Nagrywały noworodki i ich matki bez ich wiedzy.
• Rejestrowały nawet dźwięk!

Kobiety karmiły dzieci, pielęgnowały je, rozmawiały z lekarzami – nie wiedząc, że każda sekunda jest nagrywana. To rażące naruszenie prywatności i przepisów RODO.

UODO nie miał wątpliwości – 687 534,75 zł kary za brak przejrzystości i nielegalne nagrywanie 190 osób, w tym:

• 30 noworodków,
• 60 rodziców,
• 97 pracowników personelu,
• 3 studentów odbywających praktyki.

Ale to jeszcze nie koniec.

---

Ktoś ukradł nagrania? Brak zabezpieczeń kosztował kolejne setki tysięcy

26 lipca 2023 roku Centrum Medyczne Ujastek zgłosiło UODO jeszcze poważniejszy incydent: zaginięcie kart pamięci z nagraniami.

Co wykazała kontrola?

❌ Brak szyfrowania danych – każdy mógł obejrzeć nagrania noworodków i ich matek.
❌ Brak analizy ryzyka – placówka nawet nie przewidziała takiej sytuacji!
❌ Brak procedur bezpieczeństwa – nikt nie wiedział, jak chronić tak wrażliwe dane.

Efekt? Kolejna kara: 458 356,50 zł.

Łącznie: 1 145 891,25 zł.

---

Czy Twoja firma może sobie pozwolić na taki błąd?

Centrum Medyczne Ujastek to tylko jeden z wielu przykładów. Coraz więcej firm i instytucji płaci ogromne kary za naruszenia ochrony danych osobowych. Jak uniknąć tego błędu?

🔹 Dbaj o transparentność – pacjenci i pracownicy muszą wiedzieć, że są monitorowani.
🔹 Szyfruj dane – nagrania nie mogą być łatwo dostępne dla niepowołanych osób.
🔹 Zabezpiecz sprzęt – monitoring musi spełniać najwyższe standardy RODO.
🔹 Przeprowadzaj audyty – regularna kontrola pozwoli uniknąć katastrofy.

Nie czekaj, aż UODO zapuka do Twoich drzwi. Sprawdź, czy monitoring w Twojej firmie jest zgodny z prawem.

---

Bezpieczeństwo danych i monitoring – my się tym zajmiemy!

GRUPA ELKA to ekspert w dziedzinie ochrony danych osobowych i bezpiecznego monitoringu.

✔ Dobierzemy odpowiednie urządzenia i skonfigurujemy je zgodnie z przepisami.
✔ Zaszyfrujemy i zabezpieczymy nagrania przed niepowołanym dostępem.
✔ Przygotujemy procedury zgodne z RODO, abyś nigdy nie znalazł się w sytuacji Centrum Medyczne Ujastek.
✔ Zajmiemy się całą dokumentacją – masz pewność, że działasz legalnie.

Nie ryzykuj milionowych kar. Sprawdź, czy Twoje systemy monitoringu spełniają wymogi RODO.

📞 Zadzwoń teraz: +48 885 206 000
📧 Napisz: kontak@rodo-online.eu

👉 Nie czekaj – działaj, zanim będzie za późno!

W dzisiejszych czasach ochrona danych osobowych jest kwestią kluczową. Każda osoba fizyczna powinna zwracać uwagę komu i w jakim celu udostępnia swoje dane osobowe. W dobie powszechnej cyfryzacji istnieje wiele zagrożeń dla człowieka. Przestępcy posiadają wiele narzędzi i sposobów na wykorzystanie danych osobowych w celach oszustw i popełniania przestępstw.

W ostatnim czasie poruszony został problem wykorzystania przez grupy przestępcze danych osobowych dwóch mężczyzn, w celu kupna samochodów i ich ubezpieczenia. W mediach opisane były przypadki mężczyzn na których dane osobowe zakupiono w pierwszym przypadku około 27 samochodów, a w drugim 18. Przestępcy uzyskali tylko imię i nazwisko oraz numer PESEL każdego z tych mężczyzn, co umożliwiło im dokonanie oszustw. Warto podkreślić, że tego typu dane, każdy z nas podaje w wielu miejscach np. w aptece, u lekarza czy chociażby przy okazji wpisywania się na listę poparcia kandydata danej partii przed wyborami politycznymi. Tutaj członkowie grup przestępczych wykorzystali imię i nazwisko oraz PESEL tych poszkodowanych mężczyzn do zawarcia umów kupna- sprzedaży samochodów. Warto podkreślić, że przy każdej umowie kupna samochodu przestępcy podali fikcyjny adres zamieszkania oraz fikcyjny numer i serie dowodu osobistego. Następnie okazało się, że przestępcy kupili na poszkodowanych mężczyzn odpowiednio 27 i 18 samochodów. Dużym problemem przy tego typu transakcjach kupna sprzedaży był fakt, że przestępcy z zagranicy przy podpisywaniu umowy kupna samochodu dysponowali jedynie karteczką ze spisanymi danymi, a nie fizycznym dokumentem identyfikującym tożsamość. Osoba, która sprzedawała samochód nie zweryfikowała danych kupującego z jego dokumentem czy to paszportem czy też dowodem osobistym, przez co w umowach kupna aut znalazły się dane poszkodowanych mężczyzn. Warto podkreślić, że osoby sprzedające samochody, często za nieduże pieniądze, nie dopełniły należytego obowiązku ciążącego na sprzedającym i mogą za to w przyszłości odpowiadać karnie. Jest to cenna lekcja dla wszystkich sprzedających różnego rodzaju pojazdy by dokładać staranności przy podpisywaniu umowy kupna- sprzedaży i dobrze weryfikować dane podawane przez kupującego. Niestety problemy wspomnianych wcześniej mężczyzn dopiero się zaczęły. Na samochody, które przestępcy kupili na ich dane zostały zawarte polisy OC. Zostały one zawarte na imię, nazwisko i numer PESEL. Również przy polisach ubezpieczeniowych został sfałszowany adres zamieszkania oraz podpis. W związku z tym faktem każdy z mężczyzn teoretycznie był właścicielem kilkunastu samochodów na które zostały zawarte polisy. Mężczyźni dowiedzieli się o tym fakcie, gdy towarzystwa ubezpieczeniowe zaczęły się do nich zgłaszać z wnioskami o płatność za założone polisy. Dodatkowo auta, które miały niewykupione polisy OC mogą być powodem nałożenia przez Ubezpieczeniowy Fundusz Gwarancyjny na tych poszkodowanych kar pieniężnych w wysokości do 9600 zł za auto. Powoduje to fakt, że taki poszkodowany może zostać wezwany do pokrycia łącznie OC i kar za kilkanaście aut na kwotę sięgającą nawet kilkuset tysięcy złotych. Warto podkreślić, że jeden z poszkodowanych został wpisany nawet do Krajowego Rejestru Długów.​Dodatkowo poszkodowani mężczyźni, którzy przez oszustwo stali się „właścicielami” tylu aut, otrzymali mandaty za wykroczenia popełniane w Polsce oraz za granicą, a także byli podejrzewani o dokonanie przestępstw, których udziałem były te auta np. kradzież paliwa czy jakaś kolizja. Dodatkowo urząd skarbowy zgłosił się do jednego z poszkodowanych w celu żądania opłacenia podatku od umów kupna- sprzedaży.

Można zadać sobie pytanie czy poszkodowali mogli uniknąć tego typu niekorzystnego posługiwania się ich danymi przez przestępców ? Niestety odpowiedz jest właściwie prosta. Było to praktycznie niemożliwe i taka sytuacja może spotkać każdego z nas. Należy podkreślić, że wprowadzona niedawno możliwość zastrzeżenia PESELU nie obejmuj umów kupna- sprzedaży pojazdów oraz umów zawierania polisy OC. Więc w tym wypadku nie ma dobrej możliwości aby zabezpieczyć się przed takimi przypadkami. Należy mieć nadzieję, że w przyszłości ustawodawca weźmie pod uwagę tego typu sytuacje i przepisy prawa zostaną dostosowane by chronić ludzi przed tego typu sytuacjami.

​Jeżeli jednak taka sytuacja spotka kogoś z nas powinno wykonać się trzy czynności:

1. Złożyć zawiadomienie o popełnieniu przestępstwa do prokuratury

2. Złożyć zawiadomienie o tego typu sytuacji do Ubezpieczeniowego Funduszu Gwarancyjnego

3. Sprawdzać regularnie w mObywatelu jak wygląda sytuacja z zarejestrowanymi na nas fikcyjnie samochodami za pomocą strony www, gdyż wówczas można sprawdzić dane pochodzące z CEPiKU

Jak wynika z powyższych informacji każda osoba powinna chronić swoje dane osobowe, szczególnie PESEL. Należy na ten fakt zwracać uwagę i nie podawać przypadkowo swoich danych. Warto zwrócić uwagę, że często wyciek danych osoby fizycznej następuje z różnego rodzaju firm, które przetwarzają dane osobowe do swojej działalności. Każda z tych firm powinna się zastanowić czy w odpowiedni sposób zabezpiecza dane klientów oraz czy wie jak postąpić w razie wycieku danych osobowych. Na podstawie powyższego artykułu widać, że dane które wyciekną z bazy konkretnej firmy mogą wywołać wiele szkód dla klienta. Firma taka może być narażona na konsekwencję finansowe oraz utracić renomę oraz zaufanie klientów. Specjaliści firmy GRUPA ELKA świadczą usługi, które mogą pomóc każdej firmie zabezpieczyć się w zakresie cyberbezpieczeństwa oraz kwestiach związanych z RODO za pomocą outsourcingu Inspektora Ochrony Danych Osobowych.

Uważaj na to co skanujesz smartfonem na parkingach

Ministerstwo Cyfryzacji ostrzega przed fałszywymi kodami QR na parkingach. Rząd wydał krótki komunikat, który sugeruje, że coś jest na rzeczy i fałszywe kody QR pojawiają się na parkometrach. Skala oszustwa jest trudna do oszacowania – wcześniej dotyczyło kilku dużych miast, tym razem może obejmować nawet całą Polskę.

Fałszywe QR kody na parkometrach to rosnący problem, który może prowadzić do oszustw, a także do nieautoryzowanego pobierania opłat od użytkowników. Złodzieje tworzą kopie prawdziwych kodów QR lub generują fałszywe kody, które mogą prowadzić do stron internetowych podszywających się pod oficjalne systemy płatności. Użytkownik, skanując taki kod, może zostać przekierowany do fałszywej witryny, gdzie zostanie poproszony o wprowadzenie danych osobowych oraz numeru karty płatniczej, a dane i środki finansowe mogą zostać skradzione. Szczególnie ważne jest aby nie dać się oszukać, wtedy gdy wybierzemy się do innego miasta, gdyż wygląd oznakowań na parkometrach nie jest jednolity w całym kraju i różni się w zależności od miejscowości. 

W parkomatach zazwyczaj można zapłacić za pomocą gotówki, BLIK-iem lub kartą płatniczą. Bilet parkingowy można także wykupić za pośrednictwem aplikacji typu SkyCash, moBiLET czy mPay itp. 

Aby ustrzec się przed oszustami umieszczającymi fałszywe QR kody na parkometrach, warto podjąć kilka kluczowych kroków ostrożności. Oto praktyczne porady, które pomogą zminimalizować ryzyko stania się ofiarą oszustwa:

1. Sprawdzaj źródło QR kodu

• Oficjalne parkometry: Upewnij się, że kod QR pochodzi z autentycznego parkometru. Fałszywe kody mogą wyglądać podobnie do oryginalnych, ale mogą być umieszczone w innych miejscach (np. na naklejkach) lub być źle wydrukowane. Sprawdź, czy kod znajduje się bezpośrednio na parkometrze i jest dobrze widoczny.
• Oficjalne aplikacje i strony: Korzystaj z aplikacji mobilnych dedykowanych do płatności za parkowanie. Większość miast oferuje swoje aplikacje lub zaufane platformy, które umożliwiają bezpieczne płacenie bez potrzeby skanowania kodów QR.

2. Zachowaj czujność przy skanowaniu kodu

• Sprawdzenie poprawności: Jeśli skanujesz kod QR, upewnij się, że adres strony, na którą prowadzi, jest zgodny z oficjalną witryną systemu parkingowego. Fałszywe strony mogą mieć zbliżoną nazwę domeny, ale subtelne różnice (np. dodatkowe znaki, błędy w nazwie).
• Unikaj podejrzanych linków: Jeśli po zeskanowaniu kodu pojawi się strona, która wydaje się podejrzana (np. ma dziwne grafiki lub prosi o wprowadzenie nadmiarowych danych), natychmiast zakończ proces.

3. Sprawdzaj wygląd kodu

• Drukowanie i stan kodu: Fałszywe kody mogą być słabej jakości lub rozmazane, co utrudnia ich zeskanowanie. Jeśli zauważysz, że kod QR na parkometrze jest nieczytelny, źle wydrukowany lub wygląda podejrzanie (np. jest naklejony na innych częściach parkometru), zgłoś to odpowiednim służbom.
• Zerknij na parkometr: Upewnij się, że parkometr jest w dobrym stanie i nie został usunięty lub uszkodzony w sposób podejrzany. Oszuści mogą naklejać swoje kody na starych lub zdezelowanych urządzeniach.

4. Korzystaj z aplikacji parkingowych

• Oficjalne aplikacje: Wiele miast i operatorów parkingów oferuje aplikacje mobilne do opłacania parkowania. Zamiast skanować QR kod na parkometrze, skorzystaj z aplikacji, która jest bezpiecznym sposobem płatności.
• Płatności bez QR kodów: Aplikacje często umożliwiają płacenie za parkowanie przy użyciu numeru rejestracyjnego pojazdu lub innych identyfikatorów, eliminując potrzebę skanowania QR kodu.

5. Sprawdź informacje na parkometrze

• Numer telefonu lub adres strony: Większość legalnych parkometrów ma umieszczony numer telefonu lub adres strony internetowej, do której można się odwołać w razie wątpliwości. Jeśli zauważysz jakiekolwiek podejrzane zmiany lub brak tych informacji, bądź ostrożny.
• Informacje o operatorze parkingowym: Zaufane urządzenia mają oznaczenia firmy/operatora odpowiedzialnego za system płatności. Jeżeli nie widać żadnych informacji o operatorze, lepiej nie korzystać z parkometru.

6. Zgłaszaj podejrzane sytuacje

• Kontakt z władzami: Jeśli natkniesz się na parkometr z fałszywym kodem QR lub zauważysz, że coś wydaje się nieprawidłowe, niezwłocznie zgłoś to odpowiednim służbom miejskim lub firmie odpowiedzialnej za parking. W ten sposób pomożesz uniknąć oszustw w przyszłości.

7. Ostrożność przy płatnościach online

• Unikaj podawania danych w nieznanych miejscach: Jeśli zostaniesz przekierowany do strony, która prosi o dane osobowe, numer karty kredytowej lub inne wrażliwe informacje, upewnij się, że strona jest bezpieczna (sprawdź, czy adres zaczyna się od „https” i czy widoczny jest symbol kłódki w przeglądarce).
• Płatność przez zaufane platformy: Korzystaj tylko z oficjalnych metod płatności dostępnych na znanych platformach.

Dzięki tym krokom możesz znacząco zmniejszyć ryzyko zostania ofiarą oszustów stosujących fałszywe kody QR na parkometrach.

Szkolenie pracowników z zakresu ochrony danych osobowych jest bardzo ważną kwestią. 81 % firm w sektorze małych i średnich przedsiębiorstw szkoli pracowników z ochrony danych osobowych. Niestety niecała 1/5 nie robi tego w ogóle. Na podstawie danych przedstawionych przez Urząd Ochrony Danych Osobowych aż 60 % przedsiębiorstw, które szkolą własny personel czyni to tylko jeden raz przy okazji zatrudnienia. Wśród tych przedsiębiorstw górują mikrofirmy, w których procent szkolonych jednorazowo pracowników wynosi około 59 %. W przypadku średnich firm jest to 52 %, a podium zamykają małe firmy z wynikiem 40 %. Jeżeli przeanalizujemy te firmy na podstawie branży w jakiej działają to najczęściej są to firmy z branży usługowej- około 67 % lub budowlanej- 61 %. Przewagę mają tutaj jednoosobowe działalności gospodarcze w stosunku do spółek, procentowo jest to 63 do 55. Według badania przeprowadzonego przez serwis ChronPESEL.pl i KRD pod patronatem UODO tylko około 22 % firm twierdzi, że ponownie szkoli pracowników z zakresu ochrony danych osobowych w trakcie dalszego trwania zatrudnienia. Najlepiej sytuacja wygląda w małych firmach, gdzie deklarację taką złożyło aż 41 % badanych. Drugie miejsce zajmują średnie firmy z wynikiem 35 %, a na ostatnim miejscu są mikrofirmy z niskim wynikiem tylko 21 %. Tego typu rezultat może być wynikiem niewielkich rotacji personelu. Jeżeli spojrzymy na powyższe wyniki z perspektywy branży to góruje branża produkcyjna z wynikiem 57 %, następnie jest branża handlowa z wynikiem 35%, a na końcu jest branża transportowa- 34 %. Z tego spółki to 31 % badanych, a jednoosobowe działalności gospodarcze to 12 %.

Należy zwrócić uwagę, że w firmie bez względu na jej wielkość najsłabszym ogniwem z perspektywy bezpieczeństwa jest człowiek. Nieprzeszkolone osoby popełniają najczęściej podstawowe błędy. Mogą np. otworzyć e-maila z wirusem, ustawiają hasła łatwe do odgadnięcia lub udostępniają je innym pracownikom. Kolejnym częstym błędem pracowników, którzy nie przeszli szkolenia lub mieli je dawno jest nieszyfrowanie wysyłanych mailowo plików czy też trzymanie przez nich w chmurze niezabezpieczonych dokumentów z danymi osobowymi klientów bądź współpracowników. Kolejnym dużym błędem jest używanie przez nich niezaszyfrowanych pendrive lub dysków przenośnych.

Tego typu zaniedbania mogą prowadzić do utraty zaufania klientów, spadku renomy i prestiżu firmy czy w ostateczności dużych strat finansowych czy też kar nałożonych na daną firmę. Dużo właścicieli firm z sektora małych i średnich przedsiębiorstw lekceważy zagrożenie ze strony hakerów. Prezesi firm przypuszczają, że są mało atrakcyjnym celem ze względu na wielkość firmy. Nic bardziej mylnego. Cyberprzestępcy starają się wykraść jak najwięcej danych nie patrząc przy tym na wielkość organizacji. Każda firma powinna mieć świadomość, że nawet najlepsze zabezpieczenia nie będą skuteczne gdy pracownik nie jest przeszkolony z zakresu ochrony danych osobowych czy też z zakresu cyberbezpieczeństwa.

59 % przedsiębiorców deklaruje, że po ataku hakerów i wycieku danych zgłosiła by to organom ścigania. 2% mniej ankietowanych podjęła by działania mające na celu poinformowanie osób, których dane wyciekły oraz zmieniła by hasła na używanych w firmie komputerach. Tylko ponad połowa firm deklaruje, że zwiększyła by poziom zabezpieczeń. Z powyższych danych wynika, że aż 40 % firm z sektora MŚP nie wie jak zachować się po ataku hackerskim i potencjalnym wycieku danych osobowych. Najgorsze jest, że tylko 42 % badanych zgłosiła by wyciek danych do UODO, a jako administratorzy powinni to wykonać jeżeli istnieje ryzyko (wyższe niż małe) szkodliwego wpływu na osoby, których dane zostały ujawnione.

W naszym kraju funkcjonuje około 2,3 mln firm z sektora małych, mikro i średnich. 3 % badanych deklaruje, że kradzież danych z ich przedsiębiorstwa zakończyła się sukcesem i tym samym dane wyciekły. W związku z tym można oszacować, że około 71 tys. firm utraciło dane, które były dla nich cenne w mniejszym bądź większym stopniu. Należy podkreślić, że są to przypadki w których administrator posiada wiedze o utracie danych. Należy zadać sobie pytanie jak wiele danych rzeczywiście co roku jest kradzionych, a o ilu przypadkach firmy nie wiedzą. Przecież część ataków hackerskich nie pozostawia widocznych na pierwszy rzut oka śladów. Według badania ankietowego największe zagrożenie dotyczy firm transportowych. Aż 32 % badanych z tego sektora deklaruje, że ich firma była obiektem ataku cyberprzestępców. Należy również zwrócić uwagę na fakt w jaki sposób przedsiębiorstwa przekazują dane do podmiotów świadczących dla nich usługi z zakresu księgowo- kadrowego. Zaraz po atakach hackerskich, drugim najczęstszym problemem związanym z wyciekiem danych osobowych są kwestie związanie z odpowiednim zabezpieczeniem przepływu danych osobowych do podmiotu przetwarzającego dane na zlecenie administratora.

Ochrona danych osobowych w firmie jest bardzo ważną kwestią. Należy chronić dane by zapobiec osłabieniu wizerunku firmy lub uniknięciu konsekwencji finansowych dla przedsiębiorstwa. Warto pamiętać o zapewnieniu firmie określonego poziomu bezpieczeństwa. Należy podkreślić, że specjaliści z GRUPY ELKA świadczą usługi z zakresu outsourcingu Inspektora Ochrony Danych Osobowych oraz przeprowadzają szkolenia z zakresu ochrony danych osobowych. Dodatkowo nasza firma świadczy usługi z zakresu cyberbezpieczeństwa.

Montowanie przydomowego monitoringu na własnej posesji jest popularnym sposobem na zwiększenie bezpieczeństwa. W momencie coraz łatwiej dostępnych kamer, przystępnych cenowo, gwarantujących coraz lepszą jakość i obszerną pamięć, wiele osób decyduje się na ich zakup i instalację. Czy taka ochrona jest dozwolona przez polskie prawo? Problem może pojawić się, wtedy gdy kamery swoim zasięgiem obejmują ulicę lub teren należący do sąsiada.

Instalacja systemu monitoringu na posesji to skuteczny sposób na zwiększenie bezpieczeństwa. Dzięki temu ochrona własnego dobytku staje się znacznie prostsza, tym bardziej że kamery zazwyczaj wyposażone są w funkcje detekcji ruchu i mogą być sterowane zdalnie. To pozwala również na obserwacje otoczenia nawet wtedy, gdy właściciele nieruchomości znajdują się poza domem. Choć z pewnością jest to duże udogodnienie, ale czy jest legalne? W tym przypadku obowiązują pewne ograniczenia. Kamera obejmująca wyłącznie teren posesji osoby, która ją instaluje, nie jest objęta regulacjami RODO. Art. 2 ust. 2 lit. c RODO przewiduje, że rozporządzenie nie ma zastosowania, gdy dane osobowe są przetwarzane przez osobę fizyczną w ramach działalności o charakterze czysto osobistym lub domowym. Sytuacja jednak się zmienia, gdy kamera rejestruje teren znajdujący się poza prywatną posesją. Właściciele kamer często nie zdają sobie sprawy z tego, jak istotną różnicę z punktu widzenia  RODO powoduje choćby przypadkowe, nieumyślne nakierowanie kamery na drogę czy sąsiednią nieruchomość.  

Kamera monitoringu swoim zasięgiem obejmuje drogę

W sytuacji, gdy kamery monitoringu obejmują teren poza Twoją posesją i rejestrują  na nośnikach danych osoby które się tam znajdują, wówczas dochodzi do przetwarzania danych osobowych, a to oznacza, że masz obowiązek przestrzegania przepisów RODO.W szczególności należy ustalić cel monitoringu oraz upewnić się, czy nie jest możliwe zastosowanie innych środków, które pozwolą go zrealizować, a nie będą wymagały gromadzenia danych, które mogą być uznane za nadmiarowe. Konieczne jest również wskazanie uzasadnionego interesu administratora i uzasadnienie, dlaczego nagrywanie konkretnego miejsca jest ważniejsze niż prawo do prywatności osób, które znajdą się na nagraniach. 

Decydując się na montaż kamer obejmujących drogę należy zdawać sobie sprawę z obowiązków ciążących na Tobie jako administratorze danych osobowych:

1. Jako administrator danych masz obowiązek poinformowania o kamerach – możesz to zrobić, umieszczając w widocznym miejscu znak informujący o prowadzonym monitoringu. 

2. Następnie jesteś zobowiązany do zabezpieczenia sprzętu służącego rejestracji obrazu i nagrań z nich pochodzących. Musisz się upewnić, że system, który stosujesz w celu monitoringu posesji gwarantuje ochronę danych osobowych. 

3. I na koniec jako administrator danych osobowych masz obowiązek zapewnić osobom, które znajdują się na nagraniach, dostęp do danych.

Kamera obejmująca posesję sąsiada

Kolejnym częstym przypadkiem są kamery nagrywające (choćby częściowo) posesję sąsiada. W tym przypadku bardzo trudne będzie powołanie się na prawnie uzasadniony interes administratora, który byłby ważniejszy niż prawo do prywatności sąsiada.

Nagrywanie posesji sąsiada będzie możliwe za jego zgodą, a ma on prawo w każdej chwili wycofać tę zgodę, w takim przypadku należy natychmiast zaprzestać używania kamer w ten sposób.

