Nowe przepisy i zasady ochrony danych osobowych

Transkrypt

1 Nowe przepisy i zasady ochrony danych osobowych Jak przygotować i wdrożyć zmiany dotyczące przetwarzania i ochrony danych osobowych w kontekście nowych przepisów prawa, krajowych i europejskich Prowadzi: Piotr Glen Administrator bezpieczeństwa informacji Audytor systemów zarządzania bezpieczeństwem informacji tel.: piotr.glen@wiknet.net.pl

2 ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej RODO) Gotowość na 25 maja 2018 roku

3 Administrator danych - administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; podmiot przetwarzający oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora;

4 OBOWIĄZKI ADMINISTRATORA DANYCH 1. Zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem (art uodo). Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane (RODO art art. 32.) Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizacjęi szyfrowanie danych osobowych; b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania; c)zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego; d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

5 2. Prowadzić dokumentację opisującą sposób przetwarzania i ochrony danych (art uodo) Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki bezpieczeństwa obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych. Stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonego mechanizmu certyfikacji może być wykorzystane jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków. (art i 3 RODO)

6 3. Administrator danych może powołać administratora bezpieczeństwa informacji. W przypadku niepowołania administratora bezpieczeństwa informacji zadania ABI (określone w ustawie) wykonuje administrator danych (uodo art. 36a) Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy: (RODO art. 37) W przypadkach innych można wyznaczyć lub jeżeli wymaga tego prawo Unii lub prawo państwa członkowskiego, wyznacza się inspektora ochrony danych. 4. Do przetwarzania danych dopuścić wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego (art. 29 RODO). Administrator oraz podmiot przetwarzający podejmują działania w celu zapewnienia, by każda osoba fizyczna działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora, chyba że wymaga tego od niej prawo Unii lub prawo państwa członkowskiego. (art RODO)

7 5. Zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Informacje i dostęp do danych osobowych dodatkowe obowiązki informacyjne i prawa osób, których dane dotyczą (RODO art. od 13 do 22) 6. Prowadzić ewidencję osób upoważnionych do ich przetwarzania 7. Prowadzić rejestr/wykaz zbiorów danych. Rejestrowanie czynności przetwarzania (RODO art. 30) Rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora Ocena skutków przetwarzania dla ochrony danych osobowych

8 Inne, dodatkowe, nowe obowiązki administratorów oraz prawa osób, których dane dotyczą: - Rozszerzone obowiązki informacyjne, - Nowe zasady uzyskiwania zgód na przetwarzanie danych - Ograniczenie profilowania, - Prawo do przenoszenia danych, - Prawo do ograniczenia przetwarzania danych, do usuwania danych, prawo do bycia zapomnianym - Informowanie o naruszeniach ochrony danych, - Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych, - Odpowiedzialność finansowa i odszkodowawcza

9 Opinie, wytyczne, wskazówki Poradnik dla ABI - przyszłych Inspektorów Ochrony Danych Wytyczne GR Ar Reforma przepisów

10 Artykuł 88 RODO Przetwarzanie w kontekście zatrudnienia 1.Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. 2.Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy.

11 133 ustawy do zmiany i nowa ustawa o ochronie danych osobowych jest projekt przepisów Ministerstwo Cyfryzacji opublikowało oficjalny projekt nowej ustawy o ochronie danych osobowych i projekt przepisów wprowadzających ustawę, który zmienia 133 akty prawne, w tym m.in. Kodeks pracy, Prawo bankowe czy ustawę o świadczeniu usług drogą elektroniczną. Nowy projekt ustawy o ochronie danych osobowych reguluje takie kwestie jak certyfikacja i akredytacja, postępowania w sprawie naruszenia przepisów o ochronie danych, europejska współpraca administracyjna, postępowanie kontrolne, odpowiedzialność cywilna, administracyjne kary pieniężne, inspektorzy ochrony danych, przepisy karne i Prezes Urzędu Ochrony Danych Osobowych.

12 Projektowane zmiany w Kodeksie Pracy - Podstawy prawne przetwarzania danych - Monitoring wizyjny

13 Dokumentacja pracownicza będzie przechowywana przez 10 lat Stały Komitet Rady Ministrów zaakceptował projekt ustawy, która ma skrócić czas przechowywania dokumentacji kadrowo-płacowej z 50 do 10 lat. Zgodnie z nowym prawem pracodawca będzie mógł także prowadzić dokumentację pracowniczą w formie elektronicznej. Zmiany w przepisach umożliwią pracodawcom elektroniczną komunikację z pracownikami poprzez tworzenie dokumentacji pracowniczej w formie elektronicznej oraz przechowywanie tej dokumentacji w formie elektronicznej, nawet jeżeli została wytworzona w postaci papierowej. Co ważne, dokumentacja przechowywana w formie elektronicznej będzie równoważna z dokumentacją w formie papierowej.

14 Zasady dotyczące przetwarzania danych osobowych 1.Zasada legalności przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ( zgodność z prawem, rzetelność i przejrzystość ); 2. Zasada celowości zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (wyjątek stanowi dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych ( ograniczenie celu ); 3. Zasada adekwatności-adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ( minimalizacja danych ); 4. Zasada merytorycznej poprawności-prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ( prawidłowość ); 5. Zasady ograniczenia czasowego-przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane ( ograniczenie przechowywania ); 6. Zasada integralności i poufności -przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych

15 Konieczne działania przygotowujące do RODO PRAWNE Umowy (przegląd umów, zwłaszcza powierzenia danych), Polityki bezpieczeństwa / Procedury, Zgody / Klauzule informacyjne/ Regulaminy / Polityki prywatności (transparentność)/ Śledzenie zmian w prawie/ kodeksy postępowania ORGANIZACYJNE Szkolenia/ Ocena skutków dla ochrony danych -wszystkie zmiany/ Podejście oparte na ryzyku/ Zarządzanie incydentami TECHNICZNE Dostosowanie do wypełniania praw podmiotów danych/ Zgody na profilowanie/ Stosowanie adekwatnych zabezpieczeń (Privacyby Design)/ Rejestrowanie czynności przetwarzania -dane klientów i pracowników

16 Za nieprzestrzeganie przepisów ochrony danych osobowych grozi: ODPOWIEDZIALNOŚĆ ADMINISTRACYJNA ODPOWIEDZIALNOŚĆ DYSCYPLINARNA ODPOWIEDZIALNOŚĆ KARNA ODPOWIEDZIALNOŚĆ ODSZKODOWAWCZA ODPOWIEDZIALNOŚĆ FINANSOWA

17 DZIĘKUJĘ ZA UWAGĘ Piotr Glen Ekspert ds. ochrony danych osobowych tel.: POLECAM: