plus. Kto jest obowiązany zgłosić zbiór do GIODO?

Transkrypt

1 Program: I. Częściowe wyłączenie stosowania przepisów o ochronie danych osobowych w stosunku do danych osób fizycznych prowadzących działalność gospodarczą (ujawnionych w CEiDG), wprowadzone nowelizacją ustawy o swobodzie działalności gospodarczej. II. Zmiany w zakresie powierzenia przetwarzania danych osobowych od 1 kwietnia 2016 roku. 1. Nie wymaga zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między podmiotami, o których mowa w art. 3 ust. 1.. Co to w praktyce oznacza? plus. Kto jest obowiązany zgłosić zbiór do GIODO? III. NOWE OBOWIĄZKI ADMINISTRATORA BEZPIECZEŃSTWA INFORMACJI: 1.Sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla ADO a) rodzaje sprawdzeń dokonywanych na potrzeby ADO i/lub GIODO, b) sprawdzenie dla GIODO -przykładowe wystąpienia GIODO systemu monitoringu (wzór) c) plan sprawdzeń ( przykładowy wzór) d) program sprawdzenia ( przykładowy wzór) e) uprawnienia ABI w ramach dokonywanego sprawdzenia ( przykładowy katalog uprawnień) f) dokumentowanie czynności dokonywanych w wyniku sprawdzenia (notatka, protokół, kopia obrazu, zapisu), g) pierwszy plan sprawdzeń od kiedy? h) audyty wewnętrzne i) sprawozdanie-termin, zakres, kto dokonuje, na czym polega ( przykładowy wzór sprawozdania ze sprawdzenia) Warsztat: Ustalenie zakresu obowiązków ABI Warsztat: Przygotowywanie wzoru kwartalnego/rocznego planu audytów. Przygotowywanie sprawozdania z przeprowadzanego audytu 2. Prowadzenie rejestru zbiorów danych przetwarzanych przez ADO w kontekście wymagań rozporządzenia rejestracyjnego-warsztaty ( przykładowy wzór) a) cel prowadzenia b) zawartość lokalnego rejestru zbiorów c) zakres informacji o zbiorze

2 d) struktura e) udostępnienie lokalnego rejestru zbiorów f) odnotowanie historii zmian (przykłady, warsztaty) g) jak spełnić wymóg jawności rejestru? 3) Nadzorowanie opracowania i aktualizowania dokumentacji bezpieczeństwa przetwarzania danych osobowych (PBI, IZSI, upoważnienia, oświadczenia, ewidencja, rejestry zbiorów danych osobowych) oraz przestrzegania zasad w niej określonych, 4) Zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych; a)edukowanie osób przetwarzające dane osobowe- np. szkolenia b) testy sprawdzające wiedzę (wzór) 5. Inne zadania ABI 6. Przykładowy zakres obowiązków ABI (wykaz obowiązków) IV. NOWY STATUS ABI 1. Kto może powołać ABI? 2. Wymagania ustawowe dla pełnienia funkcji ABI. 3. Wzory zgłoszeń powołania oraz odwołania administratora bezpieczeństwa informacji w kontekście wymagań rozporządzenia zgłoszeniowego. uchwały i zarządzenia powołujące ABI, outsourcing ABI. 4. Organizacyjna odrębności ABI oraz bezpośrednia podległość ABI względem ADO na czym polega bezpośrednia podległość ABI kierownikowi jednostki organizacyjnej? na czym polega organizacyjna odrębność administratora bezpieczeństwa informacji niezbędna do niezależnego wykonywania przez niego zadań? czy niezależność ABI oznacza, iż jego praca nie może być poddawana pod kontrolę audytorów (zarówno wewnętrznych, jak i zewnętrznych) działających u administratora danych? czy dopuszczalne jest powołanie na ABI pracownika, który będzie wykonywał obowiązki przewidziane w u.o.d.o. obok pozostałych zadań wynikających z zakresu swoich obowiązków? czy osoba może pełnić funkcję ABI w dwóch podmiotach na podstawie różnych umów (np. umowa o pracę, umowa zlecenia)? 5. Zgłoszenie ABI do rejestru 6. Zgłaszanie zmian 7. Odwołanie ABI V. ABI POWOŁYWAĆ CZY NIE? 1. Jakie są korzyści wynikające z powołania i zgłoszenia ABI? 2. Alternatywa: powołanie innej funkcji związanej z ochroną danych osobowych np. pełnomocnika lub koordynatora ds. ochrony danych osobowych VI. NOWE PRAWA I OBOWIĄZKI DLA ADO, KTÓRE NIE POWOŁAŁ W SWOICH STRUKTURACH ABI. VII. ROLA, ZADANIA i UMOCOWANIE ADMINISTRATORA SYSTEMU

3 INFORMATYCZNEGO (ASI) 1. Czy łączenie funkcji administratora systemu informatycznego i ABI będzie zgodne z przepisami ustawy? 2. Powołanie ASI VIII. REJESTROWANIE ZBIORÓW DANYCH OSOBOWYCH PO NOWELIZACJI USTAWY ( WARSZTATY-krok po kroku) 1. Kiedy należy zarejestrować zbiór danych osobowych, 2. Zgłoszenie zbioru danych do rejestracji (zgłoszenia tradycyjne, drogą elektroniczną), 3. Powołanie ABI implikujące ograniczenie w zgłaszaniu zbiorów do GIODO, 4. Zadania kierowników jednostek w kontaktach z ABI, 5. Wypełnienie wniosku zgłaszając zbiór do rejestru prowadzonego przez GIODO ćwiczenie IX. DODATKOWE ELEMENTY SYSTEMU ZARZĄDZANIA BEZPIECZEŃSTWEM DANYCH OSOBOWYCH DO WYKORZYSTANIAW PLANIE SPRAWDZEŃ ABI-ego 1.Polityka haseł 2.Polityka czystego biurka 3.Procedura zarządzania kluczami 4.Zasady dostępu do pomieszczeń : 5.Komputery przenośne i "praca na odległość" 6.Komputerowe nośniki informacji 7.Kopie bezpieczeństwa 8.Zabezpieczenia przed szkodliwym oprogramowaniem, 9. Zabezpieczenia kryptograficzne, 10. Procedury reagowania na incydenty X. PRZETWARZANIE DANYCH OSOBOWYCH W KADRACH I KSIĘGOWOŚCI: 1. Kserowanie dowodów osobistych w celu zatrudnienia- czy taka praktyka jest 2. dopuszczalna? 3. Udzielanie informacji drogą telefoniczną na temat pracowników- najnowsze wytyczne GIODO 4. Dane osobowe a ZFŚS. Czy dopuszczalne jest żądanie od pracownika przedłożenia rocznego zeznania podatkowego (PIT) w celu wykazania wysokości dochodu, na potrzeby Zakładowego Funduszu Świadczeń Socjalnych? 5. Jak postępować z CV kandydatów do pracy? 6. Kandydaci do pracy - podstawy przetwarzania, obowiązek informacyjny 7. Czy od kandydata do pracy można żądać referencji z poprzednich miejsc pracy? 8. Monitoring pracownika (case study)

4 9. Czy imiona i nazwiska pracowników podlegają ochronie ustawowej? Czy można takie dane upublicznić? 10.Kserokopie dokumentów a ochrona danych osobowych 11.Na czym polega prawo do ochrony wizerunku ( zdjęcia)? 12.Czy na identyfikatorach mogą być umieszczone zdjęcia pracowników? XI. REFORMA SEKTORA OCHRONY DANYCH OSOBOWYCH 1. Kiedy rozporządzenie stanie się wiążące i jak się do tego przygotować? 2. Bezpośrednie stosowanie ogólnego rozporządzenia do krajowych porządków prawnych 3. Jaki będzie dalszy los prawny ustawy o ochronie danych osobowych? 4. Bezpośrednie stosowanie ogólnego rozporządzenia, a wymóg jego implementacji do porządków prawnych państw członkowskich 5. Organy odpowiedzialne za wdrożenie ogólnego rozporządzenia XII.USTAWA O OCHRONIE DANYCH OSOBOWYCH I OGÓLNE ROZPORZĄDZENIE UNIJNE O OCHRONIE DANYCH OSOBOWYCH 1. Zakres stosowania i podstawowe definicje zawarte w ustawie o ochronie danych osobowych 2. Nowe kategorie danych identyfikatory sieciowe, dane biometryczne w rozporządzeniu unijnym 3. Podstawy przetwarzania danych osobowych, z uwzględnieniem danych wrażliwych obecnie i po wejściu w życie nowego rozporządzenia. 4. GDPR nowe mechanizmy certyfikacji, profilowanie, kodeksy postępowań z danymi, 5. Nowe przesłanki przetwarzania danych osobowych zwykłych oraz wrażliwych 6. Obowiązek przeprowadzenia oceny skutków przetwarzania danych osobowych na ich ochronę 7. Nowe zasady realizacji obowiązku informacyjnego 8. Audyty należytej ochrony danych osobowych 9. Zasada ochrony danych osobowych na etapie projektowania tzw. privacy by design 10.Obowiązek informacyjny porównanie treści obowiązku informacyjnego z ustawy o ochronie danych osobowych oraz w rozporządzeniu Warsztaty- prawidłowa treść obowiązku informacyjnego 11.Współ-administratorzy czyli wspólne operacje przetwarzania danych osobowych przez kilku administratorów 12.Nowe mechanizmy certyfikacji w dziedzinie ochrony danych osobowych XIII. INSPEKTOR OCHRONY DANYCH OSOBOWYCH (DPO) 1. Status prawny inspektora ochrony danych 2. Możliwość powołania Inspektora oraz wyjątki w których będzie trzeba powołać DPO 3. Powołanie oraz odwołanie inspektora ochrony danych 4. Nowe zadania inspektora ochrony danych

5 5. Profilowanie 6. Współpraca w sprawach ochrony danych osobowych XIV. KARY FINANSOWE ZA NARUSZENIE ZASAD OCHRONY DANYCH OSOBOWYCH XV. PRZYKŁADY ORZECZNICTWA I DOBRE PRZYKŁADY XVI. PRZEPISY SEKTOROWE W PYTANIACH I ODPOWIEDZIACH: 1. Czy rozsyłanie "rozdzielników" do uczestników postępowań administracyjnych nie narusza przepisów ustawy o ochronie danych osobowych? 2. Czy komornik jest uprawniony do tego, aby otrzymać numer rachunku bankowego dłużnika od jego pracodawcy? 3. Czy gońcy, czyli pracownicy urzędu miasta doręczający korespondencję urzędową muszą posiadać, nadane przez administratora, upoważnienie do przetwarzania danych osobowych? 4. Czy urząd stanu cywilnego, powołując się na ochronę danych osobowych, może odmówić mi wydania odpisów z aktów stanu cywilnego dotyczących członków mojej rodziny, jeśli swoją prośbę uzasadniam potrzebą załączenia ich do akt sprawy sądowej 5. Czy szkoła posiadająca rejestr uczniów realizujących obowiązek szkolny w innych szkołach powinna zgłosić taki zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych? 6. Czy dyrektor przedszkola ma obowiązek zgłaszać Generalnemu Inspektorowi Ochrony Danych Osobowych zbiory danych rodziców przedszkolaków? 7. Czy biblioteki prowadzone przez szkoły podlegają obowiązkowi zgłoszenia zbiorów do rejestracji Generalnego Inspektora Ochrony Danych Osobowych? 8. Czy, ze względu na fakt, że w zbiorze danych pracowników znajdują się, poza danymi osobowymi pracowników, również informacje dotyczące członków ich rodzin (małżonków i dzieci), pracodawca ma obowiązek zgłoszenia do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych osób u niego zatrudnionych? 9. Czy obowiązek rejestracji dotyczy administratorów wykorzystujących dane pracowników (obecnych i byłych), a także kandydatów do pracy i innych osób świadczących na rzecz administratora usługi na podstawie umów zlecenia, czy umów o dzieło. 10.Czy gmina powinna zgłosić zbiór danych prowadzony w ramach Elektronicznego Krajowego Systemu Monitoringu Orzekania o Niepełnosprawności? 11.Czy zgodne z ustawą jest wywieszanie w budynku sądu wokand, zawierających dane osobowe osób biorących udział w postępowaniu sądowym? 12.Czy dopuszczalne jest żądanie od pracownika przedłożenia rocznego zeznania podatkowego (PIT) w celu wykazania wysokości dochodu, na potrzeby Zakładowego Funduszu Świadczeń Socjalnych?Czy spółka jest zobowiązana do zarejestrowania księgi udziałów oraz księgi akcyjnej?

6 13.Czy pracownicy urzędów gmin i starostw powiatowych mogą udzielać instytucjom, firmom i osobom prywatnym takich informacji dotyczących danych osobowych radnych, jak: imię, nazwisko, adres, telefon kontaktowy radnego? Czy urzędnicy mogą pobierać opłaty za udzielanie tych informacji? 14.Czy dostawca usług telekomunikacyjnych oraz bank może kserować dowody osobiste swoich klientów oraz potencjalnych klientów? 15.Czy starosta może odmówić udostępnienia z prowadzonej ewidencji pojazdów numeru rejestracyjnego i numeru VIN pojazdu należącego do konkretnej osoby na potrzeby złożenia wniosku o zabezpieczenie roszczenia w postępowaniu cywilnym? 16.Czy pracownicy urzędów gmin i starostw powiatowych mogą udzielać instytucjom, firmom i osobom prywatnym takich informacji dotyczących danych osobowych radnych, jak: imię, nazwisko, adres, telefon kontaktowy radnego? Czy urzędnicy mogą pobierać opłaty za udzielanie tych informacji? 17.Czy w Biuletynie Informacji Publicznej (BIP) można opublikować oświadczenia majątkowe radnych zawierające adresy ich zamieszkania? 18.Czy wynikający z art. 27 c ustawy o samorządzie województwa obowiązek złożenia oświadczenia majątkowego wraz z kopią zeznania o wysokości osiągniętego dochodu (PIT), w sytuacji, gdy opodatkowaniu podlegały łącznie dochody obojga małżonków, a powyższy obowiązek spoczywa jedynie na jednym z nich, nie narusza przepisów ustawy o ochronie danych osobowych? 19.Czy jednostka wykonujących zadania pomocy społecznej może udostępnić kuratorowi sądowemu dane osobowe osób korzystających z ich opieki? 20.Czy zbiory danych zawierające podania o pracę powinny zostać zarejestrowane u Generalnego Inspektora Ochrony Danych Osobowych? REKAPITULACJA I KONSULTACJE PRAWNE Z TRENEREM Uczestnicy szkolenia otrzymają w formie elektronicznej wszystkie nowe, niezbędne wzory prawem wymaganej dokumentacji oraz wzory planu sprawdzeń, sprawozdań, wewnętrznego rejestru, przykładowe wystąpienia GIODO do ABI-ego i wielu innych.