Podsumowanie

Monitoring prywatny jest legalny i o ile obejmuje on jedynie teren posesji, a przy tym nie rejestruje wizerunku osób trzecich, przepisy RODO nie mają zastosowania. W przeciwnym razie, utrwalając wizerunek osób trzecich, musisz stosować się do przepisów tego rozporządzenia. W przypadku naruszenia prywatności innych osób lub nieprzestrzegania przepisów prawa, osoby prowadzące monitoring mogą ponieść odpowiedzialność karną lub cywilną.

Nie można jednak zaprzeczyć faktom, że kamery na posesji zwiększają poziom bezpieczeństwa i stają się skutecznym narzędziem do ochrony przed włamywaczami i innymi przestępcami. Co więcej, nagrania z monitoringu mogą pomóc także w przypadku ustalenia zdarzeń podczas roszczenia o wypłatę odszkodowania z tytułu ubezpieczenia, czy ustaleniu sprawców ewentualnych szkód na posesji. Dlatego warto rozważyć jego zastosowanie.

Ostatnia pandemia Covid-19 ? spowodowała, że duża liczba pracowników z pracy stacjonarnej w biurze przeszła na pracę zdalną ?. Wówczas pracownicy zostali zmuszeni do kontaktów wirtualnych ?, zarówno między sobą, jak i z innymi osobami w firmie. Aby móc realizować zadania zawodowe, zaczęli wykorzystywać programy umożliwiające komunikację, takie jak Microsoft Teams, Zoom czy Google Meet ??. Dzięki wideokonferencjom ? mogli skutecznie kontaktować się z klientami, wymieniać pomysły w organizacji i realizować codzienne obowiązki. Słysząc i widząc się nawzajem, praca zdalna była możliwa na profesjonalnym poziomie ??, zastępując codzienne spotkania w biurze.

Mimo że pandemia już się skończyła, wielu pracowników nadal pracuje zdalnie ? i korzysta z tych narzędzi. Podobnie jest z pracownikami różnych oddziałów firmy, którzy kontaktują się online. Warto jednak zastanowić się ?, czy podczas wideokonferencji odpowiednio chronimy nasze dane osobowe ?.

Każdy uczestnik wideokonferencji udostępnia pewien zakres danych osobowych. Mogą to być: imię, nazwisko, e-mail, głos, wizerunek czy adres IP ??. Zgodnie z art. 4 pkt 1 RODO, są to dane osobowe, ponieważ umożliwiają identyfikację osoby fizycznej. Ponadto, organizowanie wideokonferencji, nagrywanie ich ?️, czy transmitowanie na żywo to przetwarzanie danych osobowych zgodnie z art. 4 pkt 2 RODO. Urząd Ochrony Danych Osobowych (UODO) ?️ wydał w 2020 roku szereg zaleceń, aby zminimalizować ryzyko związane z przetwarzaniem danych podczas wideokonferencji.

Pierwsza zasada mówi o tym, aby organizacja wybierająca oprogramowanie do wideokonferencji zapoznała się z jego polityką prywatności ?. Pracownik powinien sprawdzić, jakie dane aplikacja chce uzyskać – np. dostęp do kontaktów lub lokalizacji ??. Ważne, by aplikacje instalować tylko z oficjalnych źródeł, takich jak Google Play czy App Store. Należy również zadbać o to, aby nikt nie miał dostępu do tego, co widzimy na ekranie ?️. Aplikacja powinna korzystać z szyfrowania ?, a pracownik powinien korzystać z zabezpieczonego hasłem Wi-Fi ?.

Podczas wideokonferencji należy ograniczyć ilość udostępnianych danych do minimum ?. Pracownik powinien używać innego hasła do wideokonferencji niż do pozostałych programów ? i unikać udostępniania linków do konferencji w mediach społecznościowych ?. Warto także korzystać z VPN ?, zamazywać tło za sobą ? oraz włączać kamerę i mikrofon tylko wtedy, gdy to konieczne ?️?.

Organizacje często mają różne cele przetwarzania danych osobowych związane z wideokonferencjami ? – mogą to być transmisje na żywo, udostępnianie ekranu czy panele dyskusyjne. Ważne jest, aby wideokonferencje były wykorzystywane zgodnie z wcześniej określonymi celami i unikać zbierania nadmiarowych danych ?.

Przetwarzanie danych osobowych musi być zgodne z prawem ?. W tym przypadku chodzi głównie o wizerunek pracownika. Przykładowo, art. 6 ust. 1 lit. b RODO mówi, że przetwarzanie jest niezbędne do wykonania umowy, a pracownik, mając obowiązki zawodowe, musi realizować zadania takie jak szkolenia czy rozmowy biznesowe ?. Art. 6 ust. 1 lit. a RODO zakłada, że pracownik dobrowolnie wyraża zgodę na przetwarzanie swoich danych ?️.

Każda organizacja powinna, w miarę możliwości, wybierać dostawców oprogramowania z siedzibą w UE ?, ponieważ Unia Europejska przykłada dużą wagę do ochrony danych osobowych. Warto jednak przeanalizować potencjalne korzyści i zagrożenia związane z transferem danych do państw trzecich ?. W takich przypadkach pomocne mogą być konsultacje z Inspektorem Ochrony Danych Osobowych ?️‍♂️, który może doradzić w kwestiach ochrony prywatności.

Pamiętajmy, że bezpieczna wideokonferencja to nie tylko wygoda, ale i obowiązek prawny oraz odpowiedzialność za dane osobowe, które przetwarzamy ??.

Od środy 25 września sygnalista jest chroniony ?️
Od tego dnia osoby zgłaszające nieprawidłowości w związku z wykonywaną pracą zyskały ochronę przed działaniami odwetowymi kadry kierowniczej organizacji.

Kto może być sygnalistą? ?
Sygnalistą może być każda osoba narażona na działania odwetowe po dokonaniu zgłoszenia, niezależnie od podstawy i formy świadczenia pracy. Taka sama pomoc będzie przysługiwała również osobie pomagającej sygnaliście i osobie z nim powiązanej. Działania odwetowe mogą polegać np. na pozbawieniu awansu, podwyżki, nagrody ? lub w skrajnych przypadkach zwolnieniu z pracy.
Status sygnalisty jest przyznawany w momencie dokonania zgłoszenia. Tożsamość takiej osoby musi być zachowana w tajemnicy ?. Firma, organizacja decyduje, czy przyjmowane będą anonimowe zgłoszenia.

Ustawa o ochronie sygnalistów ?
Ustawa o ochronie sygnalistów będzie wchodziła w życie etapami. Państwowa Inspekcja Pracy zaznacza, że od 25 września 2024 r. osoby zgłaszające nieprawidłowości zyskają ochronę, natomiast przepisy określające zasady składania przez nich zgłoszeń o nieprawidłowościach będą wchodziły w życie w późniejszych terminach. Nowe procedury zaczną więc w pełni obowiązywać dopiero od 1 stycznia 2025 r. ?
Z przepisów ustawy wynika, że firmy zatrudniające co najmniej 50 osób (niezależnie od umowy) są zobowiązane do wdrożenia procedury zgłoszeń wewnętrznych i stworzenia kanałów do ich przyjmowania.
Wyjątkiem są m.in. podmioty działające w sektorze finansowym ? (np. banki), które mają obowiązek stworzenia kanałów zgłoszeń w każdym przypadku. Nie dotyczy to też działalności w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu ? i ochrony środowiska ? oraz jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 tys. mieszkańców.

Jak ma wyglądać procedura zgłaszania nieprawidłowości? ?
W ciągu siedmiu dni od zgłoszenia sygnalista otrzymuje potwierdzenie, że jego zawiadomienie zostało przyjęte, chyba że jest to zgłoszenie anonimowe. Następnym krokiem jest podjęcie przez pracodawcę działań następczych. Jeśli osoba lub zespół wyznaczone do obsługi zgłoszeń nieprawidłowości oceni, że zgłoszenie jest zasadne, wszczyna się postępowanie wyjaśniające.
W ciągu trzech miesięcy sygnalista powinien otrzymać informację zwrotną na temat podjętych działań następczych w związku ze zgłoszeniem działań. Nie musi to jednak oznaczać zakończenia rozpoznawania zgłoszenia, chociaż rekomenduje się tu szybkie i sprawne działanie.
Ustawa określa, jakich obszarów może dotyczyć zgłoszenie:

• Korupcja ?
• Zamówienia publiczne ?
• Usługi, produkty i rynki finansowe ?
• Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu ??
• Bezpieczeństwo produktów i ich zgodność z wymogami ?
• Bezpieczeństwo transportu ?
• Ochrona środowiska ?
• Ochrona radiologiczna i bezpieczeństwo jądrowe ☢️
• Bezpieczeństwo żywności i pasz ?
• Zdrowie i dobrostan zwierząt ?
• Zdrowie publiczne ?
• Ochrona konsumentów ?️
• Ochrona prywatności i danych osobowych ?
• Bezpieczeństwo sieci i systemów teleinformatycznych ?️
• Interesy finansowe Skarbu Państwa oraz jednostek samorządu terytorialnego i Unii Europejskiej ?
• Rynek wewnętrzny Unii Europejskiej, w tym publicznoprawne zasady konkurencji i pomocy państwa oraz opodatkowania osób prawnych ?
• Konstytucyjne wolności i prawa człowieka i obywatela w stosunkach jednostki z organami władzy publicznej ⚖️

Jak inaczej można sygnalizować problem w pracy? ?
Oprócz zawiadomienia wewnętrznego zgłaszający może skorzystać z dwóch innych opcji sygnalizowania. Pierwsza to zgłoszenie zewnętrzne do Rzecznika Praw Obywatelskich lub organu publicznego. Zgodnie z ustawą ta możliwość wejdzie w życie od 25 grudnia. Druga to ujawnienie publiczne, np. poprzez media albo serwisy społecznościowe. ?

Ministerstwo pracy wskazało jednak, że dokonanie ujawnienia publicznego nie powinno być pierwszym krokiem. Resort zaznaczył, że w razie braku zaufania do pracodawcy powinno zostać dokonane zgłoszenie zewnętrzne do organu publicznego.

Dla wszelkich organizacji Grupa ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości i ich obsługi sygnalista-online.eu.
System umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewnia także pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937.

Serwis Sygnalista Online został zaprojektowany tak, żeby w sposób bezpieczny i intuicyjny pomóc firmom oraz organizacjom w spełnieniu wymogów zdefiniowanych w Dyrektywie UE. Bardzo ważnym elementem procesu przetwarzania zgłoszeń jest maksymalne zachowanie poufności danych Sygnalistów. Treści zgłoszeń oraz dane Sygnalisty są szyfrowane ?, a ich odczytanie wymaga znajomości hasła oraz klucza. Każdy wgląd w treść zgłoszenia oraz dane Sygnalisty odnotowywany jest w dzienniku zdarzeń zgłoszenia. ?

JAKĄ POMOC OFERUJE SYGNALISTA ONLINE?

Spójność rozwiązań
Generowanie procedury na określonych przez Użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń.

Rozliczalność
Spersonalizowany, w pełni bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń.

Zgodność
Spełnione wymagania Dyrektywy 2019/1937, Ustawy o ochronie sygnalistów oraz RODO.

Konfigurowalność
Możliwość zarządzania ustawieniami oraz dostosowanie rozwiązań do własnych potrzeb.

Poufność
Zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych.

Przejrzystość
Dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych. ?

Zachęcamy do kontaktu ? kontakt@sygnalista-online.eu, z przyjemnością wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu.

? Akt urodzenia dziecka pracownika – jak długo pracodawca może go przechowywać?

Każda firma musi przechowywać akta swoich pracowników zgodnie z przepisami prawa. Teczka personalna pracownika składa się z kilku części, w tym dokumentów związanych z urlopami i świadczeniami, w których może znaleźć się akt urodzenia dziecka.

? Aby pracodawca mógł przyznać np. urlop macierzyński, ojcowski czy rodzicielski, pracownik musi dostarczyć skrócony odpis aktu urodzenia dziecka lub jego kopię (§ 4 ust. 2 rozporządzenia MRPiPS z dnia 8 grudnia 2015 r.).

? Okres przechowywania dokumentów: Zgodnie z przepisami, pracodawca ma obowiązek przechowywać akta pracownika przez 10 lat od zakończenia stosunku pracy dla osób zatrudnionych po 31 grudnia 2018 roku. Dla pracowników zatrudnionych przed tą datą, okres ten wynosi 50 lat. Dotyczy to również kopii aktu urodzenia dziecka.

? RODO: Pracodawca może przechowywać jedynie te dane, które są niezbędne do realizacji jego obowiązków wynikających z przepisów prawa. Akt urodzenia dziecka może być potrzebny np. w przypadku kontroli z ZUS, aby wykazać zasadność udzielenia danego urlopu czy przyznania świadczenia socjalnego.

Podsumowując, pracodawca ma prawo przechowywać kopię aktu urodzenia dziecka przez cały okres zatrudnienia pracownika oraz przez okres archiwizacji akt, czyli 10 lub 50 lat w zależności od daty zatrudnienia.

Internet to nie tylko zabawa – poznaj zagrożenia i chroń się!

Internet stał się nieodłączną częścią naszego życia. Ułatwia nam codzienne zakupy, kontakt z bliskimi oraz dostarcza rozrywki. Jednakże, w sieci kryją się także niebezpieczeństwa, o których warto wiedzieć, zwłaszcza jeśli jesteś osobą starszą.???

Jakie zagrożenia czyhają w sieci?

❗️ Oszuści podszywający się pod bliskich lub instytucje: Mogą wysyłać maile lub wiadomości SMS, udając członka rodziny, przyjaciela, bank czy urząd. Ich celem jest wyłudzenie poufnych danych, takich jak hasła do bankowości internetowej czy numery kart kredytowych. Często stosują techniki manipulacyjne, aby wywołać poczucie pilności lub strachu, co zwiększa szanse na powodzenie ich oszustwa.

❗️Fałszywe strony internetowe: Oszuści tworzą strony, które łudząco przypominają strony znanych banków, sklepów internetowych czy portali społecznościowych. Ich celem jest nakłonienie Cię do podania danych osobowych lub danych karty kredytowej. Warto zawsze dokładnie sprawdzać adres URL strony i unikać klikania w linki z nieznanych źródeł.

❗️Wirusy i złośliwe oprogramowanie: Mogą uszkodzić Twój komputer lub ukraść Twoje dane. Mogą też zostać wykorzystane do wysyłania spamu lub rozprzestrzeniania innych zagrożeń. Zainfekowanie komputera może nastąpić poprzez otwieranie załączników z podejrzanych maili lub odwiedzanie niezaufanych stron internetowych.

❗️Nękanie i cyberprzemoc: W internecie możesz paść ofiarą nękania lub cyberprzemocy. Może to obejmować obraźliwe wiadomości, groźby, a nawet publikowanie Twoich zdjęć lub filmów bez Twojej zgody. Cyberprzemoc może mieć poważne konsekwencje dla zdrowia psychicznego i poczucia bezpieczeństwa.

Jak chronić się przed zagrożeniami w sieci?

✋?Bądź ostrożny/a z kim się kontaktujesz: Nie ufaj wszystkim, co przeczytasz lub komu usłyszysz w internecie. Uważaj na maile i wiadomości SMS od nieznanych osób, nawet jeśli udają kogoś, kogo znasz. Zawsze weryfikuj tożsamość nadawcy przed podaniem jakichkolwiek danych.

✋?Nie podawaj poufnych danych w sieci: Nigdy nie podawaj nikomu w internecie swoich haseł, numerów kart kredytowych ani innych poufnych danych. Banki i instytucje nigdy nie proszą o takie informacje poprzez maile lub SMS-y.

✋?Korzystaj z silnych haseł: Używaj różnych haseł do różnych kont i zmieniaj je regularnie. Hasło powinno być długie i zawierać litery, cyfry oraz znaki specjalne. Silne hasła znacznie utrudniają dostęp do Twoich kont niepowołanym osobom.

✋?Instaluj oprogramowanie antywirusowe: Oprogramowanie antywirusowe może pomóc chronić komputer przed wirusami i złośliwym oprogramowaniem. Pamiętaj o regularnej aktualizacji tego oprogramowania, aby zapewnić sobie najwyższy poziom ochrony.

✋?Bądź ostrożny/a z tym, co klikasz: Nie klikaj w linki w podejrzanych wiadomościach e-mail lub na stronach internetowych. Pamiętaj, że nie wszystko, co widzisz w internecie, jest prawdziwe. Unikaj otwierania załączników i linków od nieznanych nadawców.

✋?Dbaj o prywatność w mediach społecznościowych: Uważaj na to, jakie informacje udostępniasz w mediach społecznościowych. Nie publikuj danych osobowych, takich jak adres domowy lub numer telefonu. Zastanów się dwa razy, zanim udostępnisz swoje prywatne życie publicznie.

✋?Rozmawiaj z bliskimi o zagrożeniach w sieci: Rozmawiaj z rodziną i przyjaciółmi o zagrożeniach w sieci i o tym, jak się przed nimi chronić. W razie wątpliwości lub problemów poproś o pomoc. Wspólna edukacja na temat bezpieczeństwa online jest kluczem do ochrony przed zagrożeniami.

Pamiętaj, że internet to nie tylko zabawa. Dbaj o swoje bezpieczeństwo i korzystaj z niego rozważnie! Dzięki odpowiedniej wiedzy i ostrożności możesz cieszyć się wszystkimi korzyściami, jakie oferuje sieć, unikając przy tym potencjalnych zagrożeń.❌?

Otrzymujesz podejrzane wiadomości od nieznanych nadawców lub zauważyłeś na rachunku przelew za usługę, której nie zamawiałeś? Takie sytuacje mogą być wynikiem wycieku danych osobowych, które podałeś podczas rejestracji konta w sklepie internetowym, zakupów online lub umawiania wizyty u lekarza. Świadomość, że ktoś obcy może zrobić zakupy lub zaciągnąć kredyt na Twoje nazwisko, może być bardzo niepokojąca i wywoływać podobny dyskomfort psychiczny, jak mieszkanie w domu, do którego wcześniej ktoś się włamał.

Najpoważniejsze zagrożenie wynikające z utraty kontroli nad danymi osobowymi to kradzież tożsamości, czyli bezprawne wejście w posiadanie danych identyfikujących osobę i wykorzystanie ich bez jej zgody. Przestępcy, którzy ukradli nasze dane, najczęściej robią to, aby uzyskać korzyści majątkowe, np. wyłudzić kredyt, zwłaszcza w parabankach, gdzie można zaciągnąć pożyczkę zdalnie, bez dokładnej weryfikacji tożsamości wnioskodawcy, lub dokonywać zakupów w sklepach internetowych.

Posiadanie przez nieuczciwe osoby numeru PESEL może prowadzić do poważnych konsekwencji. Oszust może uzyskać dostęp do świadczeń opieki zdrowotnej przysługujących osobie, której dane zostały naruszone, a także do informacji o jej stanie zdrowia. Często systemy rejestracji pacjentów opierają się jedynie na potwierdzeniu tożsamości za pomocą numeru PESEL.

Pozornie niegroźne ujawnienie danych do logowania w serwisach internetowych i mediach społecznościowych może zostać wykorzystane do publikowania obraźliwych postów i komentarzy, co może poważnie zaszkodzić wizerunkowi osoby, której dane przejęto.

Mając świadomość powagi sytuacji, nie można lekceważyć sygnałów, które mogą świadczyć o wycieku danych. W każdym przypadku masz prawo zweryfikować te informacje u administratora danych osobowych, czyli dostawcy usług lub produktów, któremu przekazałeś swoje dane, np. podczas rejestracji konta lub składania zamówienia. Administrator ma obowiązek wyjaśnić, czy doszło do naruszenia ochrony danych, a jeśli tak, to jakie są jego skutki i czy Twoje dane zostały objęte tym naruszeniem.

Jak zastrzec utracone dokumenty?

W przypadku zagubienia lub kradzieży dowodu osobistego, prawa jazdy, paszportu lub innego dokumentu tożsamości, należy natychmiast zastrzec ten dokument w banku, w którym posiadasz konto. Zgłoszenia można dokonać w dowolnej placówce swojego banku, a zastrzeżenie będzie skuteczne dla wszystkich rachunków bankowych. Wszystkie banki w Polsce, a także inne instytucje finansowe, są w systemie „Dokumenty Zastrzeżone Związku Banków Polskich”. Zgłoszenia są automatycznie przekazywane do Centralnej Bazy Danych i rozsyłane do pozostałych uczestników systemu. W razie zagubienia dowodu osobistego należy także zgłosić jego utratę do urzędu, który wydał dokument, lub – jeśli przebywasz za granicą – do konsulatu.

Jak zastrzec numer PESEL?

Usługa zastrzeżenia numeru PESEL polega na przekazaniu informacji do instytucji pożyczkowych, że osoba, której numer został zastrzeżony, nie zamierza zawierać umów pożyczki ani zaciągać innych zobowiązań. Usługę można aktywować na przykład poprzez portal gov.pl. Od zeszłego roku każdy może bezpłatnie złożyć wniosek o zastrzeżenie numeru PESEL w urzędzie gminy, banku, SKOK-u, na poczcie, a także elektronicznie, za pomocą aplikacji mobilnej mObywatel. Zastrzeżenie jest odnotowywane w centralnym rejestrze, który musi być weryfikowany przez instytucje finansowe, notariuszy i operatorów telekomunikacyjnych przed zawarciem umów pożyczki, kredytu, leasingu, dokonywaniem niektórych czynności notarialnych lub wydaniem duplikatu karty SIM.

Jak zablokować kartę płatniczą?

Jeżeli ujawnione zostały dane z Twojej karty płatniczej, takie jak numer karty oraz kod CVV, powinieneś niezwłocznie zablokować możliwość dokonywania płatności. Można to zrobić za pomocą bankowości elektronicznej lub dzwoniąc na infolinię swojego banku. Karty można zastrzec w dowolnym momencie, 24 godziny na dobę, 7 dni w tygodniu. Można także skorzystać z uniwersalnego, międzybankowego Systemu Zastrzegania Kart, dzwoniąc pod numer (+48) 828 828 828.

Podsumowanie

Jeżeli masz poważne podejrzenia, że Twoje dane osobowe są wykorzystywane bez Twojej wiedzy i zgody w celach przestępczych, zachowaj spokój. Działaj racjonalnie, podejmując działania adekwatne do rodzaju naruszenia. Czynności, które mogą pomóc w zminimalizowaniu skutków wycieku danych, to zastrzeżenie dokumentów tożsamości, numeru PESEL, kart płatniczych.

Dane około 10 milionów pacjentów przez lata były narażone na kradzież. Dzięki zgłoszeniu sygnalisty udało się załatać luki w aplikacjach używanych przez apteki i lekarzy – poinformował  „Dziennik Gazeta Prawna”. Nie ma jednak gwarancji, że dane nie wyciekły.

„Z programów, których lekarze używają do obsługi wizyt, można było wydobyć dostęp do dokumentacji medycznej pacjentów i ich danych osobowych (w tym adresowych i kontaktowych), a także uzyskać dostęp do systemu e-WUŚ NFZ. Za jego pomocą przestępca mógłby wystawiać refundowane recepty, skierowania czy zwolnienia lekarskie” – podał „Dziennik Gazeta Prawna”.

 Wiceprezes zarządu Polskiej Izby Informatyki Medycznej Tomasz Zieliński stwierdził że, „z punktu widzenia pojedynczego pacjenta to problem większy niż wyciek danych ze szpitala, lekarz Podstawowej Opieki Zdrowotnej ma bowiem dostęp do całej historii leczenia”.

Skala ujawnionych nieprawidłowości jest ogromna, dotyczy kilkunastu tysięcy przychodni, gabinetów lekarskich, stomatologicznych i aptek. Zagrożenie wynika z niewystarczającego zabezpieczenia oprogramowania gabinetowego. 

Po tym, jak doszło do wycieku danych medycznych z ALAB-u w listopadzie ub.r., sygnalista przesłał anonimowy lista do Jakuba Staśkiewicza, (etycznego hakera i autora bloga OpenSecurity.pl). Jego nadawca opisał podatności w systemach dostarczanych przez firmy produkujące takie oprogramowanie, a używanych przez lekarzy w gabinetach.

Staśkiewicz zainteresował się sprawą przeprowadził testy, w styczniu poinformował o wynikach zespół reagowania na incydenty komputerowe CERT Polska. Potwierdziło się, że sygnalista miał rację, luka w zabezpieczaniach istnieje. 

Producenci zapewnili, że „podatności zostały załatane„, a w czerwcu CERT Polska wydał komunikat z opisem sytuacji. „Jak przyznają eksperci NASK, nie znaleziono nigdzie dowodów, by ktoś z podatności skorzystał i pobrał z aplikacji dane pacjentów. Żadnej z takich baz nie wystawiono np. na sprzedaż w darkwebie, nikt też nie zgłosił się do producentów oprogramowania czy placówek po okup” – czytamy w „DGP”.

Na opisanym przykładzie jasno widać jak przydatna jest instytucja Sygnalisty. Przez lata „dziurawe” oprogramowanie było użytkowane przez kilkanaście tysięcy przychodni, gabinetów lekarskich, stomatologicznych, apteki i nikt nie zareagował. Dopiero po ujawnieniu nieprawidłowości odpowiednie instytucje zajęły się zabezpieczeniem programu.

Dla firm, urzędów, placówek służby zdrowia oraz innych instytucji Grupa ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości  i ich obsługi sygnalista-online.eu

System umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewnia także pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937. 

Serwis Sygnalista Online został zaprojektowany tak, żeby w sposób bezpieczny i intuicyjny pomóc firmom oraz organizacjom w spełnieniu wymogów zdefiniowanych w Dyrektywie UE. Bardzo ważnym elementem procesu przetwarzania zgłoszeń jest maksymalne zachowanie poufności danych Sygnalistów. Treści zgłoszeń oraz dane Sygnalisty są szyfrowane, a ich odczytanie wymaga znajomości hasła oraz klucza. Każdy wgląd w treść zgłoszenia oraz dane Sygnalisty odnotowywany jest w dzienniku zdarzeń zgłoszenia. 

JAKĄ POMOC OFERUJE SYGNALISTA ONLINE?

Spójność rozwiązań

Generowanie procedury na określonych przez Użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń

Rozliczalność

Spersonalizowany, w pełni bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń

Zgodność

Spełnione wymagania Dyrektywy 2019/1937, Ustawy o ochronie sygnalistów oraz RODO

Konfigurowalność

Możliwość zarządzania ustawieniami oraz dostosowanie rozwiązań do własnych potrzeb

Poufność

Zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych

Przejrzystość

Dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych

Zachęcamy do kontaktu kontakt@sygnalista-online.eu, z przyjemnością wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu

Rozporządzenie ochrony danych osobowych, które obowiązuje w Polsce od 2018 roku reguluje wiele spraw związanych z danymi osobowymi. Warto jednak podkreślić, że w społeczeństwie wiele osób ma problem z interpretacją konkretnych sytuacji, które spotykają w życiu, a które dotyczą ich danych osobowych. Podobnie jest w przypadku rodziców dzieci, które uczęszczają do szkoły lub uczniów, którzy ukończyli osiemnasty rok życia. W szkole przetwarza się duże ilości danych osobowych.

Art. 99 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe mówi o zakresie obowiązków każdego ucznia jakie powinny być zawarte w statucie każdej szkoły. Punkt drugi stwierdza, że statut szkoły powinien określać termin i formę usprawiedliwienia nieobecności uczniów zarówno tych niepełnoletnich oraz tych, którzy osiągnęli pełnoletność. Warto jednak podkreślić, że w ustawie nie są zawarte konkretne informacje, które powinny znaleźć się w usprawiedliwieniu. Powoduje to sytuację, że w zasadzie w statutach szkół zawarte są różne wymagania. Najczęściej jednak statut wymaga by podane zostały imię i nazwisko dziecka, data oraz przyczyna nieobecności ucznia bądź okoliczności, w wyniku których uczeń nie mógł przybyć na zajęcia. Większość statutów wymaga również by usprawiedliwienie miało charakter pisemny. I tutaj pojawia się wątpliwość czy przyczyna lub okoliczności nieobecności ucznia, czyli najczęściej choroba lub stan zdrowia ucznia powinny być ujawniane. Same dane medyczne są danymi szczególnie chronionymi, a gdy dotyczą dziecka podlegają jeszcze większej ochronie.

Motyw 38 RODO podkreśla, że dane osobowe dzieci podlegają szczególnej ochronie, ponieważ osoby małoletnie nie są świadome ryzyka, konsekwencji i praw przysługującym im w związku z przetwarzaniem ich danych osobowych. Każda szkoła tworząc statut, a w nim pewne zasady powinna kierować się również RODO. W przypadku reguł dotyczących usprawiedliwienia nieobecności, szkoła powinna zwrócić uwagę na zasadę minimalizacji danych oraz zasadę rzetelności przetwarzania danych osobowych. Zgodnie z pierwszą zasadą dane pozyskiwane przez szkołę powinny być adekwatne, stosowne oraz tylko takie, które niezbędne są do osiągnięcia celu w którym są gromadzone i przetwarzane. W przypadku drugiej zasady administrator danych osobowych powinien rozpatrzyć, czy przetwarzanie danych jest wykonywane w oparciu o analizę interesów zarówno administratora jak i osoby fizycznej czyli w naszym wypadku ucznia. Szkoła powinna przeanalizować w jakim stopniu przetwarzanie danych ucznia odnosi się do zapewnienia mu prywatności.

Według stanowiska Urzędu Ochrony Danych Osobowych szkoła nie ma prawa żądać uzasadnienia nieobecności dziecka w szkole. Nie ma prawa również żądać ujawnienia jego danych medycznych, czyli choroby czy stanu zdrowia. Są to dane nadmiarowe, a interes dziecka jako prawo do prywatności znajduje się wyżej niż prawo administratora, czyli szkoły do realizacji swojego celu. UODO wskazuje, że w przepisach nie jest nigdzie określone, że rodzice są zobowiązani do podania uzasadnienia. Mają jednak możliwość samodzielnego podjęcia decyzji o tym czy zechcą podać uzasadnienie, czy też nie. Nauczyciel dostrzegając długotrwałe nieobecności ucznia, mimo iż są usprawiedliwione powinien omówić tą sytuację z rodzicami ucznia bądź w przypadku pełnoletności danej osoby z samym zainteresowanym. W sytuacji dalszych długich nieobecności ucznia nauczyciel może poinformować o swoich wątpliwościach sąd rodzinny.

W dzisiejszych czasach istnieje wiele wątpliwości związanych z ochroną danych osobowych czy to dorosłych czy dzieci. Należy podkreślić, że specjaliści działu ODO GRUPY ELKA świadczą kompleksowy zakres usług związanych z ochroną danych osobowych, w tym outsourcing funkcji Inspektora Ochrony Danych.

W nowoczesnym świecie biznesu zarządzanie zasobami stanowi fundament efektywnego funkcjonowania i bezpieczeństwa każdej organizacji. Jednym z kluczowych procesów jest inwentaryzacja zasobów, która jest formalnym obowiązkiem każdej organizacji. Polega ona na sporządzeniu wykazu wszystkich dostępnych zasobów w organizacji. Zamiast ręcznych rejestrów warto wdrożyć rozwiązania informatyczne, które umożliwiają skuteczne zarządzanie inwentaryzacją i zasobami.

GRUPA ELKA, kierowana własnymi potrzebami, stworzyła serwis Zasoby Online, który w jasny i przejrzysty sposób pozwala na zarządzanie zasobami. System odpowiada na kluczowe pytania dotyczące zasobów firmy, takie jak:

• Jakie zasoby posiada firma (np. narzędzia, flota, oprogramowanie, urządzenia, sprzęt informatyczny i telekomunikacyjny)?
• Gdzie znajdują się te zasoby?
• Kto jest odpowiedzialny za stan poszczególnych zasobów?
• Kiedy upływa termin gwarancji?

Zarządzanie zasobami, czyli znajomość stanu zasobów od momentu zakupu do wycofania z użycia, ma kluczowe znaczenie dla obniżania kosztów działania i podnoszenia produktywności. System do zarządzania zasobami ułatwia zarządzanie licencjami i gwarancjami, umożliwia raportowanie oraz zapewnia stały dostęp do aktualnych informacji, co pozwala na lepsze planowanie, budżetowanie i raportowanie.

Zarządzanie zasobami to nie tylko śledzenie produktów i działań. Ważne jest, aby zarządzać zasobami przez cały okres ich eksploatacji i mieć pewność, że nie popadają w zapomnienie, tracąc swoje właściwości lub ulegając zniszczeniu. Normalizowanie, wykrywanie i odzyskiwanie zasobów informatycznych pozwala uniknąć strat finansowych wynikających z braku kontroli nad sprzętem i oprogramowaniem. Zarządzanie zasobami ma także kluczowy wpływ na bezpieczeństwo, zgodnie z normami i standardami zarządzania bezpieczeństwem.

Kilka przykładów związanych z bezpieczeństwem:

• Podatność techniczna: Bez inwentaryzacji systemów nie wiemy, czy są aktualne. Nieaktualne systemy stwarzają podatność, którą może wykorzystać intruz.
• Kontrola dostępu: Bez inwentaryzacji nie wiemy, kto ma dostęp do zasobów i czy jest on uzasadniony. Może się okazać, że uprawnienia są zbyt wysokie lub należy je odebrać.
• Monitorowanie: Bez znajomości stanu zasobów nie wiemy, co i w jakiej ilości monitorować. Brak monitoringu uniemożliwia wychwycenie anomalii i incydentów.
• Ciągłość działania: Niekompletna inwentaryzacja może spowodować brak informacji o gwarancjach czy wsparciu technicznym. Nie będziemy wiedzieć, czy mamy kopie bezpieczeństwa i odpowiednie procedury.
• Prawo licencyjne: Bez inwentaryzacji nie zapanujemy nad wykorzystaniem licencji. Nie wiedząc, ile jakich produktów używają pracownicy, możemy naruszyć prawo.
• Shadow IT: Bez inwentaryzacji nie mamy kontroli nad niezatwierdzonym przez organizację sprzętem czy oprogramowaniem.

Stosowanie rozwiązania Serwis Zasoby Online pozwala maksymalnie wykorzystać możliwości sprzętu i oprogramowania. Posiadanie zinwentaryzowanych zasobów jest konieczne przy wdrażaniu dobrych praktyk i norm z zakresu bezpieczeństwa, a także stanowi fundament dokumentacji ochrony danych osobowych i cyberbezpieczeństwa.

Zgodnie z obecnymi standardami wiedza o posiadanych zasobach jest nieodłącznym elementem każdej infrastruktury czy projektu IT. Usługa Serwis Zasoby Online jest skierowana zarówno do klientów posiadających rozbudowaną infrastrukturę IT, jak i do tych, którzy dopiero rozpoczynają proces transformacji cyfrowej.

Zapraszamy do zapoznania się z ofertą serwisu zasoby-online.eu.

W dzisiejszych czasach samochody osobowe są najpopularniejszym środkiem transportu. Z biegiem lat przekształciły się z prostych pojazdów w zaawansowane maszyny. W przyszłości mają stać się całkowicie niezależne od człowieka. Samochody powinny monitorować zachowanie kierowcy, analizować i optymalizować pracę silnika oraz oceniać otoczenie wokół pojazdu. Już teraz potrafią kontrolować kierunek jazdy. Docelowo samochody mają być w pełni autonomiczne, co zwiększy wygodę podróżowania i bezpieczeństwo.

Aby pojazd był autonomiczny, musi gromadzić wiele danych, a kierowca powinien mieć zapewnioną prywatność. Obecnie nad autonomicznymi samochodami pracują firmy takie jak Tesla Motors, Google, Apple oraz czołowi producenci samochodów. Istnieje sześć poziomów autonomii pojazdów:

1. Poziom 0 – brak automatyzacji; samochód posiada jedynie podstawowe systemy wspomagania kierowcy, takie jak ESP, tempomat czy ABS.
2. Poziom 1 – wykorzystanie jednego elementu autonomizacji, np. utrzymywanie stałej odległości od poprzedzającego pojazdu.
3. Poziom 2 – jazda półautomatyczna; samochód kontroluje kierunek jazdy, utrzymanie pasa ruchu, hamowanie, przyspieszenie oraz odległość od innych pojazdów.
4. Poziom 3 – komputer kieruje pojazdem, ale w niebezpiecznej sytuacji to człowiek przejmuje kontrolę.
5. Poziom 4 i 5 – pełna autonomia pojazdów.

Badania przeprowadzone przez firmę Intel wskazują, że całkowicie autonomiczny samochód pozyskuje od 4 do 6 TB danych każdego dnia. Pojazdy mogą wymieniać dane między sobą (Vehicle to Vehicle), z inteligentną infrastrukturą drogową (Vehicle to Infrastructure), oraz ze wszystkimi elementami otoczenia (Vehicle to Everything). Wszystkie systemy w takich pojazdach muszą chronić dane zgodnie z RODO.

Autonomiczne pojazdy gromadzą różnorodne dane osobowe, m.in. związane z optymalizacją funkcjonowania samochodu, prawidłową eksploatacją pojazdu, oraz sposobem korzystania z niego przez kierowcę. Dane te mogą obejmować zachowanie kierowcy podczas jazdy, jego preferencje, a nawet informacje o stanie zdrowia. Przykładowo, sposób hamowania czy szybkość reakcji mogą wskazywać na różne choroby. Ponadto, dane dotyczące naruszeń prawa, takie jak przekraczanie prędkości, mogą być gromadzone przez pojazd. Informacje te są atrakcyjne dla reklamodawców, którzy mogą tworzyć spersonalizowane reklamy wyświetlane kierowcy podczas jazdy. Autonomiczne auta mogą również informować o warunkach drogowych i zagrożeniach na drodze. Kamery w takich pojazdach rejestrują wizerunki innych pojazdów i ich numery rejestracyjne.

Każda firma gromadząca dane osobowe poprzez autonomiczne pojazdy musi przestrzegać art. 5 ust. 1 lit. C RODO, minimalizując ilość pobieranych danych do niezbędnego minimum. Przetwarzanie danych musi być uzasadnione konkretnym celem, odbywać się na podstawie umowy lub zgody osoby, której dane dotyczą, i być zgodne z prawem. Problem może stanowić uzyskanie zgody, gdy z pojazdu korzysta kilku kierowców. Użytkownicy autonomicznych aut powinni być informowani o zakresie i celu gromadzonych danych, oraz o administratorach tych danych.

Rozwój technologii niesie ze sobą zagrożenia cybernetyczne. Hakerzy mogą przejąć kontrolę nad pojazdem, wgrać wirusa i doprowadzić do niebezpiecznych sytuacji. Autonomiczne auta przyniosą wiele korzyści, ale konieczne jest zapewnienie odpowiednich zabezpieczeń. Specjaliści GRUPY ELKA oferują kompleksowe usługi z zakresu cyberbezpieczeństwa.

14 czerwca Sejm przyjął poprawki Senatu do ustawy o ochronie sygnalistów, a następnie ustawa została podpisana przez prezydenta Andrzeja Dudę 20 czerwca 2024 roku. Ustawa wejdzie w życie trzy miesiące po jej ogłoszeniu, a przepisy dotyczące zgłoszeń zewnętrznych zaczną obowiązywać po sześciu miesiącach. Celem ustawy jest wdrożenie dyrektywy Parlamentu Europejskiego i Rady UE, która miała zostać wprowadzona przez kraje unijne do 17 grudnia 2021 roku.

Kim jest sygnalista?

Sygnalista to osoba fizyczna, która zgłasza naruszenia prawa za pomocą wewnętrznych lub zewnętrznych kanałów zgłoszeń, bądź ujawnia takie informacje publicznie, w kontekście swojej pracy. Sygnalistą może być:

• Pracownik
• Pracownik tymczasowy
• Osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej
• Przedsiębiorca
• Prokurent
• Akcjonariusz lub wspólnik
• Członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej
• Osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy
• Stażysta
• Wolontariusz
• Praktykant
• Funkcjonariusz w rozumieniu art. 1 ust. 1 ustawy z dnia 18 lutego 1994 r. o zaopatrzeniu emerytalnym funkcjonariuszy Policji, ABW, AW, SKW, SWW, CBA, SG, SM, SOP, PSP, SCS i SW
• Żołnierz w rozumieniu art. 2 pkt 39 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny

Zgodnie z ustawą, ochroną zostaną objęte osoby zgłaszające naruszenia prawa niezależnie od formy i podstawy ich zatrudnienia. Sygnalista będzie mógł zgłaszać naruszenia poprzez wewnętrzne kanały zgłoszeń utworzone przez podmioty prywatne i publiczne, zewnętrzne kanały zgłoszeń do odpowiednich organów państwowych, a w szczególnych przypadkach również poprzez publiczne ujawnienie.

Działania sygnalisty mogą dotyczyć następujących obszarów:

• Korupcja
• Zamówienia publiczne
• Usługi, produkty i rynki finansowe
• Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu
• Bezpieczeństwo produktów i ich zgodność z wymogami
• Bezpieczeństwo transportu
• Ochrona środowiska
• Ochrona radiologiczna i bezpieczeństwo jądrowe
• Bezpieczeństwo żywności i pasz
• Zdrowie i dobrostan zwierząt
• Zdrowie publiczne
• Ochrona konsumentów
• Ochrona prywatności i danych osobowych
• Bezpieczeństwo sieci i systemów teleinformatycznych
• Interesy finansowe Skarbu Państwa, jednostek samorządu terytorialnego oraz Unii Europejskiej
• Rynek wewnętrzny UE, w tym zasady konkurencji i pomocy państwa oraz opodatkowania osób prawnych
• Konstytucyjne wolności i prawa człowieka i obywatela w relacjach z organami władzy publicznej

Trzy kanały ujawnienia nieprawidłowości przez sygnalistę:

1. Ujawnienie publiczne – podanie informacji o naruszeniu prawa do wiadomości publicznej.
2. Zgłoszenie zewnętrzne – ustne lub pisemne przekazanie informacji o naruszeniu prawa Rzecznikowi Praw Obywatelskich albo odpowiedniemu organowi publicznemu.
3. Zgłoszenie wewnętrzne – ustne lub pisemne przekazanie informacji o naruszeniu prawa podmiotowi prawnemu (najczęściej pracodawcy).

Zgłoszenia wewnętrzne

Rozdział 3, Art. 23.1 ustawy o ochronie sygnalistów mówi o zgłoszeniach wewnętrznych: przepisy niniejszego rozdziału stosuje się do podmiotu prawnego, w którym na dzień 1 stycznia lub 1 lipca danego roku pracuje zarobkowo co najmniej 50 osób.

Dla firm, urzędów oraz innych instytucji GRUPA ELKA opracowała unikalną, bezpieczną i intuicyjną platformę do zgłaszania nieprawidłowości i ich obsługi: sygnalista-online.eu. System ten umożliwia bezpieczne zgłaszanie nieprawidłowości oraz informowanie o działaniach następczych, zapewniając pełną zgodność z warunkami Dyrektywy Parlamentu Europejskiego 2019/1937.

Jaką pomoc oferuje Sygnalista Online?

• Spójność rozwiązań – generowanie procedury na określonych przez użytkownika warunkach oraz wdrożenie jej w systemie zgłoszeń.
• Rozliczalność – spersonalizowany, bezpieczny i intuicyjny system obsługi zgłoszeń i naruszeń.
• Zgodność – spełnienie wymagań Dyrektywy 2019/1937, ustawy o ochronie sygnalistów oraz RODO.
• Konfigurowalność – możliwość zarządzania ustawieniami i dostosowanie rozwiązań do własnych potrzeb.
• Poufność – zgłaszanie nieprawidłowości oraz działania następcze z zachowaniem poufności danych.
• Przejrzystość – dziennik zdarzeń zgłoszenia zawierający informacje o działaniach i odczycie danych.

Zachęcamy do kontaktu: kontakt@sygnalista-online.eu. Chętnie wyjaśnimy szczegóły funkcjonowania oraz zasady korzystania z serwisu sygnalista-online.eu.

NIS 2 to dyrektywa na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Obejmuje środki prawne, których celem jest zwiększenie poziomu bezpieczeństwa w kwestiach cybernetycznych. Celem wprowadzenia powyższej dyrektywy jest konieczność nadążenia za wzrostem cyfryzacji i zmianami w obszarach zagrożeń dla cyberbezpieczeństwa. Należy wziąć pod uwagę, że w czasach nagłego wzrostu liczby cyberataków i incydentów Unia Europejska musiała w jakiś sposób zareagować i wprowadzić mechanizm, który zabezpieczy państwa członkowskie przed tego typu zagrożeniami. Społeczeństwa europejskie muszą w ostatnim czasie mierzyć się z takimi atakami jak np. phishing, ransomware czy różnego rodzaju złośliwe oprogramowania. NIS 2 jest pewną znaczącą częścią strategii bezpieczeństwa w zakresie cybernetyki Unii Europejskiej i jest w pełni zgodny z głównymi priorytetami Komisji Europejskiej, które skupiają się na cyfrowej erze współczesnej Europy.

NIS 2 jest następcą NIS 1, który został utworzony i wprowadzony w życie na terenie Unii Europejskiej w 2016 roku. NIS 2 zostało przyjęte 10 listopada 2022 roku, a opublikowano 16 stycznia 2023 roku. Państwa członkowskie UE mają czas na wprowadzenie NIS 2 do 17 października 2024 roku.

Tak jak wcześniej zostało wspomniane dyrektywa obejmuje środki prawne, które mają za zadanie zwiększyć poziom cyberbezpieczeństwa krajów UE poprzez:

1. Zapewnienie gotowości każdego z krajów członkowskich poprzez stworzenie odpowiednich organów czy zespołów np. CSIRT, czyli zespół reagowania na powstające incydenty bezpieczeństwa komputerowego oraz NIS, czyli krajowy organ do spraw sieci i systemów informatycznych.
   
2. Powołanie grupy współpracy, której celem jest nawiązaniem współpracy między państwami członkowskim Unii Europejskiej w zakresie wymiany informacji i różnego rodzaju doświadczeń.
   
3. Wprowadzenie zasad wysokiej kultury bezpieczeństwa w zakresie cybernetyki w obszarach i sektorach, które mają spore znaczenie dla społeczeństwa czy też dla gospodarki.

NIS 2 obejmuje więcej sektorów przedsiębiorstw i zmienia sposób ich przyporządkowania, bądź też klasyfikacji w stosunku do NIS 1. Podmioty dzieli się według wielkości podmiotu, ważności i rodzaju świadczonych usług czy poziomu powiązania z podmiotami powiązanymi czy też partnerskimi. Do NIS 2 zaliczamy  następujące rodzaje przedsiębiorstw:
transport, opieka medyczna, energia, dostawcy usług cyfrowych, banki i instytucje finansowe, infrastruktura cyfrowa oraz zaopatrzenie w wodę, żywność, dostawca sieci publicznych lub usług komunikacji elektronicznej, przestrzeń kosmiczna, gospodarki ściekami i odpadami, administracja publiczna, usługi cyfrowe takie jak platforma usług społecznych i usług centów danych, usługi pocztowe i kurierskie czy też produkcji niektórych kluczowych produktów.

Dodatkowo dyrektywa rozróżnia podmioty ważne oraz kluczowe. Pierwsza grupa to te, które zatrudniają powyżej 50 pracowników i których roczny obrót przekracza 10 mln EUR, a suma bilansowa to ponad 10 mln EUR. Natomiast druga grupa to przedsiębiorstwa zatrudniające powyżej 250 osób z rocznymi obrotami przekraczającymi 50 mln EUR lub roczna sumą bilansową przekraczającą 43 mln EUR. Nie można zapomnieć jednak o mniejszych przedsiębiorstwach. Mikro i małe firmy odgrywają kluczową rolę dla gospodarki, społeczeństwa oraz określonych typów i sektorów usług, dlatego również zobowiązane są wprowadzić u siebie założenia Dyrektywy NIS 2.

NIS 2 dodatkowo zakłada mocniejszy nacisk na organy zarządzające spółek oraz podnosi kryteria bezpieczeństwa w oparciu o zarządzanie ryzykiem i określenie środków bezpieczeństwa w zakresie cybernetyki. Dyrektywa nakłada obowiązek zgłaszania incydentów bezpieczeństwa przez przedsiębiorstwa, a sankcje za nieprzestrzeganie dyrektywy mają być znacząco wyższe. Dodatkowo NIS 2 wprowadza obowiązek zwrócenia uwagi przez przedsiębiorstwa na kwestie bezpieczeństwa łańcucha dostaw oraz relacji z kontrahentami.

NIS 2 według szacunków może objąć swoim zakresem ponad 6000 różnego rodzaju podmiotów działających aż w 18 różnych sektorach w Polsce. Za niezastosowanie się do dyrektywy może zostać nałożona duża kara finansowa. Na przedsiębiorstwa o charakterze kluczowym kara ma wynosić co najmniej 10 mln EUR lub co najmniej 2% łącznego rocznego światowego obrotu w poprzednim roku obrotowym firmy. Natomiast dla podmiotów ważnych maksymalna kara finansowa to co najmniej 7 mln EUR lub 1,4 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym firmy.

Warto podkreślić, że NIS 2 wprowadza następującą zasadę zgłaszania incydentów poważnych: 24 godziny na przesłanie wczesnego ostrzeżenia oraz 72 godziny na zgłoszenie określonego incydentu. Rozporządzenie wymaga również by przedsiębiorstwo złożyło w odpowiednim czasie raporty okresowe oraz końcowe.

GRUPA ELKA świadczy kompleksowe usługi w obszarze cyberbezpieczeństwa. Nasze usługi świadczone są przez grupę specjalistów, którzy pomogą Państwu dostosować przedsiębiorstwo do standardów nowej dyrektywy.

Do niedawna obowiązywało stanowisko Urzędu Ochrony Danych Osobowych, które mówiło że dane osobowe kandydatów aplikujących w procesie rekrutacyjnym powinny być usuwane niezwłocznie po zakończeniu tego procesu. Wyjątek stanowić może sytuacja, kiedy kandydat wyraził zgodę na przetwarzanie swoich danych na potrzeby przyszłych rekrutacji. Naczelny Sąd Administracyjny orzekł inaczej w sprawie skargi niedoszłej pracownicy firmy wysyłkowej „A”.

Przybliżmy szczegóły sprawy. Pani K. aplikowała do znanej firmy wysyłkowej „A”, niestety kobieta nie dostała pracy. Poprosiła zatem o wykasowanie jej danych z bazy, jednak firma odmówiła argumentując to tym, że musi dysponować jej danymi po skończonym procesie rekrutacji, aby zabezpieczyć się przed ewentualnymi roszczeniami kandydatki do pracy. Pani K. skierowała skargę do Urzędu Ochrony Danych Osobowych. 

Prezes UODO upomniał firmę „A” wytykając jej naruszenie przepisów prawa ochrony danych osobowych poprzez bezpodstawne przetwarzanie danych po zakończeniu rekrutacji. Zdaniem UODO uchybienie to naruszało przepisy Rozporządzenia RODO, w tym m.in. art. 6 ust.1. Decyzję tą zaskarżyła firma „A”, a Warszawski Sąd Administracyjny przychylił się do wniosku firmy wysyłkowej. W opinii WSA, Prezes UODO nie wziął pod uwagę prawnie uzasadnionego interesu Administratora. Firma „A” jako administrator danych i pracodawca jest zobowiązana do respektowania regulacji Kodeksu pracy dotyczących zakazu dyskryminacji, także w trakcie przyjmowania do pracy. Sąd wskazał, że zgodnie z art. 291 Kodeksu pracy obowiązuje 3-letni termin przedawnienia takich roszczeń. Tym samym firma „A” ma uzasadniony interes w przechowywaniu tych danych właśnie przez ten okres w celu potencjalnego ich wykorzystania w możliwym procesie sądowym.

Skargę kasacyjną do Naczelnego Sądu Administracyjnego złożył Prezes UODO, ale została ona oddalona. NSA w oparciu o art. 6 ust. 1 pkt f RODO wskazał, że przetwarzanie danych osobowych musi być oparte o trzy zasadnicze przesłanki: 

1. Administrator musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne.
2. Cele te są uzasadnione interesem prawnym administratora danych. 
3. Interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby której dane są przetwarzane. 

Zdaniem Naczelnego Sadu Administracyjnego wszystkie te przesłanki zostały spełnione i należy uznać, że dozwolone jest przechowywanie danych osobowych kandydatów nieprzyjętych do pracy także po zakończeniu procesu rekrutacji. Sąd wskazał też, że przetwarzanie jest uzasadnione w tych warunkach, o ile sprowadza się ono wyłącznie do przechowywania danych kandydatów odrzuconych w procesie rekrutacji.

Podsumowując, przechowywanie danych po zakończonej rekrutacji jest uzasadnione interesem samych kandydatów jak i pracodawców. Pracodawca może przechowywać dane zebrane w toku rekrutacji od kandydatów przez 3 lata. W okresie tym, kandydaci mogą podnieść zarzut odrzucenia ich aplikacji z powodu dyskryminacji lub nierównego traktowania.

W dzisiejszych czasach prowadzenie firmy jest niełatwym wyzwaniem. Zmieniające się przepisy stanowią ciągłe wyzwanie dla osób pracujących w firmie, szczególnie dla osób na stanowisku kadrowym bądź księgowym. Proces wdrażania nowych technologii w firmie jest jej nieodłączną częścią. Co raz to nowe programy stanowią spore ułatwienie i usprawnienie w firmie, ale również wiążą się z koniecznością dokształcania przez pracowników.

Nieodzownym elementem w działalności firmy stanowią faktury w szczególności firmach zajmujących się sprzedażą towarów lub świadczeniem usług. Tego typu dokument w każdej firmie istnieje od dawna, natomiast z czasem faktury nabrały również formy elektronicznej. Należy również zaznaczyć fakt, że w związku z wejściem w życie RODO znaczenie bezpieczeństwa danych zawartych na fakturze oraz forma ich przetwarzania nabrała nowego znaczenia.

Każda firma w swojej działalności dokonuje transakcji opodatkowanej podatkiem od towarów i usług. Dokumentem podstawowym potwierdzającym taką transakcję jest faktura.

Każda faktura według ustawy z dnia 11 marca 2004 roku o podatku od towarów i usług powinna zawierać następujące informacje:

• imiona i nazwiska podatnika i nabywcy oraz ich adresy
• numer NIP lub KRS podatnika oraz nabywcy
• jeżeli jest taka konieczność imię, nazwisko, adres oraz NIP luk KRS przedstawiciela podatkowego

Przez dane osobowe należy rozumieć wszelkiego rodzaju informację dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane osobowe znajdujące się na fakturach należą do przedsiębiorców. Stronami umowy mogą być osoby fizyczne, spółki cywilne, osoby prawne lub tzw. ułomne osoby prawne czyli: spółki partnerski, spółki jawne, spółki komandytowe oraz komandytowo-akcyjne. Mogą to być również stowarzyszenia czy wspólnoty mieszkańców. W związku z tym, że jawne i powszechnie dostępne są rejestry CEIDG oraz KRS można by wysnuć wniosek, że dane te nie podlegają RODO. Faktycznie dane osób prawnych takie jak dane o firmie, forma osoby prawnej czy dane kontaktowe nie podlegają Rozporządzeniu o Ochronie Danych Osobowych, natomiast wyjątkiem są dane osób fizycznych prowadzący jednoosobową działalność gospodarczą. Mówi o tym motyw 14 RODO, który zakłada, że tego typu dane należy chronić. Dodatkowo ochronie podlegają dane osoby fizycznej jako strony umowy znajdującej się na fakturze oraz dane spółki cywilnej osób fizycznych.

Obecnie firmy wykorzystują zaawansowane narzędzia – programy do fakturowania. Mogą one działać np. w systemie chmurowym lub jako aplikacja. Często zdarza się tak, że łączą się one z bazą danych firmy gdzie pozyskują dane kontrahentów jak również i klientów danej firmy. Dochodzi wówczas do zaawansowanego procesu przetwarzania danych osobowych. W związku z tym należy zwrócić szczególną uwagę na fakt, że tak duże ilości danych powinny być zabezpieczone w odpowiedni sposób. Firma korzystająca z danej platformy powinna sprawdzić czy dany program spełniają normy  zgodne z RODO oraz czy dany operator zapewnia odpowiednie zabezpieczenia organizacyjne oraz techniczne.

Do tego typu środków możemy zaliczyć:

• uwierzytelnianie
• nadawanie odpowiednich uprawnień
• możliwość kasowania danych w przypadku awarii dysku
• zabezpieczenia w formie programu antywirusowego
• ustawienie firewalla
• regularną konserwację systemu
• przeprowadzanie regularnych testów bezpieczeństwa
• regularne szkolenie pracowników

Tego typu programy mogą działać jako osobni administratorzy lub jako podmioty przetwarzające dane osobowe. Niezwykle ważne jest wypełnienie obowiązków wynikających z RODO w relacji administrator do administratora lub zawarcie odpowiedniej umowy powierzenia między administratorem a podmiotem przetwarzającym.

Może również dojść do sytuacji, że dane konkretnej firmy zostaną wytransferowanie poza UE/EOG. Dlatego istotne jest uwzględnić regulacje i zasady międzynarodowego transferu danych przy pomocy mechanizmów jakie przewiduje RODO czyli np. odpowiednie certyfikacje czy klauzule umowne. Ważne jest aby każdy użytkownik programu do obsługi faktur znał swoje prawa oraz zasady przetwarzania danych zawartych w oprogramowaniu z którego korzysta.

Jeżeli dana firma wystawia fakturę dla jednoosobowej działalności gospodarczej musi automatycznie pozyskać odpowiednie dane. Dochodzi wówczas to początkowego etapu przetwarzania danych czyli ich gromadzenia. W związku z tym działając w oparciu o artykuł 13 RODO firma powinna spełnić obowiązek informacyjny.

Składać się on powinien z następujących składowych:

• dane Administratora Danych Osobowych
• dane Inspektora Danych Osobowych
• podstawa prawna przetwarzania danych osobowych oraz cele przetwarzania
• informacje o odbiorcach danych osobowych
• jeżeli zachodzi konieczność przekazania danych to państw trzecich ADO powinien o tym poinformować
• okres przechowywani danych
• informacje dotyczące praw osób do których dane należą

Fakturowanie jest nieodłącznym elementem prowadzenia działalności gospodarczej w Polsce. Należy pamiętać, że są podmioty, których dane na fakturach podlegają ochronie RODO. Należy o to zadbać i nie dopuścić by dane potencjalnego klienta zostały udostępnione stroną do tego nieupoważnionym. Jeżeli by tak się jednak stało nieocenioną pomocą może być usługa Inspektora Ochrony Danych Osobowych. Firma PHU ELKA świadczy usługę zewnętrznego IOD-a. Wiedza oraz szerokie kompetencje specjalistów z działu ODO grupy ELKA mogą wspomóc firmę w zakresie ochrony danych osobowych.

W Polsce od momentu wejścia RODO w życie trwa nieprzerwanie spór dotyczący klasyfikacji tablic rejestracyjnych jako danych osobowych.

Prezes Urzędu Ochrony Danych Osobowych zajmuje stanowisko, że numery rejestracyjne są danymi osobowymi, ale sądy administracyjne (w większości) prezentują przeciwny pogląd. Eksperci są również podzieleni, część popiera kierunek orzecznictwa polskich sądów, ale jest równie liczna grupa specjalistów popierających stanowisko większości krajów UE, które uznają numery rejestracyjne samochodów za dane osobowe.

Zgodnie z art. 4 pkt 1 RODO dane osobowe to „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”. 

Przekładając to na „język polski”, jeżeli na podstawie informacji można zidentyfikować konkretną osobę fizyczną, to są to dane osobowe. Oznacza to, że ta sama informacja może stanowić dane osobowe, a winnym przypadku już nie. Zależy to od możliwości powiązania tej informacji z innymi, co umożliwia identyfikację konkretnej osoby. Odnosi się to także do kwestii czy numer rejestracyjny stanowi dane osobowe. W różnych okolicznościach różnie możemy to postrzegać. Podmiot posiadający interes prawny np. (Policja, Prokuratura, Kancelaria Komornika czy Straż Miejska) w łatwy sposób mogą uzyskać informacje o właścicielu pojazdu, nawet jeśli mają do dyspozycji jedynie numer rejestracyjny. Dużo trudniej „zwykłemu obywatelowi” jest uzyskać informacje o właścicielu pojazdu z Centralnej Ewidencji Pojazdów i Kierowców (CEPiK).

Europejskie organy ochrony danych osobowych  twierdzą, że  w większości przypadków numer rejestracyjny stanowi dane osobowe, zależy to jednak od kontekstu przetwarzania, są to dane osobowe w momencie gromadzenia np. w ramach systemu monitoringu w celu identyfikacji osoby fizycznej, aby nałożyć mandat za złe parkowanie lub inne wykroczenia drogowe.

Nasi zachodni sąsiedzi wprowadzili numery rejestracyjne pojazdów do systemu umożliwiającego ocenę zachowania kierowcy w ruchu drogowym. Oznacza to utożsamianie prowadzącego auto z właścicielem, (odpowiednie służby mają obowiązek zweryfikowania, czy pojazd prowadził właściciel czy inna osoba). Od uprawomocnienia się wyroku Wyższego Sądu Administracyjnego w Münster w 2017 roku, numery rejestracyjne są traktowane w Niemczech jak dane osobowe. Podobne stanowisko przyjęła również Francja, a organy nadzorcze Norwegii oraz Włoch nałożyło wysokie kary dla przedsiębiorców udostępniających numery rejestracyjne podczas transakcji handlowych.

Do rozważenia pozostaje zagadnienie indywidualnych tablic rejestracyjnych. Niektóre mogą wprost sugerować, że właścicielem pojazdu jest konkretny celebryta / znana osobistość, ale  trzeba wziąć pod uwagę, że różnego rodzaju celebryci sami dążą do tego aby być łatwo rozpoznawalnymi.

W dzisiejszym świecie kradzieże oraz akty różnego rodzaju wandalizmu są dosyć powszechnym zjawiskiem. Często mamy do czynienia z nimi w sklepach. Według danych Komendy Głównej Policji w 2023 r. stwierdzono 40 tysięcy przestępstw kradzieży, a wykroczeń o charakterze kradzieży około 279 tysięcy. Jeżeli porównywać dane z rokiem wcześniejszym to ilość przestępstw kradzieży wrosła o 22,2 procent, natomiast wykroczeń o niecałe 17 procent. Specjaliści prognozują, że liczba kradzieży w przyszłości może dalej rosnąć. Na pewno nie pomoże fakt, że podniesiono próg od którego kwalifikuje się kradzież jako przestępstwo do 800 złotych. Nie możemy również zapominać o drobnych złodziejach czy też dużych grupach przestępczych, które z kradzieży w sklepach uczyniły sobie sposób na życie. Jednym z elementów zabezpieczenia się przedsiębiorców przed stratami jest zatrudnienie wykwalifikowanej ochrony. Jednak często tego rodzaju środek jest niewystarczający bądź generuje zbyt wysokie koszty. W takim przypadku właściciele sklepów decydują się na założenie monitoringu wizyjnego, którego celem jest odstraszenie potencjalnych złodziei bądź w razie kradzieży ich łatwiejsza identyfikacja. W dalszej części artykułu ukazane zostaną regulacje dotyczące monitoringu wizyjnego wynikające z ogólnego rozporządzeniem o ochronie danych osobowych, które weszło w życie 25 maja 2018 roku.

Na początku omawiania tak ważnej kwestii należy podkreślić fakt, że monitoring wizyjny należący do administratora powinien nagrywać jedynie taki obszar, który jest niezbędny do realizacji jego celów. Należy podkreślić, że art. 22 § 1 Kodeksu Pracy określa trzy powody, które uzasadniają montaż kamer w miejscu pracy: ochrona majątku przedsiębiorcy, zapewnienie odpowiedniego poziomu bezpieczeństwa pracowników czy też zachowanie tajemnicy informacji. Monitoring powinien znajdować się w tych miejscach w danym sklepie gdzie najczęściej przebywają klienci i gdzie może dojść do kradzieży czy innego rodzaju nieprawidłowości wynikających z relacji klient- sklep bądź klient- pracownicy danego sklepu. Należy podkreślić, że monitoringu nie wolno administratorowi instalować w toaletach, przebieralniach czy też palarniach danego sklepu ponieważ jest to miejsce gdzie intymność człowieka jest ważniejsza niż realizacja celów administratora. Dodatkowo podmiot nagrywający, który jest właścicielem danych osobowych powstałych w wyniku rejestracji danego obrazu musi odpowiednio poinformować klientów o tym, że w danym sklepie jest monitoring. Powinien to zrobić umieszczając w widocznym miejscu informację.

Ważnym obowiązkiem każdego właściciela sklepu, który zatrudnia pracowników jest poinformowanie ich o fakcie, że na terenie danego sklepu został zainstalowany monitoring wizyjny. Dodatkowo pracownicy powinni zostać zapoznani z celem jego stosowania, zasięgiem oraz zakresem. Jeżeli chodzi o czas jakim dysponuje pracodawca to powinien poinformować pracowników nie później niż 2 tygodnie przed jego wprowadzeniem na terenie firmy. Kolejnym obowiązkiem administratora danych osobowych jest przeszkolenie pracowników. Właściciel sklepu musi również zapewnić odpowiedni poziom bezpieczeństwa przechowywania i udostępniania nagrań.

Gdy dojdzie do kradzieży danego towaru w sklepie i zatrzymamy sprawcę kradzieży, powinniśmy zawiadomić odpowiednie służby np. policję czy straż miejską. Wówczas po przybyciu funkcjonariusz spisuje odpowiedni protokół oraz przesłuchuje świadków. W kolejnym etapie służby mogą wnioskować o wydanie przez administratora nagrań z monitoringu do celów dowodowych.

Jeżeli jednak obsłudze sklepu nie uda się złapać złodzieja wówczas właściciel sklepu musi podjąć inne kroki. ADO musi pamiętać, że publikowanie wizerunku złodzieja w mediach społecznościowych czy co gorsza wywieszanie jego zdjęcia w danym sklepie jest niedopuszczalnym działaniem. Tego typu publikowanie wizerunku potencjalnego złodzieja nie może mieć miejsca. Wizerunek każdego człowieka jest jego indywidualnym dobrem, które jest prawnie chronione. Ochrona wizerunku opisana jest w artykule 23 Kodeksu Cywilnego. Również o ochronie wizerunku mówi Prawo Prasowe w artykule 13 ustęp 2. Ustęp ten stwierdza, że nie można publikować wizerunku osoby przeciwko której toczy się postępowanie przygotowawcze bądź sądowe, a także zakłada domniemanie niewinności każdej osoby. Mówi również o tym art. 42 Konstytucji ustęp 3, który zakłada, że nie można publikować niczyjego wizerunku dopóki nie zostanie skazany prawomocnym wyrokiem sądowym. Istnieją jednak wyjątki, w których Administrator danych osobowych może udostępnić wizerunek sprawcy w postaci wideo tylko określonym podmiotom. Jednym z takim podmiotów są pracownicy firmy ochroniarskiej, którzy dzięki posiadaniu wizerunku sprawcy mogą zapobiec dalszym kradzieżom. Kolejnym podmiotem jest policja lub innego rodzaju służby, które są organami zaufania publicznego i zajmują się one wykroczeniami bądź przestępstwami. Ważnym podmiotem są również kierownicy sklepu. Oni jako decydenci i zarządzający pracą sklepu maja również wpływ na ograniczenie kradzieży. Należy podkreślić, że zwykli pracownicy nie powinni mieć wglądu do materiału z monitoringu gdyż to rozszerza zbyt mocno grupę, której udostępnia się konkretne dane osobowe w postaci wizerunku.

Oprócz podanych wcześniej sytuacji w których RODO zabrania publikacji wizerunku sprawcy kradzieży możemy dodać jeszcze jedną. Czwartą zakazaną sytuacją jest przekazywanie zdjęcia sprawcy sąsiadującym zaprzyjaźnionym przedsiębiorcom przez kanały komunikacyjne, które nie zostały zabezpieczone w odpowiedni sposób i które mogą prowadzić do wycieku danych osobowych potencjalnego złodzieja.

Należy podkreślić, że wizerunek danej osoby czyli jego dana osobowa jest przez prawo chroniona. Każdy administrator danych powinien w odpowiedni sposób przechowywać oraz przetwarzać dane, które są jego własnością i za które odpowiada. Warto podkreślić, że podstawą prawną udostępniania odpowiednim i uprawnionym organom wizerunku uchwyconego w postaci wideo jest artykuł szósty RODO. Jeżeli jednak właściciel sklepu nie zachowa odpowiednich procedur lub postąpi niewłaściwie co może wynikać z jego braku odpowiedniej wiedzy z zakresu ochrony danych może ponieść określone konsekwencje. Może na administratora zostać nałożona kara przez Prezesa Urzędu Ochrony Danych Osobowych lub osoba, której wizerunek został ujawniony może dochodzić określonych roszczeń na drodze sądowej. Właśnie biorąc pod uwagę tego typu kwestie administrator danych osobowych powinien rozważyć skorzystanie z usługi zewnętrznego inspektora ochrony danych. Tego typu usługa zapewni ADO określoną wiedzę związaną z RODO oraz w razie niekorzystnej sytuacji zapewni sprawny kanał komunikacji między właścicielem sklepu, a UODO. Jeżeli nie jesteś pewien jak postępować z monitoringiem to warto skorzystać z pomocy specjalistów z działu ODO firmy PHU ELKA, którzy posiadają odpowiednią wiedzę merytoryczną oraz kompetencje.

Nadszedł czas podsumowania 2023 roku, zatem można śmiało przedstawić nałożone kary finansowe w minionym roku przez Prezesa Urzędu Ochrony Danych Osobowych. Łącznie nałożono aż 21 kar, w porównaniu do 13 w roku 2022, jest to wyraźnywzrost.Łączna kwota nałożonych kar to 666 089 zł. 

Jak się wydaje te kary są wynikiem słabej wiedzy i braku świadomości Administratorów. Ogólne rozporządzenie o ochronie danych (RODO) nałożyło przecież na administratorów i podmioty przetwarzające szereg obowiązków w tym zakresie. Sankcje grożące za naruszenie zasad ochrony danych osobowych są dość dotkliwe. Mogą zostać nałożone nie tylko na administratora danych czy podmiot przetwarzający, ale również pracowników czy współpracowników tych podmiotów.

Poniżej przedstawiamy informacje czego dotyczyły naruszenia w 2023 roku, i na co zwracać uwagę aby podobnych kar uniknąć w przyszłości:

1. 19.01.2023 Sąd Rejonowy Szczecin-Centrum w Szczecinie, kara  – 30 000 zł

Urząd Ochrony Danych został powiadomiony przez Sąd Rejonowy w Szczecinie o zagubieniu przez pracownika trzech nośników danych (pendrive) zawierających dane osobowe w postaci nazwisk, imion, miejsca zamieszkania, zakładu pracy oraz dane dotyczące stanu zdrowia. Tylko jeden z pendrivów był szyfrowany i stanowił własność Sądu pozostałe dwa były nieszyfrowane i były własnością pracownika. Dane zawarte na tych nośnikach dotyczyły lat 2004 do 2020 i ani Administrator ani pracownik nie byli w stanie określić ilu osób dotyczyły. Prezes UODO przeprowadził postępowanie wyjaśniające w wyniku, którego ustalono, że mimo istniejących procedur mających zapobiegać takim praktykom jakich dopuścił się pracownik sądu, procedury te nie były egzekwowane. W związku z tym w ramach działań naprawczych Administrator wyposażył pracowników w służbowe szyfrowane pondrivy oraz dział IT Sądu uniemożliwił korzystanie z nieautoryzowanych nośników danych pracownikom. Kara została nałożona za niewdrożenie przez Sąd odpowiednich środków technicznych i organizacyjnych zapewniających zabezpieczenie danych osobowych przed zapisywaniem ich na prywatnych,  niezabezpieczonych nośnikach.

2. 25.01.2023 S. Sp. z o. o., kara 18 279 zł

Urząd Ochrony Danych Osobowych nałożył administracyjną karę finansową na spółkę S za brak współpracy firmy z Prezesem UODO. Do Urzędu wpłynęła skarga od osoby fizycznej z powodu udostępnienia danych osobowych (imienia i nazwiska, adresu, wysokości wynagrodzenia, stanowiska pracy i numeru konta) osobom nieupoważnionym.  Prezes UODO wszczął postępowanie i zwrócił się do spółki S. o ustosunkowanie się do zarzutów oraz o złożenie pisemnych wyjaśnień. Pismo to zostało odebrane przez adresata, jednakże pozostało bez odpowiedzi.

3. 25.01.2023 E. Sp. z o. o., kara 22 848 zł

Prezes Urzędu Ochrony Danych decyzją administracyjną nakazał spółce E. usunięcie danych osobowych (imię i nazwisko, adres, i nr PESEL) osoby fizycznej. Decyzja nie została zaskarżona przez spółkę. Celem sprawdzenia, czy nałożona Decyzja została wykonana, prezes UODO pisemnie wezwał administratora do przedstawiania dowodów potwierdzających wykonanie nakazu oraz pouczył Spółkę, że stwierdzenie nieprzestrzegania nakazu orzeczonego przez Prezesa UODO może skutkować nałożeniem administracyjnej kary pieniężnej. Pismo zostało odebrane przez adresata i mimo  kolejnego listu z upomnieniem Spółka zignorowała zalecenie Prezesa UODO. W związku z tym Prezes UODO z urzędu wszczął postępowanie w wyniku, którego nałożył administracyjną karę finansową.

4. 7.02.2023 Wspólnota mieszkaniowa, kara 1 556 zł

  W firmie zarządzającej wspólnotą mieszkaniową doszło do kradzieży dokumentacji Wspólnoty, zawierającej następujące kategorie danych osobowych: imiona i nazwiska poszczególnych właścicieli, adresy mieszkań, numery kont, z których właściciele uiszczali opłaty czynszowe, dane firm wykonujących usługi w tym budynku. Prezes UODO informację na temat kradzieży pozyskał dzięki anonimowemu sygnałowi i zwrócił się do zarządcy o wyjaśnienia w sprawie. Zarządca Wspólnoty przekazał, że sprawa została zgłoszona na Policję i że sprawą kradzieży dokumentów zajmuje się Prokuratura. Prezes UODO nałożył administracyjną karę finansową ponieważ Administrator nie dopełnił obowiązku powiadomienia osób, których dotyczy wyciek danych w czasie max. 72 godzin od momentu ujawnienia kradzieży. 

Informacja powinna zawierać: 

• opis charakteru naruszenia ochrony danych osobowych;

• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji;

• opis możliwych konsekwencji naruszenia ochrony danych osobowych;

• opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu – w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

5. 8.02.2023 Firma K. P., kara 33 012 zł, Firma M. H., kara 472 zł

Prezes Urzędu Ochrony Danych Osobowych nałożył pieniężne kary administracyjne na obie firmy za (cytuję): „niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, skutkującym naruszeniem ich poufności i rozliczalności, oraz na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie chroniło prawa osób, których dane dotyczą”. Firma K. P. będąca brokerem ubezpieczeniowym podpisała umowę z Firmą M. H. na usługi informatyczne (ASI). Jednakże w grudniu 2020 roku doszło do zhakowania systemu informatycznego Administratora i na jego stronie internetowej pojawiły się dane  ok. 2500 klientów. Opublikowane dane zawierały: imię i nazwisko, datę urodzenia, adres zamieszkania numer PESEL, adres email i numer telefonu, a w niektórych przypadkach wyniki badań onkologicznych oraz zdjęcia ubezpieczanych pojazdów. Dostęp do upublicznionej bazy danych został zablokowany po ok. 40 minutach. Administrator złożył doniesienie o podejrzeniu popełnienia przestępstwa do policji.

6. 1.03.2023., Spółdzielnia mieszkaniowa, kara 51 876 zł

Prezes Urzędu Ochrony Danych nałożył finansową karę administracyjną za niezgłoszenie Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osoby, której dane dotyczą. Prezes Spółdzielni Mieszkaniowej przekazał osobie trzeciej dane osobowe  jednego z członków Spółdzielni w postaci imienia i nazwiska, numeru PESEL oraz adresu. Osoba, która otrzymała dane zgłosiła ten fakt do UODO. Do przekazania danych doszło na konferencji prasowej zwołanej przez prezesa Spółdzielni w celu wyjaśnienia okoliczności doniesień medialnych dotyczących nieprawidłowości przy rozliczaniu kosztów zużycia wody przez mieszkańców. Ujawnione dane były to dane osoby, która nagłośniła tę sprawę w mediach. Spółdzielnia tłumaczyła się przeoczeniem i błędem pracowników przygotowujących informacje dla mediów. Po wymianie pism z pomiędzy Spółdzielnią i Prezesem UODO, ten ostatni nałożył karę finansową na Administratora.

7. 14.03.2023 Prokuratura Rejonowa, kara 20 000 zł

Prokuratora Rejonowa  przekazała dziennikarzowi dokumentację z postępowania przygotowawczego  przeciwko Wójtowi Gminy. Udostępnione dane zawierały: wskazanie poprzedniej funkcji obecnego wójta, imię i nazwisko, seria i numer dowodu osobistego, numer PESEL, adres zamieszkania, numer telefonu, informacja o wysokości wynagrodzenia, stan cywilny, stopień pokrewieństwa oraz miejsce zatrudnienia. Prokuratura udostępniła również, dane w takim samym zakresie żony wójta, a także dane małoletniego dziecka (imię i nazwisko, data urodzenia, płeć, stan cywilny, stopień pokrewieństwa, numer PESEL, miejsce nauki oraz dane dotyczące stanu zdrowia. Dziennikarz po otrzymaniu informacji od prokuratora opublikował je w lokalnym serwisie internetowym anonimizując wcześniej dane osobowe. Prezes UODO po wymianie pism oraz analizie zaistniałej sytuacji zdecydował o nałożeniu finansowej kary administracyjnej na Prokuraturę Rejonową.

8. 20.04 2023 Izba Adwokacka, kara 23 580 zł

Rzecznik Dyscyplinarny Izby Adwokackiej (administrator) dokonał zgłoszenia do Prezesa Urzędu Ochrony Danych w sprawie naruszenia ochrony danych. Do administratora zgłosił się obrońca obwinionego w postępowaniu dyscyplinarnym prowadzonym przed Rzecznikiem Dyscyplinarnym Izby Adwokackiej i poinformował o otrzymaniu uszkodzonej przesyłki, w której brakowało pendriva z nagraniem rozprawy rozwodowej z danymi osobowymi 8 osób w zakresie imienia, nazwiska, szczegółów dotyczących życia rodzinnego, relacji stron oraz podejrzeń o niewierność małżeńską. Prezes UODO zwrócił się z pytaniem do Administratora czy zgodnie z przyjętymi procedurami nośnik danych był zaszyfrowany. Okazało się, że ani pendrive ani plik nie były w żaden sposób zabezpieczone. W związku ze stwierdzonymi zaniedbaniami Prezes UODO nałożył karę finansową.

9. 9.05.2023 Burmistrz Miasta i Gminy, kara 10 000 zł

Pracownik Urzędu Miasta i Gminy w sposób nieuprawniony skopiował dane osobowe z komputera służbowego na pendriva. Skopiowane pliki zawierały: imiona i nazwiska, daty urodzenia, numery rachunków bankowych, adresy zamieszkania, numery PESEL i rozliczenia różnych opłat komunalnych. Do Urzędu miasta w imieniu pracownika przebywającego na zwolnieniu lekarskim, osoba trzecia dostarczyła nośnik danych z danymi osobowymi. Burmistrz zgłaszając naruszenie do Prezesa UODO zaznaczył, że kopia plików z danymi została wykonana nie prawnie, ponadto osoba, która dostarczyła pendriva nie była pracownikiem i nie miał upoważnienia. Pracownik przebywający na L4 zgrywając pliki usunął je z dysków Urzędu Miasta i Gminy, ponadto przekazał swoje hasła dostępu innemu pracownikowi. Nośnik danych był prywatną własnością pracownika i w żaden sposób nie zabezpieczał danych. Prezes UODO zdecydował o nałożeniu kary finansowej na Burmistrza i zobowiązał go do wdrożenia procedur mających na celu zapobieżenie zaistnieniu podobnych naruszeń.

10. 16.05.2023 Burmistrz Miasta, kara 30 000 zł

Do naruszenia doszło na skutek ataku ransomware, a było to możliwe z powodu doboru nieskutecznych zabezpieczeń systemu informatycznego oraz braku odpowiedniego testowania. Naruszenie polegało na blokadzie dostępu przez sieć wewnętrzną dostępu do serwera przez użytkowników końcowych. Złośliwe oprogramowanie na serwerze Urzędu miasta umieściło plik testowy w każdym folderze z żądaniem okupu. Zablokowano dane ok. 9400 osób w zakresie: nazwiska i imiona, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer PESEL, adres e-mail, dane dotyczące zarobków i/lub posiadanego majątku, nazwisko rodowe matki, numer telefonu, wizerunek. Administrator zapewnił Prezesa UODO o odzyskanie wszystkich zaszyfrowanych danych osobowych. Powodem udanego ataku ransomware była niezaktualizowana baza wirusów. Prezes UODO zdecydował o nałożeniu kary finansowej.

11. 31.05.2023 G. Sp. z o. o., kara 14 148 zł

Spółka G będąca zarządcą Wspólnoty mieszkaniowej dopuściła się naruszenia danych osobowych ujawniając imię i nazwisko mieszkanki wspólnoty pozostałym członkom wspólnoty oraz w karcie do głosowania nad uchwałami. Mieszkanka zawiadomiła prezesa Urzędu Ochrony Danych o naruszeniu, w związku z tym do Spółki G. zwrócił się Prezes UODO oczekując wyjaśnień: 

1) Czy Spółka przetwarza dane osobowe Skarżącej, a jeśli tak, to na jakiej podstawie prawnej, w jakim celu i w jakim zakresie, w szczególności w zakresie imienia i nazwiska;

2) Czy Spółka udostępniła dane osobowe Skarżącej w postaci imienia i nazwiska w piśmie Spółki oraz w karcie do głosowania nad uchwałami przekazanej pozostałym członkom Wspólnoty Mieszkaniowej, a jeśli tak, to kiedy, w jakim celu i na jakiej podstawie prawnej”. 

Administrator odpowiedział na pismo, ale nie w pełnym zakresie, Prezes UODO nie otrzymał odpowiedzi na drugie pytanie. Mimo kilku ponagleń spółka nie uzupełniła swojej odpowiedzi. W związku z brakiem współpracy Prezes UODO nałożył na spółkę karę finansową.

12. 31.05.2023 P. Sp. z o. o., kara 47 160 zł 

Doszło do naruszenia ochrony danych osobowych polegającego na przełamaniu zabezpieczeń systemu informatycznego Spółki wykorzystywanego przez nią do przetwarzania danych osobowych, a następnie zaszyfrowaniu przetwarzanych w nim danych. W konsekwencji Spółka została pozbawiona dostępu do ww. systemu oraz znajdujących się w nim danych osobowych wszystkich pracowników Spółki i osób świadczących na rzecz Spółki usługi w ramach zawartych umów cywilnoprawnych (tj. ich nazwisk, imion, dat urodzenia, numerów rachunków bankowych, adresów zamieszkania lub pobytu, numerów ewidencyjnych PESEL, adresów e-mail, danych dotyczących zarobków, numerów telefonów i numerów dowodów osobistych). Prezes Urzędu Ochrony Danych z urzędu wszczął postępowanie administracyjne. Spółka nie powiadomiła Prezesa UODO o naruszeniu danych osobowych uzasadniając to faktem że nie odnotowano wypływu danych a jedynie doszło do zaszyfrowania ich. Ponadto korespondencja ze strony Spółki posiadał wiele błędów formalnych, min. Brak podpisu osób upoważnionych czy pieczęcie nagłówkowe innego podmiotu. Spółka także nie odpowiedziała na pytanie czy udało się odzyskać zaszyfrowane dane. W związku z utrudnionym kontaktem Prezes UODO nałożył na Spółkę karę finansową.

13. 2.06.2023 T. Sp. z o. o., kara 18 864 zł

Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana J. na nieprawne działania Spółki T.  polegające na udostępnieniu podmiotom jego danych osobowych w postaci imienia i nazwiska oraz numeru telefonu. Prezes czterokrotnie zwracał się pismami do Spółki T. celem złożenia wyjaśnień, niestety Spółka ani razu nie odpowiedziała na pisma i monity Prezesa UODO. W związku z brakiem współpracy nałożono karę finansową.

14. 21.06.2023 H. Sp. z o. o., kara 33 012 zł

Prezes Urzędu Ochrony Danych Osobowych otrzymał sygnał o nieprawidłowościach przy  przetwarzaniu danych przez Spółkę H. polegających na przekazaniu ich do podmiotów trzecich bez podstawy prawnej. Skarżącym był Pan R. Prezes UODO skierował pismo z prośbą o wyjaśnienia do Spółki. Żadne z pięciu pism nie zostało odebrane przez adresata, w związku z unikaniem kontaktu przez Spółkę, Prezes UODO nałożył karę finansową.

15. 12.07.2023 Jednoosobowa działalność gospodarcza, kara 11 790 zł

Pani W. prowadząca jednoosobową działalność gospodarczą mailowo powiadomiła Prezesa Urzędu Ochrony Danych Osobowych o możliwości zaistnienia naruszenia w postaci kradzieży z pulpity laptopa plików zawierających dane osobowe jej klientów.  Prezes UODO nakazał powiadomienie osób, których dane zostały wykradzione w terminie trzech dni od tej decyzji. Powiadomienie to powinno zawierać: 

a) opis charakteru naruszenia ochrony danych osobowych;

b) imiona i nazwiska oraz dane kontaktowe inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji;

c) opis możliwych konsekwencji naruszenia ochrony danych osobowych;

d) opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu – w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

Mimo wielu prób kontaktu z Administratorem pisma od Prezesa UODO nie były odbierane. W związku z tym podjęto decyzję o nałożeniu kary finansowej.

16. 18.07.2023 K., kara 15 000 zł

Doszło do kradzieży laptopa zawierającego dane osobowe trzech osób, pliki nie były zaszyfrowane mogło więc dojść do ujawnienia danych w zakresie: imię i nazwisko, adres zamieszkania, wysokość wynagrodzenia, informacje kadrowe (zwolnienia lekarskie) numer PESEL. Zgłoszenia do Prezesa UODO dokonał użytkownik laptopa niezwłocznie po stwierdzeniu zniknięcia sprzętu z samochodu służbowego.  Po wymianie pism pomiędzy Administratorem a Prezesem UODO ten ostatni uznał, że część wyjaśnień i poczynionych działań naprawczych jest niewystarczająca. Miało to istotny wpływ na ocenę stopnia współpracy Administratora z Prezesem UODO w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków. Istotne znaczenie dla oceny działań Administratora miał fakt przedłużania czasu potrzebnego na uzyskanie odpowiedzi na pisma skierowane przez Prezesa UODO do K. W związku z tym Prezes UODO zdecydował o nałożeniu kary finansowej.

17. 30.08.2023 A. s. a., kara 56 592 zł

Do Prezesa Urzędu ochrony Danych Osobowych wpłynęła skarga  Pana A. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę A. Naruszenie polegało na niespełnieniu wobec skarżącego obowiązku informacyjnego oraz zażądał usunięcia jego danych osobowych. Prezes UODO zwrócił się do Spółki o wyjaśnienia: 

1)    kiedy (należy wskazać dokładną datę), z jakiego źródła, na jakiej podstawie prawnej (należy wskazać konkretny przepis/-y prawa), w jakim celu i w jakim zakresie (należy wymienić kategorie/ rodzaje danych) Spółka pozyskała dane osobowe Skarżącego.

2)    Czy, a jeśli tak, to na jakiej podstawie prawnej (należy wskazać konkretny przepis/-y prawa), w jakim celu, w jakim zakresie (należy wymienić kategorie/ rodzaje danych) Spółka przetwarzała lub aktualnie przetwarza dane osobowe Skarżącego.

3)    Czy Skarżący wystąpił do Spółki z wnioskiem o realizację jego praw z zakresu ochrony danych osobowych, a także o udostępnienie kopii jego danych osobowych oraz jakie były działania Spółki w tym zakresie, czy, a jeśli tak, to na jakiej podstawie prawnej, w jaki sposób oraz kiedy ustosunkowano się do żądania Skarżącego”.

W odpowiedzi spółka oznajmiła, że nie jest w stanie podać dokładnej daty i źródła pozyskania danych Pana A. M. Prezes UODO ponownie wezwał Spółkę do podania w. w. danych ponadto zobowiązał administratora do określenia dokładnej daty usunięcia danych skarżącego. Pomimo odebranych pism spółka nie ustosunkowała się do żądań organu ochrony danych osobowych. Korespondencja trwała jeszcze kilka miesięcy i mimo deklaracji spółki o uzupełnieniu dokumentacji nie doszło do tego. Dlatego Prezes UODO zdecydował o nałożeniu kary finansowej.

18. 18.10.2023 LINK 4, kara 103 752 zł

 Do organu ochrony danych osobowych wpłynęło zawiadomienie o zaistniałym naruszeniu zasad ochrony danych polegającym na przesłaniu do osoby nieuprawnionej informacji o przyznanym odszkodowaniu. Informacja zawierała imię i nazwisko, markę i numer rejestracyjny pojazdu, numer polisy, wysokość odszkodowania i adres ubezpieczonego. Prezes Urzędu Ochrony Danych Osobowych stwierdziła naruszenie polegające na niezgłoszeniu incydentu organowi ochrony danych bez zbędnej zwłoki, czyli w ciągu 72 godzin od momentu uzyskania informacji na temat naruszenia. Administrator (LINK 4) tłumaczył że w jego ocenie nie było potrzeby zgłaszania naruszenia do Prezesa UODO. Decyzja taka zapadła po analizie ryzyka wykonanej przez IOD Administratora. Wobec braku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu, Prezes UODO wszczął z urzędu wobec Spółki postępowanie administracyjne.

19. 16.11.2023 W. Sp. j., kara 14 148 zł

Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani M. S.,(zwanej dalej „Skarżącą”) na nieprawidłowości w procesie przetwarzania jej danych osobowych przez W. sp. j., (zwaną dalej „Spółką”) polegające na przetwarzaniu danych osobowych Skarżącej bez podstawy prawnej w celach marketingowych oraz nieuwzględnieniu jej wniosku o usunięciu tych danych osobowych. Prezes UODO pisemnie wezwał Spółkę do złożenia wyjaśnień w sprawie oraz do udzielenia odpowiedzi na następujące pytania dotyczące istoty sprawy:

1)    Czy, a jeśli tak, to kiedy, na jakiej podstawie prawnej, w jakim celu i zakresie oraz z jakiego źródła Spółka pozyskała dane osobowe Skarżącej, w tym adres e-mail.

2)    Czy Skarżąca zwracała się do Spółki z żądaniem zaprzestania przetwarzania jej danych osobowych lub o usunięcie jej danych osobowych, a jeżeli tak, to kiedy, w jaki sposób Spółka ustosunkowała się do jej wniosku,  jeżeli odmówiła usunięcia danych osobowych Skarżącej, to proszę o wskazanie, z jakiego powodu, na jakiej podstawie prawnej.

3)    Czy, a jeśli tak, to na jakiej podstawie prawnej (proszę wskazać przepis prawa), w jakim zakresie i celu Spółka przetwarza aktualnie dane osobowe Skarżącej, oraz jak długo będą przetwarzane i na jakiej podstawie prawnej.

4)    czy Skarżąca wyraziła zgodę na przetwarzanie jej danych osobowych w celach marketingu bezpośredniego, jeśli tak to kiedy i jakiej treści była to zgoda – wezwanie do przedłożenia kopii dokumentu, z którego wynika treść tej zgody.

5)    Czy Skarżąca wyraziła zgodę na otrzymywanie od Spółki informacji marketingowych za pośrednictwem wiadomości e-mail, sms, mms, połączeń telefonicznych, jeśli tak to kiedy i jakiej treści była to zgoda – wezwanie do przedłożenia kopii dokumentu, z którego wynika treść tej zgody.

Wezwania te zostały przesłane na adres Spółki widniejący w KRS, ale nie zostały odebrane. W związku z tym Prezes UODO zdecydował o nałożeniu kary finansowej.

20. 20.12.2023, Minister Zdrowia, kara 100 000 zł

Minister Zdrowia (dalej także Administrator) opublikował w serwisie społecznościowym X (dawniej Twitter) wpis zawierający informację na temat lekarza, który wystawił receptę „pro auctore” na lek z grupy psychotropowych i przeciwbólowych. We wpisie znalazły się dane osobowe lekarza w postaci imienia i nazwiska, miejsca pracy oraz informacji o kategorii leku, na który została wystawiona recepta. Prezes UODO stwierdził naruszenie polegające na niezgodnym z prawem przetwarzaniu danych osobowych, w tym danych szczególnej kategorii, poprzez ich pozyskanie, oraz opublikowanie na platformie społecznościowej X (dawniej Twitter) bez podstawy prawnej, co skutkowało naruszeniem zasad zgodności z prawem, rzetelności i przejrzystości, zasady integralności i poufności oraz zasady rozliczalności. W odpowiedzi na pismo żądające ustosunkowanie się do zarzutów, Administrator potwierdził fakt uzyskania przez Ministra Zdrowia danych osobowych lekarza z systemu informatycznego za pomocą osób upoważnionych do korzystania z ww. systemu. Wskazano, iż Dyrektor Pionu  w Ministerstwie Zdrowia, na ustne polecenie Ministra Zdrowia, wyznaczył pracownika, który odszyfrował w systemie  receptę, na której znajdowały się dane osobowe lekarza, a następnie przekazał informacje, które się na niej znajdowały, Ministrowi Zdrowia.  

Prezes UODO zwrócił się do Ministra Zdrowia o udzielenie odpowiedzi na pytania dotyczące:

a) podstawy prawnej uzyskania przez Ministra Zdrowia dostępu do danych o wystawieniu przez lekarza e-recepty na leki z grupy psychotropowych i przeciwbólowych oraz udostępnienia ich za pośrednictwem portalu społecznościowego X (dawniej: Twitter),

b) czy zostały opracowane i wdrożone zasady i procedury nadawania uprawnień w ww. systemie oraz w jaki sposób monitorowane było ich przestrzeganie,

c) czy Administrator przeprowadził analizę ryzyka w związku z przetwarzaniem danych osobowych związanych z wystawionymi e-receptami za pośrednictwem systemu,

d) czy analiza ta uwzględnia zagrożenia związane z nieuprawnionym uzyskaniem dostępu do tych danych, jak również wykazanie rozliczalności systemu. W związku ze zgłoszonym naruszeniem ochrony danych osobowych oraz wyjaśnieniami złożonymi przez Administratora ww. pismami, Prezes UODO w dniu 18 października 2023 r. wszczął z urzędu postępowanie administracyjne w zakresie możliwości naruszenia przez Ministra Zdrowia, jako administratora danych, w grudniu Prezes UODO podjął decyzję o nałożeniu kary finansowej.

Dla wielu naszych klientów (IOD, ADO), korzystających z naszego serwisu https://rodo-online.eu w ciągu tych kilku lat bardzo pomocne okazały się przemyślane funkcjonalności zawarte w serwisie, które usystematyzowały wprowadzenie RODO w podmiotach. 

W serwisie znajdziemy zakładkę „Incydenty” gdzie można wprowadzać, oceniać i raportować. Ocena naruszenia, która pomaga nam wywiązać się z ciążących obowiązków np. poinformowania UODO oraz osób, których naruszenie dotyczy, jeżeli poziom naruszenia praw i wolności tych osób wyjdzie wysoki. Przy kontrolach UODO lub audytach bardzo pomocne może okazać się raportowanie; w tym np. wszystkich incydentów/naruszeń, które wprowadzaliśmy np. w danym roku, można szybko wygenerować raport zgodny z naszymi aktualnymi potrzebami. Przypominamy, że Artykuł 33. 5. RODO stanowi, że Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu.

Sejm Rzeczypospolitej Polskiej na posiedzeniu w dniu 16.01.2024 roku wybrał nowego Prezesa Urzędu Ochrony Danych. Wybrano Mirosława Wróblewskiego, uzyskał on 240 głosów poparcia. Jego kontrkandydat otrzymał 169 głosów.
Prezes UODO jest centralnym organem administracji publicznej do spraw ochrony danych osobowych w Polsce, jest powoływany na 4-letnią kadencję przez Sejm za zgodą Senatu.
Prezes elekt, Mirosław Wróblewski pełni obecnie funkcję dyrektora Zespołu Prawa Konstytucyjnego, Międzynarodowego i Europejskiego Biura Rzecznika Praw Obywatelskich. Jest absolwentem studiów o kierunku prawniczym oraz politologicznym (specjalizacja stosunki międzynarodowe). Opublikował blisko 50 artykułów i prac naukowych z tematyki prawa konstytucyjnego, międzynarodowego, europejskiego oraz ochrony praw człowieka. W ciągu kilku ostatnich lat ściśle współpracował z Rzecznikiem Praw Obywatelskich i reprezentował go w postępowaniach przed Trybunałem Konstytucyjnym.

We współczesnym świecie dane osobowe są bardzo cenne. Każdy Administrator Danych Osobowych powinien zrobić wszystko, co tylko możliwe, aby je chronić. To właśnie on jako administrator jest za nie odpowiedzialny. ADO powinien wspierać się przy zapewnieniu ochrony danych usługami odpowiedniego Inspektora Ochrony Danych oraz Administratora Systemów Informatycznych. Praca tych dwóch podmiotów ma na celu zwiększyć poziom ochrony danych osobowych. Może jednak zdarzyć się tak, że zabezpieczenia i procedury nie podołają zagrożeniu z zewnątrz. Przykładem tego jest właśnie wyciek danych osobowych z laboratorium medycznego ALAB.
19 listopada 2023 r. firma ALAB Laboratoria padła ofiarą ataku hakerskiego typu ransomware. Polega on na szyfrowaniu przez złośliwe oprogramowanie danych firmy, blokując tym samym dostęp do nich Administratora. Dodatkowo mamy tu do czynienia z kradzieżą danych firmy ALAB i wysunięciem żądania okupu za ich nieudostępnienie publicznie.
W związku z tymi niepożądanymi działaniami doszło do wycieku co najmniej 30 tys. danych osobowych osób fizycznych. Hakerzy otrzymali takie informacje jak: imiona i nazwiska, numery PESEL, adresy. Udostępnione zostały również wyniki badań laboratoryjnych różnych osób, co jest równoznaczne z wyciekiem danych wrażliwych.
Jak powszechnie wiadomo ataki hakerskie zdarzały się i na pewno w przyszłości także będą występować. W przypadku firmy ALAB kluczowe pozostaje pytanie: czy Administrator Danych Osobowych miał świadomość, że dane pacjentów są pobierane przez hakerów czy też może takiej świadomości nie miał? Odpowiedzi na to pytanie udzielą kontrolerzy UODO, którzy mają przeprowadzić kontrolę. Niewątpliwie mamy w tej sytuacji do czynienia z co najmniej jednym incydentem ochrony danych i został on zgłoszony do Urzędu Ochrony Danych Osobowych 21 listopada 2023 r. Jest to jednak dopiero zgłoszenie wstępne, a firma ma czas na uzupełnienie braków do końca stycznia następnego roku. Kontrolerzy z UODO muszą sprawdzić, czy w firmie ALAB przeprowadzona została we wcześniejszym okresie tzw. Ocena ryzyka, czyli czy określono możliwe zagrożenia, ustalono konkretne środki i procedury, które powinny im zapobiec lub je ograniczyć oraz to czy systemy informatyczne były testowane w zakresie odporności na różnego rodzaju ataki. Urząd Ochrony Danych Osobowych zbada również jak firma ALAB zachowała się po wystąpieniu ataku i jakie podjęła czynności, aby zminimalizować jego skalę.
Konsekwencji dla firmy ALAB po tym zdarzeniu jest sporo. Oprócz zmiany wizerunku firmy, na laboratorium może zostać nałożona kara Urzędu Ochrony Danych Osobowych, która może sięgnąć do 4% rocznego obrotu lub do 20 mln euro. Dodatkowo osoby fizyczne- poszkodowane w wyniku powyższego wycieku mają możliwość dociekać swoich praw na drodze sądowej (cywilnej) i ewentualnych rekompensat za swoje straty- zarówno materialne jak i te niematerialne.
Na szczęście CERT Polska we współpracy z Centralnym Ośrodkiem Informatyki udostępnili na rządowym serwisie możliwość sprawdzenia, czy dane konkretnego pacjenta firmy ALAB są bezpieczne czy dana osoba jest ofiarą ataku hakerskiego, a jej dane wyciekły.
Zabezpieczenie danych osobowych jest kluczową kwestią w każdej firmie. Administrator Danych Osobowych powinien zrobić wszystko, co tylko możliwe, aby uchronić się przed tego typu wyciekami danych. To na jego barkach spoczywa odpowiedzialność za wszelkiego rodzaju niedopatrzenia i niedoskonałości w firmie i to on ponosi wszelkiego rodzaju konsekwencje. Każda firma powinna być świadoma, że sprawdzony i kompetentny Inspektor Ochrony Danych Osobowych oraz odpowiednia obsługa informatyczna firmy może zminimalizować ryzyko bądź uchronić firmę przed tego typu sytuacją jaka spotkała firmę ALAB. Należy podkreślić, że firma PHU ELKA świadczy usługi outsourcingu sprawdzonego Inspektora Ochrony Danych Osobowych. Oferuje również usługi informatyczne na odpowiednim poziomie czyli pełnienie funkcji ASI. Zachęcamy do kontaktu, ponieważ korzystanie z tego typu wsparcia może pomóc w uniknięciu wielomilionowych kar.

