Obowiązki przedsiębiorcy internetowego w zakresie ochrony

danych osobowych

Michał Sztąberek

iSecure Sp. z o.o.

Przegląd obowiązków przedsiębiorcy internetowego

• Legitymowanie się jedną z przesłanek dopuszczalności przetwarzania danych osobowych

• Przestrzeganie zasad przetwarzania danych: adekwatnośd, celowośd i czasowośd

• Dopełnienie obowiązku informacyjnego

• Dopełnienie obowiązku zabezpieczenia danych od strony organizacyjnej

• Dopełnienie obowiązku zabezpieczenia danych od strony technicznej

• Legalny outsourcing przetwarzania danych osobowych

Przegląd obowiązków przedsiębiorcy internetowego

• Legalne udostępnianie danych osobowych

• Rejestracja zbiorów w GIODO

Legalne przetwarzanie danych

Przetwarzanie danych „zwykłych” jest dopuszczalne tylko

wtedy, gdy:

• osoba, której dane dotyczą, wyrazi na to zgodę, chyba że

chodzi o usunięcie dotyczących jej danych

• jest to niezbędne dla zrealizowania uprawnienia lub

spełnienia obowiązku wynikającego z przepisu prawa

• jest to konieczne do realizacji umowy, gdy osoba, której

dane dotyczą, jest jej stroną lub gdy jest to niezbędne do

podjęcia działań przed zawarciem umowy na żądanie

osoby, której dane dotyczą

Legalne przetwarzanie danych

• jest niezbędne do wykonania określonych prawem zadań

realizowanych dla dobra publicznego

• jest to niezbędne dla wypełnienia prawnie

usprawiedliwionych celów realizowanych przez

administratorów danych albo odbiorców danych, a

przetwarzanie nie narusza praw i wolności osoby, której

dane dotyczą np. marketing bezpośredni własnych

produktów i usług, zapewnienie bezpieczeństwa firmy,

zabezpieczenie roszczeń

Legalne przetwarzanie danych wrażliwych

• Zabrania się przetwarzania danych ujawniających

pochodzenie rasowe lub etniczne, poglądy polityczne,

przekonania religijne lub filozoficzne, przynależność

wyznaniową, partyjną lub związkową, jak również danych o

stanie zdrowia, kodzie genetycznym, nałogach lub życiu

seksualnym oraz danych dotyczących skazań, orzeczeń o

ukaraniu i mandatów karnych, a także innych orzeczeń

wydanych w postępowaniu sądowym lub administracyjnym

• WYJĄTEK: np. zgoda na piśmie, przepis szczególny

zezwala na przetwarzanie takich danych bez zgody osoby,

której dane dotyczą i stwarza pełne gwarancje ich ochrony

Zasady przetwarzania danych

• Zasada celowości: dane muszą być zbierane dla

oznaczonych, zgodnych z prawem celów i niepoddawane

dalszemu przetwarzaniu niezgodnemu z tymi celami

• Zasada adekwatności: dane muszą być merytorycznie

poprawne i adekwatne w stosunku do celów, w jakich są

przetwarzane

• Zasada czasowości: dane muszą być przechowywane w

postaci umożliwiającej identyfikację osób, których dotyczą,

nie dłużej niż jest to niezbędne do osiągnięcia celu

przetwarzania

Obowiązek informacyjny

W przypadku zbierania danych osobowych od osoby, której

one dotyczą, ADO jest obowiązany poinformować tę osobę o:

• adresie swojej siedziby i pełnej nazwie

• celu zbierania danych, a w szczególności o znanych mu w

czasie udzielania informacji lub przewidywanych odbiorcach

lub kategoriach odbiorców danych

• prawie dostępu do treści swoich danych oraz ich

poprawiania

• dobrowolności albo obowiązku podania danych, a jeżeli taki

obowiązek istnieje, o jego podstawie prawnej

Obowiązek zabezpieczenia danych od strony organizacyjnej

• Prowadzenie dokumentacji opisującej sposób

przetwarzania danych oraz podjęte środki techniczne i

organizacyjne mające na celu ich zabezpieczenie

- Polityka bezpieczeństwa

- Instrukcja zarządzania systemem informatycznym

służącym do przetwarzania danych

• Wyznaczenie ABI, chyba że ADO sam zamierza

wykonywać jego obowiązki

• Upoważnienie osób, które będą przetwarzały dane

osobowe

Obowiązek zabezpieczenia danych od strony organizacyjnej

• Prowadzenie ewidencji osób, które zostały upoważnione

do przetwarzania danych osobowych

• Zapewnienie kontroli nad tym, jakie dane osobowe, kiedy

i przez kogo zostały do zbioru wprowadzone oraz komu są

przekazywane

• Zobowiązanie osób, które zostały dopuszczone do

przetwarzania danych do zachowania ich w tajemnicy;

obowiązek ten rozciąga się także na informacje o

sposobach ich zabezpieczenia

Obowiązek zabezpieczenia danych od strony technicznej

• Stosowanie odrębnych identyfikatorów (loginów) dla

użytkowników systemów informatycznych

• Konieczność uwierzytelnienia (podania hasła) do systemu

informatycznego

• Zabezpieczenie systemu informatycznego przed

szkodliwym oprogramowaniem

• Zabezpieczenie systemu informatycznego przed utratą

danych spowodowaną awarią zasilania lub zakłóceniami w

sieci zasilającej

• Odpowiednio skomplikowane i złożone hasła i ich zmiany

Obowiązek zabezpieczenia danych od strony technicznej

• Przechowywanie kopii zapasowych w miejscach

zabezpieczających je przed nieuprawnionym przejęciem,

modyfikacją, uszkodzeniem lub zniszczeniem

• Konieczność zastosowania środków ochrony

kryptograficznej wobec przetwarzanych danych osobowych

na laptopach

• Trwałe usuwanie danych z nośników

Outsourcing przetwarzania danych

• ADO i Procesor

• Elementy niezbędne umowy powierzenia:

- umowa sporządzona na piśmie

- określenie celu powierzenia (np. serwis oprogramowania,

hosting, zewnętrzna firma marketingowa)

- określenie zakresu powierzenia

- podjęcie środków zabezpieczających zbiór danych (środki

organizacyjne i techniczne)

Udostępnianie danych osobowych

Udostępnienie w celu innym niż włączenie do zbioru:

• Na podstawie pisemnego wniosku

• Osobom lub podmiotom uprawnionym

• Innym osobom i podmiotom, jeżeli w sposób wiarygodny

uzasadnią potrzebę posiadania tych danych, a ich

udostępnienie nie naruszy praw i wolności osób, których

dane dotyczą

Udostępnienie w celu włączenia do zbioru:

• Konieczność legitymowania się jedną z przesłanek

dopuszczających przetwarzanie danych osobowych

Rejestracja zbiorów w GIODO

• Obowiązek rejestracji danych przez ADO, chyba że

istnieje możliwość skorzystania z wyjątku przewidzianego

w UODO (np. dane kadrowe, dane niezbędne do

wystawienia faktury/rachunku, dane powszechnie

dostępne)

• Rejestracji dokonuje się na formalnym wniosku, w którym

podaje się m.in. informacje o ADO (nazwa, adres,

REGON), cel i zakres przetwarzanych danych, wskazanie

przesłanki, na podstawie której następuje przetwarzanie,

informacje nt. outsourcingu, sposób zbierania danych, opis

środków technicznych i organizacyjnych

Dziękuję za uwagę

Michał Sztąberek

iSecure Sp. z o.o.

kontakt@isecure.pl

www.isecure.pl