Przetwarzanie danych osobowych przez przedsiębiorców zagrożenia i wyzwania Monika Krasińska Dyrektor Departamentu Orzecznictwa Legislacji i Skarg

Transkrypt

1 Przetwarzanie danych osobowych przez przedsiębiorców zagrożenia i wyzwania Monika Krasińska Dyrektor Departamentu Orzecznictwa Legislacji i Skarg

2 Przedmiot prezentacji organ ochrony danych osobowych zasady ogólne zasady przetwarzania danych - obowiązki administratorów prawa osób, których dane dotyczą powierzenie przetwarzania obowiązek zabezpieczenia danych obowiązek rejestracji zbioru danych kontrola zasobów tradycyjnych i informatycznych przez GIODO odpowiedzialność karna

3 Organ ochrony danych osobowych Generalny Inspektor Ochrony Danych Osobowych (art. 8-11) zadania (art. 12) prawa kontrolne (art. 14, 16) decyzje administracyjne (art. 18, art ), wnioski o wszczęcie post. dyscyplinarnego (art. 17), zawiadomienie o popełnieniu przestępstwa (art. 19, sygnalizacja (art. 12) ogólnokrajowy, jawny rejestr zbiorów danych osobowych (art. 42) wystąpienia (art. 19a) egzekucja administracyjna

4 Zasady ogólne każdy ma prawo do ochrony jego danych osobowych (art. 1) - dobro publiczne - dobro podmiotu danych - dobro osób trzecich zakres przedmiotowy i podmiotowy ustawy (art. 2-3) wyjątki w zakresie stosowania ustawy (art. 3a-5) pojęcie danych osobowych w świetle rozwoju nowoczesnych technologii (art. 6-7) - Opinia Grupy Roboczej Art. 29 Dyrektywy 96/45/WE nr 4/2007 w sprawie pojęcia danych osobowych - Wyrok z dnia 19 maja 2011 r., sygn. Akt IOSK 1079/10

5 Zasady przetwarzania danych osobowych - obowiązki administratora, dane zwykłe przesłanki legalizujące przetwarzanie danych osobowych zwykłych (art. 23 ust. 1) zgoda osoby, której dane dotyczą (pkt 1). warunki pozyskiwania zgody przed i po nowelizacji ustawy o ochronie danych osobowych. warunki wymiany informacji pomiędzy przedsiębiorcami. marketing cudzych usług i produktów uprawnienie / obowiązek wynikający z przepisu prawa (pkt 2) umowa (pkt 3) prawnie usprawiedliwiony cel administratora albo odbiorcy danych (pkt 5). marketing usług własnych. dochodzenie roszczeń (warunki sprzedaży wierzytelności i ich upubliczniania)

6 Zasady przetwarzania danych osobowych - obowiązki administratora, dane szczególnie chronione przesłanki legalizujące przetwarzanie danych osobowych szczególnie chronionych (art. 27 ust. 2) zgoda osoby, której dane dotyczą (forma pisemna), przepisy szczególne ustawy zezwalające na przetwarzanie danych bez zgody osoby, której dane dotyczą, i stwarzające pełne gwarancje ich ochrony, dla ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora,

7 Zasady przetwarzania danych osobowych - obowiązki administratora, dane szczególnie chronione dla wykonania statutowych zadań kościołów i in. związków wyznaniowych, stowarzyszeń, fundacji lub in. niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych, dla dochodzenia praw przed sądem,

8 Zasady przetwarzania danych osobowych - obowiązki administratora, dane szczególnie chronione dla wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie. zasady pozyskiwania i zarządzania danymi osobowymi rekrutantów i pracowników. elektroniczny nadzór pracodawców warunki i ograniczenia. udostępnianie danych kadrowych gdy dane zostały podane do wiadomości publicznej przez osobę, której dotyczą,

9 Zasady przetwarzania danych osobowych - obowiązki administratora, dane szczególnie chronione dla prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone, dla celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym

10 Zasady przetwarzania danych osobowych - obowiązki administratora zasada przetwarzania danych zgodnie z prawem (art. 26 ust. 1 pkt 1) kształtowanie zasady legalizmu pozyskiwania i udostępniania danych osobowych w systemach informatycznych zasada celowości (art. 26 ust. 1 pkt 2) - wyjątki (art. 26 ust. 2) zasada merytorycznej poprawności i adekwatności danych (art. 26 ust. 1 pkt 3) zasada proporcjonalności w procesie zbierania danych biometrycznychwyrok z 18 czerwca 2010 r. sygn. akt II SA/Wa 151/10

11 Zasady ogólne - obowiązki administratora a prawa osób, których dane dotyczą prawo do informacji (art. 24 i 25) minimum informacji, jakie administrator powinien przekazać osobie, której dane dotyczą, po zebraniu i utrwaleniu jej danych prawo do kontroli przetwarzania danych (art. 32 i 33) zakres informacji, jakie administrator jest obowiązany przekazać osobie, której dane dotyczą, na żądanie tej osoby

12 Prawo osoby, której dane dotyczą - prawo do informacji adres siedziby i nazwa administratora (art. 24, 25) cel i zakres zbierania danych (art. 24, 25) dostęp do treści oraz prawo poprawiania danych (art. 24, 25) dobrowolność / obowiązek podania danych osobowych (art. 24) źródło danych (art. 25) uprawnienia z art. 32 ust. 1 pkt 7 i 8 (art. 25)

13 Zwolnienia administratora z obowiązku realizacji prawa do informacji przepis innej ustawy pozwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania (bez wiedzy osoby)- (art. 24, 25) osoba, której dane dotyczą, posiada informacje wymienione w tych przepisach (art. 24, 25)

14 Zwolnienia administratora z obowiązku realizacji prawa do informacji badania naukowe, historyczne, statystyczne, opinii publicznej,o ile przetwarzanie danych nie narusza praw i wolności osoby badanej a spełnienie obowiązku wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania (art. 25) przetwarzanie na podstawie przepisów prawa przez organy państwowe, samorządu terytorialnego, państwowe i komunalne jednostki organizacyjne, podmioty niepubliczne realizujące zadania publiczne (art. 25)

15 Prawa osób, których dane dotyczą - kontrola przetwarzania danych inicjatywa (wniosek) osoby, której dane dotyczą (art.33) forma pisemna termin 30 dni obowiązek poinformowania o przysługujących prawach w zakresie określonym art.32 ust. 1 pkt 1-5a

16 Prawa osób, których dane dotyczą - zakres uprawnień kontrolnych istnienie zbioru (art. 32) ustalenie administratora (art. 32) cel, zakres i sposób przetwarzania danych (art. 32 i 33) od kiedy dane są przetwarzane (art. 32) treść danych - jakie dane zawiera zbiór (art. 32 i 33) źródło i sposób pozyskania danych (art. 32 i 33)

17 Prawa osób, których dane dotyczą - zakres uprawnień prawo do uzupełnienia, uaktualnienia, sprostowania danych (art. 32) czasowe / stałe wstrzymanie przetwarzania danych; usunięcie danych (art. 32) żądanie zaprzestania przetwarzania danych ze względu na szczególną sytuację osoby wnoszącej żądanie (art. 32 ust. 1 pkt 7) wniesienie sprzeciwu wobec przetwarzania danych w celach marketingowych, przekazywania tych danych innemu administratorowi (art. 32 ust. 1 pkt 8)

18 Ograniczenia prawa kontroli Ograniczenia wynikające z ustawy (art. 34): wiadomości zawierające informacje niejawne obronność / bezpieczeństwo państwa życie lub zdrowia ludzi bezpieczeństwo i porządek publiczny podstawowy interes gospodarczy lub finansowy państwa istotne naruszenie dóbr osobistych podmiotu danych lub innych osób Ograniczenia wynikające z innych przepisów prawa Ograniczenia wynikające z nieistnienia zbioru (art. 32 ust. 1)