W dzisiejszym świecie nieodłącznym elementem życia każdego człowieka jest korzystanie przez niego z zasobów Internetu. Ta cyfrowa przestrzeń daje każdej osobie wiele możliwości, ale niesie również ze sobą wiele zagrożeń. W związku z tym powinno się myśleć o tym jak zapewnić odpowiedni poziom bezpieczeństwa w świecie online. Każdy człowiek posiada w Internecie różnego rodzaju konta np. w mediach społecznościowych, banku czy np. konto pocztowe. Wielu cyberprzestępców tylko czeka, aby wykraść dostęp do naszych zasobów i wykorzystać je w złym celu. Jednym ze sposobów na zapewnienie wysokiego poziomu bezpieczeństwa, w związku z korzystaniem z różnych kont, jest uwierzytelnianie dwuskładnikowe zwane z języka angielskiego „two-factor authentication – 2FA”. W naszym serwisie RODO Online tego typu zabezpieczenie zostało również wprowadzone.

Uwierzytelnianie dwuskładnikowe ma za zadanie sprawdzić czy osobowa logująca się na dane konto jest osobą, która jest do tego uprawniona. Samo hasło jako środek zabezpieczający w dzisiejszych czasach to zbyt mało. Należy korzystać z dodatkowych zabezpieczeń by poprawić swój komfort i bezpieczeństwo. Uwierzytelnianie może składać się z kilku etapów weryfikacji. Wieloetapowa weryfikacja może pomóc ograniczyć w znaczącym stopniu ryzyko narażenia się na zjawisko typu pishing, które jest w obecnych czasach bardzo powszechne i niebezpieczne dla potencjalnego użytkownika Internetu. Pishing to po prostu metoda wyłudzenia naszych danych za pomocą e-maila bądź sms-a. Oszuści podszywając się pod różne osoby czy też firmy np. kurierskie czy operatorów telekomunikacyjnych próbują zdobyć nasze dane do logowania. Powoduje to sytuacje, że wówczas w łatwy sposób mogą zalogować się na nasze dowolne konto w Internecie, narobić dużo szkód i wykraść dane. Właśnie dlatego ważne jest, aby zwiększać poziom bezpieczeństwa np. przez korzystanie z uwierzytelniania dwuskładnikowego. Logowanie 2FA jest powszechnie stosowane w bankowości elektronicznej, a od teraz mogą z niego korzystać wszyscy użytkownicy serwisu RODO Online.

W serwisie RODO Online weryfikacja dwuetapowa (2FA) to proces, w którym użytkownik oprócz swojego loginu i hasła musi podać także dodatkowy kod. Kod jest generowany i dostarczony dla użytkownika niezależną aplikacją np. Google Authenticator lub Microsoft Authenticator. 

Weryfikacja dwuetapowa to prosty sposób na ochronę danych przed nieuprawnionym dostępem przez osoby trzecie. Za wdrożeniem uwierzytelnienia dwuskładnikowego przemawia fakt, że taki sposób logowania bez wątpienia przyczyni się do poprawy bezpieczeństwa konta i znajdujących się na nim danych, ponieważ znacząco utrudni lub wręcz uniemożliwi osobom niepowołanym uzyskanie do nich dostępu.

Na początek ustalmy:

1. Czym jest audyt zgodności z RODO, dlaczego jest niezbędny?

Przeprowadzenie audytu RODO jest niezbędne, ponieważ pozwala na weryfikację czy ochrona danych osobowych organizacji jest zgodna z przepisami. Audyt zgodności to najlepszy sposób, aby sprawdzić jaki jest faktyczny stan działań, procesów oraz gdzie są luki w systemie ochrony danych osobowych, które mogą mieć opłakane skutki. To szczególnie istotne jeśli chcecie mieć pewność, że Wasze dane, i dane Waszych klientów, kontrahentów, pacjentów czy interesantów, są odpowiednio chronione.

2. Jak często trzeba się poddawać audytowi?

Audyt zgodności z RODO nie jest czynnością jednorazową. Powinien on zostać przeprowadzony zarówno przed wdrożeniem polityk i procedur ochrony danych osobowych, jak i po ich wprowadzeniu.

Zacznijmy od stwierdzenia, że można wyróżnić dwa rodzaje audytów:

1. Audyt wstępny – przeprowadzany w organizacji, w której do tej pory nie wdrożono RODO, audyt taki będzie prowadził do przygotowania i wdrożenia niezbędnych procedur od podstaw.
2. Audyt okresowy – przeprowadzany zazwyczaj w cyklach rocznych, w miarę potrzeb częściej, mający na celu kontrolę skuteczności przyjętych środków bezpieczeństwa danych osobowych, sprawdzenie sposobu wdrożenia przyjętej dokumentacji, przeszkolenie personelu w zakresie przetwarzania danych osobowych.

Z reguły rekomenduje się roczne audyty wynika to z faktu, że każdy podmiot przetwarzający dane osobowe powinien na bieżąco monitorować przyjęte rozwiązania pod kątem ich prawidłowości, adekwatności, aktualności i celowości.

Wiemy już, że audyt jest koniecznością,  spróbujmy znaleźć odpowiedź na pytanie czy wykonać go we własnym zakresie czy lepiej zlecić firmie zewnętrznej. 

Każde z tych rozwiązań ma swoje mocne strony. Bez wątpienia mocną stroną decyzji o przeprowadzeniu audytu przez delegowanego pracownika organizacji będzie znajomość specyfiki działania i struktury firmy. Jednakże wiąże się to z relatywnie wysokimi kosztami. Wynikają one z czasu, który pracownik musi poświęcić na przeprowadzenie audytu. Wyznaczona osoba nie zajmuje się tym profesjonalnie, więc aby posiąść wiedzę w zakresie RODO musi przejść liczne i kosztowne szkolenia, a samo przygotowanie i przeprowadzenie audytu zabiera jej mnóstwo czasu. Niezbędna jest również dokładna znajomość RODO oraz aktualnej interpretacji Prezesa Urzędu Ochrony Danych Osobowych. Bez wsparcia specjalistów z dużo większym doświadczeniem jest to bardzo trudne. 

Zlecając wykonanie audytu firmie zewnętrznej masz prawo oczekiwać:

• specjalistycznej wiedzy i doświadczenia – wiedza z zakresu prawa, IT, biznesu.
• kompleksowości usługi – przygotowanie audytu, przeprowadzenie, sporządzenie raportu pokontrolnego i kontrola wprowadzenia zaleceń we wskazanych obszarach.
• obiektywnego spojrzenia – osoba spoza organizacji dostrzeże z łatwością wiele nieprawidłowości, do których pracownik jest przyzwyczajony i traktuje je jako normę.
• relatywnie mniejszych kosztów – koszty zatrudnienia w firmie oraz wyszkolenia pracownika są dużo wyższe niż cena wykonania audytu prze firmę zewnętrzną.
• redukcji ryzyka – audyt RODO przeprowadzony przez specjalistów minimalizuje ryzyko pominięcia istotnych aspektów z obszaru ochrony danych.

Korzystając z audytu RODO w PHU ELKA Radosław Miczyński:

• Zapewniamy dostęp do rzetelnej i aktualnej wiedzy, korzystając z doświadczenia ekspertów ds. ochrony danych osobowych, specjalistów informatycznych oraz praktyków biznesowych.
• Korzystasz z doświadczenia inspektorów ochrony danych osobowych, informatyków i praktyków biznesowych.
• Posiadamy bogate doświadczenie, obejmujące setki projektów w tej dziedzinie.
• Przygotowujemy kompleksową dokumentację dostosowaną specjalnie do potrzeb Twojej organizacji, zarówno w formie papierowej, jak i elektronicznej.
• Oferujemy gotowe i przetestowane procedury, które można wdrożyć w Twojej firmie.
• Jesteśmy dostępni na każdym etapie współpracy, gotowi do udzielenia wsparcia i rozwiązania wszelkich pytań czy wątpliwości.
• Dzięki naszej pomocy minimalizujesz ryzyko nałożenia wysokich kar finansowych związanych z naruszeniem przepisów dotyczących ochrony danych osobowych.

Norma ISO 27001 w audycie RODO

Firma PHU ELKA Radosław Miczyński posiada certyfikat Zarządzanie bezpieczeństwem informacji wg. ISO 27001 

Znajomość normy ISO 27001 ułatwia przeprowadzenie audytu RODO, ponieważ ta norma dotyczy zarządzania bezpieczeństwem informacji, a RODO odnosi się do ochrony danych osobowych. ISO 27001 określa wymagania dotyczące zarządzania systemami bezpieczeństwa informacji, w tym wymagania dotyczące ochrony danych osobowych. Audytor RODO, który posiada znajomość tej normy, będzie lepiej rozumiał i potrafił ocenić czy przedsiębiorstwo posiada odpowiednie procedury, mechanizmy bezpieczeństwa, które są wymagane przez RODO. Kompetencje zdobyte przy audytowaniu normy ISO 27001 pomagają w identyfikacji potencjalnych ryzyk, ocenie i ocenie skuteczności istniejących kontroli, oraz pomoc w przedstawieniu rekomendacji dotyczących ochrony danych osobowych zgodnie z RODO.

Zachęcamy do kontaktu, zapoznania się z naszą ofertą i skorzystania z naszego wsparcia!

Wizerunek, najprościej rzecz ujmując, jest utrwaleniem obrazu człowieka w taki sposób, w jaki dana osoba jest postrzegana, co prowadzi do tego, że może zostać rozpoznana. Wizerunek może być daną osobową. W związku z tym przy jego rozpowszechnianiu będziemy zmuszeni przestrzegać RODO jak i   innych przepisów.

1. Teoretyczny aspekt rozpowszechniania wizerunku

Według unijnego rozporządzenia o ochronie danych osobowych z 27 kwietnia 2016 roku danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Wizerunek danej osoby jest oczywiście daną osobową w związku z czym podlega ochronie Rozporządzenia o ochronie danych osobowych. Również art. 81 ustawy o prawie autorskim stwierdza, że rozpowszechnianie czyjegoś wizerunku możliwe jest jedynie za zgodą osoby będącej na zdjęciu bądź na nagraniu. Trzecim aktem prawnym mówiącym o ochronie wizerunku jest art. 23. Kodeksu cywilnego, które wymienia je jako jedno z dóbr osobistych.

Zazwyczaj osoba, której wizerunek jako dana osobowa jest udostępniany musi wyrazić na to pisemną zgodę. Są trzy wyjątki od powyższej zasady:

1. Podmiot, którego wizerunek został udostępniony dostał wynagrodzenie finansowe
2. Jednostka, która obecna jest na zdjęciu czy filmie jest tylko elementem – jego małą częścią
3. Osoba jest personą publiczną dlatego jej wizerunek może zostać udostępniony bez jej zgody w sytuacji gdy pełni funkcję społeczną lub o charakterze publicznym

W pewnych sytuacjach wizerunek może być utożsamiany jako dana osobowa o charakterze biometrycznym czyli szczególnie chroniona. Wynika to z charakteru tego w jaki techniczny sposób dane zdjęcie będzie przetwarzane.  

2. Zgoda na udostępnienie wizerunku, a zgoda na przetwarzanie danych osobowych

Zgoda na udostępnianie wizerunku powinna być przedstawiona w formie pisemnej. Powinna zawierać takie informacje jak np. czas na jaki jest wyrażona, kto ją wyraża oraz powinny być przedstawione warunki opisujące formę wykorzystania wizerunku. Jeżeli istnieje opcja, że np. zdjęcie danej osoby będzie podpisane w momencie udostępnienia go np. na jakiejś platformie społecznej wówczas tego typu kwestia powinna również zostać zawarta w zgodzie.

W przypadku chęci udostępnienia wizerunku małoletniego niezbędna jest również zgoda jego opiekuna prawnego. 

Istnieją również przypadki gdy tego typu zgoda nie jest konieczna. Jest to sytuacja gdy dokumentacja fotograficzna służy wewnętrznym celom danej organizacji np. celom sprawozdawczym.

Aby możliwe było przetwarzanie danych osobowych w związku z danym wizerunkiem niestety nie wystarczy danemu podmiotowi uzyskać jedynie zgodę na rozpowszechnianie wizerunku. Aby przetwarzanie danych osobowych było ważne konieczna jest konkretna podstawa prawna. Art. 6 ust. 1 lit. a RODO jest tego typu podstawą gdyż zawarte są w nim stwierdzenia, że przetwarzanie danych osobowych jest zgodnie z prawem m.in. w przypadku wyrażenia zgody przez dany podmiot lub w przypadku realizacji interesu administratora, który jest prawnie uzasadniony. Ten drugi przypadek jest pewnego rodzaju podstawą prawną, która umożliwia administratorowi wykorzystanie wizerunku danego podmiotu bez jego zgody, jednak jest to tylko możliwe w tych przypadkach, które zostały przedstawione w tym artykule w rozdziale pierwszym.

3. Konsekwencje bezprawnego rozpowszechnienia czyjegoś wizerunku

Kodeks cywilny rozróżnia dwa rodzaje odpowiedzialności za rozpowszechnienie wizerunku danej osoby bez jej zgody:

1. Odpowiedzialność niemajątkowa
2. Odpowiedzialność majątkowa

W nawiązaniu do punktu a. osobie której wizerunek został nieprawnie udostępniony przysługuje prawo do żądania usunięcia zdjęć bądź filmów z jej wizerunkiem np. z portalu społecznościowych czy innych stron internetowych bądź jakichkolwiek innych materiałów. Osoba może wnioskować również o usunięcie skutków danego naruszenia czyli dalszych konsekwencji wynikających z nieuprawionego rozpowszechnienia wizerunku.

Punkt b. zakłada, że podmiot poszkodowany może wnioskować i żądać rekompensaty w postaci finansowej przekazywanej bezpośrednio osobie której wizerunek został niesłusznie rozpowszechniony lub na cel charytatywny wskazany przez tą osobę.

4. Wycofanie zgody na rozpowszechnianie wizerunku

Każda osoba, która wyraziła zgodę na rozpowszechnianie swojego wizerunku może ją wycofać. W takim przypadku kolejne rozpowszechnienie wizerunku nie będzie możliwe. Jednak materiały zawierające dany wizerunek będą mogły istnieć w przestrzeni gdyż zostały one stworzone i rozpowszechnione gdy dana zgoda jeszcze obowiązywała. Datą graniczną jest data pisemnego wycofania zgody na rozpowszechnianie wizerunku. Istnieje pewien wyjątek. Jeżeli osoba ma podpisaną umowę, ale udowodni, że zachodzą przesłanki, które świadczą o tym, że udostępnianie wizerunku naruszy jej prawa osobiste, wówczas może żądać zakazu rozpowszechniania jej wizerunku. 

Podsumowując 

Rozpowszechnianie wizerunku może stanowić przetwarzanie danych osobowych, co wiąże się z koniecznością ustalenia podstawy prawnej tego przetwarzania. Przetwarzanie danych osobowych w postaci wizerunku może następować na podstawie zgody (art. 6 ust. 1 lit. a RODO). Jak również przetwarzanie danych osobowych może następować także na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Prawnie uzasadniony interes administratora wydaje się być właściwą podstawą przetwarzania w sytuacji, gdy organizacja może skorzystać z jednego z wyłączeń od obowiązku uzyskiwania zgody na rozpowszechnienie wizerunku, o których mowa w przepisach ustawy o prawie autorskim i prawach pokrewnych.

Inspektor ochrony danych (IOD) to osoba fizyczna, której podstawowym obowiązkiem jest zapewnienie tego, by zatrudniająca ją organizacja przetwarzała dane osobowe swoich pracowników, klientów, dostawców oraz innych osób zgodnie z obowiązującymi przepisami o ochronie danych. 

Powołanie IOD jest obowiązkowe, ale nie zawsze.

Czy moja firma (organizacja) potrzebuje IOD?

Powołanie Inspektora Ochrony Danych jest obowiązkowe dla wskazanych w RODO grup

administratorów danych(i podmiotów przetwarzających). 

Inspektora Ochrona Danych muszą wyznaczyć:

1. Organy lub podmioty publiczne, czyli jednostki sektora finansów publicznych, np. jednostki samorządu terytorialnego, uczelnie publiczne.
2. Przedsiębiorcy, których główna działalność polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę, np. banki i firmy ubezpieczeniowe, firmy przetwarzające dane do celów reklamy behawioralnej przez wyszukiwarki, dostawcy usług telekomunikacyjnych lub internetowych.
3. Przedsiębiorcy, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych albo danych osobowych dotyczących wyroków skazujących i czynów zabronionych, np. firmy świadczące usługi medyczne.

Przepisy zostały skonstruowane w taki sposób, aby IOD był obowiązkowy wszędzie tam, gdzie danych

osobowych jest dużo i są one szczególnie chronione.

Podział ten nie jest  precyzyjny i będą pojawiać się sytuacje niejednoznaczne w swej ocenie.  Dlatego powołanie profesjonalnego IOD zapobiegnie zaistnieniu niemiłych i bolesnych, również finansowo, konsekwencji. 

Pamiętać należy, że czasami IOD powołać po prostu warto, nawet jeśli jego powołanie nie jest obowiązkowe.

Wyznaczenie IOD można potraktować jako dodatkową przewagę konkurencyjną i korzyść marketingową.

Czym zajmuje się Inspektor Ochrony Danych Osobowych?

W głównej mierze, wykonuje obowiązek informacyjny wobec podmiotów, u których pełni on funkcję Inspektora Ochrony Danych. Jego domeną będzie  również doradztwo w zakresie prawa ochrony danych osobowych. Konieczne jest, by posiadał odpowiednią wiedzę, by móc udzielać zaleceń w tym zakresie oraz szkolić personel firmy.

IOD kontroluje również i monitoruje przestrzeganie przepisów dotyczących ochrony danych osobowych poprzez przeprowadzanie okresowych audytów zgodności przetwarzania z przepisami obowiązującego prawa.

Inspektor to osoba wyznaczona do współpracy z organem nadzorczym – PUODO, czyli Prezesem Urzędu Ochrony Danych Osobowych. Stanowi również „punkt kontaktowy” w sprawach dotyczących ochrony danych osobowych – funkcję tę realizuje m. in. poprzez obowiązek określony w art. 11 ustawy o ochronie danych osobowych, tj. udostępnienie danych kontaktowych inspektora na swojej stronie internetowej lub w inny, ogólnodostępny sposób w miejscu prowadzenia działalności.

Kto może zostać powołany na IOD-a, a kto nie może?

Zgodnie z przepisami, do pełnienia funkcji IOD-a może zostać wyznaczony pracownik firmy lub osoba z zewnątrz. Tzw. outsourcing IOD. Jeżeli postanowisz, że rolę ta otrzyma pracownik to należy zadbać, by wykonywane przez niego obowiązki nie powodowały konfliktu interesów z funkcją IOD. 

Inspektorem nie mogą zostać m.in.:

• członkowie zarządu
• dyrektorzy zarządzający
• główny księgowy
• radca prawny prowadzący obsługę prawną.

Ponad to powinna być to osoba charakteryzująca się fachową wiedzą i doświadczeniem z zakresu ochrony danych osobowych.

Należy dodać, że Inspektor Ochrony Danych Osobowych powinien mieć zagwarantowaną pełną niezależność. Tak, by bez przeszkód móc wykonywać ciążące na nim zadania. Z uwagi na powyższe uznaje się, że IOD w trakcie wykonywania swoich obowiązków podlegać powinien jedynie najwyższemu kierownictwu podmiotu przetwarzającego dane. A jego działalność nie może również polegać na stosowaniu się do instrukcji wyznaczonych przez podmiot przetwarzający dane.

Inspektora należy natychmiastowo włączać we wszystkie sprawy z zakresu ochrony danych osobowych. Natomiast podmioty przetwarzające dane powinny mu w tym zakresie służyć wsparciem oraz niezbędnymi informacjami.

Jak dokonać zgłoszenia do PUODO?

W momencie wyznaczenia IOD Administrator ma obowiązek zgłosić ten fakt do Prezesa Urzędu Ochrony Danych Osobowych. Inspektor Ochrony Danych Osobowych może zostać zgłoszony przez internet. 

Zgłoszenia można dokonać w tym miejscu:

https://www.biznes.gov.pl/pl/firma/obowiazki-przedsiebiorcy/chce-chronic-dane-osobowe/proc_871-zawiadomienie-o-wyznaczeniu-nowego-iod

Uwaga! Do prawidłowego dokonania zgłoszenia konieczne będzie rejestracja na stronie www.biznes.gov.pl oraz podpisanie wypełnionego wniosku elektronicznym podpisem kwalifikowanym lub profilem zaufanym.

Trzeba pamiętać, by powiadomić PUODO o powołaniu, ewentualnej zmianie danych kontaktowych Inspektora lub o jego odwołaniu w terminie 14 dni.

Podsumowując, nasuwa się następująca konkluzja – warto wyznaczyć Inspektora Ochrony Danych nawet jeśli nie jest to wymagane przez przepisy RODO ponieważ Administrator, który nie wyznaczy IOD jest zmuszony pełnić jego obowiązki, a Inspektor Ochrony Danych zadań ma dużo min.: współpraca z PUODO, szkolenie pracowników biorących udział w procesie przetwarzania, ocena naruszeń danych, opracowania i aktualizację polityk ochrony danych, przygotowanie upoważnień, oświadczeń, umów, prowadzenie rejestrów czynności przetwarzania i wiele innych zadań spoczywających na IOD. 

Praca IOD to ciągły proces w zakresie przetwarzania i ochrony danych stanowiącym dodatkowe obowiązki dla wyznaczonego pracownika, mającego również i inne zadania w firmie. Dlatego skorzystanie z usług zewnętrznego, profesjonalnego IOD jest racjonalnym rozwiązaniem – niech każdy zajmuje się tym, do czego posiada kompetencje. 

Ogromną pomocą w wykonywaniu obowiązków Inspektora jest nasz serwis RODO Online (https://rodo-online.eu/)narzędzie zostało stworzone dla IOD oraz ADO umożliwia zdalne zarządzanie dokumentacją, przemyślane funkcjonalności zawarte w serwisie ułatwiły i usystematyzowały wprowadzenie RODO w podmiotach. 

Jeśli masz wątpliwości czy serwis spełni Twoje oczekiwania to skorzystaj z darmowej wersji testowej serwisu w celu zapoznania się szczegółowo z funkcjonalnościami, wystarczy wejść na rodo-nline.eu i kliknąć „ZAŁÓŻ BEZPŁATNE KONTO”, dzięki temu uzyskacie Państwo 14 dniowy dostęp do serwisu.

Dane osobowe a Phishing

Phishing to rodzaj ataku polegający na wyłudzeniu naszych danych osobowych za pomocą fałszywych e-maili bądź smsów. 

Aby rozważyć kwestię tego problemu w codziennym życiu na samym początku powinniśmy zdefiniować czym są dane osobowe oraz czym jest ich naruszenie. Do danych osobowych należą następujące informacje:

• imię i nazwisko
• adres zamieszkania
• numer i seria dowodu osobistego
• numer PESEL
• nazwisko panieńskie matki
• adres e-mail pod warunkiem, że w jego treści zawarte jest również imię i nazwisko

Występują również dane o charakterze poufnym, czyli przypisane do nas, których ujawnienie może mieć dla nas przykre konsekwencje np.:

• login i hasło do logowania do konta w banku
• loginy i hasła do portali społecznościowych oraz poczty e-mail
• numer karty bankowej oraz numer PINu do niej

Przez pojęcie „naruszenia ochrony danych osobowych” należy rozumieć „naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych”

Skala problemu jakim jest phishing narasta i w przyszłości będzie się zwiększać gdyż duża część społeczeństwa korzysta z urządzeń podłączonych do Internetu oraz przeglądarki internetowej.

Wyróżniamy 3 główne typy phishingu:

• Spear phishing – polega na zbieraniu informacji na temat potencjalnej ofiary ataku; przestępcy wysyłają taką wiadomość do ofiary, że ta ma przekonanie, że zna adresata wiadomości – czy to instytucje czy osobę prywatną
• Clone phishing – prawdziwy e-mail, który wpada w ręce oszustów zostaje wykorzystany jako szablon do którego dołącza się odnośniki ze złośliwym oprogramowaniem, a następnie taka wiadomość jest wysyłana z adresu e-mail, który łudząco przypomina oryginalny adres
• Whaling phishing – wysoce wyrafinowany i ukierunkowany atak jest skierowany w szczególności na kadrę kierowniczą wyższego szczebla i urzędników wysokiego szczebla, narażając na ryzyko poufne informacje i cenne aktywa; wiadomość e-mail zawiera zawirusowane link oraz zachęca do zainstalowania ich zawartości na komputerze co prowadzi do wykradzenia ważnych dokumentów danej organizacji

Aby ustrzec się przed utratą danych należy podejmować następujące działania:

• mieć ograniczone zaufanie do e-maili, które zapraszają nas do odwiedzenia strony i zalogowania się na niej – należy dla pewności skontaktować się z administratorem- warto mieć na uwadze, że np. banki nigdy nie proszą o podanie danych
• nie powinno się otwierać hiperłączy ani banerów reklamowych z podejrzanych e-maili
• należy uaktualniać system i przeglądarkę
• do banków logować się przez stronę, która zawiera protokół HTTPS
• nie używać stron p2p służących najczęściej do udostępniania nielegalnych treści, torrentów
• przeszkolić pracowników oraz w przypadku prywatnego użytkowania Internetu- rodziców, dziadków czy też innych użytkowników
• zweryfikować adres e-mail, szatę graficzną oraz stylistykę e-maila
• w przypadku sms-a sprawdzić prawidłowość numeru bądź zadzwonić na infolinię danej firmy
• zaleca się również częstą zmianę haseł i tworzenie ich o określonej strukturze jak również stosować metodę wielokrotnego uwierzytelniania (2fa, mfa)
• zaleca się korzystanie z oprogramowania antywirusowego

Jeżeli ktoś wykradnie nasze dane wówczas powinniśmy takie zdarzenie zgłosić na policję, do prokuratury lub zadzwonić z informacją do swojego banku. Warto uważać w Internecie ponieważ czeka tam na Nas wiele zagrożeń. Warto działać rozważnie i spokojnie oraz dwa razy zastanowić się zanim klikniemy dany link czy otworzymy e-maila.

Mamy już połowę 2023 roku i można pokusić się o krótkie podsumowanie informacji na temat kar nałożonych przez Prezesa Urzędu Ochrony Danych Osobowych.
W mijającym półroczu nałożono już 8 kar finansowych za łamanie przepisów dotyczących ochrony danych osobowych, w całym 2022 roku takich kar było 13. Widać tendencję wzrostową, możemy zatem powiedzieć, że taki wynik jest skutkiem słabej wiedzy i braku świadomości Administratorów.
Łączna wysokość kar wyniosła 167 484,28 zł.
Dla wielu naszych klientów (IOD, ADO), korzystających z naszego serwisu https://rodo-online.eu/ bardzo pomocne okazały się przemyślane funkcjonalności zawarte w serwisie, które usystematyzowały wprowadzenie RODO w podmiotach. 
W serwisie znajdziemy zakładkę „Incydenty” gdzie można wprowadzać, oceniać i raportować. Ocena naruszenia, która pomaga nam wywiązać się z ciążących obowiązków np. poinformowania UODO oraz osób, których naruszenie dotyczy, jeżeli poziom naruszenia praw i wolności tych osób wyjdzie wysoki. Przy kontrolach UODO lub audytach bardzo pomocne może okazać się raportowanie; w tym np. wszystkich incydentów/naruszeń, które wprowadzaliśmy np. w danym roku, można szybko wygenerować raport zgodny z naszymi aktualnymi potrzebami. Przypominamy, że Artykuł 33. 5. RODO stanowi, że Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu.

13-14 czerwca 2023 roku odbyło się prestiżowe Forum Eksperckie poświęcone zarządzaniu wierzytelnościami. Jako GRUPA ELKA mieliśmy niezwykłą przyjemność uczestniczyć w tym ważnym wydarzeniu branżowym, będąc jednocześnie partnerem technologicznym. Spotkanie to było nie tylko doskonałą okazją do wymiany wiedzy i doświadczeń, ale również pozwoliło nam na bezpośrednie wsłuchanie się w potrzeby naszych klientów oraz doskonalenie naszych produktów.

Ochrona danych osobowych zgodnie z RODO

W trakcie Forum jeden z naszych ekspertów, Sebastian Nowak, specjalista w dziedzinie ochrony danych osobowych, podzielił się swoją nieocenioną wiedzą na temat przestrzegania zasad RODO. Przedstawił kluczowe informacje dotyczące zgodności przetwarzania danych osobowych w kancelariach komorniczych z przepisami RODO.

System RODO ONLINE – skuteczne narzędzie dla zapewnienia zgodności

Jednym z najważniejszych punktów wystąpienia Sebastiana było omówienie naszego innowacyjnego produktu – systemu RODO ONLINE. Nasze narzędzie stanowi kompleksowe rozwiązanie, które umożliwia firmom skuteczne zarządzanie i monitorowanie procesów związanych z przetwarzaniem danych osobowych. System RODO ONLINE odgrywa kluczową rolę w zapewnieniu zgodności z przepisami RODO, co jest niezwykle istotne dla różnego rodzaju przedsiębiorstw, w tym także dla kancelarii komorniczych.

Sebastian podkreślił liczne korzyści, jakie niesie ze sobą wdrożenie systemu RODO ONLINE. Dzięki temu narzędziu, firmy mogą skutecznie zarządzać i monitorować swoje procesy związane z przetwarzaniem danych, co prowadzi do zwiększenia zgodności z przepisami RODO oraz minimalizacji ryzyka związanego z naruszeniem ochrony danych.

Outsourcing Inspektora Danych Osobowych – rozwiązanie dla nowoczesnych firm

W ramach swojej prezentacji Sebastian poruszył także temat outsourcingu Inspektora Danych Osobowych (IOD) jako skutecznego rozwiązania dla przedsiębiorstw pragnących spełniać wymagania RODO, bez konieczności zatrudniania specjalisty ds. ochrony danych na pełny etat.
Outsourcing IOD staje się coraz bardziej popularnym wyborem dla firm, które chcą zapewnić zgodność z przepisami RODO. Daje to możliwość uniknięcia konieczności angażowania dodatkowych zasobów ludzkich, a jednocześnie gwarantuje profesjonalne wsparcie w zakresie ochrony danych osobowych.

GRUPA ELKA – nasza troska o klientów

Na Forum Eksperckim nie mogło zabraknąć naszego dyrektora sprzedaży, Tomasza Anyszki, dla którego to wydarzenie stanowiło doskonałą okazję do słuchania i zbierania informacji o potrzebach naszych klientów. Jako GRUPA ELKA priorytetowo traktujemy zrozumienie wymagań naszych obecnych i przyszłych klientów, aby móc dostarczać im najlepsze rozwiązania.

Dzięki zebranym podczas konferencji informacjom i feedbackowi, możemy kontynuować rozwój naszych produktów, takich jak KOMORNIK Online, RODO Online i SYGNALISTA Online . W GRUPIE ELKA wierzymy, że ciągłe doskonalenie naszych rozwiązań stanowi klucz do sukcesu naszych klientów, a nasza firma pozostaje gotowa sprostać ich najwyższym oczekiwaniom.

Nadszedł czas podsumowania 2022 roku, zatem można śmiało przedstawić nałożone kary w minionym roku przez Prezesa Urzędu Ochrony Danych Osobowych. Łącznie nałożono 13 kar na kwotę blisko dwunastu milionów złotych, a dokładnie 11 998 000 zł. 

Jak się wydaje te kary są wynikiem słabej wiedzy i braku świadomości Administratorów. Ogólne rozporządzenie o ochronie danych (RODO) nałożyło przecież na administratorów i podmioty przetwarzające szereg obowiązków w tym zakresie. Sankcje grożące za naruszenie zasad ochrony danych osobowych są dość dotkliwe. Mogą zostać nałożone nie tylko na administratora danych czy podmiot przetwarzający, ale również pracowników czy współpracowników tych podmiotów.

Poniżej przedstawiamy informacje czego dotyczyły naruszenia w 2022 roku, i na co zwracać uwagę aby podobnych kar uniknąć w przyszłości:

1. 2022-01-19 – Santander Bank Polska S. A.– kara 546 000 zł – sprawa dotyczy naruszenia ochrony danych osobowych 10 500 osób, pracowników Banku. W okresie od czerwca 2020 do lutego 2021 roku były pracownik, któremu po odejściu z pracy nie odebrano uprawnień do logowania się na platformę PUE ZUS, logował się minimum 6 krotnie i mógł pozyskiwać wrażliwe dane dotyczące pracowników Banku.  Doszło  więc do istotnego naruszenie zasad ochrony danych osobowych. Santander Bank Polska nie powiadomił pracowników o zaistniałej sytuacji.  Prezes UODO stwierdził,  iż doszło do naruszenia poufności danych. Z uwagi na to, że niniejsze naruszenie poufności dotyczy numerów PESEL wraz z imionami i nazwiskami, adresami zamieszkania lub pobytu oraz informacjami o zwolnieniach lekarskich, tj. danymi dotyczącymi zdrowia, to należy uznać, że wiąże się ono z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, z tego też względu konieczne jest zawiadomienie osób, których dane dotyczą. Bank wskazał, że bazując na informacjach przekazanych mu przez Zakład Ubezpieczeń Społecznych będący operatorem platformy PUE ZUS, nie zidentyfikowano nielegalnego przetwarzania danych. Bank wskazał dodatkowo, że jeśli jednak hipotetycznie doszło do naruszenia ochrony danych osobowych, to tylko w zakresie, w jakim były pracownik miał dostęp do danych w okresie zatrudnienia. W ocenie Banku nie doszło zatem do naruszenia ochrony danych osobowych. Wymiana pism trwała pomiędzy Bankiem i PUODO do stycznia 2022 roku, kiedy to nałożono karę finansową 170 tyś Euro czyli prawie 550 tyś zł.

2. 2022-01-19 – FORTUM Marketing and Sales Polska S.A.– kara 4 912 000 zł/2022-01-19 – PIKA Sp. z o.o. – kara 250 000 zł –  Firma Fortum zajmuje się obrotem energią elektryczną i paliwem gazowym. Z jej usług korzystają, zarówno odbiorcy indywidualni jak i z sektora biznesowego. Sprawa jest ściśle powiązana z naruszeniem, którego dokonała PIKA Sp. z o.o. polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Z powodu powolnego działania systemu spełniającego rolę archiwum cyfrowego dokumentów i informacji na temat klientów, pochodzących z procesu przetwarzania nośników papierowych na elektroniczne administrator zlecił podmiotowi przetwarzającemu tj. Firmie PIKA prace usprawniające system. W trakcie pracy nad systemem doszło do skopiowania danych klientów firmy Fortum przez nieuprawnione podmioty. Naruszenie poufności dotyczyło nowoutworzonej bazy danych zawierającej informacje o klientach Fortum w zakresie: imię i nazwisko, adres zamieszkania lub pobytu, nr PESEL, rodzaj, seria i numer dokumentu tożsamości, adres e-mail, numer telefonu, numer i adres punktu poboru oraz dane dotyczące umowy (np. data i nr umowy, rodzaj paliwa, nr licznika). Łącznie doszło do  naruszenie danych osobowych 120 428 klientów z czego 95 711 to osoby fizyczne, pozostali to klienci biznesowi i osoby zmarłe. Administrator nie powiadomił o naruszeniu osób, których ono dotyczyło, uczynił to dopiero na wniosek Prezesa Urzędu Ochrony Danych Osobowych.  Zebrany w sprawie materiał potwierdza, że przed wszczęciem postępowania administracyjnego Administrator nie przeprowadzał w podmiocie przetwarzającym audytów, w tym inspekcji, w celu sprawdzenia, czy PIKA w sposób prawidłowy realizuje swoje obowiązki. W ocenie Prezesa UODO, zarówno Fortum, jak i PIKA, nie wdrożyły odpowiednich środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych znajdujących się w systemie informatycznym podlegającemu modyfikacjom, co stanowi poważne naruszenie przepisów ODO. Na wysokość nałożonych kar na Administratora oraz Podmiot Przetwarzający dane, miały wpływ: charakter i wagę naruszenia, stopień odpowiedzialności, kategoria danych osobowych, czas trwania naruszenia, nieumyślny charakter naruszenia oraz działania podjęte dla zminimalizowania szkód.

3. 2022-03-22 – NN – kara 6 800 zł – UODO podjął działania, aby zweryfikowaćskargęosoby fizycznej w sprawie utrwalania jej wizerunku za pomocą monitoringu wizyjnego. Urząd wezwał do ustosunkowania się do skargi oraz złożenia wyjaśnień Administratora. Wezwanie dostarczone za pośrednictwem Poczty Polskiej nie zostało podjęte mimo dwukrotnego awizowania. Po 5 miesiącach UODO ponownie przesłał na adres Administratora pismo, które został przyjęte. Mimo to nie uzyskano wyjaśnień. W związku z brakiem reakcji na korespondencję Prezes UODO nałożył na Administratora finansową karę administracyjną.

4. 2022-05-31 – Stołeczny Ośrodek dla Osób Nietrzeźwych – kara 10 000 zł – Prezes UODO stwierdził naruszenie polegające na nagrywaniu i utrwalaniu dźwięku w zainstalowanym Ośrodku systemie monitoringu. Administrator argumentował, że celem przetwarzania sygnału audio i video jest: „sprawowanie stałego nadzoru nad osobami doprowadzonymi w celu wytrzeźwienia dla zapewnienia im bezpieczeństwa, stały nadzór nad osobą umieszczoną w zamkniętym pomieszczeniu przeznaczonym do izolacji oraz kontrola wykonywania czynności związanych z zastosowaniem izolacji. Co jest zgodne z ustawą o Wychowaniu w trzeźwości i przeciwdziałania alkoholizmowi, rozporządzeniem Ministra Zdrowia w sprawie izb wytrzeźwień oraz statutem jednostki”. Biorąc pod uwagę powyższe argumenty Prezes UODO stwierdził, że w tym przypadku nagrywanie dźwięku jest działaniem nadmiarowym. W związku tym została nałożona kara w wysokości 10 000 zł. 

5. 2022-06-06 – Esselmann Technika Pojazdowa Sp. z o.o. Sp. k. – kara 16 000 zł – powodem nałożenia kary jest zagubienie świadectwa pracy osoby zatrudnionej w spółce. Incydent ten nie został zgłoszony do UODO. W związku z tym Prezes UODO nałożył na firmę karę administracyjną.

6. 2022-07-06 – Główny Geodeta Kraju – kara 60 000 zł – Prezes UODO stwierdził naruszenie polegające na niezgłoszeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin. Incydent ten poległ na ujawnieniu numerów ksiąg wieczystych. Administrator argumentował, że skoro cała księga wieczysta (a więc i jej numer) jest jawny, a numery ksiąg wieczystych są także powszechnie dostępne w innych źródłach, że ich publikacja nie niesie w sobie żadnego zagrożenia dla praw  i wolności osób fizycznych. Prezes UODO wykazał możliwość zidentyfikowania osoby fizycznej poprzez ujawnienie numeru księgi wieczystej. Zakres ujawnianych w księdze wieczystej danych osób fizycznych obejmuje m.in. imiona, nazwiska, imiona rodziców, numer PESEL, adres nieruchomości. Stanowisko PUODO zostało poparte wyrokiem  Sądu Administracyjnego w Warszawie.

7. 2022-07-06 – Warszawski Uniwersytet Medyczny – kara 10 000 zł – powodem nałożenia kary jest niezgłoszenie w ciągu 72 godzin naruszenia ochrony danych osobowych. Jeden z pacjentów otrzymał skierowanie na badania zawierające dane innej osoby: imię, nazwisko, adres zamieszkania, numer ewidencyjny PESEL oraz informacje o stanie zdrowia (informacja o rozpoznaniu i celu porady). Administrator nie zgłosił incydentu do Urzędu ODO.

8. 2022-08-30 – TIMSHEL Sp. z o.o.– kara 32 000 zł – do UODO drogą elektroniczną wpłynęło od spółki THIMSHEL zgłoszenie naruszenie ochrony danych osobowych, nie zawierało ono jednak załącznika dedykowanego dla tego typu powiadomień. W związku z brakiem informacji istotnych dla oceny  naruszenia Prezes UODO przesłał pismo zalecające uzupełninie dokumentacji. Pismo nie zostało odebrane. Mimo ponownych prób doręczenia pism Spółka nie podjęła listów. W zaistniałej sytuacji Prezes UODO wszczął postępowanie administracyjne w przedmiocie nałożenia kary.

9. 2022-09-07 – Sułkowicki Ośrodek Kultury – kara 2 500 zł – Prezes UODO stwierdziła naruszenie polegające na powierzeniu przetwarzania danych bez zawartej umowy i bez weryfikacji czy podmiot przetwarzający spełnia wymagania. Administrator zlecił firmie zewnętrznej prowadzenie ksiąg rachunkowych, i ewidencji w obszarze finansów, podatków i ZUS. Tym samym powierzając mu przetwarzanie danych osobowych 30 pracowników i byłych pracowników Administratora w postaci: imion i nazwisk, imion rodziców, dat urodzenia, numerów rachunków bankowych, adresów zamieszkania lub pobytu, numerów ewidencyjnych PESEL, adresów e-mail, danych dotyczących zarobków, posiadanego majątku, nazwisk rodowych matki, serii i numerów dowodów osobistych, numerów telefonów, a także danych dotyczących zdrowia.

10. 2022-11-02 – Wójt Gminy Dobrzyniewo Duże – kara 8 000 zł – powodem nałożenia kary jest przetwarzanie danych osobowych w sposób niezapewniający bezpieczeństwo danych osobowych.        Z mieszkania pracownika Urzędu Gminy skradziono służbowy komputer zawierający 51 rekordów z danymi osobowymi: imię i nazwisko, adres zamieszkania oraz PESEL.Dysk twardy komputera nie był szyfrowany co mogło doprowadzić dopozyskania danych osobowych. Skradziony komputer odzyskano. Analiza logów systemu Windows wykazała, że od dnia kradzieży system operacyjny komputera nie był uruchamiany (brak informacji o logowaniu do systemu).

11. 2022-11-03 – P4 Sp. z o.o. (PLAY) – 100 000 zł – Do Prezesa UODO wpłynęła skarga od osoby prywatnej o następującej treści: „W dniu dzisiejszym otrzymałem maila z umową Play. Nie jestem klientem Play, umowa dotyczy innej osoby o tym samym nazwisku. Na umowie są wszystkie dane tej osoby łącznie z PESEL i nr dowodu”.  Na zapytanie skierowanie do spółki uzyskano wyjaśnienia, że umowę wysłano na adres e-mail podany przez klienta na umowie. Następnie Klient wrócił do POS z informacją, iż adres wskazany na Umowie jest błędny i poprosił o jego usunięcie. Klient nie wskazał innego adresu e-mail do kontaktu. Spółka odnotowała ten fakt. Pracownik Punktu Obsługi Klienta, w którym doszło do podpisania umowy wyjaśnił, że gdy osoba zawierająca umowę poda adres e-mail do kontaktu podczas procesu podpisania umowy z wydrukiem dokumentów (do podpisania), to automatycznie generuje się wysyłka kopii dokumentów na wskazany adres e-mail. Można nie realizować wysyłki oznaczając specjalne pole w systemie sprzedażowym. Pracownik POS nie odznaczył tego pola i dlatego też e-mail z kopiami dokumentów został wysłany do Klienta. Spółka P4 stwierdziła, że nie ma podstaw do traktowania przedmiotowego zdarzenia jako naruszenia danych osobowych, dlatego też nie zgłosiła ww. naruszenia do Prezesa UODO oraz nie powiadomiła o nim Klienta. W związku z tym Prezes UODO wszczął wobec Spółki postępowanie administracyjne i nałożył karę finansową.

12. 2022-11-30 – PIONIER S.C.(firma prawnicza) – kara 45 700 zł – na wniosek Komendanta Powiatowego Policji Prezes UODO rozpoczął czynności kontrolne u Administratora. W pismach skierowanych do Wspólników Spółki wnioskował o udostępnienie informacji dotyczących sposobu, celu i podstawy prawnej przetwarzania danych osobowych w związku z działalnością gospodarczą prowadzoną przez Administratora. Działalność prowadzona przez Wspólników Spółki polega na świadczeniu pomocy prawnej w zakresie reprezentowania klientów poszkodowanych głównie w wypadkach komunikacyjnych przed towarzystwami ubezpieczeniowymi, sądami, a także innymi podmiotami, w celu uzyskania na ich rzecz odszkodowań, zadośćuczynienia i rent, a także zwrotu kosztów leczenia i rehabilitacji. Z uwagi na brak dostatecznej współpracy Wspólników Spółki Prezes UODO zdecydował o wszczęciu kontroli. Na podstawie zgromadzonego w sprawie materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Wspólnicy Spółki, jako administratorzy, naruszyli przepisy o ochronie danych osobowych, poprzez przetwarzanie bez podstawy prawnej danych osobowych potencjalnych klientów Wspólników Spółki, w tym danych dotyczących ich stanu zdrowia, w szczególności bez uzyskania ich zgody na przetwarzanie danych osobowych. W związku z tym Prezes UODO rozpoczął postępowanie administracyjne z urzędu. Mimo otrzymania pism zawiadamiających o wszczęciu postepowania wobec Wspólników Spółki żaden z nich nie złożył wyjaśnień.W toku kontroli i po wysłuchaniu wyjaśnień pracowników PUODO uznał, że przetwarzanie danych potencjalnych klientów przez Administratorów jest nieproporcjonalne do pożądanego rezultatu, który chcą oni osiągnąć i nie jest do tego celu niezbędne.

Dla wielu naszych klientów (IOD, ADO), korzystających z naszego serwisu https://rodo-online.eu w ciągu tych kilku lat bardzo pomocne okazały się przemyślane funkcjonalności zawarte w serwisie, które usystematyzowały wprowadzenie RODO w podmiotach. 

W serwisie znajdziemy zakładkę „Incydenty” gdzie można wprowadzać, oceniać i raportować. Ocena naruszenia, która pomaga nam wywiązać się z ciążących obowiązków np. poinformowania UODO oraz osób, których naruszenie dotyczy, jeżeli poziom naruszenia praw i wolności tych osób wyjdzie wysoki. Przy kontrolach UODO lub audytach bardzo pomocne może okazać się raportowanie; w tym np. wszystkich incydentów/naruszeń, które wprowadzaliśmy np. w danym roku, można szybko wygenerować raport zgodny z naszymi aktualnymi potrzebami. Przypominamy, że Artykuł 33. 5. RODO stanowi, że Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu.

Dobre praktyki – kiedy i w jaki sposób informować klientów o przetwarzaniu danych osobowych w korespondencji e-mail. 

RODO (ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)) pozostawia nam dowolność w zakresie sposobu spełnienia obowiązku informacyjnego. RODO w artykule 13 ust. 1 stanowi tak: jeżeli dane osobowe zbierane są od osoby, której dane osobowe dotyczą, to administrator podczas pozyskiwania danych osobowych ma obowiązek podać informacje wymienione w art. 13 RODO. Podczas pozyskiwania danych, czyli w momencie ich zbierania. Osoba, której dane dotyczą, świadomie przekazuje administratorowi danych (np. wypełniając formularz internetowy); lub administrator danych pozyskuje od osoby, której dane dotyczą, w drodze obserwacji (np. przy zastosowaniu automatycznych rejestratorów danych lub oprogramowania rejestrującego dane, np. kamer, urządzeń sieciowych, śledzenia sieci Wi-Fi, RFID lub innych rodzajów sensorów). 

Więcej czasu posiada Administrator w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Zbieranie danych z innych źródeł – zewnętrzni administratorzy danych; źródła dostępne publicznie; pośrednicy danych; lub inne osoby, których dane dotyczą. W takiej sytuacji obowiązek informacyjny należy spełnić (zgodnie z art. 14 ust. 3 RODO): 

• w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca 
• jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą 
• jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu. 