19 Umowa powierzenia Forma pisemna (art.31 ust.1) Strony umowy administrator danych i inny podmiot Treść umowy określenie zakresu i celu przetwarzania Obowiązek podjęcia przez podmiot, któremu dane powierzono, środków zabezpieczających zbiór danych, przed rozpoczęciem przetwarzania (art.31 ust.2) Odpowiedzialność solidarna stron umowy za jej niewykonanie Podpowierzanie za zgodą administratora jako element umowy?

20 Udostępnienie w celach innych niż włączenie do zbioru likwidacja procedury z art. 29 ustawy po nowelizacji Udostępnienie podmiotom uprawnionym na podstawie przepisów prawa (art. 29 ust.1) Udostępnienie innym podmiotom jeżeli (art. 29 ust.2): - dotyczy wyłącznie danych tzw. zwykłych - wykażą w sposób wiarygodny potrzebę posiadania danych - udostępnienie danych nie naruszy praw i wolności osób, których dane dotyczą - na pisemny umotywowany wniosek, zawierający informacje pozwalające wyszukać dane w zbiorze i wskazujący ich zakres i przeznaczenie - udostępnione dane będą wykorzystane wyłącznie zgodnie z przeznaczeniem, dla którego zostały pozyskane Stan aktualny: przesłanki z art. 23 i 27 ustawy oraz _ art. 26 ust. 1 i art. 38 ustawy

21 Obowiązki administratora - zabezpieczenie danych zastosowanie środków technicznych i organizacyjnych zapewniające ochronę danych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, w szczególności przed udostępnieniem danych osobom nieupoważnionym (art. 36) wyznaczenie administratora bezpieczeństwa informacji (art. 36 ust. 3) nadanie upoważnień do przetwarzania danych osobowych (art. 37) prowadzenie ewidencji osób upoważnionych do przetwarzania danych (art. 39) zakres ewidencji: 1) imię i nazwisko osoby upoważnionej, 2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, 3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.

22 Obowiązki administratora rejestracja zbioru danych Obowiązek zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi (art. 40) przykłady zgłoszeń Zwolnienia z obowiązku rejestracji (art. 43 ust.1) Warunki formalne zgłoszenia (art. 41 ust. 1) Obowiązek zgłoszenia zmian z zbiorze (art. 41 ust. 2) Przesłanki wydania decyzji o odmowie rejestracji zbioru danych (art. 44)

23 Kontrola GIODO Warunki formalne i materialne wszczęcia i przeprowadzenia kontroli Realizacja czynności kontrolnych w toku kontroli i po jej zakończeniu Postępowanie pokontrolne i administracyjne Przykłady najczęstrzych uchybień stwierdzonych w toku kontroli inspektorów GIODO w przedsiębiorstwach

24 Przewidywane nowe rozwiązania w obszarze ochrony danych osobowych Projekt rozporządzenia Parlamentu Europejskiego i Rady z dnia 25 stycznia 2012 r Ustawa deregulacyjna projekt Ministerstwa Gospodarki

25 Przepisy karne przetwarzanie w zbiorze danych, choć ich przetwarzanie nie jest dopuszczalne albo bez uprawnienia (art. 49) udostępnienie danych lub umożliwienie dostępu do nich osobom nieupoważnionym przez administrującego zbiorem lub będącego obowiązanym do ochrony danych (art. 51) utrudnianie lub udaremnianie wykonywania czynności kontrolnych (art. 54a)

26 Przepisy karne naruszenie przez administrującego danymi choćby nieumyślnie obowiązku zabezpieczenia danych przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem (art. 52) niezgłaszenie do rejestracji zbioru danych (art. 53) niedopełnienie przez administrującego zbiorem obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie (art. 54)

27 Dziękuję Państwu za uwagę