Istotną kwestią jest sytuacja w momencie otworzenia maila z danymi osobowymi; nie pozyskujemy danych osobowych – my już je posiadamy. Wydaje się, że moment spełniania obowiązku informacyjnego w świetle RODO, został ujęty dość nieprecyzyjnie. Umieszczanie obowiązku informacyjnego w stopce maila do dobra praktyka. Przede wszystkim obowiązek informacyjny musi zostać spełniony, więc mail to dobre rozwiązanie. Kiedy zdecydujemy się na umieszczenie klauzuli informacyjnej w firmowym mailu, musimy wybrać odpowiedni sposób. Oto kilka przykładów, które mogą być pomocne: 

• Możemy dopisać klauzulę informacyjną zawierającą wszystkie cele przetwarzania przez nas realizowane 
• Możemy dopisać skróconą wersję klauzuli informacyjnej, która będzie zawierała podstawowe informacje, a w pozostałym zakresie odesłać do strony internetowej, gdzie umieszczone są wszystkie informacje 
• Możemy wskazać linka (z odnośnikiem do klauzuli), z którym osoba, której dane osobowe przetwarzamy się zapozna 
• Możemy załączyć plik z klauzulą informacyjną (np. pdf) 
• Możemy ustawić autorespondera, który z automatu będzie wysyłał klauzulę informacyjną. 

Warto wspomnieć, że powinno być to łatwe dla osoby, której dane dotyczą. Nie możemy wymuszać podjęcia dodatkowych działań, zainstalowania dodatkowych aplikacji aby odczytać załącznik, a umieszczenie samego linka, wiąże się z ryzykiem, że może przestać działać, jak również, że osoba go nie otworzy i nie zapozna się z treścią klauzuli, abyśmy mogli spełnić swój obowiązek. Link lub plik niejako wymusza na osobie, której dane dotyczą podjęcie dodatkowych działań. Każdy administrator musi sam zdecydować czy będzie umieszczał w stopce firmowego maila informacje z art. 13 i 14 ROO czy w inny sposób spełni obowiązek informacyjny.  Dobrą praktyką w stopce maila jest umieszczenie podstawowych informacji dotyczącej Administratora z odnośnikiem do pełnej klauzuli. Musimy także pamiętać, że obowiązek informacyjny powinien być napisany prostym językiem w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, na piśmie lub w inny sposób, w tym elektronicznie, a jeżeli osoba, której dane dotyczą, tego zażąda, ustnie (o ile potwierdzimy tożsamość tej osoby). Administrator musi jednak być w stanie wykazać przestrzeganie przez siebie przepisów RODO, czy udzielił osobie, której dane dotyczą, wszystkich informacji, o których mowa w art. 13 i 14 RODO. Kluczowe w tym zakresie będzie zatem dobranie przez administratora odpowiedniej formy komunikacji. Przepisy RODO nie wymagają odbierania od podmiotów danych oświadczeń o zapoznaniu się z klauzulą informacyjną. 

Pełny zakres przekazywanych informacji przy zbieraniu danych, od osoby, której dane dotyczą art. 13 ust. 1 i 2 

• tożsamość i dane kontaktowe administratora; 
• gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora; 
• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; 

• cele przetwarzania danych osobowych; 
• podstawy prawne przetwarzania; 
• jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy; 
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; 
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania; 

• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; 
• informacje o przysługujących osobie, której dane dotyczą prawach; 
• jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem; 
• informacje o prawie wniesienia skargi do organu nadzorczego; 
• informacje, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; 

• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu; 

Pełny zakres przekazywanych informacji przy zbieraniu danych w sposób inny niż od osoby, której dane dotyczą art. 14 ust. 1 i 2 

• tożsamość i dane kontaktowe administratora; 
• gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora; 

• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; 
• cele przetwarzania danych osobowych; 
• podstawy prawne przetwarzania; 
• kategorie odnośnych danych; 
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; 

• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania; 
• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; 
• jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy; 
• informacje o przysługujących osobie, której dane dotyczą prawach; 
• jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem; 

• informacje o prawie wniesienia skargi do organu nadzorczego; 
• źródło pochodzenia danych, a gdy ma to zastosowanie informacja czy dane pochodzą ze źródeł publicznie dostępnych; 
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu; 

Źródło:  

1. ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) 

2. https://uodo.gov.pl/pl/138/727 – „Obowiązek informacyjny” – szkolenie dla IOD , 28 lutego 2019 r. 

Przez pojęcie „naruszenia ochrony danych osobowych” należy rozumieć „naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych” (art. 4 pkt 12 RODO).

Żeby zaistniało naruszenie, muszą być spełnione łącznie trzy przesłanki:

• naruszenie musi dotyczyć danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych przez podmiot, którego dotyczy naruszenie;
• skutkiem naruszenia może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych;
• naruszenie jest skutkiem złamania zasad bezpieczeństwa danych.

Jak wskazuje Grupa Robocza Art. 29 w Wytycznych dotyczących zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679 (WP 250 rev.01) – można wyróżnić trzy typy naruszeń ochrony danych osobowych:

• NARUSZENIE POUFNOŚCI – polega na ujawnieniu danych osobowych nieuprawnionej osobie
• NARUSZENIE DOSTĘPNOŚCI – polega na czasowej bądź trwałej utracie lub zniszczeniu danych osobowych
• NARUSZENIE INTEGRALNOŚCI – polega na zmianie treści danych osobowych w sposób nieautoryzowany.

W przypadku stwierdzenia wystąpienia incydentu, Administrator wraz z Inspektorem Ochrony Danych, prowadzi postępowanie wyjaśniające w toku którego ustala zakres i przyczyny incydentu oraz jego ewentualne skutki (mogą wówczas stwierdzić, że nie jest to incydent, a naruszenie).

W przypadku zbadania i potwierdzenia się naruszenia po przeprowadzeniu oceny naruszenia (rekomendacje/kalkulator zawarte w publikacji European Union Agency for Network and Information Security (ENISA), 2013, Recommendations for a methodology of the assessment of severity of personal data breaches). Dla naszych klientów – dostępna zakładka w systemie rodo-online.eu) Administrator, nie później niż w terminie 72 godzin – zgłasza je organowi nadzorczemu – Prezesowi Urzędu Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli zgłoszenie do Prezesa UODO nastąpiło powyżej 72 godzin trzeba dołączyć wyjaśnienie przyczyn opóźnienia (zgłoszenie musi opisywać co najmniej charakter naruszenia, kategorie i przybliżoną ilość osób, których dane dotyczą, kategorię i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie, imię, nazwisko i dane kontaktowe IOD’a lub oznaczenie innego punktu kontaktowego, opis możliwych konsekwencji, zastosowane środki w celu zaradzenia naruszeniu i minimalizowania jego skutków). Warto skorzystać w gotowego formularza interaktywnego do zgłoszenia naruszenia ochrony danych osobowych przygotowanego przez UODO (https://uodo.gov.pl/pl/134/233). 

Jeżeli naruszenie danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Warto zauważyć, że zawiadomienie powinno jasnym i prostym językiem opisywać charakter naruszenia ochrony danych osobowych i zawierać przynajmniej imię i nazwisko oraz dane kontaktowe IOD lub oznaczenie innego punktu kontaktowego, opisywać możliwe konsekwencje naruszenia, opisywać środki zastosowane lub proponowane przez Administratora w celu zaradzeniu naruszeniu i jego skutków.

Zgłoszenia można dokonać na 4 sposoby:

• Elektronicznie poprzez wypełnienie dedykowanego formularza elektronicznego dostępnego bezpośrednio na platformie biznes.gov.pl będącego odwzorowaniem formularza zgłoszenia naruszenia ochrony danych osobowych (udostępnionego przez PUODO)
• Elektronicznie poprzez wysłanie wypełnionego formularza na elektroniczną skrzynkę podawczą ePUAP: /UODO/SkrytkaESP
• Elektronicznie poprzez wysłanie wypełnionego formularza (udostępnionego przez PUODO) za pomocą pisma ogólnego dostępnego na platformie biznes.gov.pl lub platformie epuap.gov.pl
• Tradycyjną pocztą wysyłając wypełniony formularz na adres Urzędu.

Administrator w celu rozliczalności powinien dokumentować powyższe wszelkie naruszenia ochrony danych osobowych, w tym okoliczności incydentów / naruszeń ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze w prowadzonym Rejestrze incydentów/naruszeń.

Przykłady kar za brak zgłoszenia naruszenia do Prezesa Ochrony Danych Osbowych:

• Towarzystwo Ubezpieczeń i Reasekuracji WARTA S.A.- 85 588 zł
• Śląski Uniwersytet Medyczny w Katowicach – 25 000 zł
• Anwara Sp. z o.o. – 21 tyś zł.

• Cyfrowy Polsat S.A. – 1 136 975 zł (przeprowadzona przez UODO analiza naruszeń wykazała, że administrator zgłaszał naruszenia organowi nadzorczemu, jak i powiadamiał o incydentach osoby, których one dotyczyły, po upływie dwóch, a nawet trzech miesięcy od ich wystąpienia)
• P4 Sp. z  o. o. (Play) – 100 000 zł(za niezawiadomienie organu nadzorczego w terminie 24 godzin o wykryciu naruszenia danych osobowych, zgodnie z przepisami Prawa telekomunikacyjnego)
• Sopockie Towarzystwo Ubezpieczeń ERGO Hestia S.A. – 159.176 zł (brak zgłoszenia naruszenia ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych oraz brak zawiadomienia o naruszeniu ochrony danych osobowych osoby).

Każdy podmiot, który przetwarza w jakikolwiek sposób dane osobowe i pełni rolę administratora tych danych, musi przestrzegać zasad RODO. Jednym z ważniejszych, jest spełnienie tzw. obowiązku informacyjnego. Ze względu na interes osoby, której dane są przetwarzane, jest to jedno z najważniejszych zobowiązań administratora. Tylko osoba skutecznie poinformowana, jest w stanie podejmować świadome decyzje w związku z przetwarzaniem jej danych osobowych i skutecznie reagować na ewentualne nieprawidłowości w tym zakresie. Realizacja omawianego obowiązku polega na przedstawieniu osobie, której dane dotyczą, wszelkich informacji wymaganych przepisami RODO. Te informacje muszą być przedstawione: zwięźle, przejrzyście, zrozumiale przede wszystkim wyrażone prostym i jasnym językiem. W praktyce oznacza to, że znaczenie ma nie tylko treść klauzuli, ale także jej forma. 

Kluczowe w tym zakresie są dwa przepisy, tj. art. 13 oraz art. 14 RODO. Wybór jednego z przywołanych przepisów zależy od źródła, z którego administrator pozyskał dane osobowe. Artykuł 13 RODO znajdzie bowiem zastosowanie, gdy administrator pozyskuje dane osobowe bezpośrednio od osoby, której dane dotyczą. 

Są to takie sytuacje jak:

• osoba, której dane dotyczą, samodzielnie przekazuje administratorowi dane osobowe (np. wypełniając formularz internetowy),
• administrator samodzielnie pozyskuje dane od osoby, której one dotyczą, w drodze obserwacji (np. przy zastosowaniu automatycznych rejestratorów, takich jak kamery czy urządzenia sieciowe).

Natomiast art. 14 RODO administrator będzie musiał uwzględnić, jeżeli dane osobowe zostały przez niego pozyskane nie bezpośrednio od osoby, której one dotyczą. 

Takie sytuacje jak:

• pozyskanie danych osobowych od zewnętrznego administratora danych (np. udostępnienie danych osobowych przez kontrahenta, partnera biznesowego, właściciela bazy danych),
• pozyskanie danych osobowych ze źródeł publicznie dostępnych (np. pozyskanie danych z CEIDG, KRS lub GUS),
• pozyskanie danych osobowych od innych osób (np. pozyskanie danych dotyczących członków rodzin, podanych przez pracowników).

Co musi zawierać klauzula informacyjna ?

Jeśli pozyskujemy dane od osoby, której te dane dotyczą (art. 13 RODO), klauzula musi zawierać :

• tożsamość administratora danych i dane kontaktowe (czyli nazwę, adres, mail, telefon);
• dane kontaktowe Inspektora Ochrony Danych (jeśli jest powołany – imię i nazwisko oraz adres poczty elektronicznej lub nr telefonu https://uodo.gov.pl/pl/223/1783 );
• cele przetwarzania danych osobowych i podstawę prawną tego przetwarzania (czyli wskazanie przepisów prawa, które zezwalają nam na przetwarzanie danych);
• jeśli dane są przetwarzane na podstawie prawnie uzasadnionych interesów administratora lub osoby trzeciej, należy wymienić te interesy;
• informacje o odbiorcach danych osobowych – czyli firmy, którym powierzamy lub udostępniamy dane osobowe (np biura rachunkowe, firmy ubezpieczeniowe itp.);
• informację, czy będziemy przekazywali te dane do państwa trzeciego lub organizacji międzynarodowej (należy podać stopień ochrony danych – określa je Komisja Europejska dla państw spoza Unii Europejskiej;
• okres, przez który będziemy przechowywali te dane albo sposób obliczenia tego okresu;
• informację o prawach osób, których dane dotyczą (prawo dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania, prawo do przenoszenia danych);
• jeśli przetwarzamy dane na podstawie zgody osoby, konieczne jest poinformowanie o prawie do cofnięcia tej zgody w każdej chwili oraz o tym, że cofnięcie zgody nie ma wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informację o prawie wniesienia skargi na nasze działanie związane z przetwarzanie danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych;
• informację, czy dokonujemy profilowania danych.

Jeśli pozyskujemy dane osobowe w sposób inny niż od osoby, której dane dotyczą, dodatkowo należy podać (art. 14 RODO):

• nazwy podmiotów, od których pozyskaliśmy dane lub poinformować, że pochodzą one ze źródeł publicznie dostępnych;
• kategorie danych, które przetwarzamy, np. dane korespondencyjne, dane telefoniczne, dane wrażliwe itp. 

Jak zrealizować obwiązek informacyjny?

Jeżeli administrator będzie pozyskiwać dane osobowe bezpośrednio od osoby fizycznej, powinien zrealizować obowiązek informacyjny podczas pozyskiwania tych danych lub przed pozyskaniem. Realizacja obowiązku informacyjnego powinna zatem nastąpić najpóźniej przed zakończeniem zbierania danych osobowych. 

Przykłady:

• umieszczenie klauzuli informacyjnej w treści formularza służącego do pozyskiwania danych osobowych,
• spełnienie obowiązku informacyjnego na wstępie rozmowy telefonicznej (dotyczy to np. telefonicznych biur obsługi klienta),
• przekazanie podstawowych informacji – warunek dwuetapowy (warstwowy) – z jednoczesnym odesłaniem do pełnej treści klauzuli informacyjnej, np. poprzez podany link.

Termin na spełnienie obowiązku informacyjnego, w sytuacji gdy dane osobowe administrator pozyskuje nie od osoby, której dane dotyczą, jest dłuższy (art. 14 ust. 3 RODO). W takim scenariuszu administrator ma maksymalnie miesiąc na zrealizowanie tego obowiązku od momentu pozyskania danych osobowych. Termin ten może ulec skróceniu, jeżeli:

• dane są wykorzystywane do komunikacji z osobą, której te dane dotyczą – wówczas obowiązek informacyjny powinien zostać spełniony podczas pierwszego kontaktu z tą osobą,
• dane mają zostać ujawnione innemu odbiorcy – wówczas administrator powinien zrealizować obowiązek informacyjny najpóźniej przy pierwszym ujawnianiu.

Podsumowanie

Osoba, której dane przetwarzamy, ma prawo uzyskać wiedzę o podmiotach uczestniczących w przetwarzaniu jej danych, o procedurach związanych z tymi danymi, zabezpieczeniach oraz swoich prawach, które przysługują jej z tego tytułu. Warunkiem tego jest posiadanie wiedzy o tym, do jakich celów dane będą wykorzystywane. Na administratorze danych ciąży obowiązek przekazania informacji w taki sposób, by jej zrozumienie nie stanowiło problemu. Należy uwzględnić odbiorców, do których ją kierujemy informację. Dotyczy to nie tylko języka, którym będzie napisana (nie może być to język branżowy, techniczny, prawniczy), lecz także jej szaty graficznej. Pamiętaj, że w razie kontroli administrator będzie musiał wykazać, że obowiązek informacyjny został przez niego spełniony (art. 5 ust. 1 lit. a RODO). Jeśli potrzebujesz pomocy w zakresie obowiązku informacyjnego (przykład poniżej) czy innych wymogów ochrony danych osobowych skontaktuj się z nami kontakt@rodo-online.eu więcej na https://rodo-online.eu/. 

Wzór klauzuli informacyjnej do pobrania

Poniżej znajdą Państwo szablon (wzór) klauzuli informacyjnej dla formularza kontaktowego, wzór gotowy do edycji w excelu.

pobierz

Zgodnie z motywem 97 Rozporządzenia (RODO) Inspektor Ochrony Danych to osoba dysponującą fachową wiedzą na temat prawa i praktyk w dziedzinie ochrony danych powoływana przez administratora danych osobowych lub podmiot przetwarzający w celu wspomagania wewnętrznego przestrzegania przepisów RODO.

Według Wikipedii Inspektor Ochrony Danych (IOD) to osoba fizyczna wspierająca administratora danych w realizacji obowiązków dotyczących ochrony danych osobowych. Z tych wyjaśnień wynika że Inspektor to specjalistyczna funkcja, która działa w organizacji administratora lub podmiotu przetwarzającego. IOD nadzoruje i wspiera prawidłowość działań administratora lub podmiotu przetwarzającego dane osobowe.

Obowiązki Inspektora Ochrony Danych

Zadania Inspektora Ochrony Danych zostały opisane w art. 39 ust. 1 RODO, ale jakie zadania ma w praktyce? Praktyka pokazała że większość IOD oprócz zadań obligatoryjnych (zapisanych w RODO) wykonuje zadania fakultatywne (nieobowiązkowe). 

Lista zadań obligatoryjnych Inspektora Ochrony Danych (art. 39 ust. 1 RODO):

• współpraca z organem nadzorczym (Prezesem UODO);
• pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, również wynikających z uprzednich konsultacji z organem nadzorczym, oraz – w stosownych przypadkach – prowadzenie konsultacji we wszelkich innych sprawach;
• pełnienie funkcji punktu kontaktowego dla podmiotów danych (osoby, których dane dotyczą, mogą kontaktować się z Inspektorem Ochrony Danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz wykonywaniem praw przysługujących im na mocy RODO – art. 38 ust. 4 RODO);
• informowanie Administratora / Podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy przepisów o ochronie danych, jak również doradzanie im w tej sprawie. IOD występuje tutaj w potrójnej roli: wskazuje obowiązki, rekomenduje sposób ich wykonania, a następnie ocenia poprawność realizacji;
• monitorowanie przestrzegania RODO, innych przepisów Unii lub państw członkowskich oraz polityk administratora w dziedzinie ochrony danych osobowych, w tym: podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z nimi audyty. W tym zakresie istotne będzie:

• zbieranie informacji w celu identyfikacji procesów przetwarzania;
• analizowanie i sprawdzanie zgodności przetwarzania;
• informowanie, doradzanie i rekomendowanie określonych działań;
• udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie wykonania tej oceny zgodnie z art. 35 RODO. Dokonując oceny, Administrator powinien konsultować się z IOD w następujących kwestiach:

• konieczności przeprowadzenia oceny skutków dla ochrony danych oraz metodologii tej oceny;
• wyboru między przeprowadzeniem wewnętrznej oceny a zleceniem jej podmiotowi zewnętrznemu;
• zabezpieczeń (w tym środków technicznych i organizacyjnych) stosowanych do łagodzenia zagrożeń praw i interesów osób, których dane dotyczą;
• prawidłowości przeprowadzonej oceny skutków dla ochrony danych i zgodności jej wyników z RODO (czy należy kontynuować przetwarzanie, czy też nie, oraz jakie zabezpieczenia należy zastosować).

Do fakultatywnych zadań inspektora należą (nieobowiązkowe zadania):

• Koordynowanie całego procesu oceny skutków dla ochrony danych osobowych.
• Opracowywanie i aktualizacja polityk ochrony danych
• Administrowanie oraz kontrola upoważnień do przetwarzania danych osobowych, w tym prowadzenie rejestru nadanych upoważnień.
• Przygotowywanie lub opiniowanie umów powierzenia przetwarzania danych osobowych, w tym prowadzenie ich rejestru zawartych umów.
• Udział w procesach związanych z naruszeniami ochrony danych osobowych, w tym prowadzenie rejestru naruszeń, prowadzenie postępowania wyjaśniającego, dokonywanie oceny naruszenia, koordynowanie zgłoszenia naruszenia Prezesowi UODO oraz osobom, których dane dotyczą.
• Opracowywanie treści klauzul informacyjnych, klauzul zgód na przetwarzanie danych osobowych, oraz innych klauzul / postanowień związanych z przetwarzaniem danych osobowych (np. postanowień w zakresie współadministrowania).
• Prowadzenie rejestru czynności przetwarzania danych osobowych.
• Prowadzenie rejestru kategorii czynności przetwarzania dokonywanych w imieniu innego administratora danych.
• Udział w procesie realizacji praw osób, których dane dotyczą, w tym udzielanie odpowiedzi na zapytania, prowadzenie wszelkiej korespondencji, spotkania z osobami realizującymi swoje prawa.
• Reagowanie na skargi osób, których dane dotyczą, w tym prowadzenie korespondencji ze skarżącym, opracowywanie treści pism w toku postepowania.
• Udział w postępowaniach administracyjnych oraz sądowych prowadzonych w związku ze skargami osób, których dane dotyczą bądź innymi naruszeniami RODO.
• Udział w procesach certyfikacji oraz przystępowania do funkcjonujących kodeksów postępowania.
• Kontrola podmiotów przetwarzających.

Katalog fakultatywnych zadań nie ma charakteru zamkniętego. Istotne jest jedynie, aby wykonywanie tych zadań nie powodowało konfliktu interesów ani nie naruszało zasady niezależności IOD. 

Kto ma obowiązek powołania Inspektora Ochrony Danych?

Możliwość lub obowiązek powołania Inspektora Ochrony Danych wynika z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływie takich danych (Dz. Urz. UE L 2016 Nr 119, str. 1) (inaczej RODO). Obowiązkowe powołanie Inspektora Ochrony Danych zgodnie z RODO występuje w trzech przypadkach, gdy:

• przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Przepisy zostały skonstruowane w taki sposób, aby obowiązek wyznaczenia Inspektora Ochrony Danych był wszędzie tam, gdzie danych osobowych jest dużo lub/i powinny być szczególnie chronione. RODO nie zawiera żadnych przeciwskazań co do powołania IOD w przypadku, gdy organizacja nie ma takiego obowiązku. Dobrowolne wyznaczenie IOD ma wiele korzyści dla organizacji między innymi: wiemy kto w organizacji jest odpowiedzialny za spełnienie obowiązków wynikających z RODO, usprawnić procesy obsługi klientów (zbierania i przetwarzania danych osobowych), a tym samym zyskać przewagę na konkurencją, działać zgodnie z prawem i uniknąć dotkliwych kar finansowych. Urząd Ochrony Danych wręcz zachęca do powoływania IOD z uwagi na fakt, że taka praktyka podnosi poziom bezpieczeństwa danych osobowych. 

Komu powierzyć funkcję IOD –  pracownikowi czy podmiotowi zewnętrznemu?

Inspektor Ochrony Danych Osobowych może być pracownikiem administratora lub podmiotu przetwarzającego albo wykonywać zadania na podstawie umowy o świadczenie usług. Nowe wytyczne opublikowane na stronie UODO (https://uodo.gov.pl/pl/223/2050) mówią, że wykonywanie zadań IOD przez osobę, która nie jest członkiem personelu administratora powinno następować na podstawie umowy o świadczenie usług, nie potrzebna jest umowa powierzenia danych. 

Administrator powinien pamiętać, by Inspektor Ochrony Danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych w organizacji. Powinien zapewnić m.in., aby:

• IOD uczestniczył w podejmowaniu decyzji mających wpływ na ochronę danych wspólnie podczas zmian w organizacji,
• IOD mógł zapoznać się z niezbędnymi informacjami, które powinny zostać mu odpowiednio wcześniej udostępnione,
• opinia IOD była zawsze należycie uwzględniana w działalności organizacji, 
• w przypadku stwierdzenia naruszenia ochrony danych lub innego incydentu, następowała niezwłoczna konsultacja z IOD.

Podsumowanie

Bezsprzecznie administrator lub podmiot przetwarzający, działając we własnym interesie, powinien powołać osobę, która ma wiedzę i umiejętności pozwalające na prowadzenie skutecznego nadzoru nad administrowanymi przez niego danymi osobowymi. Przepisy RODO nie wprowadzają wymogu posiadania przez IOD jakichkolwiek certyfikatów, czy poświadczeń ukończenia odpowiednich szkoleń itp., jednak tego typu dokumenty mogą być pomocne administratorowi w dokonaniu oceny spełniania przez inspektora ochrony danych kryterium doświadczenia i odpowiednich kwalifikacji. Oceny wiedzy fachowej na temat prawa oraz praktyki w obszarze ochrony danych osobowych warto dokonywać również w kontekście specyfiki, jak również konkretnych potrzeb administratora, w tym rodzaju i stopnia zagrożeń, jakie określona działalność może nieść dla praw i wolności podmiotów danych.